用户、权限、角色

oracle登录身份有三种：
normal 普通身份
sysdba 系统管理员身份
sysoper 系统操作员身份

SQL> connect sys/ as sysdba;                             
输入口令:                                                    
已连接。                                                     
SQL> grant connect,resource to itlaobing;                                                               
授权成功。                                                                                       
SQL> drop user itlaobing cascade;                                                                       
用户已删除。                                                                                                 
SQL> create user itlaobing identified by itlaobing;                                                     
用户已创建。                                                   

3、connect和resource是两个系统内置的角色，和dba是并列的关系。

系统权限：系统规定用户使用数据库的权限。(系统权限是对用户而言)。

实体权限：某种权限用户对其它用户的表或视图的存取权限。(是针对表或视图而言的)。

• DBA：拥有全部特权，是系统最高权限，只有DBA才可以创建数据库结构。

• RESOURCE:拥有Resource权限的用户只可以创建实体，不可以创建数据库结构。

• CONNECT：拥有Connect权限的用户只可以登录Oracle，不可以创建实体，不可以创建数据库结构。

导论：sys和system用户、sysdba和sysoper系统权限、dba角色的区别

1、sys和system用户的区别

（1） 最重要的区别，存储的数据的重要性不同 
     【sys】所有oracle的数据字典的基本和视图都存放在sys用户中，这些基表和视图对于oracle的运行是至关重要的，由数据库自己维护，任何用户都不能手动更改。sys用户拥有dba，sysdba，sysoper等角色或权限，是oracle权限最高的用户。 
【system】 用户用于存放次一级的内部数据，如oracle的一些特性或工具的管理信息。 system用户拥有普通dba角色权限。
dba是Oracle里的一种对象，Role 和User一样，是实实在在存在在Oracle里的物理对象，而sysdba是指的一种概念上的操作对象，在Oracle数据里并不存在。
所以说这两个概念是完全不同的。dba是一种role对应的是对Oracle实例里对象的操作权限的集合，而sysdba是概念上的role是一种登录认证时的身份标识而已。  
（2） 其次的区别，权限不同。 
     【system】用户只能用normal身份登录em，除非你对它授予了sysdba的系统权限或者sysoper系统权限。 
【sys】用户具有“sysdba”或者“sysoper”系统权限，登陆em也只能用这两个身份，不能用normal。 
      以sys用户登陆oracle，执行select * from V_$PWFILE_USERS;可查询到具有sysdba权限的用户。

2、normal、sysdba、sysoper有什么区别     normal是普通用户

另外两个，你考察他们所具有的权限就知道了 sysdba拥有最高的系统权限，登陆后是sys 
sysoper主要用来启动、关闭数据库，sysoper登陆后用户是public 
sysdba和sysoper属于system privilege，也称为administration privilege，拥有例如数据开启关闭之类一些系统管理级别的权限sysdba和sysoper具体的权限可以看下表：

一、用户

分类：具有系统管理权限的用户和普通用户

• 利用系统用户创建新的用户

create user 用户名 identified by 密码 default tablespace 表空间

• 查看用户详细信息

SQL> select username,default_tablespace,temporary_tablespace from user_users;     
                                                                                  
USERNAME                       DEFAULT_TABLESPACE             TEMPORARY_TABLESPACE
------------------------------ ------------------------------ --------------------
ITLAOBING                      USERS                          TEMP                

说明：tem为临时表空间

• 模式（Schema)——用户的对象集合
• 对象：表、索引、视图、和存储过程等

1、系统用户——system与sys

• sys和system都是Oracle数据库默认创建的用户
• 用户sys用户角色为sysdba（数据库管理员），是数据库中权限最高的用户，可以进行任意操作而不受限制
• system用户角色为sysoper（数据库操作员），权限仅次于sys用户。

Oracle解锁system用户 步骤（忘记sys用户密码）

sqlplus /@tst as sysdba

sqlplus用于调用sqlplus.exe登录数据库；/是用户名和密码，这里留空，@tst指定登录的数据库的Net服务名；as sysdba表示以数据库管理员身份登录。

--查看用户
select user from dual
--查看system的状态
select username,account_status
from dba_users
where lower(username) = 'system';
--解锁
alter user system account unlock;

• 利用identified by选项重置用户密码

alter user system identified by abc123;

二、权限

定义：控制用户操作的策略
分类：系统权限、对象权限

1、系统权限

• 分配系统权限

grant privilege to grantee

说明：grant用于分配权限，privilege为权限名称，to grantee用于指定权限分配的对象

• admin_option:表示该系统权限是否可以将权限传播出去
• 一个用户属于某个角色，便间接拥有了角色的所有权限
• any关键字，在于是否可以再其它用户的Schema下拥有某种权限
• quota ：为用户分配表空间

alter user test
quota 100M on users
quota 20M on temp;
在两个表空间上个分配了100M，20M

利用system为用户分配权限，并指定admin option选项
就可以利用test用户为另一个用户分配这两个权限

grant create table, create session to test with admin option;

• 收回用户的系统权限

revoke privilege from grantee

2、对象权限

定义：对象权限是指用户在已存在对象上的权限。
包括：select、delete、insert、execute：函数、存储过程、程序包等的调用或执行
index：为表创建索引、alter

grant 权限 on 对象 to 用户
grant all on students  to 用户 --具有表s的所有权限

• with grant option ——权限传播
• 收回权限

revoke 对象权限 on 对象 from 用户

三、角色

定义：角色是权限的集合

• 角色的延申——继承

- -创建角色
create role role_test
--分配权限
grant select , update, delete on test to role_test;
为test角色分配表test的权限，这里用户和角色具有同等地位
--用角色为用户分配权限
grant role_test  to test
--用角色为角色分配权限
grant role_employee to role_test;

• 禁用角色

alter user test default role none;