Oracle數(shù)據(jù)庫(kù)的安全與管理

用戶管理環(huán)境文件管理權(quán)限管理角色管理常用工具的使用Oracle數(shù)據(jù)庫(kù)的安全與管理主要內(nèi)容建立新的數(shù)據(jù)庫(kù)用戶修改和刪除存在的數(shù)據(jù)庫(kù)用戶監(jiān)控存在的數(shù)據(jù)庫(kù)用戶的有關(guān)信息帳戶鎖表空間限額臨時(shí)表空間缺省表空間角色權(quán)限資源限定安全域用戶和安全直接權(quán)限認(rèn)證機(jī)制

表-觸發(fā)器-約束索引視圖序號(hào)發(fā)生器存儲(chǔ)程序單元同義詞用戶定義的數(shù)據(jù)類型數(shù)據(jù)庫(kù)鏈接數(shù)據(jù)庫(kù)模式

建立用戶的核對(duì)表1.選擇用戶名和認(rèn)證機(jī)制2. 確定用戶需要存儲(chǔ)對(duì)象的表空間3. 確定每一個(gè)表空間的限額4. 指定缺省表空間和臨時(shí)表空間5. 建立用戶6. 給用戶授予權(quán)限和角色建立一個(gè)新用戶:指導(dǎo)原則初始選擇一個(gè)標(biāo)準(zhǔn)口令使用EXPIRE關(guān)鍵字強(qiáng)制用戶重新設(shè)置其口令始終要指定臨時(shí)表空間一般不限制用戶的定額;要謹(jǐn)慎使用QUOTAUNLIMITED訓(xùn)練用戶:連接修改口令控制帳戶鎖和口令A(yù)LTERUSERpeterIDENTIFIEDBYhisgrandpaPASSWORDEXPIRE;修改用戶的表空間定額ALTERUSERpeterQUOTA0ONdata01;刪除用戶

如果模式中包含對(duì)象，則需要使用CASCADE子句DROPUSERpeter;DROPUSERpeterCASCADE;監(jiān)控用戶DBA_USERS

USERNAMEUSER_IDCREATEDACCOUNT_STATUSLOCK_DATEEXPIRY_DATEDEFAULT_TABLESPACETEMPORARY_TABLESPACEDBA_TS_QUOTAS

USERNAMETABLESPACE_NAMEBYTESMAX_BYTESBLOCKSMAX_BLOCKS用戶管理環(huán)境文件管管理權(quán)限管理角色管理常用工具的的使用Oracle數(shù)據(jù)庫(kù)庫(kù)的安全與與管理主要內(nèi)容建立環(huán)境文文件并分配配給用戶利用環(huán)境文文件控制資資源的使用用修改和刪除除環(huán)境文件件使用環(huán)境文文件管理口口令獲得環(huán)境文文件,指定定的限制,和口令管管理環(huán)境文件命名的資源源和口令限限制的集合合通過CREATE/ALTERUSER命令分配給用用戶可以啟用或或禁用可以涉及DEFAULT環(huán)境境文件可以在在會(huì)話話層或或調(diào)用用層限限制系統(tǒng)資資源帳戶鎖鎖安全域域資源限限制直接權(quán)權(quán)限臨時(shí)表表空間間缺省表表空間間表空間間定額額驗(yàn)證機(jī)機(jī)制角色權(quán)權(quán)限使用環(huán)環(huán)境文文件管管理資資源1.創(chuàng)創(chuàng)建建環(huán)境境文件件2.為為用用戶分分配資資源文文件3.啟啟用用資源源限制制創(chuàng)建環(huán)環(huán)境文文件:資源源限制制CREATEPROFILEdeveloper_profLIMITSESSIONS_PER_USER2CPU_PER_SESSION10000IDLE_TIME60CONNECT_TIME480;ResourceCPU_PER_SESSIONSESSIONS_PER_USERCONNECT_TIMEIDLE_TIMELOGICAL_READS_PER_SESSIONPRIVATE_SGADescriptionTotalCPUtimemeasuredinhundredthsofsecondsNumberofconcurrentsessionsallowedforeachusernameElapsedconnecttimemeasuredinminutesPeriodsofinactivetimemeasuredinminutesNumberofdatablocks(physicalandlogicalreads)PrivatespaceintheSGAmeasuredinbytes(forMTSonly)在會(huì)話話層設(shè)設(shè)置資資源限限制資源CPU_PER_CALLLOGICAL_READS_PER_CALL說明CPUtimepercallinhundredthsofsecondsNumberofdatablocks在調(diào)用用層設(shè)設(shè)置資資源限限制為用戶戶分配配資源源文件件CREATEUSERuser3IDENTIFIEDBYuser3DEFAULTTABLESPACEdata01TEMPORARYTABLESPACEtempQUOTAunlimitedONdata01PROFILEdeveloper_prof;ALTERUSERscottPROFILEdeveloper_prof;啟用資源源限制將初始化化參數(shù)RESOURCE_LIMIT設(shè)置置成TRUE或使用帶有有啟用參參數(shù)的ALTERSYSTEM命命令強(qiáng)制制資源限限制ALTERSYSTEMSETRESOURCE_LIMIT=TRUE;修改環(huán)境境文件ALTERPROFILEdefaultLIMITSESSIONS_PER_USER5CPU_PER_CALL3600IDLE_TIME30;刪除環(huán)境境文件DROPPROFILEdeveloper_prof;DROPPROFILEdeveloper_profCASCADE;查看資源源限制DBA_USERS-profile-usernameDBA_PROFILES-profile-resource_name

-resource_type(KERNEL)

-limit口令管理理用戶口令到期和時(shí)效口令確認(rèn)口令歷史帳戶鎖建立環(huán)境文件啟用口令令管理使用環(huán)境境文件并并分配給給用戶來來建立口口令管理理使用CREATEUSER或ALTERUSER加加鎖,解解鎖,和和期滿帳帳戶既使實(shí)例例的RESOURCE_LIMIT的設(shè)置置是FALSE,口令令限制仍仍始終被被強(qiáng)制創(chuàng)建環(huán)境境文件:口令設(shè)設(shè)置CREATEPROFILEgrace_5LIMITFAILED_LOGIN_ATTEMPTS3PASSWORD_LIFE_TIME30PASSWORD_REUSE_TIME30PASSWORD_VERIFY_FUNCTIONverify_functionPASSWORD_GRACE_TIME5;口令設(shè)置置ParameterFAILED_LOGIN_ATTEMPTSPASSWORD_LOCK_TIMEPASSWORD_LIFE_TIMEPASSWORD_GRACE_TIMEDescriptionNumberoffailedloginattemptsbeforelockoutoftheaccountNumberofdaysforwhichtheaccountremainslockeduponpasswordexpiration

Lifetimeofthepasswordindaysafterwhichthepasswordexpires

Graceperiodindaysforchangingthepasswordafterthefirstsuccessfulloginafterthepasswordhasexpired口令設(shè)置置ParameterPASSWORD_REUSE_TIMEPASSWORD_REUSE_MAXPASSWORD_VERIFY_FUNCTIONDescriptionNumberofdaysbeforeapasswordcanbereusedMaximumnumberoftimesapasswordcanbereusedPL/SQLfunctionthatmakesapasswordcomplexitycheckbeforeapasswordisassigned用戶提供供的口令令函數(shù)函數(shù)必須須使用模模式SYS創(chuàng)建建,并且且具有以以下規(guī)范范:function_name(userid_parameterINVARCHAR2(30),password_parameterINVARCHAR2(30),old_password_parameterINVARCHAR2(30))RETURNBOOLEAN口令確確認(rèn)函函數(shù)VERIFY_FUNCTION長(zhǎng)度最最少四四個(gè)字字符口令不不能和和用戶戶名相相同口令至至少有有一個(gè)個(gè)字母母,一一個(gè)數(shù)數(shù)字,和一一個(gè)特特殊字字符本次的的口令令與上上一次次的口口令應(yīng)應(yīng)當(dāng)至至少有有三個(gè)個(gè)字符符不同同Passwordverification查看口口令的的有關(guān)關(guān)信息息DBA_USERSprofileusernameaccount_statuslock_dateexpiry_dateDBA_PROFILESprofileresource_nameresource_type(PASSWORD)limit用戶管管理環(huán)境文文件管管理權(quán)限管管理角色管管理常用工工具的的使用用Oracle數(shù)數(shù)據(jù)庫(kù)庫(kù)的安安全與與管理理主要內(nèi)內(nèi)容鑒別系系統(tǒng)和和對(duì)象象權(quán)限限權(quán)限的的授予予與回回收操作系系統(tǒng)或或口令令文件件認(rèn)證證的控控制管理權(quán)權(quán)限兩種類類型的的權(quán)限限:系統(tǒng):使使得用用戶可可以執(zhí)執(zhí)行數(shù)數(shù)據(jù)庫(kù)庫(kù)中特特殊的的操作作對(duì)象:使使得用用戶可可以訪訪問和和操作作特定定的對(duì)對(duì)象系統(tǒng)權(quán)權(quán)限約有80個(gè)個(gè)系統(tǒng)統(tǒng)權(quán)限限權(quán)限中中ANY關(guān)關(guān)鍵字字意味味著用用戶具具有每每一個(gè)個(gè)模式式的權(quán)權(quán)限GRANT命令令可以以為一一個(gè)或或一組組用戶戶添加加權(quán)限限REVOKE命命令刪刪除權(quán)權(quán)限系統(tǒng)權(quán)權(quán)限:例例子類別例例子子INDEXCREATEANYINDEXALTERANYINDEXDROPANYINDEXTABLECREATETABLECREATEANYTABLEALTERANYTABLEDROPANYTABLESELECTANYTABLEUPDATEANYTABLEDELETEANYTABLESESSIONCREATESESSIONALTERSESSIONRESTRICTEDSESSIONTABLESPACECREATETABLESPACEALTERTABLESPACEDROPTABLESPACEUNLIMITEDTABLESPACE授予系統(tǒng)權(quán)權(quán)限GRANTCREATESESSION,CREATETABLETOuser1;GRANTCREATESESSIONTOscottWITHADMINOPTION;SYSDBA和SYSOPER權(quán)限類別 例子子SYSOPERSTARTUP

SHUTDOWNALTERDATABASEOPEN|MOUNTALTERDATABASEBACKUPCONTROLFILEALTERTABLESPACEBEGIN/ENDBACKUPRECOVERDATABASE,

ALTERDATABASEARCHIVELOGRESTRICTEDSESSIONSYSDBA SYSOPERprivilegesWITHADMINOPTIONCREATEDATABASERECOVERDATABASEUNTIL顯示系統(tǒng)權(quán)權(quán)限D(zhuǎn)BA_SYS_PRIVSGRANTEEPRIVILEGEADMINOPTIONSESSION_PRIVSPRIVILEGE數(shù)據(jù)庫(kù)層會(huì)話層系統(tǒng)權(quán)限限限制O7_DICTIONARY_ACCESSIBILITY=TRUE回復(fù)至Oracle7的工作作特點(diǎn)取消帶有ANY關(guān)鍵鍵字的系統(tǒng)統(tǒng)權(quán)限限制制缺省為TRUE回收系統(tǒng)權(quán)權(quán)限REVOKECREATETABLEFROMuser1;REVOKECREATESESSIONFROMscott;USER1SCOTT回收使使用WITHADMINOPTION的的系統(tǒng)統(tǒng)權(quán)限限D(zhuǎn)BA授予回收USER1SCOTTDBA結(jié)果回收使使用WITHADMINOPTION的的系統(tǒng)統(tǒng)權(quán)限限D(zhuǎn)BAUSER1SCOTT對(duì)象權(quán)權(quán)限對(duì)象權(quán)權(quán)限表表視視圖圖序序號(hào)發(fā)發(fā)生器器過過程ALTERDELETEEXECUTEINDEXINSERTREFERENCESSELECTUPDATE授予對(duì)對(duì)象權(quán)權(quán)限GRANTEXECUTEONdbms_pipeTOpublic;GRANTUPDATE(ename,sal)ONempTOuser1WITHGRANTOPTION;DBA_TAB_PRIVS顯示對(duì)對(duì)象權(quán)權(quán)限D(zhuǎn)BA_COL_PRIVSGRANTEEOWNERTABLE_NAMEGRANTORPRIVILEGEGRANTABLEGRANTEEOWNERTABLE_NAMECOLUMN_NAMEGRANTORPRIVILEGEGRANTABLE回收對(duì)對(duì)象權(quán)權(quán)限REVOKEexecuteONdbms_pipeFROMscott;授予回收回收使使用WITHGRANTOPTION的對(duì)對(duì)象權(quán)權(quán)限SCOTTSCOTTUSER1USER1USER2USER2結(jié)果回收使使用WITHGRANTOPTION的對(duì)對(duì)象權(quán)權(quán)限SCOTTUSER1USER2用戶管管理環(huán)境文文件管管理權(quán)限管管理角色管管理常用工工具的的使用用Oracle數(shù)數(shù)據(jù)庫(kù)庫(kù)的安安全與與管理理主要內(nèi)內(nèi)容創(chuàng)建和和修改改角色色控制角角色的的可用用性刪除角角色使用預(yù)預(yù)定義義的角角色從數(shù)據(jù)據(jù)字典典中獲獲得角角色的的有關(guān)關(guān)信息息角色用戶權(quán)限角色更新EMP插入EMP查詢EMP創(chuàng)建表創(chuàng)建會(huì)話HR_CLERKHR_MGRABC角色的的好處處減少權(quán)權(quán)限的的授予予動(dòng)態(tài)地地管理理權(quán)限限選擇性性的權(quán)權(quán)限可可用性性通過OS授授予非連帶帶回收收改善性性能創(chuàng)建角角色CREATEROLEsales_clerk;CREATEROLEhr_clerkIDENTIFIEDBYbonus;CREATEROLEhr_managerIDENTIFIEDEXTERNALLY;使用預(yù)預(yù)定義義角色色角色名名稱說說明明CONNECTThesetworolesareprovidedRESOURCEforbackwardcompatibility.DBAAllsystemprivilegesWITHADMINOPTIONEXP_FULL_DATABASEPrivilegestoexporttheDBIMP_FULL_DATABASEPrivilegestoimporttheDBDELETE_CATALOG_ROLEDELETEprivilegesonDDtablesEXECUTE_CATALOG_ROLEEXECUTEprivilegeonDDpackagesSELECT_CATALOG_ROLESELECTprivilegeonDDtables修改角角色ALTERROLEhr_clerkIDENTIFIEDEXTERNALLY;ALTERROLEhr_managerNOTIDENTIFIED;ALTERROLEsales_clerkIDENTIFIEDBYcommission;分配角角色GRANThr_clerk,TOhr_manager;GRANTsales_clerkTOscott;GRANThr_managerTOscott

WITHADMINOPTION;設(shè)立缺省省角色ALTERUSERscott

DEFAULTROLEhr_clerk,sales_clerk;ALTERUSERscottDEFAULTROLEALL;ALTERUSERscottDEFAULTROLEALLEXCEPThr_clerk;ALTERUSERscottDEFAULTROLENONE;啟用和禁禁用角色色禁用角色色可以將將角色從從用戶處處臨時(shí)回回收啟用角色色可以作作為臨時(shí)時(shí)的授予予SETROLE命令令可以啟啟用和禁禁用角色色缺省角色色在用戶戶登錄時(shí)時(shí)啟用啟用角色色時(shí)可能能需要口口令啟用和禁禁用角色色:例例子SETROLEhr_clerk;SETROLEsales_clerkIDENTIFIEDBYcommission;SETROLEALLEXCEPTsales_clerk;SETROLENONE;刪除用戶的角角色REVOKEhr_managerFROMPUBLIC;REVOKEsales