管理用户权限及角色

辽宁工程技术大学软件工程系E-MAIL:[e-mail]:第十章管理用户权限及角色辽宁工程技术大学软件工程系E-MAIL:[e-mail]:系统权限的授予与撤消对于系统权限而言：开发者具有创建和删除数据对象的权限：CLUSTER,PROCEDURE,ABLE,VIEW,TRIGER,FUNCTION,PUBLICSYNONYM，DATABASELINK，PUBLICSYNONYM，SEQUENCE，SNAPSHOTP，TYPE，LIBRARYDBA具有上述数据对象的any权限，即在其他用户对象模式下，创建上述对象和删除上述对象的权限。此外，还具有对用户和角色的管理权限。此外，DBA还具有对数据库的维护权限。上述权限详见教材152-154页。辽宁工程技术大学软件工程系E-MAIL:[e-mail]:对象权限的授权与撤消一般情况下，我们先将对象的访问权授予某个角色，然后把角色授予用户一般来说，如果系统并不复杂时常采用无角色的授权。建议采用角色授权与用户授予角色的授权方式来管理系统。辽宁工程技术大学软件工程系E-MAIL:[e-mail]:对象权限的授予与撤消GRANTsystem_privilege|roleTOuser|role|PUBLIC[WITHADMINOPTION]GRANTobject_privilege|ALLcolumnONschema.objectFROMuser|role|PUBLICWITHGRANTOPTION辽宁工程技术大学软件工程系E-MAIL:[e-mail]:对象权限的授予与撤消object_privilege:对象的权限，可以是：ALTERDELETEEXECUTEINDEXINSERTREFERENCESSELECTUPDATE辽宁工程技术大学软件工程系E-MAIL:[e-mail]:对象权限的授予与撤消例1：GRANTINSERT,UPDATEONsalesTOlarryWITHGRANTOPTION;例2GRANTALLTOPUBLIC;辽宁工程技术大学软件工程系E-MAIL:[e-mail]:例3：GRANTselectONdeptTOstu10,stu11;例4：GRANTselect,insert(empno,ename),update(ename)ONempTOscottWITHGRANTOPTION;10.2对象权限的授予与撤消辽宁工程技术大学软件工程系E-MAIL:[e-mail]:对象特权的回收：例1：REVOKEselectONdeptFROMstu10,stu11;例2：REVOKEallONempFROMscott;10.2对象权限的授予与撤消辽宁工程技术大学软件工程系E-MAIL:[e-mail]:对象权限的授予与撤消本章难点：权限的级联授予级联授权通过参数来实现，它们是：系统权限：withadminoption对象权限：withgrantoption辽宁工程技术大学软件工程系E-MAIL:[e-mail]:回收对象特权的连锁反映分析：GRANTAACBB10.2对象权限的授予与撤消辽宁工程技术大学软件工程系E-MAIL:[e-mail]:回收对象特权的连锁反映分析：REVOKEABAB10.2对象权限的授予与撤消CABABABAB?C辽宁工程技术大学软件工程系E-MAIL:[e-mail]:对象权限的授予与撤消实践是检验真理的唯一标准课堂实验：对象级联授权的实验辽宁工程技术大学软件工程系E-MAIL:[e-mail]:回收对象特权的连锁反映分析：ACBRESULTACB10.2对象权限的授予与撤消辽宁工程技术大学软件工程系E-MAIL:[e-mail]:行命令回收系统特权或角色：REVOKEFROM，，角色名系统特权名用户名角色名public10.3系统权限的授予与撤消辽宁工程技术大学软件工程系E-MAIL:[e-mail]:系统权限的授予与撤消GRANTsystem_privilege|roleTOuser|role|PUBLIC[WITHADMINOPTION]辽宁工程技术大学软件工程系E-MAIL:[e-mail]:例：从用户Bill和Mary回收DROPANYTABLE系统特权。REVOKEdropanytableFROMbill,mary;10.3系统权限的授予与撤消辽宁工程技术大学软件工程系E-MAIL:[e-mail]:回收系统特权的连锁反映分析：GRANTABBCCC10.3系统权限的授予与撤消辽宁工程技术大学软件工程系E-MAIL:[e-mail]:回收系统特权的连锁反映分析：10.3系统权限的授予与撤消REVOKECAB?CACAB辽宁工程技术大学软件工程系E-MAIL:[e-mail]:系统权限的授予与撤消实践是检验真理的唯一标准课堂实验：系统权限级联授权的实验辽宁工程技术大学软件工程系E-MAIL:[e-mail]:回收系统特权的连锁反映分析：ACBCRESULTBC10.3系统权限的授予与撤消辽宁工程技术大学软件工程系E-MAIL:[e-mail]:与特权有关的数据字典视图：•DBA_SYS_PRIVS•TABLE_PRIVILEGES•COLUMN_PRIVILEGES•ALL/USER_TAB_PRIVS•ALL/USER_TAB_PRIVS_MADE•ALL/USER_TAB_PRIVS_RECD•ALL/USER_COL_PRIVS•ALL/USER_COL_PRIVS_MADE•ALL/USER_COL_PRIVS_RECD10.4权限的授予与撤消辽宁工程技术大学软件工程系E-MAIL:[e-mail]:角色与授权角色是一个数据库实体，它包括一组权限。即角色是包括一个或多个权限的集合。它不被哪个用户拥有，它只能授予某些用户。这些角色不要与用户名相同。根据各个用户的情况（比如他们所担当的工作）来授予不同的角色。辽宁工程技术大学软件工程系E-MAIL:[e-mail]:角色与授权无角色管理的授权示意图用户特权辽宁工程技术大学软件工程系E-MAIL:[e-mail]:角色与授权使用角色管理的授权示意图用户特权角色辽宁工程技术大学软件工程系E-MAIL:[e-mail]:角色与授权权限对象AlterDeleteExecuteIndexInsertReadReferenceSelectUpdateDirectorynononononoyesnononofunctionnonoyesnonononononoProcedurenonoyesnonononononoPackagenonoyesnonononononoDBObjectnonoyesnonononononoLibrarynonoyesnonononononoOperatornonoyesnonononononoSequenceyesnoyesnonononoyesnoTableyesyesnoyesyesnoyesyesyesTypenonoyesnonononononoViewnoyesnonoyesnonoyesyes对象权限列表：辽宁工程技术大学软件工程系E-MAIL:[e-mail]:角色与授权角色名创建脚本说明CONNECTSQL.BSQ包括下面权限：ALTERSESSION,CREATECLUSTER,CREATEDATABASELINK,CREATESEQUENCE,CREATESESSION,CREATESYNONYM,CREATETABLE,CREATEVIEWRESOURCESQL.BSQI包括下面权限：CREATECLUSTER,CREATEINDEXTYPE,CREATEOPERATOR,CREATEPROCEDURE,CREATESEQUENCE,CREATETABLE,CREATETRIGGER,CREATETYPEDBASQL.BSQ所有的管理权限常见的系统角色辽宁工程技术大学软件工程系E-MAIL:[e-mail]:角色与授权1.CREATEROLE语法CREATEROLErole[[NOTIDENTIFIED|IDENTIFIED][BYpassword|EXTERNALLY|GLOBALLY];role角色名IDENTIFIEDBYpassword角色口令IDENTIFIEDBYEXETERNALLY角色名在操作系统下验证。IDENTIFIEDGLOBALLY用户是ORACLE安全域中心服务器来验证，此角色有全局用户来使用。辽宁工程技术大学软件工程系E-MAIL:[e-mail]:角色与授权示例：CREATEROLEvendorIDENTIFIEDGLOBALLY;CREATEROLEtellerIDENTIF