Biee 11g权限详解

前言：BIEE11g的权限较之前10g版本有了较大的变化，最明显的地方就是构架上的变化，其与 Oracle Fusion Middleware Security 紧密的集成在了一起。

在开始之前先让我们来了解一些基本概念：

1、认证(Authentication)：所谓认证，就是校验用户名和密码是否正确，正确就通过认证，反之则不通过

2、授权(Authorization)：授权就是给用户赋予相应的权限，比如userA是否可以查看报表B。

用户登录BIEE的过程，就包含这两个过程；首先用户提供用户名和密码交由BIEE校验，如果正确才会进行授权，否则直接提示用户名密码错误。要记住，认证和授权是分离的！

在10g的时候，默认情况下(不考虑LDAP和外部表),用户和组的信息是存在RPD里的。而11g则存放到了与之关联的Weblogic域内置LDAP服务器里了。同时，在10g的时候存在用户和组(Group)的概念，11g则新引入了角色的概念(Role)，并将BIEE内部权限的授予对象变成了现在的用户和角色(Role)。

简单来说，你可以把11g中的角色(Role)等于同10g的组(Group)，那么11g的组(Group)呢？他又是干什么的呢？其实这个组是位于内置LDAP服务器里的组，其对BIEE来说不可见。组和角色的分离有什么好处呢？

1、可以在不变更企业已有LDAP服务里用户和组的情况下，将它们映射到BIEE的角色上。因为LDAP服务器通常是全局的，多系统共用的，没必要为BIEE权限的需求而到LDAP里去新建组。另外，你也可以在不改变角色在BIEE内部授权的情况下，通过重新映射组和角色的关系实现认证源(LDAP服务器)的迁移。

2、便于成批添加用户到角色里。由于BIEE的授权对象是用户和角色，虽然用户可以直接挂载到角色上，但是比起把一百个用户添加到一个角色下，和把这一百用户所属的组添加到角色上，哪个更容易？

11g组和角色的关系如下图所示：

这是安装完毕之后默认的权限配置情况,可以看到Use