Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程課件09.第九章 用戶權(quán)限與安全管理

2023/12/211Oracle數(shù)據(jù)庫應(yīng)用

與開發(fā)案例教程第九章用戶權(quán)限與安全管理2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程2第九章用戶權(quán)限與安全管理9.1用戶管理

9.2概要文件管理

9.3使用概要文件管理口令和資源

9.4權(quán)限管理

9.5角色管理2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程39.1用戶管理-用戶概述Oracle用戶是指可以訪問數(shù)據(jù)庫的賬號(hào)，每個(gè)用戶都有口令和相應(yīng)的權(quán)限。在安裝Oracle數(shù)據(jù)庫的過程中系統(tǒng)自動(dòng)創(chuàng)建了很多用戶，稱為預(yù)定義用戶。Oracle系統(tǒng)中的預(yù)定義用戶主要：有管理員用戶非管理員用戶示例模式用戶【例題9-1】執(zhí)行下列SQL語句，查看Oracle系統(tǒng)中用戶的基本信息2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程49.1用戶管理-創(chuàng)建用戶除了Oracle的預(yù)定義用戶，在實(shí)際應(yīng)用中往往需要根據(jù)對數(shù)據(jù)庫的使用情況來創(chuàng)建不同的用戶。創(chuàng)建用戶使用CREATEUSER命令來完成，該命令一般由DBA用戶來執(zhí)行；如果要以其他用戶身份建立用戶，則要求用戶必須具有CREATEUSER系統(tǒng)權(quán)限。2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程59.1用戶管理-創(chuàng)建用戶1.CREATEUSER命令的語法CREATEUSERusernameIDENTIFIEDBYpasswordORIDENTIFIEDEXTERNALLYORIDENTIFIEDGLOBALLYAS‘CN=user’[DEFAULTTABLESPACEtablespace][TEMPORARYTABLESPACEtemptablespace][QUOTA[integerK[M][UNLIMI]TED]ONtablespace][PROFILESprofile_name][PASSWORDEXPIRE][ACCOUNTLOCKorACCOUNTUNLOCK]2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程69.1用戶管理-創(chuàng)建用戶【例題9-2】為數(shù)據(jù)庫zcgl創(chuàng)建一個(gè)新用戶，其中用戶名為yh01，口令為yh01，默認(rèn)表空間為users，臨時(shí)表空間為temp?！纠}9-3】為數(shù)據(jù)庫zcgl創(chuàng)建一個(gè)新用戶，其中用戶名為yh02，口令為yh02，默認(rèn)表空間為users，臨時(shí)表空間為temp的用戶，該用戶在users表空間上所使用的配額不受限制，且在不允許該用戶使用system表空間。2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程79.1用戶管理-創(chuàng)建用戶【例題9-4】為數(shù)據(jù)庫zcgl創(chuàng)建一個(gè)新用戶，用戶名為yh03，口令為123456，默認(rèn)表空間為ZCGL_TBS1，臨時(shí)表空間為ZCGL_TEMP1，并且設(shè)置該用戶在表空間ZCGL_TBS1上的配額為10M?！纠}9-5】使用新用戶yh01/yh01連接數(shù)據(jù)庫。2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程89.1用戶管理-修改用戶已經(jīng)創(chuàng)建成功的用戶，可以使用ALTERUSER語句來修改它的各種屬性，如口令、默認(rèn)表空間、臨時(shí)表空間、表空間配額、概要文件、是否過期、是否鎖定等。該命令還可以用來更改用戶的默認(rèn)角色。2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程99.1用戶管理-修改用戶ALTERUSER語句的語法如下：ALTERUSER用戶名[IDENTIFIEDBY口令]｜[IDENTIFIEDEXTERNALLY][DEFAULTTABLESPACE默認(rèn)表空間名][TEMPORARYTABLESPACE臨時(shí)表空間名][QUOTA[數(shù)值K｜M]｜[UNLIMITED]ON默認(rèn)表空間名][QUOTA[數(shù)值K｜M]｜[UNLIMITED]ON其他表空間名]…[PROFILE{概要文件名｜DEFAULT}][PASSWORDEXPIRE][ACCOUNTLOCK]｜[ACCOUNTUNLOCK][DEFAULTROLE{角色名[，角色名]…｜ALL[EXCEPT角色名[，角色名]]｜NONE}]2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程109.1用戶管理-修改用戶【例題9-6】將用戶yh01在USERS表空間的限額改為300M?！纠}9-7】設(shè)置用戶yh02的口令字過期。2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程119.1用戶管理-刪除用戶為了保證數(shù)據(jù)庫的安全性，不再使用的用戶可以用DROPUSER語句進(jìn)行刪除。刪除用戶后，Oracle會(huì)從數(shù)據(jù)字典中刪除用戶、方案及其所有方案對象。刪除用戶的語法： DROPUSERusername[CASCADE]2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程129.1用戶管理-刪除用戶【例題9-8】刪除用戶SCOTT?！纠}9-9】刪除用戶yh02，如果yh02擁有任何對象，也自動(dòng)刪除這些對象?！纠}9-10】使用用戶zcgl_oper/admin連接數(shù)據(jù)庫，并在連接成功后刪除用戶zcgl_oper。2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程139.1用戶管理-查看用戶信息創(chuàng)建好用戶后，Oracle會(huì)將用戶的所有屬性信息存放在數(shù)據(jù)庫字典基表中。查詢用戶的賬戶信息【例題9-11】查詢視圖DBA_USERS，顯示符合條件用戶的名稱、賬戶狀態(tài)、概要文件、創(chuàng)建日期和過期日期等信息。2.查詢用戶所使用的表空間及其配額【例題9-12】查詢dba_ts_quotas，顯示各個(gè)用戶所使用的表空間及其配額的信息。2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程149.1用戶管理-查看用戶信息3.查詢用戶的角色與權(quán)限【例題9-13】查詢dba_role_privs視圖，顯示用戶zcgl_oper所具有的角色及其是否默認(rèn)角色的信息。4.查詢當(dāng)前登錄的用戶【例題9-14】user是一個(gè)系統(tǒng)變量，該變量的值顯示了當(dāng)前連接到數(shù)據(jù)庫的用戶名。在SQL*Plus中可以使用SHOWUSER命令來查詢該系統(tǒng)變量的值。2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程159.1用戶管理-查看用戶信息5.查詢特權(quán)用戶【例題9-15】通過查詢動(dòng)態(tài)性能視圖V$PWFILE_USERS顯示具有SYSOPER、SYSDBA特權(quán)的用戶信息。6.查詢當(dāng)前用戶所創(chuàng)建的表及其所在的表空間。6.查詢當(dāng)前用戶所創(chuàng)建的表及其所在的表空間【例題9-16】以用戶zcgl_oper/admin連接數(shù)據(jù)庫，查詢user_tables視圖，顯示用戶zcgl_oper在數(shù)據(jù)庫中創(chuàng)建的表以及這些表被存儲(chǔ)的表空間信息。2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程169.2概要文件管理Oracle系統(tǒng)中，可以通過建立概要文件來限制每個(gè)用戶對數(shù)據(jù)庫和系統(tǒng)資源的使用。將一個(gè)概要文件分配給一個(gè)用戶后，就可以利用該概要文件來限制該用戶對各種資源的使用。創(chuàng)建Oracle數(shù)據(jù)庫時(shí)，系統(tǒng)會(huì)自動(dòng)創(chuàng)建一個(gè)名為DEFAULT的概要文件。2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程179.2概要文件管理-創(chuàng)建概要文件創(chuàng)建概要文件的語法如下：CREATEPROFILEprofile_nameLIMIT{resource_parameters|password_parameters}語法說明：1.資源參數(shù)resource_parameters2.口令參數(shù)password_parameters2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程189.2概要文件管理-創(chuàng)建概要文件【例題9-17】創(chuàng)建一個(gè)名為myprofile_01的概要文件，要求每個(gè)用戶最多可以創(chuàng)建4個(gè)并發(fā)會(huì)話；每個(gè)會(huì)話持續(xù)時(shí)間最長為60分鐘；如果會(huì)話在連續(xù)20分鐘內(nèi)空閑，則結(jié)束會(huì)話；每個(gè)會(huì)話的私有SQL區(qū)為100KB；每個(gè)SQL語句占用CPU時(shí)間總量不超過10秒；密碼的失效天數(shù)為60天?！纠}9-18】創(chuàng)建概要文件myprofile_02，設(shè)置密碼的有效天數(shù)為10天。2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程199.2概要文件管理-修改概要文件使用ALTERPROFILE命令來修改概要文件。對概要文件的任何修改都不影響當(dāng)前的會(huì)話，修改完概要文件之后創(chuàng)建的會(huì)話才會(huì)受新的參數(shù)值的影響?！纠}9-19】對myprofile_01文件中的PASSWORD_LIFE_TIME參數(shù)進(jìn)行了修改，把密碼的失效天數(shù)改為30天。2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程209.2概要文件管理-分配概要文件創(chuàng)建了概要文件之后，可以將其分配給數(shù)據(jù)庫用戶。每個(gè)用戶必須且只能有一個(gè)概要文件。如果將一個(gè)新的概要文件分配給用戶，那么這個(gè)新概要文件將取代先前分配給該用戶的概要文件?！纠}9-20】在數(shù)據(jù)庫zcgl中創(chuàng)建一個(gè)新用戶user01，并為其分配名稱為myprofile_01的概要文件?！纠}9-21】將數(shù)據(jù)庫zcgl中的用戶yh02的概要文件設(shè)置為myprofile_02。2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程219.2概要文件管理-刪除概要文件使用DROPPROFILE命令來完成。如果要?jiǎng)h除的概要文件已經(jīng)分配給了用戶，則必須在DROPPROFILE語句后面加上CASCADE關(guān)鍵字?！纠}9-22】刪除概要文件myprofile_02。2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程229.2概要文件管理-查看概要文件通過查詢數(shù)據(jù)字典可以查看概要文件信息。與概要文件有關(guān)的表與視圖如下表9.2所示：2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程239.2概要文件管理-查看概要文件【例題9-23】顯示了用戶user01所使用的概要文件。【例題9-24】顯示概要文件DEFAULT文件中的密碼和資源限制等信息。2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程249.3使用概要文件管理口令和資源-管理口令

概要文件提供了一些口令管理選項(xiàng)來確?？诹畹陌踩＝⒏乓募r(shí)可以實(shí)現(xiàn)三種類型的口令管理：鎖定賬戶、設(shè)置口令有效期、進(jìn)行口令復(fù)雜度校驗(yàn)。2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程259.3使用概要文件管理口令和資源-管理口令1.鎖定賬戶賬戶鎖定用于控制用戶連續(xù)登錄失敗的最大次數(shù)。如果登錄失敗次數(shù)達(dá)到了限制，Oralce不但會(huì)對用戶賬戶進(jìn)行自動(dòng)鎖定，而且是設(shè)定賬戶的鎖定時(shí)間?！纠}9-25】創(chuàng)建一個(gè)概要文件myprofile_03，將連續(xù)登錄失敗次數(shù)設(shè)置為3，當(dāng)連續(xù)登陸失敗超過3次后，賬戶將被鎖定，賬戶鎖定的時(shí)間為7天，并將該概要文件分配給用戶yh02。2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程269.3使用概要文件管理口令和資源-管理口令【例題9-26】以yh02身份連接到數(shù)據(jù)庫，并且連續(xù)3次登錄失敗，那么Oracle會(huì)自動(dòng)鎖定該賬戶，此時(shí)即使該賬戶提供了正確的口令也無法再連接到數(shù)據(jù)庫。2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程279.3使用概要文件管理口令和資源-管理口令2.設(shè)置口令有效期口令有效期是指強(qiáng)制用戶定期修改自己的密碼，口令寬限期是指用戶賬戶口令到期之后的寬限使用時(shí)間。默認(rèn)情況下，創(chuàng)建用戶并為其提供了口令之后，口令會(huì)一直生效。出于口令安全的考慮，可以強(qiáng)制普通用戶定期改變口令?！纠}9-27】創(chuàng)建一個(gè)myprofile_04概要文件，用此概要文件來控制用戶的密碼有效期為10天，密碼寬限期為3天，并將該P(yáng)ROFILE分配給用戶user01。2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程289.3使用概要文件管理口令和資源-管理口令3.進(jìn)行口令復(fù)雜性校驗(yàn)口令復(fù)雜性校驗(yàn)是指使用指定的函數(shù)強(qiáng)制用戶使用復(fù)雜口令。使用口令校驗(yàn)函數(shù)時(shí)，既可以使用系統(tǒng)口令校驗(yàn)函數(shù)VERIFY_FUNCTION，也可以使用自定義口令校驗(yàn)函數(shù)?！纠}9-28】建立系統(tǒng)口令校驗(yàn)函數(shù)VERIFY_FUNCTION，以SYS用戶運(yùn)行SQL腳本utlpwdmg.sql，對yh02用戶的進(jìn)行口令校驗(yàn)。2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程299.3使用概要文件管理口令和資源-管理資源概要文件不僅可以用于管理口令，還可以管理系統(tǒng)資源.在使用概要文件管理資源時(shí)，必須將RESOURCE_LIMIT參數(shù)設(shè)置為TRUE以激活資源限制。大部分資源限制都可以在會(huì)話級(jí)和調(diào)用級(jí)上進(jìn)行。2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程309.3使用概要文件管理口令和資源-管理資源概要文件不僅可以用于管理口令，還可以管理系統(tǒng)資源.在使用概要文件管理資源時(shí)，必須將RESOURCE_LIMIT參數(shù)設(shè)置為TRUE以激活資源限制。大部分資源限制都可以在會(huì)話級(jí)和調(diào)用級(jí)上進(jìn)行。2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程319.3使用概要文件管理口令和資源-管理資源1.對會(huì)話級(jí)資源進(jìn)行限制會(huì)話級(jí)資源限制是對用戶在一個(gè)會(huì)話過程中所使用的資源進(jìn)行限制。限制會(huì)話級(jí)資源的參數(shù)主要有：CPU_PER_SESSION、LOGICAL_READS_PER_SESSION、PRIVATE_SGA、COMPOSITE_LIMIT2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程329.3使用概要文件管理口令和資源-管理資源2.對調(diào)用級(jí)資源進(jìn)行限制對調(diào)用級(jí)資源進(jìn)行限制是對一個(gè)SQL語句在執(zhí)行過程中所使用的資源進(jìn)行限制。Oracle中限制調(diào)用級(jí)資源的參數(shù)主要有：CPU_PER_CALL、LOGICAL_READS_PER_CALL2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程339.4權(quán)限管理權(quán)限是指執(zhí)行特定類型SQL命令或者訪問其他方案對象的權(quán)利，包括連接到數(shù)據(jù)庫、創(chuàng)建表、從另一個(gè)用戶的表中選擇數(shù)據(jù)及執(zhí)行另一個(gè)用戶的存儲(chǔ)過程等操作?？梢灾苯訉?quán)限授予一個(gè)用戶；也可以間接的授權(quán)方式，將權(quán)限授予某個(gè)角色，然后為某個(gè)用戶添加這個(gè)角色。2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程349.4權(quán)限管理-權(quán)限分類1.系統(tǒng)權(quán)限2.對象權(quán)限2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程359.4權(quán)限管理-系統(tǒng)權(quán)限管理1.系統(tǒng)權(quán)限分類根據(jù)用戶在數(shù)據(jù)庫中進(jìn)行的不同操作分類，例如，創(chuàng)建表空間、創(chuàng)建用戶、修改數(shù)據(jù)庫結(jié)構(gòu)、修改用戶權(quán)限等。根據(jù)方案對象和非方案對象分類，分為針對方案對象的權(quán)限和針對非方案對象的權(quán)限。2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程369.4權(quán)限管理-系統(tǒng)權(quán)限管理

2.授予系統(tǒng)權(quán)限在創(chuàng)建用戶后，必須具有相應(yīng)的系統(tǒng)權(quán)限才能在數(shù)據(jù)庫中執(zhí)行相應(yīng)的操作。使用GRANT語句可以將系統(tǒng)權(quán)限授予指定的用戶、角色和PUBLIC公共用戶組，其語法是：GRANTsystem_privilege｜ALL[PRIVILEGES]TOuser｜role｜PUBLIC[WITHADMINOPTION];2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程379.4權(quán)限管理-系統(tǒng)權(quán)限管理3.回收系統(tǒng)權(quán)限授予權(quán)限的用戶可以根據(jù)系統(tǒng)的需要回收指定的權(quán)限。在回收系統(tǒng)權(quán)限時(shí)，可以將某一用戶的權(quán)限回收，可以從角色中回收系統(tǒng)權(quán)限?；厥障到y(tǒng)權(quán)限使用REVOKE語句。語法為：REVOKE系統(tǒng)權(quán)限FROM{PUBLIC|role|username}2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程389.4權(quán)限管理-對象權(quán)限管理對象權(quán)限是用戶之間對表、視圖、序列、存儲(chǔ)過程、函數(shù)、包等模式對象的相互存取操作的權(quán)限。對象權(quán)限及對象之間的對應(yīng)關(guān)系如表9.5所示。2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程399.4權(quán)限管理-對象權(quán)限管理2.授予對象權(quán)限如果一個(gè)用戶沒有被授予其他用戶的對象權(quán)限，那么他就不能訪問其他用戶的對象。DBA用戶（SYS用戶、SYSTEM用戶）可以訪問任何用戶的任何對象，并且可以將這些對象上的對象權(quán)限授予其他用戶。2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程409.4權(quán)限管理-對象權(quán)限管理使用GRANT語句可以將對象權(quán)限授予指定的用戶、角色、PUBLIC公共用戶組。具體語法格式如下：GRANTobject_privilege｜ALL[PRIVILEGES][(column_1[,column_2]﹍﹍)]ON[schema.]objectTOuser｜role｜PUBLIC[WITHGRANTOPTION][WITHHIERARCHYOPTION];2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程419.4權(quán)限管理-對象權(quán)限管理3.回收對象權(quán)限對象的擁有者可以進(jìn)行相應(yīng)對象權(quán)限的回收，回收對象權(quán)限可以使用REVOKE語句。具體語法格式如下：REVOKE[object_privilege｜ALL[PRIVILEGES]ON[schema.]objectFROM{user｜role｜PUBLIC};2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程429.4權(quán)限管理-對象權(quán)限管理4.查看對象權(quán)限信息【例9-43】查詢并顯示用戶ZCGL_OPER授予用戶yh01的所有對象權(quán)限。【例9-44】查看用戶ZCGL_OPER上所授出的所有對象權(quán)限?！纠?-45】查看用戶zcgl_oper被授予的對象權(quán)限。2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程439.5角色管理角色是一組系統(tǒng)權(quán)限和對象權(quán)限的命名組合，將多個(gè)不同的權(quán)限集合在一起就形成了角色。使用角色可以簡化權(quán)限的管理，可以用一條語句將多個(gè)權(quán)限授予一個(gè)角色，也可以從某個(gè)角色中回收多個(gè)權(quán)限。只要將某個(gè)角色授予了Oracle的某個(gè)用戶，該用戶就會(huì)繼承該角色的所有權(quán)限，從而實(shí)現(xiàn)權(quán)限的動(dòng)態(tài)管理。2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程449.5角色管理-預(yù)定義角色預(yù)定義角色是Oracle提供的角色。1）CONNECT角色2）RECOURCE角色3）DBA4）EXECUTE_CATALOG_ROLE5）SELECT_CATALOG_ROLE6）DELETE_CATALOG_ROLE7）EXP_FULL_DATABASE8）IMP_FULL_DATABASE9）RECOVERY_CATALOG_OWNER2023/12/21Oracle數(shù)據(jù)庫應(yīng)用與開發(fā)案例教程459.5角色管理-自定義角色1.創(chuàng)建角色創(chuàng)建角色需要使用CREATEROLE命令完成。創(chuàng)建角色的語法是：CREATEROLErole_name[IDENTIFIEDBYpassword];【例9-46】創(chuàng)建—個(gè)名為myrolel的角色，該角色不需要