oracle课件

数据库安全-----学习总结一个Oracle 数据库系统就像一个社会系统一样，当系统变得越老越大是，其人员、资源以及安全的管理和维护就变得越来越复杂，也越来越困难。

针对数据库的安全问题，有很多预防及解决的方法，先将本人对安全的认识及初步的管理操作总结如下：一、用户及系统资源和安全的管理1、创建用户：Create user 用户名Identified {by 口令|externally |globally as external name}[ default tablespace 表空间名][ temporary tablespace 表空间名][quota {正整数[K | M] |unlimted } on 表空间名] //设置表空间的大小……[password expire] // 允许用户在第一次登陆时修改密码[account { lock | unlock }][profile {概要文件名| default}] //默认概要文件名2、查看DOG用户的表空间的大小：SQL>select username ,tablespace_name, bytes/1024/1024 MB, max_bytes/1024/1024 “max mb”From dba_ts_quotasWhere username=’DOG’3、修改用户在表空间上的大小：SQL> alter user dogQuota 12 M on 表空间名4、删除用户：SQL> drop user dog5、用户的安全控制域还包括：账户上锁、资源限制、直接权限、角色权限，它们通过概要文件赋予用户不同的权力，利用概要文件进行管理时可以加在会话一级，也可以加在调用一级，也可同时加于二者之上注：要想利用概要文件来控制资源的使用必须开启资源限制，但是口令限制只要定义了就起作用。

开启资源限制：ALTER SYSTEM SET RESOURCE_LIMT=TRUE6、创建资源限制的概要文件：CREATE PROFILE 概要文件名LIMIT[SESSIONS_PER_USER 最大值] //每个用户所允许的并行会话数[CPU_PER_SESSION 最大值] //总共的CPU时间，单位1%s[CPU_PER_CALL 最大值] //调用CPU的时间[CONNECT_TIME最大值] //连接的时间，单位是分[IDLE_TIME最大值] //没有活动的时间，只记算服务器的进程[LOGICAL_READS_PER_SESSION 最大值] //物理和逻辑读的数据块数[LOGICAL_READS_PER_CALL 最大值] //每个调用可以读的数据块数7、查看概要文件的详细情况：SQL> SELECT *FROM dba_profilesWHERE profile like ‘名字’8、口令管理：1）、口令账户加锁，通过以下两个参数实现：FAILED_LOGIN_ATTEMPTS(账户被锁之前可以登录失败的次数)、PASSWORD_LOCK_TIME（账户被锁住的天数）2）、口令衰老和过期的控制函数：PASSWORD_LIFE_TIME 、PASSWORD_GRACE_TIME 3）、口令历史的控制函数：PASSWORD_REUSE_TIME(在一个口令可以重用之前的天数) 、PASSWORD_REUSE_MAX(在一个口令可以重用之前的最大变化数)9、删除概要文件：SQl>DROP PROFILE 名字实例：创建概要文件，要求: 最多可以尝试登陆的次数为4次，若4次过后则该用户被上锁，口令的有效期为91天，若一个口令失效则需过28天才能重用，当一个口令失效后系统给用户7天宽免期，为了减少数据库的连接总数，每个用户最多可以开启3个会话，每个用户使用的处理器时间不能超过16800s，每个会话最多的逻辑阅读量为23688个数据块，为了防止一个用户长期挂在数据库系统上，规定每个用户的连接时间最多为180min，每个用户的空闲时间为28min.SQL>CREATE PROFILE AAAFAILED_LOGIN_ATTEMPTS 4PASSWORD_LOCK_TIME UNLIMITEDPASSWORD_LIFE_TIME 91PASSWORD_REUSE_TIME 28PASSWORD_GRACE_TIME 7SESSIONS_PER_USER 3CPU_PER_SESSION 16800LOGICAL_READS_PER_SESSION 23688CONNECT_TIME 180IDLE_TIME 28二、管理权限1、分类：系统权限（访问、使用数据库的权力）、对象权限（维护数据库的对象的权力）2、系统权限包括：（1）、用户权限：CREATE USER , ALTER USER , DROP USER;（2）、关于表的权限：SELECT ANY TABLE, UPDATE ANY TABLE,DELETE ANY TABLE, CREATE ANY TABLE, DROP ANY TABLE, ALTER ANY TABLE,CREATE TABLE;（3）、表空间的权限：CREATE TABLESPACE, DROP TABLESPACE. ALTER TABLESPACE, UNIMITED TABLESPACE;（4）、关于索引的权限：CREATE ANY INDEX, DROP ANY INDEX,ALTER ANY INDEX ;（5）、关于会话的权限：CREATE SESSION, ALTER SESSION;注：特殊的权限○1SYSOPER: STARTUP , SHUTDOWN, ALTER DATABASE OPEN|MOUNT| BACKUP, ARCHIVELOG, RECOVERY, CREATE SPFILE , RESTRICTED SESSION;○2SYSDBA: SYSOPER 权限WITH ADMIN OPTION, CREATE DATABASE, ALTER TABLESPACE BEGIN/END BACKUP, RECOVER DATABASE UNTIL;注:因为以上两个权限非常重要，所以只有在系统维护时才使用。

3、授予系统权限：（1）、当一个用户想将自己的权限（或一部分）分享给其他用户时，需先登录Sysdba用户，利用权限授予语句：○1grant 系统权限语句to 用户1 with admin option （权限回收不级联）；○2、grant 对象权限语句to 用户1 with grant option （权限回收级联）；（2）、查询用户权限：SQL> SELECT *FROM dba_sys_privsWHERE grantee=’CAT’4、回收系统权限：REVOKE 权限FROM 用户三、管理角色1、角色；一组命名的相关权限，可以通过角色名授予用户或别的角色，但不能授予自己，也不可循环授予，角色名必须是唯一的，角色不属于任何用户，也不属于任何用户模式，而是存放在数据字典中。

2、创建角色：create role 名字注：如果使用了not identified 和identified externally 时，该角色将被自动授予with admin option选项。

3、查询角色密码信息：SQL> SELECT *FROM dba_rolesWHERE role in (‘名字1’,’名字2’)；4、角色的修改: alter role ***修改的语句角色的授予和系统权限的授予相似。

5、默认角色：在用户登录系统时能够自动激活，定义语句：SQL> ALTER USER ** DEFAULT 角色名注：default role 语句在以下情况时不能使用：（1）、通过其他角色授予的角色；（2）、没有直接授予该用户的角色；（3）、通过外部服务管理的角色；6、激活角色：set role ** identified by *******禁止角色：set role none7、角色回收：REVOKE ** ,**** FROM ###,#####注：从所有的用户收回角色的命令不能收回单独赋予用户的如何角色。

用户、概要文件、权限和角色的应用实例：要求：创建四个用户且对每个用户的系统资源、安全限制进行有效的控制，为了管理和维护的方便，将所有用户的默认表空间设为pioneer_data,排序表空间设为pioneer_temp,将概要文件pioneer_prof 赋予以上用户，将connect 和resource两个角色赋予以上用户，且自己在创建一个角色。

步骤：1、新建一个角色changeSQL>CREATE ROLE changeIDENTIFIED BY zhubajie2、查询角色信息SQL>SELECT *FROM dba_rolesWHERE role = ‘CHANGE’3、赋权SQL>GRANT select any table TO change4、查看赋权是否成功SQL>SELECT *FROM ROLE _SYS_PRIVSWHERE role = ‘CHANGE’5、连接sysdbaSQL>connect sys/oracle as sysdba6、新建用户SQL> REATE USER sudajiIDENTIFIED BY szhouwangDEFAULT TABLESPACE pioneer_dataTEMPORARY TABLESPACE pioneer_tempQUOTA 38 M ON pioneer_dataQUOTA 28M ON pioneer_indxPROFILE pioneer_profSQL> REATE USER wuzetianIDENTIFIED BY dazhouDEFAULT TABLESPACE pioneer_dataTEMPORARY TABLESPACE pioneer_tempQUOTA 38 M ON pioneer_dataQUOTA 28M ON pioneer_indxPROFILE pioneer_profSQL> REATE USER yguifeiIDENTIFIED BY lilongjiDEFAULT TABLESPACE pioneer_dataTEMPORARY TABLESPACE pioneer_tempQUOTA 38 M ON pioneer_dataQUOTA 28M ON pioneer_indxPROFILE pioneer_profSQL> REATE USER pjinlianIDENTIFIED BY wudaDEFAULT TABLESPACE pioneer_dataTEMPORARY TABLESPACE pioneer_tempQUOTA 38 M ON pioneer_dataQUOTA 28M ON pioneer_indxPROFILE pioneer_prof7、赋予角色SQL> GRANT CONNECT ,RESOURCE, change to sudaji, wuzetian,yguifei,pjinlian;8、赋予默认角色Sql> alter user sudaji default role all except change;Sql> alter user wuzetian default role all except change;Sql> alter user yguifei default role all except change;Sql> alter user pjinlian default role all except change;9、查看用户表空间和概要文件的信息SQL>SELECTUSERNAME ,DEFAULT_TABLESPACE,TEMPORY_TABLESPACE,CREATED,PROFILE FROM dba_usersWHERE DEFAULT_TABLESPAE LIKE ‘PI%’10、查看用户具有的角色及其默认状态SQL>SELECT *FROM dba_role_privsWHERE grantee in (‘ SUDAJI’,’WUZETIAN’,’YGUIFEI’,’PJINLIAN’);。