Oracle12C--角色(二十二)

知识点的梳理：

• 12c，在CDB下创建的角色，也要使用"C##"开头；
• 多个权限可以通过角色统一的管理，一个角色会包含若干个权限；
• 为了方便用户授权操作，可以直接利用connect,resource 两个角色进行授权；

    

• 角色是啥？
  • 角色是一组相关权限的集合（可以是系统权限，也可以是对象权限），可通过一个角色来维护多个具有相同权限的用户；
• 创建角色
  • 创建角色可以通过DBA或具有相应create role权限的用户来完成
  • 语法：

create role 角色名称 [not identified | identified by 密码];

not identified（默认）：不需要任何的口令标记； identified by 密码：创建角色的时候同时设置密码，该密码主要用在角色激活时使用；

• 示例：创建一个普通的角色

CREATE ROLE c##mldn_role_a ;

创建一个名为c##mldn_role_a的角色，该角色采用默认设置

• 示例：创建一个带有密码的角色

CREATE ROLE c##mldn_role_b IDENTIFIED BY hellojava ;

创建角色时设置的密码是在角色启用时使用的，可通过如下语句试验： 禁用当前会话中的所有角色 SET ROLE NONE ;  启用当前会话中的所有角色 SET ROLE ALL ;  启用c##mldn_role_b角色，此角色存在密码 SET ROLE c##mldn_role_b IDENTIFIED BY hellojava ;

• 示例：通过dba_roles数据字典查看创建的角色：

SELECT * FROM dba_roles WHERE role IN ('C##MLDN_ROLE_A','C##MLDN_ROLE_B');

• 角色授权
  • 角色创建完成后，需要为角色授权
  • 示例：为c##mldn_role_a角色授权

GRANT CREATE SESSION , CREATE TABLE , CREATE VIEW , CREATE SEQUENCE TO c##mldn_role_a ;

为c##mldn_role_a授予4个权限，保证c##mldn_role_a角色下的所有管理员具备创建基本数据库对象的能力

• 示例：为c##mldn_role_b角色授权

GRANT CREATE SESSION , CREATE ANY TABLE , INSERT ANY TABLE TO c##mldn_role_b ;

• 示例：查询role_sys_privs数据字典，查看两个角色的权限信息

SELECT * FROM role_sys_privs WHERE role IN ('C##MLDN_ROLE_A' , 'C##MLDN_ROLE_B') ORDER BY role ;

• 

• 为用户授予角色
  • 将c##mldn_role_a的角色授予c##mldnuser用户

GRANT c##mldn_role_a TO c##mldnuser ;

• 将c##mldn_role_a和c##mldn_role_b的角色授予c##mldnjava用户

GRANT c##mldn_role_a ,c##mldn_role_b TO c##mldnjava ;

与授权操作一样，可以将一个或多个角色授予用户

• 查询c##mldnuser用户权限

CONN c##mldnuser/hellojava COL privilege FOR A30 ; SELECT * FROM session_privs ;

• 修改角色及回收角色权限
  • 角色密码的设置
    • 设置密码语法：alter role 角色名称 [not identified|identified by 密码];
    • 示例：将c##mldn_role_a的角色密码设置为hellomldn

      ALTER ROLE c##mldn_role_a IDENTIFIED BY hellomldn ;

    • 示例2：取消c##mldn_role_b角色的密码

      ALTER ROLE c##mldn_role_b NOT IDENTIFIED ;

  • 通过角色回收权限
    • 示例：将CREATE SESSION的权限从c##mldn_role_a角色中回收

      REVOKE CREATE SESSION FROM c##mldn_role_a ;

    • 示例：查询c##mldn_role_a角色中的权限信息

SELECT * FROM role_sys_privs WHERE role='C##MLDN_ROLE_A' ORDER BY role ;

• 删除角色
  • 语法：drop role 角色名称;
    • 角色被删除后，其拥有此角色的用户权限也将一起被删除；
  • 示例：删除c##mldn_role_b角色

    DROP ROLE c##mldn_role_b ;

• 预定义角色
  • Oracle预定义角色

No.	预定义角色	描述
1	exp_full_database	导出数据库权限
2	imp_full_database	导入数据库权限
3	select_catalog_role	查询数据字典权限
4	execute_catalog_role	数据字典上的执行权限
5	delete_catalog_role	数据字典上的删除权限
6	dba	系统管理的相关权限
7	connect	授予用户最典型的权限
8	resource	授予开发人员的权限

• connect,resource
  • 它们是Oracle中两个最大的角色
  • 示例：通过sys用户查询CONNECT和RESROUCE角色所拥有的权限

SELECT * FROM role_sys_privs WHERE role IN ('CONNECT' , 'RESOURCE') ORDER BY role ;

• 查询后发现这两个角色具备常用的权限，所以在创建新用户后，最简单的做法就是将这两个角色直接授予用户
  • 示例：将CONNECT、RESOURCE角色授予c##mldnuser用户

GRANT CONNECT , RESOURCE TO c##mldnuser ;