Oracle數(shù)據(jù)庫的安全與管理培訓教材

用戶管理環(huán)境文件管理權限管理角色管理常用工具的使用Oracle數(shù)據(jù)庫的安全與管理主要內(nèi)容建立新的數(shù)據(jù)庫用戶修改和刪除存在的數(shù)據(jù)庫用戶監(jiān)控存在的數(shù)據(jù)庫用戶的有關信息帳戶鎖表空間限額臨時表空間缺省表空間角色權限資源限定安全域用戶和安全直接權限認證機制

表-觸發(fā)器-約束索引視圖序號發(fā)生器存儲程序單元同義詞用戶定義的數(shù)據(jù)類型數(shù)據(jù)庫鏈接數(shù)據(jù)庫模式

建立用戶的核對表1.選擇用戶名和認證機制2. 確定用戶需要存儲對象的表空間3. 確定每一個表空間的限額4. 指定缺省表空間和臨時表空間5. 建立用戶6. 給用戶授予權限和角色建立一個新用戶:指導原則初始選擇一個標準口令使用EXPIRE關鍵字強制用戶重新設置其口令始終要指定臨時表空間一般不限制用戶的定額;要謹慎使用QUOTAUNLIMITED訓練用戶:連接修改口令控制帳戶鎖和口令ALTERUSERpeterIDENTIFIEDBYhisgrandpaPASSWORDEXPIRE;修改用戶的表空間定額ALTERUSERpeterQUOTA0ONdata01;刪除用戶

如果模式中包含對象，則需要使用CASCADE子句DROPUSERpeter;DROPUSERpeterCASCADE;監(jiān)控用戶DBA_USERS

USERNAMEUSER_IDCREATEDACCOUNT_STATUSLOCK_DATEEXPIRY_DATEDEFAULT_TABLESPACETEMPORARY_TABLESPACEDBA_TS_QUOTAS

USERNAMETABLESPACE_NAMEBYTESMAX_BYTESBLOCKSMAX_BLOCKS用戶管管理環(huán)境文文件管管理權限管管理角色管管理常用工工具的的使用用Oracle數(shù)數(shù)據(jù)庫庫的安安全與與管理理主要內(nèi)內(nèi)容建立環(huán)環(huán)境文文件并并分配配給用用戶利用環(huán)環(huán)境文文件控控制資資源的的使用用修改和和刪除除環(huán)境境文件件使用環(huán)環(huán)境文文件管管理口口令獲得環(huán)環(huán)境文文件,指定定的限限制,和口口令管管理環(huán)境文文件命名的的資源源和口口令限限制的的集合合通過CREATE/ALTERUSER命令分配配給用用戶可以啟啟用或或禁用用可以涉涉及DEFAULT環(huán)境境文件可以在在會話話層或或調(diào)用用層限限制系統(tǒng)資資源帳戶鎖鎖安全域域資源限限制直接權權限臨時表表空間間缺省表表空間間表空間間定額額驗證機機制角色權權限使用環(huán)環(huán)境文文件管管理資資源1.創(chuàng)創(chuàng)建建環(huán)境境文件件2.為為用用戶分分配資資源文文件3.啟啟用用資源源限制制創(chuàng)建環(huán)環(huán)境文文件:資源源限制制CREATEPROFILEdeveloper_profLIMITSESSIONS_PER_USER2CPU_PER_SESSION10000IDLE_TIME60CONNECT_TIME480;ResourceCPU_PER_SESSIONSESSIONS_PER_USERCONNECT_TIMEIDLE_TIMELOGICAL_READS_PER_SESSIONPRIVATE_SGADescriptionTotalCPUtimemeasuredinhundredthsofsecondsNumberofconcurrentsessionsallowedforeachusernameElapsedconnecttimemeasuredinminutesPeriodsofinactivetimemeasuredinminutesNumberofdatablocks(physicalandlogicalreads)PrivatespaceintheSGAmeasuredinbytes(forMTSonly)在會話層層設置資資源限制制資源CPU_PER_CALLLOGICAL_READS_PER_CALL說明CPUtimepercallinhundredthsofsecondsNumberofdatablocks在調(diào)用層層設置資資源限制制為用戶分分配資源源文件CREATEUSERuser3IDENTIFIEDBYuser3DEFAULTTABLESPACEdata01TEMPORARYTABLESPACEtempQUOTAunlimitedONdata01PROFILEdeveloper_prof;ALTERUSERscottPROFILEdeveloper_prof;啟用資源源限制將初始化化參數(shù)RESOURCE_LIMIT設置置成TRUE或使用帶有有啟用參參數(shù)的ALTERSYSTEM命命令強制制資源限限制ALTERSYSTEMSETRESOURCE_LIMIT=TRUE;修改環(huán)境境文件ALTERPROFILEdefaultLIMITSESSIONS_PER_USER5CPU_PER_CALL3600IDLE_TIME30;刪除環(huán)境境文件DROPPROFILEdeveloper_prof;DROPPROFILEdeveloper_profCASCADE;查看資源源限制DBA_USERS-profile-usernameDBA_PROFILES-profile-resource_name

-resource_type(KERNEL)

-limit口令管理理用戶口令到期和時效口令確認口令歷史帳戶鎖建立環(huán)境文件啟用口令令管理使用環(huán)境境文件并并分配給給用戶來來建立口口令管理理使用CREATEUSER或ALTERUSER加加鎖,解解鎖,和和期滿帳帳戶既使實例例的RESOURCE_LIMIT的設置置是FALSE,口令令限制仍仍始終被被強制創(chuàng)建環(huán)境境文件:口令設設置CREATEPROFILEgrace_5LIMITFAILED_LOGIN_ATTEMPTS3PASSWORD_LIFE_TIME30PASSWORD_REUSE_TIME30PASSWORD_VERIFY_FUNCTIONverify_functionPASSWORD_GRACE_TIME5;口令設置置ParameterFAILED_LOGIN_ATTEMPTSPASSWORD_LOCK_TIMEPASSWORD_LIFE_TIMEPASSWORD_GRACE_TIMEDescriptionNumberoffailedloginattemptsbeforelockoutoftheaccountNumberofdaysforwhichtheaccountremainslockeduponpasswordexpiration

Lifetimeofthepasswordindaysafterwhichthepasswordexpires

Graceperiodindaysforchangingthepasswordafterthefirstsuccessfulloginafterthepasswordhasexpired口令設置置ParameterPASSWORD_REUSE_TIMEPASSWORD_REUSE_MAXPASSWORD_VERIFY_FUNCTIONDescriptionNumberofdaysbeforeapasswordcanbereusedMaximumnumberoftimesapasswordcanbereusedPL/SQLfunctionthatmakesapasswordcomplexitycheckbeforeapasswordisassigned用戶提供供的口令令函數(shù)函數(shù)必須須使用模模式SYS創(chuàng)建建,并且且具有以以下規(guī)范范:function_name(userid_parameterINVARCHAR2(30),password_parameterINVARCHAR2(30),old_password_parameterINVARCHAR2(30))RETURNBOOLEAN口令確認認函數(shù)VERIFY_FUNCTION長度最少少四個字字符口令不能能和用戶戶名相同同口令至少少有一個個字母,一個數(shù)數(shù)字,和和一個特特殊字符符本次的口口令與上上一次的的口令應應當至少少有三個個字符不不同Passwordverification查看口令令的有關關信息DBA_USERSprofileusernameaccount_statuslock_dateexpiry_dateDBA_PROFILESprofileresource_nameresource_type(PASSWORD)limit用戶管理環(huán)境文件管管理權限管理角色管理常用工具的的使用Oracle數(shù)據(jù)庫庫的安全與與管理主要內(nèi)容鑒別系統(tǒng)和和對象權限限權限的授予予與回收操作系統(tǒng)或或口令文件件認證的控控制管理權限兩種類型的的權限:系統(tǒng):使使得用戶可可以執(zhí)行數(shù)數(shù)據(jù)庫中特特殊的操作作對象:使使得用戶可可以訪問和和操作特定定的對象系統(tǒng)權限約有80個個系統(tǒng)權限限權限中ANY關鍵字字意味著用用戶具有每每一個模式式的權限GRANT命令可以以為一個或或一組用戶戶添加權限限REVOKE命令刪刪除權限系統(tǒng)權限:例子類別 例子子INDEX CREATEANYINDEXALTERANYINDEXDROPANYINDEXTABLECREATETABLECREATEANYTABLE

ALTERANYTABLEDROPANYTABLESELECTANYTABLEUPDATEANYTABLEDELETEANYTABLESESSIONCREATESESSIONALTERSESSION

RESTRICTEDSESSIONTABLESPACE CREATETABLESPACEALTERTABLESPACEDROPTABLESPACEUNLIMITEDTABLESPACE授予系統(tǒng)權權限GRANTCREATESESSION,CREATETABLETOuser1;GRANTCREATESESSIONTOscottWITHADMINOPTION;SYSDBA和SYSOPER權限限類別 例子SYSOPERSTARTUP

SHUTDOWNALTERDATABASEOPEN|MOUNTALTERDATABASEBACKUPCONTROLFILE

ALTERTABLESPACEBEGIN/ENDBACKUP

RECOVERDATABASE,

ALTERDATABASEARCHIVELOGRESTRICTEDSESSIONSYSDBA SYSOPERprivilegesWITHADMINOPTIONCREATEDATABASERECOVERDATABASEUNTIL顯示系統(tǒng)權限限DBA_SYS_PRIVSGRANTEEPRIVILEGEADMINOPTIONSESSION_PRIVSPRIVILEGE數(shù)據(jù)庫層會話話層層系統(tǒng)統(tǒng)權權限限限限制制O7_DICTIONARY_ACCESSIBILITY=TRUE回復復至至Oracle7的的工工作作特特點點取消消帶帶有有ANY關關鍵鍵字字的的系系統(tǒng)統(tǒng)權權限限限限制制缺省省為為TRUE回收收系系統(tǒng)統(tǒng)權權限限REVOKECREATETABLEFROMuser1;REVOKECREATESESSIONFROMscott;USER1SCOTT回收收使使用用WITHADMINOPTION的的系系統(tǒng)統(tǒng)權權限限DBA授予予回收收USER1SCOTTDBA結果果回收收使使用用WITHADMINOPTION的的系系統(tǒng)統(tǒng)權權限限DBAUSER1SCOTT對象象權權限限對象象權權限限表表視視圖圖序序號號發(fā)發(fā)生生器器過過程程ALTERDELETEEXECUTEINDEXINSERTREFERENCESSELECTUPDATE授予予對對象象權權限限GRANTEXECUTEONdbms_pipeTOpublic;GRANTUPDATE(ename,sal)ONempTOuser1WITHGRANTOPTION;DBA_TAB_PRIVS顯示示對對象象權權限限DBA_COL_PRIVSGRANTEEOWNERTABLE_NAMEGRANTORPRIVILEGEGRANTABLEGRANTEEOWNERTABLE_NAMECOLUMN_NAMEGRANTORPRIVILEGEGRANTABLE回收對象象權限REVOKEexecuteONdbms_pipeFROMscott;授予回收回收使用用WITHGRANTOPTION的的對象權權限SCOTTSCOTTUSER1USER1USER2USER2結果回收使用用WITHGRANTOPTION的的對象權權限SCOTTUSER1USER2用戶管理理環(huán)境文件件管理權限管理理角色管理理常用工具具的使用用Oracle數(shù)數(shù)據(jù)庫的的安全與與管理主要內(nèi)容容創(chuàng)建和修修改角色色控制角色色的可用用性刪除角色色使用預定定義的角角色從數(shù)據(jù)字字典中獲獲得角色色的有關關信息角色用戶權限角色更新EMP插入EMP查詢EMP創(chuàng)建表創(chuàng)建會話HR_CLERKHR_MGRABC角色的好好處減少權限限的授予予動態(tài)地管管理權限限選擇性的的權限可可用性通過OS授予非連帶回回收改善性能能創(chuàng)建角色色CREATEROLEsales_clerk;CREATEROLEhr_clerkIDENTIFIEDBYbonus;CREATEROLEhr_managerIDENTIFIEDEXTERNALLY;使用預定定義角色色角色名稱稱說說明CONNECTThesetworolesareprovidedRESOURCEforbackwardcompatibility.DBAAllsystemprivilegesWITHADMINOPTIONEXP_FULL_DATABASEPrivilegestoexporttheDBIMP_FULL_DATABASEPrivilegestoimporttheDBDELETE_CATALOG_ROLE DELETEprivilegesonDDtablesEXECUTE_CATALOG_ROLEEXECUTEprivilegeonDDpackagesSELECT_CATALOG_ROLE SELECTprivilegeonDDtables修改角色ALTERROLEhr_clerkIDENTIFIEDEXTERNALLY;ALTERROLEhr_managerNOTIDENTIFIED;ALTERROLEsales_clerkIDENTIFIEDBYcommission;分配角色GRANThr_clerk,TOhr_manager;GRANTsales_clerkTOscott;GRANThr_managerTOscott

WITHADMINOPTION;設立缺省角角色ALTERUSERscottDEFAULTROLEhr_clerk,sales_clerk;ALTERUSERscottDEFAULTROLEALL;ALTERUSERscottDEFAULTROLEALLEXCEPThr_clerk;ALTERUSERscottDEFAULTROLENONE;啟用和禁用用角色禁用角色可可以將角色色從用戶處處臨時回收收啟用角色可可以作為臨臨時的授予予SETROLE命命令可以啟啟用和禁用用角色缺省角色在在用戶登錄錄時啟用啟用角色時時可能需要要口令啟用和禁用用角色:例例子SETROLEhr_clerk;SETROLEsales_clerkIDENTIFIEDBYcommission;SETROLEALLEXCEPTsales_clerk;SETROLENONE;刪除用戶的的角色REVOKEhr_managerFROMPUBLIC;REVOKEsales_clerkFROMscott;刪