Oracle权限管理小结

yejf_java

浏览: 7112 次
性别:
来自: 苏州

最近访客更多访客>>

博主相关

博客

微博

相册

留言

关于我

文章分类

社区版块

存档分类

博客分类：

Oracle

oracle sys grant revoke

/********************************************
* ORACLE 权限操作：
*        Oracle权限是非常强大的，它是一个非常庞大的系统，我们都知道Oracle是用表（系统表）来管理表（用户表）的关系型
*        数据库管理系统，在这里，我们叫系统表为数据字典
*/
-- 写在最前面：
-- 用户介绍
sys;//系统管理员，拥有最高权限
system;//本地管理员，次高权限
scott;//普通用户，密码默认为tiger,10g 后版本，默认未解锁

-- 登录方法：
sqlplus / as sysdba;//登陆sys帐户
sqlplus sys as sysdba;//同上
sqlplus scott/tiger;//登陆普通用户scott

-- 1. 权限大致可以分为两类, 一类是：系统权限，在 DBA_SYS_PRIVS数据字典中可以查看；还有一类是：对像权限，如：针对表的
-- 增、删、改、查操作，都是属于对像权限，可以通过查询 USER_TAB_PRIVS 数据字典查看
-- 使用 SYS 登录，可以查看到 DBA_SYS_PRIVS 的结构如下：
DESC DBA_SYS_PRIVS;

名称                                      是否为空? 类型
----------------------------------------- -------- -------------------

GRANTEE                                   NOT NULL VARCHAR2(30)
PRIVILEGE                                 NOT NULL VARCHAR2(40)
ADMIN_OPTION                                       VARCHAR2(3)

-- 使用普通用户登录，可以查看到 USER_TAB_PRIVS（用户对像权限）和 USER_SYS_PRIVS（用户系统权限）
DESC USER_SYS_PRIVS;

Name         Type         Nullable Default Comments
------------ ------------ -------- ------- -------------------------------
USERNAME     VARCHAR2(30) Y                User Name or PUBLIC
PRIVILEGE    VARCHAR2(40)                  System privilege
ADMIN_OPTION VARCHAR2(3) Y                Grant was with the ADMIN option

DESC USER_TAB_PRIVS;

Name       Type         Nullable Default Comments
---------- ------------ -------- ------- -------------------------------------------
GRANTEE    VARCHAR2(30)                  Name of the user to whom access was granted
OWNER      VARCHAR2(30)                  Owner of the object
TABLE_NAME VARCHAR2(30)                  Name of the object
GRANTOR    VARCHAR2(30)                  Name of the user who performed the grant
PRIVILEGE VARCHAR2(40)                  Table Privilege
GRANTABLE VARCHAR2(3) Y                Privilege is grantable
HIERARCHY VARCHAR2(3) Y                Privilege is with hierarchy option

-- 2. 创建用户
create user a identified by a default tablespace users; -- 创建一个用户
grant connect,resourct to a; -- 授与角色，角色中含有系统权限，我们下面会看到

-- 3. 查看角色, 通过数据字典 DBA_ROLES, 可以得到各个角色
DESC DBA_ROLES;

Name              Type         Nullable Default Comments
----------------- ------------ -------- ------- -------------------------------------------------------
ROLE              VARCHAR2(30)                  Role Name
PASSWORD_REQUIRED VARCHAR2(8) Y                Indicates if the role requires a password to be enabled

-- 4. 查看各角色的权限，可以通过数据字典 ROLE_SYS_PRIVS 数据字典来查看
DESC ROLE_SYS_PRIVS;

Name         Type         Nullable Default Comments
------------ ------------ -------- ------- -------------------------------
ROLE         VARCHAR2(30)                  Role name
PRIVILEGE    VARCHAR2(40)                  System Privilege
ADMIN_OPTION VARCHAR2(3) Y                Grant was with the ADMIN option

-- 4.1 我们可以查看系统创建的角色 resource 的各种权限
select role,privilege from ROLE_SYS_PRIVS where role = 'RESOURCE';

ROLE                           PRIVILEGE
------------------------------ ----------------------------------------
RESOURCE                       CREATE SEQUENCE
RESOURCE                       CREATE TRIGGER
RESOURCE                       CREATE CLUSTER
RESOURCE                       CREATE PROCEDURE
RESOURCE                       CREATE TYPE
RESOURCE                       CREATE OPERATOR
RESOURCE                       CREATE TABLE
RESOURCE                       CREATE INDEXTYPE

8 rows selected

-- 从以上输出，我们可以看出,角色 resource 拥有 8个系统权限，如上；
-- 这里我们要注意一点，细心的人可能会发现，当我们创建好一个用户，授与 resource 角色给到用户时，
-- 我们查看这个用户的系统权限时，会发现多出一个 UNLIMITED TABLESPACE 的权限，如我们第2步创
-- 建的用户 a
conn a/a
select * from user_sys_privs;

USERNAME                       PRIVILEGE                                ADMIN_OPTION
------------------------------ ---------------------------------------- ------------
A                              CREATE SESSION                           NO
A                              UNLIMITED TABLESPACE                     NO

-- 你会看到，第2行有一个 UNLIMITED TABLESPACE 的系统权限.
-- 针对这个 UNLIMITED TABLESPACE权限，它是表示可以在任易表空间下申请空间。这个系统权限很
-- 特别，它属于 resource 角色，但是，我们查数据字典时看不见。严格来说，我们不能把这个权限
-- 授与任何我们自己创建的角色。所以，在数据字典中，我们查不到它。请记住就行。

-- 5. 创建角色和授与角色系统权限
create role mytestrole ; -- 创建角色，名为：mytestrole
grant create table,create procedure,create sequence to mytestrole; -- 授与权限给角色

-- 5.1 我们可以查询数据字典来看到此权限。
select * from role_sys_privs where role = 'MYTESTROLE';

ROLE                           PRIVILEGE                                ADMIN_OPTION
------------------------------ ---------------------------------------- ------------
MYTESTROLE                     CREATE TABLE                             NO
MYTESTROLE                     CREATE SEQUENCE                          NO
MYTESTROLE                     CREATE PROCEDURE                         NO

-- 6. 授权
/*管理员授权，注：授系统权限时，只能是DBA ，授对像权限时，对像拥有者就可以 */
-- 下面是 DBA 授予系统权限的例子：
grant create session to sodi; -- 授予sodi用户创建session的权限，即登陆权限
grant unlimited session to sodi; -- 授予sodi用户使用表空间的权限
grant create table to sodi; -- 授予创建表的权限
grante drop table to sodi; -- 授予删除表的权限
grant insert table to sodi; -- 插入表的权限
grant update table to sodi; -- 修改表的权限
grant all to public; --这条比较重要，授予所有权限(all)给所有用户(public)

-- 下面是授予对像权限的例子，其中 tablename是指表名
/* oralce对权限管理比较严谨，普通用户之间也是默认不能互相访问的 */
grant select on tablename to sodi; -- 授予 sodi 用户查看指定表的权限
grant drop on tablename to sodi; -- 授予删除表的权限
grant insert on tablename to sodi; -- 授予插入的权限
grant update on tablename to sodi; -- 授予修改表的权限
grant insert(id) on tablename to sodi; -- 授予对指定表特定字段的插入和修改权限，注意，只能是insert和update
grant update(id) on tablename to sodi; -- 授予对指定表特定字段的插入和修改权限，注意，只能是insert和update
grant alert all table to sodi; -- 授予sodi用户alert任意表的权限

-- 7. 撤销权限
/* 使用 revoke 命令，使用时同 grant 一致 */
revoke create session from sodi; --撤消对 sodi用户 create session的权限
revoke insert on tablename from sodi; -- 撤消插入的权限

-- 8. 权限传递
/***********************************************************
* 通过 with admin option 选项和 with grant option 选项，二者异同点：
* 1. 相同点：
*    两者都可以用户给用户授权或者给角色授权上。
*    grant create table to a with admin option ;
      grant select on tablename to b with grant option;

* 2. 不同点：
      with admin option 只能用在授予系统权限上
      with grant option 只能用户授予对像权限上
      当DBA把系统权限create table 授予了用户 a 时，并且指定了 with admin option
如：grant create table to a with admin option
      此时，用户a可以创建表，并且还可以把 create table 权限授予用户 b，这就是权限传递
再如：grant select on tablename to a with grant option
      此时，用户a可以查询表tablename,而且用户a还可以把权限授予用户b,并且b也可以访问tablename
不过，要注意的是：当权限回收时，with grant option会传递回收；而with admin option则不会
*/
-- 例：
grant create table to a with admin option;
grant select on tablename to b with grant option;
-- 切换成用户b
select * from a.tablename; -- 可以有权限查询
-- 再授权给用户c
grant select on a.tablename to c; -- 由于上面有了 with grant option,则此语句成功
-- 切换成用户 c
select * from a.tablename; -- success.
-- 可以再测试一下，回收。

分享到：