Oracle Database Vault -- 2.使用Realm保护数据

1. Realm是什么

Realm用来定一个逻辑的数据库对象的集合,对于这些对象的访问要遵循该Realm的授权规则.

2 . Realm的原理
Vaul的设计目的就是针对具有系统权限的DBA的，同样的，Realm只是用来保护System Priviledges和Roles,
Realm不限制通过object privileges获得的访问权限.

当用户访问一个受Realm保护的数据库对象时,需要经过如下步骤:

(1) 当前用户是否正在使用一个"system priviledge"? 如果不是,那么转(6),否则转(2)

(2) 当前的SQL语句是否访问一个受Realm保护的数据库对象? 如果不是,那么转(6),否则转(3)

(3) 当前用户是否是realm owner或者participant?
如果不是，那么报错
如果是owner/participant,
如果当前正在grant/revoke一个被realm保护的角色，那么该用户必须直接或间接的具有owner的资质，否则报错。
其他情况，转(4)


(4) 这个realm对于该用户的授权是否基于某个rule set? 如果不是，那么转(6)，否则转(5)

(5) 这个rule set的值是true? 如果不是，那么报错，否则转(6)

(6) 是否有某个阻止该语句的command rule？如果是，那么报错，否则该语句终于可以成功执行了。

3. 定义授权时,需要定义如下内容

(1) 被授权者:
(2) 授权类型:
participant:
owner: 与participant的区别在于,如果realm包含roles,那么自由owner可以grant 或者revoke这些角色.
(3) 授权规则集:


4.缺省的几个Realm

(1)Oracle Data Dictionary: 保护主要的数据字典, owner是SYS,SYSTEM,WKSYS,WKUSER

(2) Database Vault Account Management: 保护CONNECT和DV_ACCTMGR这这两个角色, owner是DV_ACCTMGR

(3)Oracle Enterprise Manager: 保护SYSMAN和DBSNMP的数据, owner是DBSNMP,SYSMAN,SYSTEM

(4)Oracle Database Vault

5. 与Realm相关的数据字典

DBA_DV_REALM
DBA_DV_REALM_AUTH
DBA_DV_REALM_OBJECT

6. 例子

http://www.oracle.com/technology/deploy/security/database-security/viewlets/demo2_viewlet_swf.html

[@more@]

来自 “ ITPUB博客 ” ，链接：http://blog.itpub.net/100682/viewspace-1023709/，如需转载，请注明出处，否则将追究法律责任。

转载于:http://blog.itpub.net/100682/viewspace-1023709/