數(shù)據(jù)庫(kù)基礎(chǔ)與實(shí)例教程（達(dá)夢(mèng)DM8） 課件 7.3角色管理

數(shù)據(jù)庫(kù)基礎(chǔ)（基于達(dá)夢(mèng)DM8）數(shù)據(jù)庫(kù)安全管理77.3角色管理03角色及權(quán)限管理01理解角色04角色的啟用與禁用02角色的創(chuàng)建與刪除理解角色7.3.17.3.1理解角色

角色是一組權(quán)限的組合，使用角色的目的是使權(quán)限管理更加方便。角色可以作為一個(gè)整體授予某一類(lèi)用戶(hù)，避免了對(duì)所有用戶(hù)權(quán)限的逐一修改。

角色中的權(quán)限既可以是數(shù)據(jù)庫(kù)權(quán)限，也可以是對(duì)象權(quán)限，還可以是別的角色。

在使用角色的過(guò)程中，可以隨時(shí)向角色中添加權(quán)限，也可以隨時(shí)從角色中刪除權(quán)限，用戶(hù)的權(quán)限也隨之改變。如果要回收所有權(quán)限，只需將角色從用戶(hù)回收即可。7.3.1理解角色

在DM數(shù)據(jù)庫(kù)中有兩類(lèi)角色，一類(lèi)是DM預(yù)設(shè)定的角色，一類(lèi)是用戶(hù)自定義的角色。

DM提供了一系列的預(yù)定義角色以幫助用戶(hù)進(jìn)行數(shù)據(jù)庫(kù)權(quán)限的管理。預(yù)定義角色在數(shù)據(jù)庫(kù)被創(chuàng)建之后即存在，并且已經(jīng)包含了一些權(quán)限，數(shù)據(jù)庫(kù)管理員可以將這些角色直接授予用戶(hù)。7.3.1理解角色“三權(quán)分立”機(jī)制下常見(jiàn)的系統(tǒng)角色及其簡(jiǎn)單介紹。角色的創(chuàng)建與刪除7.3.27.3.2角色的創(chuàng)建與刪除1.創(chuàng)建角色具有“CREATEROLE”數(shù)據(jù)庫(kù)權(quán)限的用戶(hù)也可以創(chuàng)建新的角色。創(chuàng)建角色的SQL語(yǔ)法如下。CREATEROLE<角色名>;在創(chuàng)建角色過(guò)程中應(yīng)注意下面幾點(diǎn)。角色名的長(zhǎng)度不能超過(guò)128個(gè)字符；角色名不允許和系統(tǒng)已存在的用戶(hù)名重名；角色名不允許是DM保留字。創(chuàng)建角色案例CREATEROLESTAFF_DBA;CREATEROLESTAFF_DBA0;

【案例7-8】使用SQL創(chuàng)建一個(gè)STAFF_DBA角色，一個(gè)STAFF_DBA0角色。7.3.2角色的創(chuàng)建與刪除2．刪除角色具有“DROPROLE”權(quán)限的用戶(hù)可以刪除角色。刪除角色的SQL語(yǔ)法如下。DROPROLE[IFEXISTS]<角色名>;在創(chuàng)建角色過(guò)程中應(yīng)注意下面幾點(diǎn)。角色名的長(zhǎng)度不能超過(guò)128個(gè)字符；角色名不允許和系統(tǒng)已存在的用戶(hù)名重名；角色名不允許是DM保留字。7.3.2角色的創(chuàng)建與刪除2．刪除角色即使已將角色授予了其他用戶(hù)，刪除這個(gè)角色的操作也將成功。此時(shí)，那些之前被授予該角色的用戶(hù)將不再具有這個(gè)角色所擁有的權(quán)限，除非用戶(hù)通過(guò)其他途徑也獲得了這個(gè)角色所具有的權(quán)限。指定IFEXISTS關(guān)鍵字后，刪除不存在的用戶(hù)時(shí)不會(huì)報(bào)錯(cuò)，否則會(huì)報(bào)錯(cuò)。刪除角色案例DROPROLESTAFF_DBA0;DROPROLESTAFF_DBA0;DROPROLEIFEXISTSSTAFF_DBA0;

【案例7-10】使用SQL刪除STAFF_DBA0角色，然后使用SQL再次刪除STAFF_DBA0角色（分別指定和不指定IFEXISTS關(guān)鍵字）。角色及權(quán)限管理7.3.31數(shù)據(jù)庫(kù)權(quán)限的分配與回收（1）數(shù)據(jù)庫(kù)權(quán)限的分配

可以通過(guò)GRANT語(yǔ)句將權(quán)限（包括數(shù)據(jù)庫(kù)權(quán)限、對(duì)象權(quán)限以及角色權(quán)限）分配給用戶(hù)和角色，之后也可以將授出的權(quán)限再進(jìn)行回收。還可以使用GRANT語(yǔ)句授予用戶(hù)和角色數(shù)據(jù)庫(kù)權(quán)限。

數(shù)據(jù)庫(kù)權(quán)限的授權(quán)語(yǔ)句語(yǔ)法為。GRANT<數(shù)據(jù)庫(kù)權(quán)限>{,<數(shù)據(jù)庫(kù)權(quán)限>}TO<用戶(hù)或角色>{,<用戶(hù)或角色>}[WITHADMINOPTION];

其中<用戶(hù)或角色>::=<用戶(hù)名>|<角色名>1.數(shù)據(jù)庫(kù)權(quán)限的分配案例GRANTCREATETABLE,CREATEVIEWTOSTAFF_USERWITHADMINOPTION;

【案例7-12】系統(tǒng)管理員SYSDBA把建表和建視圖的權(quán)限授給用戶(hù)STAFF_USER，并允許其轉(zhuǎn)授。1.數(shù)據(jù)庫(kù)權(quán)限的分配案例GRANTCREATETABLE,CREATEVIEWTOSTAFF_DBA;

【案例7-13】系統(tǒng)管理員SYSDBA把刪除表和刪除視圖的權(quán)限授給角色STAFF_DBA，并不允許其轉(zhuǎn)授。1數(shù)據(jù)庫(kù)權(quán)限的分配與回收（2）數(shù)據(jù)庫(kù)權(quán)限的回收

可以使用REVOKE語(yǔ)句回收授出的指定數(shù)據(jù)庫(kù)權(quán)限?；厥諗?shù)據(jù)庫(kù)權(quán)限的語(yǔ)句語(yǔ)法為。REVOKE[ADMINOPTIONFOR]<數(shù)據(jù)庫(kù)權(quán)限>{,<數(shù)據(jù)庫(kù)權(quán)限>}FROM<用戶(hù)或角色>{,<用戶(hù)或角色>};1.數(shù)據(jù)庫(kù)權(quán)限的回收案例REVOKECREATETABLEFROMSTAFF_USER;

【案例7-14】SYSDBA用戶(hù)把用戶(hù)STAFF_USER的建表權(quán)限收回。1.數(shù)據(jù)庫(kù)權(quán)限的回收案例REVOKEADMINOPTIONFORCREATEVIEWFROMSTAFF_USER;【案例7-15】SYSDBA用戶(hù)收回允許STAFF_USER轉(zhuǎn)手CREATEVIEW的權(quán)限。2對(duì)象權(quán)限的分配與回收（1）對(duì)象權(quán)限的分配

對(duì)象權(quán)限的授權(quán)語(yǔ)句基本語(yǔ)法為。GRANT<授權(quán)>ON[<對(duì)象類(lèi)型>]<對(duì)象>TO<用戶(hù)或角色>{,<用戶(hù)或角色>}[WITHGRANTOPTION];2.對(duì)象權(quán)限的授權(quán)案例GRANTALLPRIVILEGESONSCH_FACTORY.STAFFTOSTAFF_USER;

【案例7-16】SYSDBA用戶(hù)把SCH_FACTORY.STAFF表的全部權(quán)限授給用戶(hù)STAFF_USER。2.對(duì)象權(quán)限的授權(quán)案例

【案例7-17】SYSDBA用戶(hù)使用圖形化工具，將STAFF_USER對(duì)于SCH_FACTORY.STAFF表的權(quán)限設(shè)置為擁有“SELECT、INSERT、UPDATE”權(quán)限。2對(duì)象權(quán)限的分配與回收（2）對(duì)象權(quán)限的回收

對(duì)象權(quán)限的回收語(yǔ)句基本語(yǔ)法為。REVOKE[GRANTOPTIONFOR]<權(quán)限>ON[<對(duì)象類(lèi)型>]<對(duì)象>FROM<用戶(hù)或角色>{,<用戶(hù)或角色>}[<回收選項(xiàng)>];2.對(duì)象權(quán)限的回收案例REVOKEALLPRIVILEGESONSCH_FACTORY.STAFFFROMSTAFF_USERCASCADE;

【案例7-18】SYSDBA從用戶(hù)STAFF_USER處回收其授出的SCH_FACTORY.STAFF表的全部權(quán)限。3角色的授予與回收（1）角色的授予

通常角色包含權(quán)限或其他角色，通過(guò)使用GRANT語(yǔ)句將一個(gè)角色授予用戶(hù)或另一角色可以使得用戶(hù)和角色繼承該角色所具有的權(quán)限，從而簡(jiǎn)化權(quán)限的管理。

授予角色權(quán)限的語(yǔ)句基本語(yǔ)法如下。GRANT<角色名>{,<角色名>}TO<用戶(hù)或角色>{,<用戶(hù)或角色>}[WITHADMINOPTION];

用戶(hù)名或角色名的語(yǔ)法如下。<用戶(hù)名或角色名>::=<用戶(hù)名>|<角色名>3角色的授予與回收（2）角色的回收

可以使用REVOKE語(yǔ)句回收用戶(hù)或其他角色從指定角色繼承過(guò)來(lái)的權(quán)限。

回收角色權(quán)限的語(yǔ)句基本語(yǔ)法如下。REVOKE[ADMINOPTIONFOR]<角色名>{,<角色名>}FROM<角色名或用戶(hù)名>;

角色名或用戶(hù)名的語(yǔ)法如下。<角色名或用戶(hù)名>::=<用戶(hù)名>|<角色名>角色的啟用與禁用7.3.47.3.4角色的啟用與禁用

某些角色不再需要使用的時(shí)候可以使這個(gè)角色失效，而不用刪除這個(gè)角色，等業(yè)務(wù)需求需要時(shí)再使用。

此時(shí)可以使用DM系統(tǒng)過(guò)程SP_SET_ROLE來(lái)設(shè)置這個(gè)角色為不可用，將第二參數(shù)