oracle的权限和角色

1 介绍 

　　这一部分咱们主要看看oracle是如何管理权限和角色的，权限和角色的区别在哪里。 当刚刚创建用户时，用户没有任何权限，也不能执行任何操做。若是要执行某种特定的数据库操做，则必须为其授予系统的权限；若是用户要访问其它方案的对象，则必须为其授予对象的权限。为了简化权限的管理，可使用角色。这里咱们会详细的介绍。看图：

2 权限

　　权限是指执行特定类型sql命令或是访问其它方案对象的权利，包括系统权限和对象权限两种。

　　2.1 系统权限

　　1）系统权限介绍 

　　系统权限是指执行特定类型sql命令的权利。它用于控制用户能够执行的一个或是一组数据库操做。好比当用户具备create table权限时，能够在其方案中建表，当用户具备create any table权限时，能够在任何方案中建表。oracle提供了100多种系统权限。

　　经常使用的有： 

　　　　create session    链接数据库             create table                  建表 

　　　　create view          建视图                 create public synonym   建同义词 

　　　　create procedure 建过程、函数、包    create trigger                建触发器 

　　　　create cluster      建簇 

　　2）显示系统权限 

　　oracle提供了100多种系统权限，并且oracle的版本越高，提供的系统权限就越多，咱们能够查询数据字典视图system_privilege_map，能够显示全部系统权限，sql语句为：

select * from system_privilege_map order by name; 

　　3）授予系统权限 

　　通常状况，授予系统权限是由dba完成的，若是用其余用户来授予系统权限，则要求该用户必须具备grant any privilege的系统权限。在授予系统权限时，能够带有with admin option选项，这样，被授予权限的用户或是角色还能够将该系统权限授予其它的用户或是角色。为了让你们快速理解，咱们举例说明： 

　　1 建立两个用户ken，tom。初始阶段他们没有任何权限，若是登陆就会给出错误的信息。 

create user ken identfied by ken; 

　　2 给用户ken受权 

　　（1）grant create session, create table to ken with admin option; 

　　（2）grant create view to ken; 

　　3 给用户tom受权

　　咱们能够经过ken给tom受权，由于with admin option是加上的。固然也能够经过dba给tom受权，咱们就用ken给tom受权： 

　　（1）grant create session, create table to tom; 

　　（2）grant create view to ken;  --这样能够吗？不能够。 

　　4）回收系统权限 

　　通常状况下，回收系统权限是dba来完成的，若是其它的用户来回收系统权限，要求该用户必须具备相应系统权限及转授系统权限的选项（with admin option）。回收系统权限使用revoke来完成。

　　当回收了系统权限后，用户就不能执行相应的操做了，可是请注意，系统权限级联收回的问题？[不是级联回收！] 

　　system --------->ken ---------->tom 

　　(create session)(create session)( create session) 

　　用system执行以下操做：

　　revoke create session from ken;  --请思考tom还能登陆吗？ 

　　答案：能，能够登陆 

　　2.2 对象权限 

　　1）对象权限介绍 

　　对象权限指访问其它方案对象的权利，用户能够直接访问本身方案的对象，可是若是要访问别的方案的对象，则必须具备对象的权限。

　　好比smith用户要访问scott.emp表（scott：方案，emp：表） 

　　经常使用的有：

　　　　alter    修改  delete 删除    select      查询     insert   添加 

　　　　update   修改  index  索引    references  引用     execute  执行 

　　2）显示对象权限 

　　经过数据字段视图能够显示用户或是角色所具备的对象权限。视图为dba_tab_privs 

SQL> conn system/manager;
SQL> select distinct privilege from dba_tab_privs; 
SQL> select grantor, owner, table_name, privilege from dba_tab_privs where grantee = 'BLAKE'; 

　　（1）授予对象权限 

　　在oracle9i之前，授予对象权限是由对象的全部者来完成的，若是用其它的用户来操做，则须要用户具备相应的（with grant option）权限，从oracle9i开始，dba用户（sys，system）能够将任何对象上的对象权限授予其它用户。授予对象权限是用grant命令来完成的。

　　对象权限能够授予用户，角色，和public。在授予权限时，若是带有with grant option选项，则能够将该权限转授给其它用户。但要注意with grant option选项不能被授予角色。 

　　① monkey用户要操做scott.emp表，则必须授予相应的对象权限 

　　1） 但愿monkey能够查询scott.emp表的数据，怎样操做？ 

grant select on emp to monkey; 

　　2） 但愿monkey能够修改scott.emp的表数据，怎样操做？ 

grant update on emp to monkey; 

　　3） 但愿monkey能够删除scott.emp的表数据，怎样操做？

grant delete on emp to monkey; 

　　4） 有没有更加简单的方法，一次把全部权限赋给monkey？

grant all on emp to monkey;

　　② 可否对monkey访问权限更加精细控制。（授予列权限） 

　　1）但愿monkey只能够修改scott.emp的表的sal字段，怎样操做？ 

grant update on emp(sal) to monkey 

　　2）但愿monkey只能够查询scott.emp的表的ename，sal数据，怎样操做？ 

grant select on emp(ename,sal) to monkey 

　　③ 授予alter权限 

　　若是black用户要修改scott.emp表的结构，则必须授予alter对象权限 

SQL> conn scott/tiger
SQL> grant alter on emp to blake; 

　　固然也能够用system，sys来完成这件事。 

　　④ 授予execute权限 

　　若是用户想要执行其它方案的包/过程/函数，则须有execute权限。 

　　好比为了让ken能够执行包dbms_transaction，能够授予execute权限。 

SQL> conn system/manager 
SQL> grant execute on dbms_transaction to ken; 

　　⑤ 授予index权限

　　若是想在别的方案的表上创建索引，则必须具备index对象权限。 

　　若是为了让black能够在scott.emp表上创建索引，就给其index的对象权限 

SQL> conn scott/tiger 
SQL> grant index on scott.emp to blake; 

　　⑥ 使用with grant option选项 

　　该选项用于转授对象权限。可是该选项只能被授予用户，而不能授予角色 。

SQL> conn scott/tiger; 
SQL> grant select on emp to blake with grant option; 
SQL> conn black/shunping 
SQL> grant select on scott.emp to jones; 

　　3）回收对象权限 

　　在oracle9i中，收回对象的权限能够由对象的全部者来完成，也能够用dba用户（sys，system）来完成。 

　　这里要说明的是：收回对象权限后，用户就不能执行相应的sql命令，可是要注意的是对象的权限是否会被级联收回？【级联回收】 

　　如：scott------------->blake-------------->jones 

　　select on emp     select on emp       select on emp 

SQL> conn scott/tiger@accp 
SQL> revoke select on emp from blake 

　　请你们思考，jones可否查询scott.emp表数据？

　　答案：查不了了（和系统权限不同，恰好相反）。

3 角色

　　角色就是相关权限的命令集合，使用角色的主要目的就是为了简化权限的管理，假定有用户a，b，c为了让他们都拥有权限：链接数据库和在scott.emp表上select，insert，update。 若是采用直接受权操做，则须要进行12次受权。 由于要进行12次受权操做，因此比较麻烦！怎么办呢？ 若是咱们采用角色就能够简化： 首先将creat session，select on scott.emp，insert on scott.emp，update on scott.emp授予角色，而后将该角色授予a，b，c用户，这样就能够三次受权搞定。 角色分为预约义和自定义角色两类。   

　　3.1 预约义角色

　　预约义角色是指oracle所提供的角色，每种角色都用于执行一些特定的管理任务，下面咱们介绍经常使用的预约义角色connect，resource，dba 。角色所包含的权限能够用如下语句查询：

select * from role_sys_privs where role='角色名';

　　1）connect角色 

　　connect角色具备通常应用开发人员须要的大部分权限，当创建了一个用户后，多数状况下，只要给用户授予connect和resource角色就够了，那么connect角色具备哪些系统权限呢？ 

SQL> select * from role_sys_privs where role='CONNECT';
 
ROLE                           PRIVILEGE                                ADMIN_OPTION
------------------------------ ---------------------------------------- ------------
CONNECT                        CREATE SESSION                           NO

　　2）resource角色 

　　resource角色具备应用开发人员所须要的其它权限，好比创建存储过程，触发器等。这里须要注意的是resource角色隐含了unlimited tablespace系统权限。 

SQL> select * from role_sys_privs where role='RESOURCE';
 
ROLE                           PRIVILEGE                                ADMIN_OPTION
------------------------------ ---------------------------------------- ------------
RESOURCE                       CREATE SEQUENCE                          NO
RESOURCE                       CREATE TRIGGER                           NO
RESOURCE                       CREATE CLUSTER                           NO
RESOURCE                       CREATE PROCEDURE                         NO
RESOURCE                       CREATE TYPE                              NO
RESOURCE                       CREATE OPERATOR                          NO
RESOURCE                       CREATE TABLE                             NO
RESOURCE                       CREATE INDEXTYPE                         NO
 
8 rows selected

　　3）dba角色 

　　dba角色具备全部的系统权限，及with admin option选项，默认的dba用户为sys和system，它们能够将任何系统权限授予其余用户。可是要注意的是dba角色不具有sysdba和sysoper的特权（启动和关闭数据库）。 

　　3.2 自定义角色 

　　顾名思义就是本身定义的角色，根据本身的须要来定义。通常是dba来创建，若是用别的用户来创建，则须要具备create role的系统权限。在创建角色时能够指定验证方式（不验证，数据库验证等）。 

　　1）创建角色（不验证） 

　　若是角色是公用的角色，能够采用不验证的方式创建角色。 

create role 角色名 not identified; 

　　2）创建角色（数据库验证） 

　　采用这样的方式时，角色名、口令存放在数据库中。当激活该角色时，必须提供口令。在创建这种角色时，须要为其提供口令。 

create role 角色名 identified by 密码; 

4 角色受权 

　　当创建角色时，角色没有任何权限，为了使得角色完成特定任务，必须为其授予相应的系统权限和对象权限。 

　　4.1 给角色受权

　　给角色授予权限和给用户受权没有太多区别，可是要注意，系统权限的unlimited tablespace和对象权限的with grant option选项是不能授予角色的。 

SQL> conn system/manager; 
SQL> grant create session to 角色名 with admin option 
SQL> conn scott/tiger@myoral; 
SQL> grant select on scott.emp to 角色名; 
SQL> grant insert, update, delete on scott.emp to 角色名; 

　　经过上面的步骤，就给角色受权了。 

　　4.2 分配角色给某个用户 

　　通常分配角色是由dba来完成的，若是要以其它用户身份分配角色，则要求用户必须具备grant any role的系统权限。 

SQL> conn system/manager; 
SQL> grant 角色名 to blake with admin option; 

　　由于我给了with admin option选项，因此，blake能够把system分配给它的角色分配给别的用户。 

　　4.3 删除角色 

　　使用drop role，通常是dba来执行，若是其它用户则要求该用户具备drop any role系统权限。 

SQL> conn system/manager; 
SQL> drop role 角色名; 

　　问题：若是角色被删除，那么被授予角色的用户是否还具备以前角色里的权限？ 

　　答案：不具备了 

　　4.4 显示角色信息 

　　1）显示全部角色 

SQL> select * from dba_roles;

　　2）显示角色具备的系统权限 

SQL> select privilege, admin_option from role_sys_privs where role='角色名'; 

　　3）显示角色具备的对象权限 

　　经过查询数据字典视图dba_tab_privs能够查看角色具备的对象权限或是列的权限。 

　　4）显示用户具备的角色，及默认角色 

　　当以用户的身份链接到数据库时，oracle会自动的激活默认的角色，经过查询数据字典视图dba_role_privs能够显示某个用户具备的全部角色及当前默认的角色 

SQL> select granted_role, default_role from dba_role_privs where grantee = '用户名'; 

　　4.5 精细访问控制

　　精细访问控制是指用户可使用函数、策略实现更加细微的安全访问控制。若是使用精细访问控制，则当在客户端发出sql语句（select，insert，update，delete）时，oracle会自动在sql语句后追加谓词（where子句），并执行新的sql语句，经过这样的控制，可使得不一样的数据库用户在访问相同表时，返回不一样的数据信息。

 

参考资料：

http://blog.csdn.net/yjsuge/article/details/6554099

http://blog.csdn.net/junmail/article/details/4381287