Oracle數(shù)據(jù)庫的安全與管理

用戶管理環(huán)境文件管理權限管理角色管理常用工具的使用Oracle數(shù)據(jù)庫的安全與管理主要內容建立新的數(shù)據(jù)庫用戶修改和刪除存在的數(shù)據(jù)庫用戶監(jiān)控存在的數(shù)據(jù)庫用戶的有關信息帳戶鎖表空間限額臨時表空間缺省表空間角色權限資源限定安全域用戶和安全直接權限認證機制

表-觸發(fā)器-約束索引視圖序號發(fā)生器存儲程序單元同義詞用戶定義的數(shù)據(jù)類型數(shù)據(jù)庫鏈接數(shù)據(jù)庫模式

建立用戶的核對表1.選擇用戶名和認證機制2. 確定用戶需要存儲對象的表空間3. 確定每一個表空間的限額4. 指定缺省表空間和臨時表空間5. 建立用戶6. 給用戶授予權限和角色建立一個新用戶:指導原則初始選擇一個標準口令使用EXPIRE關鍵字強制用戶重新設置其口令始終要指定臨時表空間一般不限制用戶的定額;要謹慎使用QUOTAUNLIMITED訓練用戶:連接修改口令控制帳戶鎖和口令ALTERUSERpeterIDENTIFIEDBYhisgrandpaPASSWORDEXPIRE;修改用戶的表空間定額ALTERUSERpeterQUOTA0ONdata01;刪除用戶

如果模式中包含對象，則需要使用CASCADE子句DROPUSERpeter;DROPUSERpeterCASCADE;監(jiān)控用戶DBA_USERS

USERNAMEUSER_IDCREATEDACCOUNT_STATUSLOCK_DATEEXPIRY_DATEDEFAULT_TABLESPACETEMPORARY_TABLESPACEDBA_TS_QUOTAS

USERNAMETABLESPACE_NAMEBYTESMAX_BYTESBLOCKSMAX_BLOCKS用戶管管理環(huán)境文文件管管理權限管管理角色管管理常用工工具的的使用用Oracle數(shù)數(shù)據(jù)庫庫的安安全與與管理理主要內內容建立環(huán)環(huán)境文文件并并分配配給用用戶利用環(huán)環(huán)境文文件控控制資資源的的使用用修改和和刪除除環(huán)境境文件件使用環(huán)環(huán)境文文件管管理口口令獲得環(huán)環(huán)境文文件,指定定的限限制,和口口令管管理環(huán)境文文件命名的的資源源和口口令限限制的的集合合通過CREATE/ALTERUSER命令分配配給用用戶可以啟啟用或或禁用用可以涉涉及DEFAULT環(huán)境境文件可以在在會話話層或或調用用層限限制系統(tǒng)資資源帳戶鎖鎖安全域域資源限限制直接權權限臨時表表空間間缺省表表空間間表空間間定額額驗證機機制角色權權限使用環(huán)環(huán)境文文件管管理資資源1.創(chuàng)創(chuàng)建建環(huán)境境文件件2.為為用用戶分分配資資源文文件3.啟啟用用資源源限制制創(chuàng)建環(huán)環(huán)境文文件:資源源限制制CREATEPROFILEdeveloper_profLIMITSESSIONS_PER_USER2CPU_PER_SESSION10000IDLE_TIME60CONNECT_TIME480;ResourceCPU_PER_SESSIONSESSIONS_PER_USERCONNECT_TIMEIDLE_TIMELOGICAL_READS_PER_SESSIONPRIVATE_SGADescriptionTotalCPUtimemeasuredinhundredthsofsecondsNumberofconcurrentsessionsallowedforeachusernameElapsedconnecttimemeasuredinminutesPeriodsofinactivetimemeasuredinminutesNumberofdatablocks(physicalandlogicalreads)PrivatespaceintheSGAmeasuredinbytes(forMTSonly)在會話話層設設置資資源限限制資源CPU_PER_CALLLOGICAL_READS_PER_CALL說明CPUtimepercallinhundredthsofsecondsNumberofdatablocks在調用用層設設置資資源限限制為用戶戶分配配資源源文件件CREATEUSERuser3IDENTIFIEDBYuser3DEFAULTTABLESPACEdata01TEMPORARYTABLESPACEtempQUOTAunlimitedONdata01PROFILEdeveloper_prof;ALTERUSERscottPROFILEdeveloper_prof;啟用資資源限限制將初始始化參參數(shù)RESOURCE_LIMIT設設置成成TRUE或使用帶帶有啟啟用參參數(shù)的的ALTERSYSTEM命令令強制制資源源限制制ALTERSYSTEMSETRESOURCE_LIMIT=TRUE;修改環(huán)環(huán)境文文件ALTERPROFILEdefaultLIMITSESSIONS_PER_USER5CPU_PER_CALL3600IDLE_TIME30;刪除環(huán)環(huán)境文文件DROPPROFILEdeveloper_prof;DROPPROFILEdeveloper_profCASCADE;查看資資源限限制DBA_USERS-profile-usernameDBA_PROFILES-profile-resource_name-resource_type(KERNEL)-limit口令管理用戶口令到期和時效口令確認口令歷史帳戶鎖建立環(huán)境文件啟用口令管管理使用環(huán)境文文件并分配配給用戶來來建立口令令管理使用CREATEUSER或ALTERUSER加加鎖,解鎖鎖,和期滿滿帳戶既使實例的的RESOURCE_LIMIT的設設置是FALSE,口令限制制仍始終被被強制創(chuàng)建環(huán)境文文件:口令令設置CREATEPROFILEgrace_5LIMITFAILED_LOGIN_ATTEMPTS3PASSWORD_LIFE_TIME30PASSWORD_REUSE_TIME30PASSWORD_VERIFY_FUNCTIONverify_functionPASSWORD_GRACE_TIME5;口令設置ParameterFAILED_LOGIN_ATTEMPTSPASSWORD_LOCK_TIMEPASSWORD_LIFE_TIMEPASSWORD_GRACE_TIMEDescriptionNumberoffailedloginattemptsbeforelockoutoftheaccountNumberofdaysforwhichtheaccountremainslockeduponpasswordexpirationLifetimeofthepasswordindaysafterwhichthepasswordexpires

Graceperiodindaysforchangingthepasswordafterthefirstsuccessfulloginafterthepasswordhasexpired口令設置ParameterPASSWORD_REUSE_TIMEPASSWORD_REUSE_MAXPASSWORD_VERIFY_FUNCTIONDescriptionNumberofdaysbeforeapasswordcanbereusedMaximumnumberoftimesapasswordcanbereusedPL/SQLfunctionthatmakesapasswordcomplexitycheckbeforeapasswordisassigned用戶提供的的口令函數(shù)數(shù)函數(shù)必須使使用模式SYS創(chuàng)建建,并且具具有以下規(guī)規(guī)范:function_name(userid_parameterINVARCHAR2(30),password_parameterINVARCHAR2(30),old_password_parameterINVARCHAR2(30))RETURNBOOLEAN口令確認函函數(shù)VERIFY_FUNCTION長度最少四四個字符口令不能和和用戶名相相同口令至少有有一個字母母,一個數(shù)數(shù)字,和一一個特殊字字符本次的口令令與上一次次的口令應應當至少有有三個字符符不同Passwordverification查看口令的的有關信息息DBA_USERSprofileusernameaccount_statuslock_dateexpiry_dateDBA_PROFILESprofileresource_nameresource_type(PASSWORD)limit用戶管理環(huán)境文件管管理權限管理角色管理常用工具的的使用Oracle數(shù)據(jù)庫庫的安全與與管理主要內容鑒別系統(tǒng)和和對象權限限權限的授予予與回收操作系統(tǒng)或或口令文件件認證的控控制管理權限兩種類型的的權限:系統(tǒng):使使得用戶可可以執(zhí)行數(shù)數(shù)據(jù)庫中特特殊的操作作對象:使使得用戶可可以訪問和和操作特定定的對象系統(tǒng)權限約有80個個系統(tǒng)權限限權限中ANY關鍵字字意味著用用戶具有每每一個模式式的權限GRANT命令可以以為一個或或一組用戶戶添加權限限REVOKE命令刪刪除權限系統(tǒng)權限:例子類別 例子子INDEX CREATEANYINDEXALTERANYINDEXDROPANYINDEXTABLECREATETABLECREATEANYTABLE

ALTERANYTABLEDROPANYTABLESELECTANYTABLEUPDATEANYTABLEDELETEANYTABLESESSIONCREATESESSIONALTERSESSION

RESTRICTEDSESSIONTABLESPACE CREATETABLESPACEALTERTABLESPACEDROPTABLESPACEUNLIMITEDTABLESPACE授予系統(tǒng)權權限GRANTCREATESESSION,CREATETABLETOuser1;GRANTCREATESESSIONTOscottWITHADMINOPTION;SYSDBA和SYSOPER權限類別 例子子SYSOPERSTARTUP

SHUTDOWNALTERDATABASEOPEN|MOUNTALTERDATABASEBACKUPCONTROLFILEALTERTABLESPACEBEGIN/ENDBACKUPRECOVERDATABASE,

ALTERDATABASEARCHIVELOGRESTRICTEDSESSIONSYSDBA SYSOPERprivilegesWITHADMINOPTIONCREATEDATABASERECOVERDATABASEUNTIL顯示系統(tǒng)權權限DBA_SYS_PRIVSGRANTEEPRIVILEGEADMINOPTIONSESSION_PRIVSPRIVILEGE數(shù)據(jù)庫層會話層系統(tǒng)權限限限制O7_DICTIONARY_ACCESSIBILITY=TRUE回復至Oracle7的工作作特點取消帶有ANY關鍵鍵字的系統(tǒng)統(tǒng)權限限制制缺省為TRUE回收系統(tǒng)權權限REVOKECREATETABLEFROMuser1;REVOKECREATESESSIONFROMscott;USER1SCOTT回收使用WITHADMINOPTION

的系統(tǒng)統(tǒng)權限DBA授予回收USER1SCOTTDBA結果回收使用WITHADMINOPTION

的系統(tǒng)統(tǒng)權限DBAUSER1SCOTT對象權限對象權限表表 視圖圖 序號發(fā)發(fā)生器過過程ALTERDELETEEXECUTEINDEXINSERTREFERENCESSELECTUPDATE授予對象權權限GRANTEXECUTEONdbms_pipeTOpublic;GRANTUPDATE(ename,sal)ONempTOuser1WITHGRANTOPTION;DBA_TAB_PRIVS顯示對象權權限DBA_COL_PRIVSGRANTEEOWNER

TABLE_NAMEGRANTORPRIVILEGE

GRANTABLEGRANTEEOWNER

TABLE_NAMECOLUMN_NAMEGRANTOR

PRIVILEGEGRANTABLE回收對象權權限REVOKEexecuteONdbms_pipeFROMscott;授予回收回收使用WITHGRANTOPTION的對象權權限SCOTTSCOTTUSER1USER1USER2USER2結果回收使用WITHGRANTOPTION的對象權權限SCOTTUSER1USER2用戶管理環(huán)境文件管管理權限管理角色管理常用工具的的使用Oracle數(shù)據(jù)庫庫的安全與與管理主要內容創(chuàng)建和修改改角色控制角色的的可用性刪除角色使用預定義義的角色從數(shù)據(jù)字典典中獲得角角色的有關關信息角色用戶權限角色更新EMP插入EMP查詢EMP創(chuàng)建表創(chuàng)建會話HR_CLERKHR_MGRABC角色的好處處減少權限的的授予動態(tài)地管理理權限選擇性的權權限可用性性通過OS授授予非連帶回收收改善性能創(chuàng)建角色CREATEROLEsales_clerk;CREATEROLEhr_clerkIDENTIFIEDBYbonus;CREATEROLEhr_managerIDENTIFIEDEXTERNALLY;使用預定義義角色角色名稱說說明明CONNECTThesetworolesareprovidedRESOURCEforbackwardcompatibility.DBAAllsystemprivilegesWITHADMINOPTIONEXP_FULL_DATABASE PrivilegestoexporttheDBIMP_FULL_DATABASE PrivilegestoimporttheDBDELETE_CATALOG_ROLEDELETEprivilegesonDDtablesEXECUTE_CATALOG_ROLEEXECUTEprivilegeonDDpackagesSELECT_CATALOG_ROLESELECTprivilegeonDDtables修改角色ALTERROLEhr_clerkIDENTIFIEDEXTERNALLY;ALTERROLEhr_managerNOTIDENTIFIED;ALTERROLEsales_clerkIDENTIFIEDBYcommission;分配角色GRANThr_clerk,TOhr_manager;GRANTsales_clerkTOscott;GRANThr_managerTOscott

WITHADMINOPTION;設立缺省角角色ALTERUSERscottDEFAULTROLEhr_clerk,sales_clerk;ALTERUSERscottDEFAULTROLEALL;ALTERUSERscottDEFAULTROLEALLEXCEPThr_clerk;ALTERUSERscottDEFAULTROLENONE;啟用和禁用用角色禁用角色可可以將角色色從用戶處處臨時回收收啟用角色可可以作為臨臨時的授予予SETROLE命命令可以啟啟用和禁用用角色缺省角色在在用戶登錄錄時啟用啟用角色時時可能需要要口令啟用和禁用用角色:例例子SETROLEhr_clerk;SETROLEsales_clerkIDENTIFIEDBYcommission;SETROLEALLEXCEPTsales_clerk;SETROLENONE;刪除用戶的的角色REVOKEhr_managerFROMPUBLIC;REVOKEsales_clerkFROMscott;