Oracle用户管理

一、用户的概念

　　用户，即user,通俗的讲就是访问oracle数据库的“人”。在oracle中，可以对用户的各种安全参数进行控制，以维护数据库的安全性，这些概念包括模式(schema)、权限、角色、存储设置、空间限额、存取资源限制、数据库审计等。每个用户都有一个口令，使用正确的用户/口令才能登录到数据库进行数据存取。

二、用户默认表空间

　　表空间是信息存储的最大逻辑单位、当用户连接到数据库进行资料存储时，若未指出数据的目标存储表空间时，则数据存储在用户的默认表空间中。比如：create table mytable(id varchar2(20),name varchar2(100));这条语句创建了一个表mytable,并将其存储在当前用户的默认表空间中，若要指定表空间，则：create table mytable(id varchar2(20),name varchar2(100)) tablespace tbs1;。用户的默认表空间可以在创建用户时指定，也可以使用aler user命令进行指定，具体语法见后面的介绍。

三、用户临时表空间

　　临时表空间主要用于order by语句的排序以及其它一些中间操作。在oracle9i之前，可以指定用户使用不同的临时表空间，从9i开始，临时表空间是通用的，所的用户都使用temp作为临时表空间。

四、用户资源文件

　　用户资源文件用来对用户的资源存取进行限制，包括：cpu使用时间限制、内存逻辑读个数限制、每个用户同时可以连接的会话数据限制、一个会话的空间和时间限制、一个会话的持续时间限制、每次会话的专用ｓｇａ空间限制。

五、用户表空间限额

　　表空间存储限制是用户在某一个表空间中可以使用的存储空间总数。在创建或修改用户时，可以由参数quota指出。若用户在向表空间存储数据时，超出了此限额，则会产生错误。错误信息如：'ora-01536:space quota exceeded for tablespace tablespacename..'。可以通过查询字典dba_ts_quotas查看表空间限额信息。

六、创建用户资源文件

　　创建用户资源文件的语法如下：
create profile filename limit
session_per_user: 用户可以同时连接的会话数量限额；
cpu_per_session:用户在一次数据库会期间可占用的cpu时间总量限额，单位为百分之一秒；
user_per_call:用户一次ｓｑｌ调用可用的ｃｐｕ时间总量限额，单位为百分之一秒；
logical_reads_per_session：在一次数据库会话期间能够读取的数据库块的个数限额；
logical_reads_per_call:一次ｓｑｌ调用可以读取的数据库块数限额；
idle_time：用户连接到数据库后的可空闲时间限额，单位为分钟，若空闲时间超过此值，则连接被断开；
connect_time:一次连接的时间总量限额，单位为分钟，连接时间超过此值时，连接被断开；
private_sga：用户么有的ｓｇａ区的大小，单位为数据库块，默认值为unlimited；
composite_limit：这是一项由上述限制参数构成的组合资源项。举例来说，假设资源设置如下：
　　idle_time 20
    connect_time 120
    cpu_per_call 750
    composite_limt 800
那么，当会话空间超过20分钟，或者连接时间超过120分钟，又或者执行一个ｓｑｌ耗费超过7.5秒，再或者这几个资源限制加起来的总数超过800，则系统自动终止会话。
failed_login_attempts:用户登录时，允许用户名/密码校验失败致使用登录失败的次数限额，超过该次数，帐户被锁定；
password_life_time：口令有效时间，单位为天数，超过这一时间，拒绝登录，须重新设置口令，默认值为unlimited；
password_reuse_time:一个失效口令经过多少天后才可重新利用，默认为unlimited；
password_reuse_max：一个口令可重复使用的次数；
password_lock_time:当登录失败达到failed_login_attemps时，帐户被锁定，该参数用于设定被锁定的天数；
下面举例如下：
1)创建一个用户资源文件
create profile tax_users limit
session_per_user 3
cpu_per_session unlimited
connect_time 30
logical_reads_per_session default
logical_reads_per_call 1000
private_sga 15k
composite_limit 500000
password_life_time 90
2)查询用户资源文件信息
sql>select *from dba_profile where profile = 'tax_users'
3)指定用户资源文件给用户
sql>alter user us1 profile tax_users

七、创建、修改、删除用户

1.创建用户
　　创建用户的详细语法请查询oracle的官方参数文档，这里介绍典型的语法。语法如下：
create user username
identified by password
default tablespace tablespace
temporary tablespace tablespace
profile profile
quota integer|unlimited on tablespace
各选项含义如下：
identified by password：用户口令；
default tablespace tablespace:默认表空间；
temporary tablespace tablespace：临时表空间；
profile profile|default：用户资源文件；
quota integer[k|m]|unlimited on tablespace：用户在表空间上的空间使用限额，可以指定多个表空间的限额。
举例：
create user us1 identitied by abc123
default tablespace user01
temporary tablespace temp
profile default
quota 1000m on user01;

2.修改用户
　　修改用户的语法是与创建用户的语法类似的，主要是create user　变成　alter user，具体请参考oracle文档。

3.删除用户
  删除用户，是将用户及用户所创建的schema对象从数据库删除。如下：
sql>drop user us1;
若用户us1含有schema对象，则无上述语句将执行失败，须加入关键字cascade才能删除，意思是连并其对象一起删除，如下：
sql>drop user us1 cascade;

 ---------------------------------------

 

一、权限分类：

系统权限：系统规定用户使用数据库的权限。（系统权限是对用户而言)。

实体权限：某种权限用户对其它用户的表或视图的存取权限。（是针对表或视图而言的）。

二、系统权限管理：

1、系统权限分类：
DBA: 拥有全部特权，是系统最高权限，只有DBA才可以创建数据库结构。

RESOURCE:拥有Resource权限的用户只可以创建实体，不可以创建数据库结构。

CONNECT:拥有Connect权限的用户只可以登录Oracle，不可以创建实体，不可以创建数据库结构。

对于普通用户：授予connect, resource权限。
对于DBA管理用户：授予connect，resource, dba权限。

 

2、系统权限授权命令：
[系统权限只能由DBA用户授出：sys, system(最开始只能是这两个用户)]
授权命令：SQL> grant connect, resource, dba to 用户名1 [,用户名2]...;

[普通用户通过授权可以具有与system相同的用户权限，但永远不能达到与sys用户相同的权限，system用户的权限也可以被回收。]

例：
SQL> connect system/manager
SQL> Create user user50 identified by user50;
SQL> grant connect, resource to user50;

查询用户拥有哪里权限：
SQL> select * from dba_role_privs;
SQL> select * from dba_sys_privs;
SQL> select * from role_sys_privs;

删除用户：SQL> drop user 用户名 cascade;  //加上cascade则将用户连同其创建的东西全部删除

 

3、系统权限传递：
系统权限：WITH ADMIN OPTION

对象权限：WITH GRANT OPTION

SQL> grant connect, resorce to user50 with admin option;  //可以传递所获权限。

 

4、系统权限回收：系统权限只能由DBA用户回收
命令：SQL> Revoke connect, resource from user50;

系统权限无级联，即A授予B权限，B授予C权限，如果A收回B的权限，C的权限不受影响；系统权限可以跨用户回收，即A可以直接收回C用户的权限。

 

三、实体权限管理

1、实体权限分类：select, update, insert, alter, index, delete, all  //all包括所有权限
execute  //执行存储过程权限

user01:
SQL> grant select, update, insert on product to user02;
SQL> grant all on product to user02;

user02:
SQL> select * from user01.product;

// 此时user02查user_tables，不包括user01.product这个表，但如果查all_tables则可以查到，因为他可以访问。

3. 将表的操作权限授予全体用户：
SQL> grant all on product to public;  // public表示是所有的用户，这里的all权限不包括drop。

[实体权限数据字典]:
SQL> select owner, table_name from all_tables; // 用户可以查询的表
SQL> select table_name from user_tables;  // 用户创建的表
SQL> select grantor, table_schema, table_name, privilege from all_tab_privs; // 获权可以存取的表（被授权的）
SQL> select grantee, owner, table_name, privilege from user_tab_privs;   // 授出权限的表(授出的权限)

 

4. DBA用户可以操作全体用户的任意基表(无需授权，包括删除)：
DBA用户：
SQL> Create table stud02.product(
 id number(10),
 name varchar2(20));
SQL> drop table stud02.emp;

SQL> create table stud02.employee
 as
 select * from scott.emp;
 
5. 实体权限传递(with grant option)：
user01:

SQL> grant select, update on product to user02 with grant option; // user02得到权限，并可以传递。

 

6. 实体权限回收：
user01:
SQL>Revoke select, update on product from user02;  //传递的权限将全部丢失。

一、创建用户的Profile文件

SQL> create profile student limit  // student为资源文件名
 FAILED_LOGIN_ATTEMPTS  3  //指定锁定用户的登录失败次数
 PASSWORD_LOCK_TIME 5  //指定用户被锁定天数
 PASSWORD_LIFE_TIME 30  //指定口令可用天数 

 

二、创建用户

SQL> Create User username
 Identified by password
 Default Tablespace tablespace
 Temporary Tablespace tablespace
 Profile profile
 Quota integer/unlimited on tablespace;

例:
SQL> Create user acc01
 identified by acc01   // 如果密码是数字，请用双引号括起来
 default tablespace account
 temporary tablespace temp
 profile default
 quota 50m on account;
SQL> grant connect, resource to acc01;

[*] 查询用户缺省表空间、临时表空间
SQL> select username, default_tablespace, temporary_tablespace from dba_users;

[*] 查询系统资源文件名：
SQL> select * from dba_profiles;
资源文件类似表，一旦创建就会保存在数据库中。
SQL> select username, profile, default_tablespace, temporary_tablespace from dba_users;

SQL> create profile common limit
 failed_login_attempts 5
 idle_time 5;
 
SQL> Alter user acc01 profile common;

三、修改用户：

SQL> Alter User 用户名
 Identified 口令
 Default Tablespace tablespace
 Temporary Tablespace tablespace
 Profile profile
 Quota integer/unlimited on tablespace;
 
1、修改口令字：
SQL>Alter user acc01 identified by "12345";

2、修改用户缺省表空间：
SQL> Alter user acc01 default tablespace users;

3、修改用户临时表空间
SQL> Alter user acc01 temporary tablespace temp_data;

4、强制用户修改口令字：
SQL> Alter user acc01 password expire;

5、将用户加锁
SQL> Alter user acc01 account lock;  // 加锁
SQL> Alter user acc01 account unlock;  // 解锁

 

四、删除用户

SQL>drop user 用户名;  //用户没有建任何实体
SQL> drop user 用户名 CASCADE;  // 将用户及其所建实体全部删除

*1. 当前正连接的用户不得删除。

五、监视用户：

1、查询用户会话信息：
SQL> select username, sid, serial#, machine from v$session;

2、删除用户会话信息：
SQL> Alter system kill session 'sid, serial#';

3、查询用户SQL语句：
SQL> select user_name, sql_text from v$open_cursor;

SQL> ALTER SESSION SET 
 NLS_LANGUAGE= 'SIMPLIFIED CHINESE' 
 NLS_TERRITORY= 'CHINA' 
 NLS_CURRENCY= 'RMB' 
 NLS_ISO_CURRENCY= 'CHINA' 
 NLS_NUMERIC_CHARACTERS= '.,' 
 NLS_CALENDAR= 'GREGORIAN' 
 NLS_DATE_FORMAT= 'yyyy-mm-dd dy' 
 NLS_DATE_LANGUAGE= 'SIMPLIFIED CHINESE'  
 NLS_SORT= 'BINARY' 
 TIME_ZONE= '+08:00' 
 NLS_DUAL_CURRENCY = 'RMB' 
 NLS_TIME_FORMAT = 'HH.MI.SSXFF AM' 
 NLS_TIMESTAMP_FORMAT = 'DD-MON-RR HH.MI.SSXFF AM' 
 NLS_TIME_TZ_FORMAT = 'HH.MI.SSXFF AM TZH:TZM' 
 NLS_TIMESTAMP_TZ_FORMAT = 'DD-MON-RR HH.MI.SSXFF AM TZH:TZM'

 

一、Oracle 权限管理

SQL> grant connect, resource, dba to acc01;

SQL> revoke connect, resource from acc01;

二、Oracle 角色管理

SQL> Create Role <role_name>
 Identified by password/ Not Identified;
 
SQL> Alter Role <role_name> ...

SQL> Grant <privs> to <role_name>;

SQL> Grant <role_name> to <user_name>

SQL> Set Role <role_name> 
All Except <role_name2> / None 

 

三、Oracle角色详解

角色：

 

角色就是一些权限的集合：

为了方便管理，我们把某些常用的权限组织成一个集合。赋予角色。然后把角色赋予用户。提高管理的效率。例如创建一个数据库某个模式，某几个用户下的的只读用户，可读可插入用户，等等。在实质生产中还是有很大的意义。

 

1．创建角色，不指定密码：

create role testrole；

 

2．创建角色，指定密码：

create role testrole identified by tanfufa;

3．修改角色：

alter role testrole identified by luqiaoling;

给角色授予权限。

Grant select on t1 to testrole;

Grant select on t2 to testrole;

Grant select on t3 to testrole;

 

把角色赋予用户：（特别说明，授予角色不是实时的。如下：）

grant testrole to testdb;

 

起用角色：给用户赋予角色，角色并不会立即起作用。

1．角色不能立即起作用。必须下次断开此次连接，下次连接才能起作用。

2.或者执行命令：有密码的角色set role testrole  identified by tanfufa 立即生效；

3．无密码的角色：set role testrole；或set  role all except rolename_withpassword.

 

把角色赋予角色,角色嵌套。

create role testrole1;

grant select on t1 to testrole1;

create role testrole2;

grant testrole1 to testrole2;

grant r2 to testdb;

 

角色管理：

与角色有关系的视图：

所有角色:

select * from dba_roles;

 

当前用户scott有哪些角色:

select * from session_roles;

 

 

建立角色模板：只举一个例子。大家去触类旁通。

只读用户角色的建立的脚本：

1．授予某模式下对象读权限给角色。

SET PAGESIZE 0

SET FEEDBACK OFF

SET VERIFY OFF

SPOOL s.sql

SELECT 'GRANT SELECT ON "' || u.object_name || '" TO &1;'

FROM   user_objects u

WHERE  u.object_type IN ('TABLE','VIEW','SEQUENCE')

AND    NOT EXISTS (SELECT '1'

                   FROM   all_tab_privs a

                   WHERE  a.grantee    = UPPER('&1')

                   AND    a.privilege  = 'SELECT'

                   AND    a.table_name = u.object_name);

SPOOL OFF

-- Comment out following line to prevent immediate run @s.sql

SET PAGESIZE 14

SET FEEDBACK ON

SET VERIFY ON

 

2．为模式权限对象创建同意词。

 

SET PAGESIZE 0

SET FEEDBACK OFF

SET VERIFY OFF

SPOOL temp.sql

SELECT 'CREATE SYNONYM "' || a.table_name || '" FOR "' || a.owner || '"."' || a.table_name || '";'

FROM   all_tables a

WHERE  NOT EXISTS (SELECT '1'

                   FROM   user_synonyms u

                   WHERE  u.synonym_name = a.table_name

                   AND    u.table_owner  = UPPER('&1'))

AND    a.owner = UPPER('&1');

 

SPOOL OFF

-- Comment out following line to prevent immediate run

@temp.sql

SET PAGESIZE 14

SET FEEDBACK ON

SET VERIFY ON

 

参考资料：

Oracle 用户管理：

http://www.cnblogs.com/rootq/archive/2009/09/03/1559576.html

Orcle角色：

http://www.itpub.net/forum.php?mod=viewthread&tid=995181