Московский государственный университет имени М.В.Ломоносова
Опубликован: 05.01.2004 | Доступ: свободный | Студентов: 9474 / 1246 | Оценка: 4.04 / 3.84 | Длительность: 10:03:00
ISBN: 978-5-94774-539-9
Лекция 8:

Контроль доступа к базе данных

< Лекция 7 || Лекция 8: 12 || Лекция 9 >

Многоуровневый контроль доступа в БД Oracle

Среди современных коммерческих СУБД базу данных Oracle можно считать одной из самых продвинутых в области контроля доступа. Все привилегии делятся на системные и объектные.

Синтаксис оператора GRANT, выполняющего предоставление пользователям или ролям системных полномочий и ролей, может быть представлен следующей схемой:

предоставление пользователям или ролям системных полномочий и ролей,

предоставление пользователям или ролям системных полномочий и ролей,

Предоставление пользователям или ролям привилегий над обычными объектами БД Oracle также может быть показано на примере следующей схемы:

Предоставление пользователям или ролям привилегий над обычными  объектами БД Oracle

Предоставление пользователям или ролям привилегий над обычными объектами БД Oracle

system_priv - предоставляемое системное полномочие.

role - предоставляемая роль.

TO -определяет пользователей или роли, которым предоставляются системные или объектные полномочия.

PUBLIC - указывает, что системные или объектные полномочия, определяемые оператором, предоставляются всем пользователям.

WITH ADMIN OPTION - позволяет пользователю, получившему системные или объектные полномочия или роль, предоставлять их в дальнейшем другим пользователям или ролям. Такое разрешение включает и возможность изменения или удаления роли. (Синтаксически данная опция отличается от стандарта SQL-92.)

object_priv - определяет предоставляемую привилегию, которая может быть указана одним из следующих значений:

  • ALTER
  • DELETE
  • EXECUTE (только для процедур, функций и пакетов)
  • INDEX (только для таблиц)
  • INSERT
  • REFERENCES (только для таблиц)
  • SELECT
  • UPDATE.

column - определяет столбец таблицы или представления, на который распространяется предоставляемая привилегия.

ON - определяет объект (таблицу, вид, хранимую процедуру, снимок), на который предоставляется привилегия.

Например:

GRANT SELECT, UPDATE ON tbl1 TO PUBLIC 
GRANT REFERENCES  (f1), UPDATE (f1, f2, f3) 
        ON user1.tbl1 TO user2

Приведем список предоставляемых оператором GRANT системных полномочий, который характеризует систему контроля доступа БД Oracle. К системным полномочиям относятся следующие:

ALTER ANY CLUSTER - разрешает получившему эти полномочия изменение любого кластера в любой схеме;

ALTER ANY INDEX - разрешает изменение любого индекса в любой схеме;

ALTER ANY PROCEDURE - разрешает изменение любой хранимой функции, процедуры или пакета в любой схеме;

ALTER ANY ROLE - разрешает изменение в базе данных любой роли;

ALTER ANY SEQUENCE - разрешает изменение в базе данных любой последовательности;

ALTER ANY SNAPSHOT - разрешает изменение в базе данных любого снимка;

ALTER ANY TABLE - разрешает изменение в схеме любой таблицы или вида;

ALTER ANY TRIGGER - позволяет разрешать, запрещать или компилировать любой триггер базы данных в любой схеме; изменение в базе данных любой роли;

ALTER DATABASE - разрешает изменение базы данных;

ALTER PROFILE - разрешает изменение профилей;

ALTER RESOURCE COST - разрешает устанавливать цену ресурсов сеанса работы пользователя;

ALTER ROLLBACK SEGMENT - разрешает изменение сегментов отката;

ALTER SESSION - разрешает выполнение оператора ALTER SESSION ;

ALTER SYSTEM - разрешает выполнение оператора ALTER SYSTEM ;

ALTER TABLESPACE - разрешает изменение табличных пространств;

ALTER USER - разрешает изменение параметров для любого пользователя (пароль, количество доступного табличного пространства, назначенный профиль и т.п.);

ANALYZE ANY - разрешает анализировать таблицу, кластер или индекс в любой схеме;

AUDIT ANY - разрешает выполнять аудит любого объекта в любой схеме;

AUDIT SYSTEM - разрешает выполнение SQL-оператора AUDIT ;

BACKUP ANY TABLE - позволяет выполнять экспорт объектов из схемы других пользователей;

BECOME USER - позволяет становиться другим пользователем (требуется при импорте БД);

COMMENT ANY TABLE - разрешает получившему эти полномочия комментарий для любой таблицы, вида или столбца в любой схеме;

CREATE ANY CLUSTER ;

CREATE ANY INDEX ;

CREATE ANY LIBRARY ;

CREATE ANY PROCEDURE ;

CREATE ANY SEQUENCE ;

CREATE ANY SNAPSHOT ;

CREATE ANY SYNONYM ;

CREATE ANY TABLE ;

CREATE ANY TRIGGER ;

CREATE ANY VIEW ;

CREATE CLUSTER - разрешает создавать кластер в своей схеме (системное полномочие, не содержащее в названии фразу ANY, распространяется только на собственную схему пользователя);

CREATE DATABASE LINK - разрешает создавать линк базы данных в своей схеме;

CREATE PROCEDURE ;

CREATE PROFILE ;

CREATE PUBLIC DATABASE LINK - разрешает создавать общедоступные линки базы данных;

CREATE PUBLIC SYNONYM ;

CREATE ROLE - разрешает создание ролей;

CREATE ROLLBACK SEGMENT ;

CREATE LIBRARY ;

CREATE SEQUENCE ;

CREATE SESSION - разрешает соединение с базой данных;

CREATE SNAPSHOT;

CREATE SYNONYM;

CREATE TABLE;

CREATE TABLESPACE ;

CREATE TRIGGER;

CREATE USER ;

CREATE VIEW ;

DELETE ANY TABLE ;

DROP ANY CLUSTER ;

DROP ANY INDEX - разрешает удаление любого индекса;

DROP ANY LIBRARY ;

DROP ANY PROCEDURE ;

DROP ANY ROLE ;

DROP ANY SEQUENCE ;

DROP ANY SNAPSHOT ;

DROP ANY SYNONYM ;

DROP ANY TABLE ;

DROP ANY TRIGGER ;

DROP ANY VIEW ;

DROP LIBRARY ;

DROP PROFILE ;

DROP PUBLIC DATABASE LINK ;

DROP PUBLIC SYNONYM ;

DROP ROLLBACK SEGMENT ;

DROP TABLESPACE ;

DROP USER ;

EXECUTE ANY PROCEDURE - разрешает выполнение процедур и функций, а также ссылки на общедоступные переменные пакетов в любой схеме;

FORCE ANY TRANSACTION - позволяет выполнять фиксацию или откат любой сомнительной распределенной транзакции на локальной базе данных, а также определять сбой распределенной транзакции;

FORCE TRANSACTION - позволяет выполнять фиксацию или откат собственной сомнительной распределенной транзакции на локальной базе данных;

GRANT ANY PRIVILEGE ;

GRANT ANY ROLE ;

INSERT ANY TABLE ;

LOCK ANY TABLE ;

MANAGE TABLESPACE - разрешает переключение табличного пространства из автономного режима в оперативный или обратно, а также разрешает выполнять копирование табличного пространства;

RESTRICTED SESSION ;

SELECT ANY SEQUENCE ;

SELECT ANY TABLE ;

UNLIMITED TABLESPACE - разрешает неограниченное использование любого табличного пространства.Предоставление этого полномочия перекрывает любые ограничения на количество доступного табличного пространства, ранее установленные для пользователя;

UPDATE ANY TABLE - разрешает изменение строк в таблицах и видах любой схемы.

При создании базы данных Oracle некоторые роли создаются автоматически. Следующая таблица содержит названия автоматически создаваемых Oracle ролей и список предоставляемых ими системных полномочий. Эти роли создают иерархию предоставляемых полномочий.

Роль Предоставляемые системные полномочия и роли
CONNECT ALTER SESSION
CREATE CLUSTER
CREATE DATABASE LINK
CREATE SEQUENCE
CREATE SESSION
CREATE SYNONYM
CREATE TABLE
CREATE VIEW
RESOURCE CREATE CLUSTER
CREATE PROCEDURE
CREATE SEQUENCE
CREATE TABLE
CREATE TRIGGER
DBA Все системные полномочия WITH ADMIN OPTION
EXP_FULL_DATABASE (роль)
IMP_FULL_DATABASE (роль)
EXP_FULL_DATABASE SELECT ANY TABLE
BACKUP ANY TABLE
INSERT, UPDATE, DELETE
ON sys.incexp, sys.incvid, sys.incfil

Для просмотра предоставленных привилегий администратор базы данных может использовать следующие системные представления словаря данных:

Системное представление Описание
ALL_COL_PRIVS Содержит список привилегий, предоставленных для столбцов таблицы другим пользователям или PUBLIC. ;
Содержит столбцы:
GRANTOR (кто предоставляет привилегию)
GRANTEE (кому предоставляется привилегия)
TABLE_SCHEMA (схема объекта)
TABLE_NAME
COLUMN_NAME
PRIVILEGE
ALL_COL_PRIVS_MADE Содержит список привилегий столбцов, которыми владеет пользователь или предоставляет на них привилегии.
Содержит столбцы:
GRANTEE
OWNER
GRANTOR
TABLE_NAME
COLUMN_NAME
PRIVILEGE
ALL_TAB_PRIVS Содержит список привилегий, предоставленных для таблицы другим пользователям или PUBLIC.
Содержит столбцы:
GRANTOR
GRANTEE
TABLE_NAMEPRIVILEGE
DBA_PROFILES Содержит описания всех профилей базы данных и определяемых ими ограничений.
Содержит столбцы:
PROFILE
RESOURCE_NAME
LIMIT
DBA_ROLES Содержит список имен всех существующих в базе данных ролей.
Содержит столбцы:
ROLE
PASSWORD_REQUIRED
DBA_ROLE_PRIVS Содержит список ролей, предоставляемых другим пользователям или ролям.
Содержит столбцы:
GRANTEE (кто получает полномочия)
GRANTED_ROLE (предоставляемая роль)
DBA_SYS_PRIVS Содержит список системных полномочий, предоставленных пользователям и ролям.
Содержит столбцы:
GRANTEE (кто получает полномочия)
PRIVILEGE (название системного полномочия)
ADMIN_OPTION
DBA_TAB_PRIVS Содержит список всех предоставленных полномочий для объектов базы данных.
Содержит столбцы:
GRANTEE
OWNER
TABLE_NAME
GRANTOR PRIVILEGE
DBA_USERS Содержит информацию обо всех пользователях базы данных.
Содержит столбцы:
USERNAME
USER_ID
PASSWORD
DEFAULT_TABLESPACE
PROFILE
ROLE_SYS_PRIVS Содержит информацию о предоставленных ролям системных полномочиях.
Содержит столбцы:
ROLE
PRIVILEGE
ROLE_TAB_PRIVS Содержит информацию о предоставленных ролям привилегиях для таблиц и столбцов.
Содержит столбцы:
ROLE
OWNER
TABLE_NAME
COLUMN_NAME
PRIVILEGE
SYSTEM_PRIVILEGE_MAP Содержит список всех системных полномочий
TABLE_PRIVILEGE_MAP Содержит информацию о кодах привилегий доступа к таблицам и столбцам.
USER_ROLE_PRIVS Содержит список ролей, предоставленных пользователю.
Содержит столбцы:
USERNAME
GRANTED_ROLE
USER_SYS_PRIVS Содержит список всех системных полномочий, предоставленных пользователю.
Содержит столбцы:
USERNAME
PRIVILEGE
USER_TAB_PRIVS Содержит список привилегий для объектов, где пользователь является владельцем, получателем или лицом, предоставляющим привилегии.
Содержит столбцы:
GRANTEE (кому предоставляется привилегия)
OWNER TABLE_NAME (имя объекта)
GRANTOR (кто предоставляет привилегию)
USER_TAB_PRIVS_MADE Содержит список всех предоставлений привилегий для объектов, принадлежащих пользователю.
Содержит столбцы:
GRANTEE
GRANTOR
TABLE_NAME
PRIVILEGE
USER_TAB_PRIVS_RECD Содержит список всех привилегий для объектов, где пользователь является получателем привилегии.
Содержит столбцы:
OWNER (владелец объекта)
TABLE_NAME (имя объекта)
GRANTOR (имя пользователя, предоставившего привилегию)
PRIVILEGE

Эти системные представления позволяют администратору БД Oracle полностью контролировать назначение, передачу и взаимозависимость системных и объектных привилегий.

< Лекция 7 || Лекция 8: 12 || Лекция 9 >