Database Vault（DBV）和领域管理

最新推荐文章于 2020-09-22 09:42:37 发布
最新推荐文章于 2020-09-22 09:42:37 发布
阅读量231 收藏
点赞数
文章标签： 数据库
DB：11.2.0.4

在安装时，选择安装组件Database Vault（在选择企业版、标准版的界面）
创建完数据库后，使用DBCA->数据库配置，添加Database Vault，会要求创建DBV相关账号。

提示，要在DBCA正式开始添加DBV前（进度条界面还没出来前），重启数据库（会有弹出窗口作如此提示）。要启动到open状态。

完成后，可以登录https://hostname:port/dva进入Web管理页面（记住，里面登录要输入数据库主机地址和监听器端口号）。

DBV将创建3个账户实现职责分离：
安全管理员：DBV对象所有者，DV_OWNER，DV_ADMIN
账户管理员：负责管理账户命令，DV_ACCTMGR。sys用户不再能创建用户。
运行管理员：负责授权，并保护安全相关的参数修改。sys用户将是唯一在该领域的用户。

领域管理

创建领域

使用角色为DV_OWNER的用户，

点击(此处)折叠或打开

  1. BEGIN
  2.         dbms_macadm.create_realm(
  3.            realm_name => 'Cust_Card_realm'
  4.          , description => 'Protect customer and card details information'
  5.          , enabled => dbms_macutl.g_yes
  6.          , audit_options => dbms_macutl.g_realm_audit_fail
  7.         );
  8. END;
  9. /
添加领域的保护对象

点击(此处)折叠或打开

  1. BEGIN
  2.      dbms_macadm.add_object_to_realm (
  3.        realm_name => 'Cust_Card_realm'
  4.       ,object_owner => 'HK'
  5.       ,object_name => '%'
  6.       ,object_type => '%'
  7.       );
  8. END;
  9. /

  11. BEGIN
  12.      dbms_macadm.add_object_to_realm (
  13.        realm_name => 'Cust_Card_realm'
  14.       ,object_owner => 'SOE'
  15.       ,object_name => 'ORDERS'
  16.       ,object_type => 'TABLE'
  17.       );
  18. END;
  19. /




领域带来的权限变化

1. 如果有角色对领域所保护的对象有权限，那么因为DBA有GRANT权限，因此DBA可以把自己GRANT该角色并使用SET ROLE切换到该角色来绕开领域的保护。
应对该问题的方法是：将该角色一道加入领域的保护

点击(此处)折叠或打开

  1. BEGIN
  2.      dbms_macadm.add_object_to_realm (
  3.        realm_name => 'Cust_Card_realm'
  4.       ,object_owner => 'SOE'
  5.       ,object_name => 'SELECT_SOE_ROLE'
  6.       ,object_type => 'ROLE'
  7.       );
  8. END;
  9. /
2. 领域针对的是对系统ANY权限。意味着光有领域授权，没有ANY权限是无用的；同样如果是对对象object的权限，领域与此无关。
3. 领域管理员自身不能被赋予领域权限，也无法直接访问数据库对象。
4. 在有对象被领域保护后，对象所有者仍然可以对该对象执行SELECT, DML, EXECUTE操作，但DDL，GRANT操作被禁止。
5. 授予用户账户管理领域对象的权限：
管理领域的角色有两种：领域管理员和领域参与者。前者可以：
    1）授予、撤销领域保护对象的权限
    2）授予、撤销领域保护的角色

a. 使用角色为DV_ACCTMGR得账户创建角色

点击(此处)折叠或打开

  1. SQL> show user
  2. USER is "DBVACCMGR"
  3. SQL>
  4. SQL> create user batman identified by batman;

  6. User created.

  8. SQL> create user robin identified by robin;

  10. User created.
b. 使用sys账户赋予应用程序管理员ANY权限

点击(此处)折叠或打开

  1. SQL> connect / as sysdba
  2. Connected.
  3. SQL> grant dba to batman;

  5. Grant succeeded.

  7. SQL> grant dba to robin;

  9. Grant succeeded.
c. 赋予领域权限

点击(此处)折叠或打开

  1. --领域管理员
  2. BEGIN
  3.   dbms_macadm.add_auth_to_realm (
  4.       realm_name => 'Customer_Card_realm'
  5.     , grantee => 'BATMAN'
  6.     , rule_set_name => NULL
  7.     , auth_options => dbms_macutl.g_realm_auth_owner );
  8. END;
  9. /
  10. --领域参与者
  11. BEGIN
  12.   dbms_macadm.add_auth_to_realm (
  13.       realm_name => 'Customer_Card_realm'
  14.     , grantee => 'ROBIN'
  15.     , rule_set_name => NULL
  16.     , auth_options => dbms_macutl.g_realm_auth_participant );
  17. END;
  18. /

d. 然后使用BATMAN, ROBIN账户登录对领域内对象执行管理任务。
如执行DDL语句，GRANT/REVOKE语句， 角色管理等。
使用安全应用程序角色(SAR）管理领域内的对象

与上例的领域拥有者/参与者针对系统权限不同，SAR主要是针对对象权限

摘抄原书：

点击(此处)折叠或打开

  1. dbvowner@aos> -- create the DBV Secure Application Role
    dbvowner@aos> BEGIN
        dbms_macadm.create_role(
           role_name     => 'SALES_ARCHIVE_ROLE'
         , enabled       => 'Y'
         , rule_set_name => 'Is System Maintenance Allowed'
         );
    END;
    /
    PL/SQL procedure successfully completed.
    dbvowner@aos> -- protect the role in the Sales History realm
    dbvowner@aos> BEGIN
        dbms_macadm.add_object_to_realm (
          realm_name    => 'Sales History'
         ,object_owner  => 'SH'
         ,object_name   => 'SALES_ARCHIVE_ROLE'
  2.      ,object_type   => 'ROLE'
         );
    END;
    /
    PL/SQL procedure successfully completed.
  3. --查看当前SAR角色
  4. sys@aos>SELECT *
    FROM dba_application_roles
    WHERE role = 'SALES_ARCHIVE_ROLE';
    ROLE                SCHEMA    PACKAGE
    ------------------- --------- ------------------
    SALES_ARCHIVE_ROLE  DVSYS     DBMS_MACSEC_ROLES
    1 row selected.
  5. --使用领域所有者账户为SAR授予对象权限
  6. mary@aos> -- grant the require object privileges
    mary@aos> -- to the DBV Secure Application Role
    mary@aos> GRANT DELETE ON sh.channels TO sales_archive_role;
    Grant succeeded.
    mary@aos> GRANT DELETE ON sh.costs TO sales_archive_role;
    Grant succeeded.
    mary@aos> GRANT DELETE ON sh.countries TO sales_archive_role;
    Grant succeeded.
    mary@aos> GRANT DELETE ON sh.customers TO sales_archive_role;
    Grant succeeded.
    mary@aos> GRANT DELETE ON sh.products TO sales_archive_role;
    Grant succeeded.
    mary@aos> GRANT DELETE ON sh.promotions TO sales_archive_role;
    Grant succeeded.
    mary@aos> GRANT DELETE ON sh.sales TO sales_archive_role;
    Grant succeeded.
    mary@aos> -- grant the DBV Secure Application Role
    mary@aos> -- to the account SCOTT
    mary@aos> GRANT sales_archive_role TO scott;
    Grant succeeded.
  7. --验证
  8. scott@aos> -- show the date and time of day factors that affect
    scott@aos> -- the DBV Rule Set that controls the role enablement
    scott@aos>SELECT TO_CHAR(SYSDATE,'DAY') "DAY_OF_WEEK",
            TO_CHAR(SYSDATE,'HH24') "HOUR_OF_DAY"
    FROM DUAL;
    DAY_OF_WEEK                          HO
    ------------------------------------ --
    MONDAY                               10
    1 row selected.
    scott@aos> -- attempt to use the privileges granted to the
    scott@aos> -- role to demonstrate the privileges are not enabled
    scott@aos> -- by default as with a normal Oracle role.
    scott@aos> -- We will test deleting records greater than 10 years old
    scott@aos>DELETE sh.sales WHERE time_id < (SYSDATE-(365*10));
    DELETE sh.sales WHERE time_id < (SYSDATE-(365*10))
              *
    ERROR at line 1:
    ORA-01031: insufficient privileges
    scott@aos> -- attempt to enable the role outside of the
    scott@aos> -- authorized system maintenance timeframe
    scott@aos>EXEC dvsys.dbms_macsec_roles.set_role('SALES_ARCHIVE_ROLE');
    BEGIN dvsys.dbms_macsec_roles.set_role('SALES_ARCHIVE_ROLE'); END;
    *
    ERROR at line 1:
    ORA-47305: Rule Set violation on SET ROLE (Is System Maintenance Allowed)
    ORA-06512: at "DVSYS.DBMS_MACUTL", line 38
    ORA-06512: at "DVSYS.DBMS_MACUTL", line 381
    ORA-06512: at "DVSYS.DBMS_MACSEC", line 242
    ORA-06512: at "DVSYS.ROLE_IS_ENABLED", line 4
    ORA-06512: at "DVSYS.DBMS_MACSEC_ROLES", line 24
    ORA-06512: at line 1
  9. scott@aos> -- show the date and time of day factors that affect
    scott@aos> -- the DBV Rule Set that controls the role enablement
    scott@aos>SELECT TO_CHAR(SYSDATE,'DAY') "DAY_OF_WEEK",
            TO_CHAR(SYSDATE,'HH24') "HOUR_OF_DAY"
    FROM DUAL;
    DAY_OF_WEEK                          HO
    ------------------------------------ --
    FRIDAY                               17
    1 row selected.
    scott@aos> -- attempt to enable the role, which will succeed
    scott@aos>EXEC dvsys.dbms_macsec_roles.set_Role('SALES_ARCHIVE_ROLE');
    PL/SQL procedure successfully completed.
    scott@aos> -- attempt to use the privileges granted to the
    scott@aos> -- role by deleting records greater than 10 years old
    scott@aos>DELETE sh.sales WHERE time_id < (SYSDATE-(365*10));
    221651 rows deleted.




来自 “ ITPUB博客 ” ，链接：http://blog.itpub.net/22621861/viewspace-1393649/，如需转载，请注明出处，否则将追究法律责任。

转载于:http://blog.itpub.net/22621861/viewspace-1393649/

cssg91583
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
Vault系列之：了解Vault应用场景，安装Vault详细步骤，使用Vault创建管理密钥详细案例
zhengzaifeidelushang的博客
08-11 138
安全存储敏感数据：Vault可以用来安全存储敏感数据，例如数据库凭据、API密钥、加密密钥等。Vault提供了密钥管理、加密和解密的功能，可以确保敏感数据的安全存储和访问。 - 动态秘钥生成和管理：Vault可以生成和管理动态秘钥，例如用于身份验证、加密和解密等。Vault的动态秘钥功能可以确保每个用户或应用程序都有唯一的秘钥，并且可以定期轮换秘钥以增加安全性。 - 访问控制和权限管理：Vault可以用来管理访问控制和权限，例如限制用户或应用程序对特定资源的访问权限。Vault提供了身份验证、授权和审计
数据库工具DBV
03-13
数据库工具 DBVsqlserver
Install the database vault
henrybai的专栏--大亨利白--大码
12-23 590
Install the database vault and configure it.
Database Vault Administrator的使用
在路上
03-16 2152
第一次安装Database Vault的时候，先安装好了Database Vault，然后才安装的EM，发现，根本无法访问Database Vault Administrator。后来重新安装，在database configuration 的时候，先选择了EM，后配置了Database Vault就可以访问了。 在EM上使用具有Database Vault管理权限的用户登录，尝试管理Da
配置数据库的归档模式(Configure the database archive Model)
BuildingUtil的专栏
08-22 600
1.首先要知道数据库使用的是什么归档模式:       使用命令： archive log list   2。从非归档模式转换为归档模式的步骤：      (1) 关闭数据库  shutdown nomal/immediate/transactional 不能使用a
ORACLE DATABASE VAULT白皮书.docx
10-14
ORACLE DATABASE VAULT 白皮书主要介绍了 Oracle Database Vault 的功能和优势，该产品旨在为 Oracle E-Business Suite 应用程序提供安全保护。以下是该白皮书中所涉及的关键知识点： 1. 无需更改应用程序即可透明...
Oracle Database Vault Administrator’s Guide 11g Release 2 (11.2)
最新发布
06-18
《Oracle Database Vault Administrator’s Guide 11g Release 2 (11.2)》是Oracle公司为数据库管理员提供的一份详细指南，旨在帮助用户理解和管理Oracle数据库中的Database Vault功能。Database Vault是一个强大的...
database-vault
03-27
"github.com/AtlasXV/database-vault/mongo" ) func main () { // 创建一个新的vault vault , err := mongo . NewVault ( "token" , "vault_addr" ) if err != nil { fmt . Println ( err ) return } // ...
甲骨文推出数据库安全产品Oracle Database Vault.pdf
10-10
Oracle Database Vault的安全机制以区域和规则为基础，区域的作用是把已有应用或一组数据库对象封闭到保护区内，而规则的作用是根据特定环境或区域的决策要素(如：数据库、机器、IP地址、时间和验证模式)，按照企业...
DBV破解及说明
07-25
DbVisualizer是一个完全基于JDBC的跨平台数据库管理工具，内置SQL语句编辑器（支持语法高亮），凡是具有JDBC数据库接口的数据库都可以管理，已经在Oracle, Sybase, DB2, Informix, MySQL, InstantDB, Cloudcape, HyperSonic ，Mimer SQL上通过测试。
dbvisualizer10 安装破解
12-05
dbvisualizer 10 安装破解 用于10.0.1及以上版本,本人使用的是10.0.1可以使用 内含32位及64位的破解文件。附带破解说明。
DbVisualizer安装及破解工具
04-18
包含DbVisualizer的安装包以及破解包，解压缩后根据破解包中readme.txt文件说明破解即可使用，可直接连接oracle，mysql等数据库
database vault移除了所有用户的user/profile相关权限
wgz7747147820的博客
09-22 103
database vault移除了所有用户的user/profile相关权限，包括如下权限 create user alter user drop user create profile alter profile drop profile SQL> connect sys/cdbs7@cdbs7 as sysdba Connected. SQL> create user c##u1 identified by u1; create user c##u1 identified by u1 * E
如何配置database vault
wgz7747147820的博客
09-21 811
首先创建两个用户，一个作为database vault用户，另外一个作为备份用户 SQL> create user c##dv_cloud_admin identified by cdb21ls; User created. SQL> create user c##dv_cloud_admin_backup identified by cdb21ls; User created. config dv SQL> exec configure_dv(dvowner_uname=>
安装dbvisual数据库步骤
weixin_42861379的博客
08-20 2289
安装x64_9_5_8\DbVisualizer. 安装包地址：D:\tools\dbvisualizer 1 安装后新建链接，输入一个区分的编号，可以自由写入。 2选择下拉框 选择db2 for AS/400 输入database server : 128.232.9.223(或者其他对应Ip) 输入账号 database userid 输入密码 databas...
DbVisualizer 9.2.14 安装教程
胸无大志,枉活一世。
05-18 4666
百度云提取： 链接: https://pan.baidu.com/s/1rDR77wy3s7ZpUaa21nsoTA 提取码: 6nv7 解压后，安装即可，安装最后一步，不要勾选运行！！！！！！！！ 找安装目录的对应文件dbvis.jar ，使用压缩工具打开 将下载解压的DbVisualizer-Crack文件夹中的dbvis.puk替换到安装目录的对应位置 然后运行DbVisualizer...
DBV工具的使用
热门推荐
Oracle Database
01-12 2万+
DBV是一个外部命令，能够执行物理数据结构的完整性检查。DBV只能检查可缓存管理的块(数据块)，所以只能用于数据文件，不支持控制文件和重做日志文件的块检查。DBV使用于offline或者online的数据文件，也可也验证备份文件，但是备份文件只能是rman的copy命令或者操作系统的cp(win下是copy)命令备份的数据文件。控制文件和重做日志文件的检查可以用DBMS_HM包完成。     D
DbVisualizer 安装与数据库连接
Devin
04-15 4230
安装 连接数据库 乱码问题：
Oracle数据库中自带的用户
msdnchina的专栏@JiNan,ShanDong
01-28 5469
参考自： Oracle CreatedDatabase Users: Password, Usage and Files References (文档 ID 160861.1) https://docs.oracle.com/cd/E11882_01/server.112/e10575/tdpsg_user_accounts.htm#TDPSG20000 Master Note for
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值