Oracle 用户、对象权限、系统权限

 

Oracle 用户、对象权限、系统权限

分类：  Oracle 相关特性2010-06-23 11:48 16388人阅读  评论(1)  收藏  举报

oracle user sql table constraints session

--================================

--Oracle 用户、对象权限、系统权限

--================================

 

1、用户与模式

    用户：对数据库的访问，须要以适当用户身份经过验证，并具备相关权限来完成一系列动做

       SYS用户，缺省始终建立，且未被锁定，拥有数据字典及其关联的全部对象

       SYSTEM用户，缺省始终建立，且未被锁定，能够访问数据库内的全部对象

    模式(schema)：是某个用户拥有全部对象的集合。具备建立对象权限并建立了对象的用户称为拥有某个模式

 

    注意：建立数据库对象(视图,表等)的任一用户都拥有一个以该用户名称开头的模式，且被视为模式用户

 

2、建立及修改用户  

    条件：须要具备建立用户的权限，如sys,system,sysdba,dba role等

   语法： 

       CREATE USER user

        IDENTIFIED {BY password | EXTERNALLY | GLOBALLY AS external name }

       [DEFAULT TABLESPACE tablespace_name]

       [TEMPORARY TABLESPACE tablespace_name]

       [QUOTA {n {[K|M] | UNLIMITED } ON tablespace_name

        QUOTA {n {[k|M] | UNLIMITED } ON tablespace_name ... ]

       [PASSWORD EXPIRE]

       [ACCOUNT { LOCK | UNLOCK }]

       [PROFILE { profile_name | DEFAULT }]

 

    eg:

    CREATE USER  robinson IDENTIFIED BY  tiger;

   

        --省略了DEFAULT TABLESPACE和TEMPORARY TABLESPACE 时，则由database_properties中对应的参数肯定

       SQL> SELECT property_name,property_value FROM database_properties WHERE property_name LIKE 'DEFAULT%';

 

       PROPERTY_NAME                  PROPERTY_VALUE

       ------------------------------ --------------------------------------------------

       DEFAULT_TEMP_TABLESPACE        TEMP

       DEFAULT_PERMANENT_TABLESPACE   USERS

       DEFAULT_TBS_TYPE               SMALLFILE

   

        更多关于表空间的请参考：Oracle 表空间与数据文件      

    1.修改用户

        修改用户的语法同建立用户，仅仅讲关键字create替换为alter，alter user能够修改除用户名以外的任一属性

       ALTER USER robinson ACCOUNT LOCK;

   

    2.修改密码

       DBA 能够建立用户和修改密码

       用户本人可使用ALTER USER 语句修改密码

       SQL> ALTER robinson  IDENTIFIED BY  newpassword;

 

    3.删除用户：

       DROP USER username [CASCADE]

 

       CASECADE 连同用户建立的对象一并删除，若是该用户建立了对象，要加CASCADE删除，不然删除不掉

       另外，不能删除当前正在与ORACLE服务器相连的用户。

   

    4.改变用户在表空间上的配额：

       ALTER USER username  QUOTA 0 ON system;

       ALTER USER scott QUOTA UNLIMITED ON USERS;

       ALTER USER dog QUOTA 30M ON system;

 

    5.查看用户表空间配额（dba_ts_quotas)：

       SQL> SELECT USERNAME,TABLESPACE_NAME,MAX_BYTES/1024/1024 "Max MB"     

         2  FROM dba_ts_quotas WHERE USERNAME='SCOTT';

 

       USERNAME              TABLESPACE_NAME           Max MB

       ------------------------------ --------------------------

       SCOTT                 SYSTEM                     30

   

    6.查看特定对象下用户所拥有的对象

       使用dba_objects视图

       SQL> SELECT owner,object_name, object_type FROM dba_objects WHERE owner= 'SCOTT';

   

3、ORACLE权限：

    系统权限: 容许用户执行特定的数据库动做，如建立表、建立索引、链接实例等

    对象权限: 容许用户操纵一些特定的对象，如读取视图，可更新某些列、执行存储过程等

 

    1.系统权限

       超过一百多种有效的权限（SELECT * FROM SYSTEM_PRIVILEGE_MAP查）

       数据库管理员具备高级权限以完成管理任务，例如:

           –建立新用户

           –删除用户

           –删除表

           –备份表

          

a.经常使用的系统权限：

       CREATE SESSION                     建立会话

       CREATE SEQUENCE                    建立序列

       CREATE SYNONYM                     建立同名对象

       CREATE TABLE                       在用户模式中建立表

       CREATE ANY TABLE                   在任何模式中建立表

       DROP TABLE                         在用户模式中删除表

       DROP ANY TABLE                     在任何模式中删除表

       CREATE PROCEDURE                   建立存储过程

       EXECUTE ANY PROCEDURE              执行任何模式的存储过程

       CREATE USER                        建立用户

       DROP USER                          删除用户

       CREATE VIEW                        建立视图

 

 

    b.授予用户系统权限

       GRANT privilege [, privilege...] TO user [, user| role, PUBLIC...]

       [WITH ADMIN OPTION];

 

       PUBLIC     全部用户

       WITH ADMIN OPTION 使用户一样具备分配权限的权利，可将此权限授予别人

      

           SQL> GRANT CREATE SESSION,CREATE TABLE,CREATE USER TO scott;

           SQL> GRANT EXECUTE ANY PROCEDURE TO scott WITH ADMIN OPTION;

           SQL> CONN scott;    --scott具备WITH ADMIN OPTION，故能够将EXECUTE ANY PROCEDURE授予robinson

           Enter password:

           Connected.

           SQL> GRANT EXECUTE ANY PROCEDURE TO robinson;

          

           Grant succeeded.

           SQL> GRANT EXECUTE ANY PROCEDURE TO PUBLIC; --将EXECUTE ANY PROCEDURE授予全部用户

 

           Grant succeeded.

           SQL> CONN system/redhat;  --使用system为robinson授予CREATE TABLE、CREATE SESSION权限

           Connected.

           SQL> GRANT CREATE TABLE,CREATE SESSION  TO robinson;

 

           Grant succeeded.

      

    c.使用系统权限

        --使用robinson具备建立会话、建立表

           SQL> CREATE TABLE tb1 AS SELECT * FROM USER_TABLES; --下面提示没有权限在users表空间建立对象

           CREATE TABLE tb1 AS SELECT * FROM USER_TABLES

                                         *

           ERROR at line 1:

           ORA-01950: no privileges on tablespace 'USERS'

          

           SQL> CONN sys as sysdba;  --使用sys账户登录并为robinson在users表空间指定配额后能够建立表tb1

           Enter password:

           Connected.

           SQL> ALTER USER robinson QUOTA 10M ON USERS;

 

           User altered.

 

           SQL> CONN robinson/lion;

           Connected.

           SQL> CREATE TABLE tb1 AS SELECT * FROM USER_TABLES;

 

           Table created.

   

    d.查看系统权限

        dba_sys_privs  --针对全部用户被授予的系统权限

        user_sys_privs --针对当前登录用户被授予的系统权限

      

           SQL> SELECT grantee,privilege,admin_option FROM dba_sys_privs

             2  WHERE grantee IN ('SCOTT','ROBINSON')

             3  ORDER BY grantee;

 

           GRANTEE                        PRIVILEGE                                ADM

           ------------------------------ ---------------------------------------- ---

           ROBINSON                       CREATE SESSION                           NO

           ROBINSON                       CREATE TABLE                             NO

           ROBINSON                       EXECUTE ANY PROCEDURE                    NO

           SCOTT                          CREATE PUBLIC SYNONYM                    NO

           SCOTT                          CREATE SESSION                           NO

           SCOTT                          CREATE SYNONYM                           NO

           SCOTT                          CREATE TABLE                             NO

           SCOTT                          CREATE USER                              NO

           SCOTT                          CREATE VIEW                              NO

           SCOTT                          EXECUTE ANY PROCEDURE                    YES

           SCOTT                          UNLIMITED TABLESPACE                     NO

      

    e.回收系统权限

      REVOKE {privilege | role} FROM {user_name | role_name | PUBLIC}

           

           --下面的示例中并无回收掉原来由scott授予给robisnon EXECUTE ANY PROCEDURE 的权限

           SQL> REVOKE EXECUTE ANY PROCEDURE FROM scott;

 

           Revoke succeeded.

 

           SQL> select grantee,privilege,admin_option from dba_sys_privs

             2  where grantee in ('SCOTT','ROBINSON')  and privilege = 'EXECUTE ANY PROCEDURE'

             3  order by grantee;

 

           GRANTEE                        PRIVILEGE                                ADM

           ------------------------------ ---------------------------------------- ---

           ROBINSON                       EXECUTE ANY PROCEDURE                    NO

 

       注意：对于使用with admin option 为某个用户授予系统权限，那么对于被这个用户授予相同权限的全部

           用户来讲，取消该用户的系统权限并不会级联取消这些用户的相同权限

 

    2.对象权限

       不一样的对象具备不一样的对象权限

       对象的拥有者拥有全部权限

       对象的拥有者能够向外分配权限

       ORACLE一共有种对象权限

 

       对象权限         表   视图   序列   过程

       修改(alter)         √            √

       删除(delete)        √    √

       执行(execute)                             √

       索引(index)         √

       插入(insert)        √    √

       关联(references)    √    √

       选择(select)        √    √      √

       更新(update)        √    √

 

    a.对象受权

       GRANT object_priv｜ALL [(columns)]

       ON object

       TO {user|role|PUBLIC}

       [WITH GRANT OPTION];

 

       ALL：全部对象权限

       PUBLIC：授给全部的用户

       WITH GRANT OPTION：容许用户再次给其它用户受权

   

    b.授予系统权限与授予对象权限的语法差别：

       授予对象权限时须要指定关键字ON，从而可以肯定权限所应用的对象。对于表和视图能够指定特定的列来受权。

      

    --对象受权示例

       SQL> SHOW USER;

       USER is "SCOTT"

       SQL> GRANT SELECT ON emp TO robinson;

 

       Grant succeeded.

      

       SQL> GRANT UPDATE(sal,mgr) ON emp TO robinson WITH GRANT OPTION;

 

       Grant succeeded.

   

    --新建立一个用户john，使用robinson帐户授予更新scott.emp(sal,mgr)的权限

       SQL> CREATE USER john IDENTIFIED BY john;

 

       User created.

 

       SQL> GRANT CREATE SESSION TO john;

 

       Grant succeeded.

      

       SQL> CONN ROBINSON/LION

       Connected.

       SQL> GRANT UPDATE(sal,mgr) ON scott.emp TO john;   --授予scott.emp(sal,mgr)的更新权限

 

       Grant succeeded.

      

       SQL> UPDATE scott.emp SET sal = sal + 100 WHERE ename = 'SCOTT';  --成功更新

 

       1 row updated.   

   

    --向数据库中全部用户分配权限

       SQL> GRANT SELECT ON dept TO PUBLIC;

 

        Grant succeeded.

 

    c.查询权限分配状况

    数据字典视图          描述

    ROLE_SYS_PRIVS            角色拥有的系统权限

    ROLE_TAB_PRIVS            角色拥有的对象权限

 

    USER_TAB_PRIVS_MADE      查询授出去的对象权限(一般是属主本身查）

    USER_TAB_PRIVS_RECD      用户拥有的对象权限

 

    USER_COL_PRIVS_MADE      用户分配出去的列的对象权限

    USER_COL_PRIVS_RECD      用户拥有的关于列的对象权限

 

    USER_SYS_PRIVS            用户拥有的系统权限

    USER_TAB_PRIVS            用户拥有的对象权限

    USER_ROLE_PRIVS       用户拥有的角色  

      

    --查询已授予的对象权限(即某个用户对哪些表对哪些用户开放了对象权限)

        SQL> SELECT * FROM user_tab_privs_made; --下面是scott用户开放的对象权限

   

       GRANTEE              TABLE_NAME               GRANTOR                   PRIVILEGE            GRA HIE

       -------------------- ------------------------ ------------------------- -------------------- --- ---

       PUBLIC               DEPT                     SCOTT                     SELECT               NO  NO

       ROBINSON             EMP                      SCOTT                     SELECT               NO  NO  

      

    --查询列上开放的对象权限

       SQL> SELECT * FROM user_col_privs_made;

 

       GRANTEE              TABLE_NAME           COLUMN_NAME          GRANTOR        PRIVILEGE            GRA

       -------------------- -------------------- --------------------- -------------- -------------------- ---

       ROBINSON             EMP                  SAL                   SCOTT          UPDATE               YES

       JOHN                 EMP                  MGR                   ROBINSON       UPDATE               NO

       ROBINSON             EMP                  MGR                   SCOTT          UPDATE               YES

       JOHN                 EMP                  SAL                   ROBINSON       UPDATE               NO

   

    --查询已接受的对象特权(即某个用户被授予了哪些表上的哪些对象特权)

       SQL> SELECT * FROM user_tab_privs_recd;

 

       OWNER                TABLE_NAME           GRANTOR                        PRIVILEGE            GRA HIE

       -------------------- -------------------- ------------------------------ -------------------- --- ---

       SCOTT                EMP                  SCOTT                          SELECT               NO  NO

 

    --查询用户已接受列的对象权限

       SQL> SELECT * FROM user_col_privs_recd;

 

       OWNER                TABLE_NAME         COLUMN_NAME      GRANTOR              PRIVILEGE            GRA

       -------------------- ------------------ ---------------- -------------------- -------------------- ---

       SCOTT                EMP                MGR              SCOTT                UPDATE               YES

       SCOTT                EMP                SAL              SCOTT                UPDATE               YES

      

    d.收回对象权限

       使用REVOKE 语句收回权限

       使用WITH GRANT OPTION 子句所分配的权限一样被收回

 

       REVOKE {privilege [, privilege...]|ALL}

       ON object

       FROM   {user[, user...]|role|PUBLIC}

       [CASCADE CONSTRAINTS];

 

       CASCADE CONSTRAINTS 为处理引用完整性时须要

 

       --收回权限示例     

       SQL> conn scott/tiger;

       Connected.

       SQL> REVOKE SELECT ON emp FROM robinson;

 

       Revoke succeeded.

 

       SQL> REVOKE UPDATE(sal,mgr) ON emp FROM robinson; --注意此处的提示revoke的是整个表，而非列

       REVOKE UPDATE(sal,mgr) ON emp FROM robinson

                   *

       ERROR at line 1:

       ORA-01750: UPDATE/REFERENCES may only be REVOKEd from the whole table, not by column

 

 

       SQL> REVOKE UPDATE ON emp FROM robinson;

 

       Revoke succeeded.

 

       --用户robinson的update 权限被revoke,曾级联赋予john的权限也被收回，

       --以下提示表、视图不存在，user_col_privs_recd中无记录

       SQL> CONN john/john;

       Connected.

       SQL> UPDATE scott.emp SET sal = sal - 100 WHERE ename = 'SCOTT';

       UPDATE scott.emp SET sal = sal - 100 WHERE ename = 'SCOTT'

                   *

       ERROR at line 1:

       ORA-00942: table or view does not exist

 

       SQL> SELECT * FROM user_col_privs_recd;

 

       no rows selected

 

    注意：若是取消某个用户的对象权限，对于该用户使用with grant option授予其它用户相同权限来讲，

       将级联删除这些用户权限

 

    e.其它

       检查DBA权限的用户  

           select * from dba_role_privs where granted_role='DBA'; 

 

       查看用户具备的系统权限：

           SELECT * FROM session_privs;

 

4、总结

    1.使用create user语句建立用户，alter user语句修改用户，其语法大体相同

        drop user username [CASCADE] 会删除用户所拥有的全部对象及数据

    2.系统权限容许用户在数据库中执行特定的操做，如执行DDL语句。

        with admin option 使得该用户具备将自身得到的权限授予其它用户的功能

       但收回系统权限时，不会从其它账户级联取消曾被授予的相同权限

    3.对象权限容许用户对数据库对象执行特定的操做，如执行DML语句。

        with grant option 使得该用户具备将自身得到的对象权限授予其它用户的功能

       但收回对象权限时，会从其它账户级联取消曾被授予的相同权限

    4.系统权限与对象权限授予时的语法差别为对象权限使用了ON object_name 子句

    5. PUBLIC 为全部的用户

    6. ALL：对象权限中的全部对象权限