oracle數(shù)據(jù)庫已看ch09安全管理

1、第9講安全管理目標(biāo)通過本章學(xué)習(xí)，您將可以:創(chuàng)建用戶創(chuàng)建角色使用GRANT 和 REVOKE 語句賦予和回收權(quán)限創(chuàng)建數(shù)據(jù)庫聯(lián)接 問題：怎樣保證數(shù)據(jù)庫的安全？問題1 誰能夠進(jìn)入系統(tǒng)？如何保存密碼？問題2 進(jìn)入系統(tǒng)能做什么？受什么限制？問題3誰做了哪些操作？有什么異常？問題4如何實現(xiàn)動態(tài)的安全？用戶管理鑒別合法用戶和非法用戶權(quán)限管理區(qū)分合法用戶的權(quán)限審計問題對重要操作進(jìn)行審計和追蹤高效管理動態(tài)調(diào)整用戶和權(quán)限用戶可執(zhí)行哪些系統(tǒng)操作有效用戶名/口令的組合用戶是否授權(quán)可連接數(shù)據(jù)庫用戶的資源限制數(shù)據(jù)庫審計是否有效系統(tǒng)安全性1系統(tǒng)安全性是指在系統(tǒng)級控制數(shù)據(jù)庫的存取和使用的機(jī)制安全性內(nèi)容用戶對象可用的磁盤空間的

2、數(shù)量安全性內(nèi)容控制系統(tǒng)資源使用防止非授權(quán)用戶對數(shù)據(jù)庫的數(shù)據(jù)進(jìn)行存取操作防止不合法的使用所造成的數(shù)據(jù)泄露、更改或破壞審計用戶動作控制磁盤使用Oracle10g數(shù)據(jù)安全性2. 數(shù)據(jù)安全性防止非授權(quán)的對模式對象的存取操作Oracle 10g的安全機(jī)制權(quán)限審計角色存儲設(shè)置和空間份額數(shù)據(jù)庫用戶和模式安全性內(nèi)容資源限制安全性策略系統(tǒng)用戶管理者開發(fā)者 管理數(shù)據(jù)庫用戶 用戶身份確認(rèn) 操作系統(tǒng)安全性 一般用戶的安全性 終端用戶的安全性 保護(hù)作為sys和system用戶的連接 保護(hù)管理者與數(shù)據(jù)庫的連接 使用角色對管理者權(quán)限進(jìn)行管理 應(yīng)用程序開發(fā)者和他們的權(quán)限 應(yīng)用程序開發(fā)者的環(huán)境 應(yīng)用程序開發(fā)者的空間限制數(shù)據(jù)庫的

3、存取控制關(guān)于表空間的使用有幾種設(shè)置選擇：用戶的缺省表空間用戶的臨時表空間數(shù)據(jù)庫表空間的空間使用定額為了防止非授權(quán)的數(shù)據(jù)庫用戶的使用，Oracle提供三種確認(rèn)方法：操作系統(tǒng)確認(rèn)，Oracle數(shù)據(jù)庫確認(rèn)和網(wǎng)絡(luò)服務(wù)確認(rèn)。用戶可用的各種系統(tǒng)資源總量的限制是用戶安全域的部分。利用顯式地設(shè)置資源限制，安全管理員可防止用戶無控制地消耗寶貴的系統(tǒng)資源。1. 用戶鑒別2. 表空間設(shè)置和定額3. 用戶資源限制和環(huán)境文件4. 環(huán)境文件指定資源限制的命名集，可賦給Oracle數(shù)據(jù)庫的有效的用戶。利用用戶環(huán)境文件可容易地管理資源限制。引例 傳統(tǒng)的授權(quán)管理方法用戶維護(hù)如果新增大量同權(quán)限的用戶?權(quán)限維護(hù)新加入了表和刪除了表

4、呢？高效管理如何動態(tài)調(diào)整用戶和權(quán)限？控制用戶權(quán)限數(shù)據(jù)庫管理員用戶用戶名和密碼權(quán)限權(quán)限數(shù)據(jù)庫安全性:系統(tǒng)安全性數(shù)據(jù)安全性系統(tǒng)權(quán)限: 對于數(shù)據(jù)庫的權(quán)限對象權(quán)限: 操作數(shù)據(jù)庫對象的權(quán)限方案: 一組數(shù)據(jù)庫對象集合, 例如表, 視圖,和序列系統(tǒng)權(quán)限系統(tǒng)權(quán)限（System Privilege）向用戶提供了執(zhí)行某一種或某一類型的數(shù)據(jù)庫操作的能力，有近100種系統(tǒng)權(quán)限。超過一百多種 100 有效的權(quán)限數(shù)據(jù)庫管理員具有高級權(quán)限以完成管理任務(wù)，例如:創(chuàng)建新用戶刪除用戶刪除表備份表注意：系統(tǒng)權(quán)限不是控制對指定數(shù)據(jù)庫對象的訪問，而是用來許可對各種特性的訪問，或許可Oracle數(shù)據(jù)庫中的特定任務(wù)。創(chuàng)建用戶DBA 使用

5、CREATE USER 語句創(chuàng)建用戶CREATE USER scottIDENTIFIED BY tiger;User created.CREATE USER user IDENTIFIED BY password;用戶的系統(tǒng)權(quán)限用戶創(chuàng)建之后, DBA 會賦予用戶一些系統(tǒng)權(quán)限以應(yīng)用程序開發(fā)者為例, 一般具有下列系統(tǒng)權(quán)限:CREATE SESSION（創(chuàng)建會話）CREATE TABLE（創(chuàng)建表）CREATE SEQUENCE（創(chuàng)建序列）CREATE VIEW（創(chuàng)建視圖）CREATE PROCEDURE（創(chuàng)建過程）GRANT privilege , privilege.TO user , user

6、| role, PUBLIC.;賦予系統(tǒng)權(quán)限 DBA 可以賦予用戶特定的權(quán)限GRANT create session, create table, create sequence, create viewTO scott;Grant succeeded.角色不使用角色分配權(quán)限使用角色分配權(quán)限權(quán)限用戶Manager默認(rèn)角色CONNECT：為臨時用戶而設(shè)的，所具有的權(quán)限只有在對其他用戶的表有訪問權(quán)時，才可以運(yùn)用。RESOURCE：為可靠的、正式的用戶而設(shè)的，可以建立自己的表、序列、過程、觸發(fā)器、索引等。DBA：數(shù)據(jù)庫管理員角色，擁有系統(tǒng)的所有權(quán)限，包括所有的操作權(quán)限及能給其他用戶授權(quán)的權(quán)限。角色是

7、權(quán)限的集合創(chuàng)建角色并賦予權(quán)限CREATE ROLE manager;Role created. GRANT create table, create view TO manager; Grant succeeded. GRANT manager TO DEHAAN, KOCHHAR; Grant succeeded. 創(chuàng)建角色為角色賦予權(quán)限將角色賦予用戶修改密碼DBA 可以創(chuàng)建用戶和修改密碼用戶本人可以使用ALTER USER 語句修改密碼ALTER USER scott IDENTIFIED BY lion;User altered.權(quán)限管理數(shù)據(jù)庫權(quán)限的類型-對象權(quán)限對象權(quán)限控制用戶是否能在

8、特定數(shù)據(jù)庫對象（如表、視圖或存儲過程）上執(zhí)行特定類型的操作對象權(quán)限適用對象允許的操作SELECT表、視圖、序列查詢UPDATE表、視圖或其中的字段更新DELETE表和視圖刪除行INSERT表、視圖或其中的字段插入行EXECUTE存儲過程，存儲函數(shù)與程序包執(zhí)行PL/SQL存儲對象READ目錄讀取目錄INDEX表在表上建立索引REFERENCES表或其中字段在其他表中創(chuàng)建的外鍵能引用表或表中的字段ALTER表或序列修改表或序列的結(jié)構(gòu)對象權(quán)限不同的對象具有不同的對象權(quán)限對象的擁有者擁有所有權(quán)限對象的擁有者可以向外分配權(quán)限 GRANTobject_priv (columns) ONobject TOu

9、ser|role|PUBLIC WITH GRANT OPTION;分配對象權(quán)限分配表 EMPLOYEES 的查詢權(quán)限分配表中各個列的更新權(quán)限GRANT selectON employeesTO sue, rich;Grant succeeded.GRANT update (department_name, location_id)ON departmentsTO scott, manager;Grant succeeded.角色是權(quán)限的集合WITH GRANT OPTION 和 PUBLIC 關(guān)鍵字WITH GRANT OPTION 使用戶同樣具有分配權(quán)限的權(quán)利向數(shù)據(jù)庫中所有用戶分配權(quán)限GR

10、ANT select, insertON departmentsTO scottWITH GRANT OPTION;Grant succeeded.GRANT selectON alice.departmentsTO PUBLIC;Grant succeeded.查詢權(quán)限分配情況 數(shù)據(jù)字典視圖描述ROLE_SYS_PRIVS角色擁有的系統(tǒng)權(quán)限ROLE_TAB_PRIVS角色擁有的對象權(quán)限USER_ROLE_PRIVS用戶擁有的角色USER_TAB_PRIVS_MADE用戶分配的關(guān)于表對象權(quán)限USER_TAB_PRIVS_RECD用戶擁有的關(guān)于表對象權(quán)限USER_COL_PRIVS_MADE用戶

11、分配的關(guān)于列的對象權(quán)限USER_COL_PRIVS_RECD用戶擁有的關(guān)于列的對象權(quán)限USER_SYS_PRIVS用戶擁有的系統(tǒng)權(quán)限收回對象權(quán)限使用 REVOKE 語句收回權(quán)限使用 WITH GRANT OPTION 子句所分配的權(quán)限同樣被收回REVOKE privilege , privilege.|ALLON objectFROM user, user.|role|PUBLICCASCADE CONSTRAINTS;收回對象權(quán)限舉例REVOKE select, insertON departmentsFROM scott;Revoke succeeded.數(shù)據(jù)庫聯(lián)接數(shù)據(jù)庫聯(lián)接使用戶可以在本

12、地訪問遠(yuǎn)程數(shù)據(jù)庫 本地數(shù)據(jù)庫遠(yuǎn)程數(shù)據(jù)庫SELECT * FROM ; databaseEMP Table數(shù)據(jù)庫聯(lián)接創(chuàng)建數(shù)據(jù)庫聯(lián)接使用SQL 語句訪問遠(yuǎn)程數(shù)據(jù)庫CREATE PUBLIC DATABASE LINK USING sales;Database link created.SELECT * FROM ;賬戶的鎖定概要文件中的參數(shù)使用概要文件可以實現(xiàn)如下三種口令策略口令的復(fù)雜度口令的過期時間創(chuàng)建概要文件2. 使用SQL命令創(chuàng)建概要文件使用CREATE PROFILE語句可以創(chuàng)建概要文件，執(zhí)行該語句的用戶必須具有CREATE PROFILE系統(tǒng)權(quán)限。CREATE PROFIlE LIMIT profile_name resource_parameters | password_parameters resource_parameters為資源限制參數(shù)，password_parameters為口令策略參數(shù)。定義審計通常用于調(diào)查可疑活動和監(jiān)視與收集特定數(shù)據(jù)庫活動的數(shù)據(jù).類型審計操作類型包括登錄企圖、對象訪問和數(shù)據(jù)庫操作。內(nèi)容審計記錄包