21.Oracle权限的详细说明

Oracle权限管理详解

Oracle 权限

权限允许用户访问属于其他用户的对象或执行程序。ORACLE系统提供三种权限：对象级、系统级和角色级。这些权限可以授予用户、特殊用户公共或角色。如果将权限授予特殊用户“public”(用户public是由oracle预定义的，每个用户都享有与该用户相同的权限)，这意味着该权限将授予数据库的所有用户。

要管理权限，角色是一种工具，可以将权限授予一个角色，也可以将角色授予另一个角色或用户。用户可以通过角色继承权限，角色服务除了管理权限没有其他目的。可以用同样的方式授予或撤销权限。

权限分类

1.系统权限：系统规定用户使用数据库的权限。(系统权限属于用户)。

2.实体权限：对其他用户的表或视图具有一定权限的用户的访问权限。(对于表格或视图)。系统权限管理

系统权限的分类：

DBA:拥有所有特权，是系统的最高权威。只有数据库管理员才能创建数据库结构。

RESOURCE:具有资源权限的用户只能创建实体，不能创建数据库结构。

CONNECT:具有CONNECT权限的用户只能登录Oracle，不能创建实体或数据库结构。

对于普通用户：授予连接、资源权限。

对于dba管理用户：授予连接、资源、DBA权限。

系统权限授权命令：

系统权限只能由DBA用户授予：sys、System(最初只有这两个用户)

授权：SQL将连接、资源、数据库管理员授予用户名1 [，用户名2].

注：普通用户可以通过授权获得与系统相同的用户权限，但永远达不到与sys用户相同的权限，系统用户的权限也可以回收。

示例：

SQL连接系统/管理器

创建由用户50标识的用户50；

SQL授权连接，资源到用户50；

查询用户拥有权限的位置：

SQL从dba _ role _ privs中选择*；

SQL从dba _ sys _ privs中选择*；

SQL从role _ sys _ privs中选择*；

检查您拥有的系统权限。

SQL从session _ privs中选择*；

删除用户

SQL删除用户用户名级联；//添加级联删除所有用户和他们创建的东西。

系统权限转移：

添加选项WITH ADMIN OPTION，获得的权限可以转移。

SQL授权连接，使用管理选项重新连接到用户50；//可以通过获得的权利。

系统权限回收：系统权限只能由DBA用户回收。

从用户50撤销连接资源；

描述：

1)如果用户被授予具有ADMIN OPTION的系统权限，取消该用户的系统权限不会级联取消这些用户对该用户授予相同权限的所有用户的相同权限。

2)不存在系统权限级联，即A授予B and B权限授予C权限，如果A撤销B权限，C权限不受影响；系统权限可以跨用户恢复，即A可以直接恢复C用户的权限。实体权限管理

实体权限分类

选择、更新、插入、更改、索引、删除、全部//全部包括所有权限。

执行//执行存储过程的权限

用户01:

SQL将产品上的选择、更新、插入权限授予用户02；

SQL将产品上的所有权限授予用户02；

用户02:

SQL从user01.product中选择*；

//此时，user02查找user_tables，不包括表user01.product，但是如果查找all_tables，就可以找到，因为他可以访问。

将表的操作权限授予所有用户：

SQL将产品上的所有权限授予公众；//public表示所有用户，这里的all right不包括drop。

实体权威数据字典

SQL从所有表中选择所有者、表名；//用户可以查询的表

SQL从用户表中选择表名；//用户创建的表

SQL选择授予者，

table_schema, table_name, privilege from all_tab_privs;// 获权可以存取的表（被授权的）
SQL select grantee, owner, table_name, privilege from user_tab_privs; // 授出权限的表(授出的权限)
DBA用户可以操作全体用户的任意基表(无需授权，包括删除)：
DBA用户：
SQL Create table stud02.product(
id number(10),
name varchar2(20));
SQL drop table stud02.emp;

SQL create table stud02.employee
as
select * from scott.emp;
实体权限传递(with grant option)：
user01:
SQL grant select, update on product to user02 with grant option;// user02得到权限，并可以传递。
实体权限回收：
user01:
SQLRevoke select, update on product from user02;//传递的权限将全部丢失。
说明
1）如果取消某个用户的对象权限，那么对于这个用户使用WITH GRANT OPTION授予权限的用户来说，同样还会取消这些用户的相同权限，也就是说取消授权时级联的。
Oracle 角色管理
角色是一组权限的集合，将角色赋给一个用户，这个用户就拥有了这个角色中的所有权限。系统预定义角色是在数据库安装后，系统自动创建的一些常用的角色。下介简单的介绍一下这些预定角色。角色所包含的权限可以用以下语句查询：
sqlselect * from role_sys_privs where role='角色名';
CONNECT, RESOURCE, DBA：这些预定义角色主要是为了向后兼容。其主要是用于数据库管理。oracle建议用户自己设计数据库管理和安全的权限规划，而不要简单的使用这些预定角色。将来的版本中这些角色可能不会作为预定义角色。
DELETE_CATALOG_ROLE， EXECUTE_CATALOG_ROLE， SELECT_CATALOG_ROLE：这些角色主要用于访问数据字典视图和包。
EXP_FULL_DATABASE， IMP_FULL_DATABASE：这两个角色用于数据导入导出工具的使用。
AQ_USER_ROLE， AQ_ADMINISTRATOR_ROLE：AQ:Advanced Query。这两个角色用于oracle高级查询功能。
SNMPAGENT：用于oracle enterprise manager和Intelligent Agent
RECOVERY_CATALOG_OWNER：用于创建拥有恢复库的用户。关于恢复库的信息，参考oracle文档《Oracle9i User-Managed Backup and Recovery Guide》
HS_ADMIN_ROLE：A DBA using Oracle's heterogeneous services feature needs this role to access appropriate tables in the data dictionary.
管理角色
建一个角色
sqlcreate role role1;
授权给角色
sqlgrant create any table,create procedure to role1;
授予角色给用户
sqlgrant role1 to user1;
查看角色所包含的权限
sqlselect * from role_sys_privs;
创建带有口令以角色(在生效带有口令的角色时必须提供口令)
sqlcreate role role1 identified by password1;
修改角色：是否需要口令
sqlalter role role1 not identified;
sqlalter role role1 identified by password1;
设置当前用户要生效的角色
(注：角色的生效是一个什么概念呢假设用户a有b1,b2,b3三个角色，那么如果b1未生效，则b1所包含的权限对于a来讲是不拥有的，只有角色生效了，角色内的权限才作用于用户，最大可生效角色数由参数MAX_ENABLED_ROLES设定；在用户登录后，oracle将所有直接赋给用户的权限和用户默认角色中的权限赋给用户。）
sqlset role role1;//使role1生效
sqlset role role,role2;//使role1,role2生效
sqlset role role1 identified by password1;//使用带有口令的role1生效
sqlset role all;//使用该用户的所有角色生效
sqlset role none;//设置所有角色失效
sqlset role all except role1;//除role1外的该用户的所有其它角色生效。
sqlselect * from SESSION_ROLES;//查看当前用户的生效的角色。
修改指定用户，设置其默认角色
sqlalter user user1 default role role1;
sqlalter user user1 default role all except role1;
详见oracle参考文档
9.删除角色
sqldrop role role1;
角色删除后，原来拥用该角色的用户就不再拥有该角色了，相应的权限也就没有了。
说明:
1)无法使用WITH GRANT OPTION为角色授予对象权限
2)可以使用WITH ADMIN OPTION 为角色授予系统权限,取消时不是级联

与权限安全相关的数据字典表有:
ALL_TAB_PRIVS
ALL_TAB_PRIVS_MADE
ALL_TAB_PRIVS_RECD
DBA_SYS_PRIVS
DBA_ROLES
DBA_ROLE_PRIVS
ROLE_ROLE_PRIVS
ROLE_SYS_PRIVS
ROLE_TAB_PRIVS
SESSION_PRIVS
SESSION_ROLES
USER_SYS_PRIVS
USER_TAB_PRIV
oracle的系统和对象权限列表
alter any cluster 修改任意簇的权限
alter any index 修改任意索引的权限
alter any role 修改任意角色的权限
alter any sequence 修改任意序列的权限
alter any snapshot 修改任意快照的权限
alter any table 修改任意表的权限
alter any trigger 修改任意触发器的权限
alter cluster 修改拥有簇的权限
alter database 修改数据库的权限
alter procedure 修改拥有的存储过程权限
alter profile 修改资源限制简表的权限
alter resource cost 设置佳话资源开销的权限
alter rollback segment 修改回滚段的权限
alter sequence 修改拥有的序列权限
alter session 修改数据库会话的权限
alter sytem 修改数据库服务器设置的权限
alter table 修改拥有的表权限
alter tablespace 修改表空间的权限
alter user 修改用户的权限
analyze 使用analyze命令分析数据库中任意的表、索引和簇
audit any 为任意的数据库对象设置审计选项
audit system 允许系统操作审计
backup any table 备份任意表的权限
become user 切换用户状态的权限
commit any table 提交表的权限
create any cluster 为任意用户创建簇的权限
create any index 为任意用户创建索引的权限
create any procedure 为任意用户创建存储过程的权限
create any sequence 为任意用户创建序列的权限
create any snapshot 为任意用户创建快照的权限
create any synonym 为任意用户创建同义名的权限
create any table 为任意用户创建表的权限
create any trigger 为任意用户创建触发器的权限
create any view 为任意用户创建视图的权限
create cluster 为用户创建簇的权限
create database link 为用户创建的权限
create procedure 为用户创建存储过程的权限
create profile 创建资源限制简表的权限
create public database link 创建公共数据库链路的权限
create public synonym 创建公共同义名的权限
create role 创建角色的权限
create rollback segment 创建回滚段的权限
create session 创建会话的权限
create sequence 为用户创建序列的权限
create snapshot 为用户创建快照的权限
create synonym 为用户创建同义名的权限
create table 为用户创建表的权限
create tablespace 创建表空间的权限
create user 创建用户的权限
create view 为用户创建视图的权限
delete any table 删除任意表行的权限
delete any view 删除任意视图行的权限
delete snapshot 删除快照中行的权限
delete table 为用户删除表行的权限
delete view 为用户删除视图行的权限
drop any cluster 删除任意簇的权限
drop any index 删除任意索引的权限
drop any procedure 删除任意存储过程的权限
drop any role 删除任意角色的权限
drop any sequence 删除任意序列的权限
drop any snapshot 删除任意快照的权限
drop any synonym 删除任意同义名的权限
drop any table 删除任意表的权限
drop any trigger 删除任意触发器的权限
drop any view 删除任意视图的权限
drop profile 删除资源限制简表的权限
drop public cluster 删除公共簇的权限
drop public database link 删除公共数据链路的权限
drop public synonym 删除公共同义名的权限
drop rollback segment 删除回滚段的权限
drop tablespace 删除表空间的权限
drop user 删除用户的权限
execute any procedure 执行任意存储过程的权限
execute function 执行存储函数的权限
execute package 执行存储包的权限
execute procedure 执行用户存储过程的权限
force any transaction 管理未提交的任意事务的输出权限
force transaction 管理未提交的用户事务的输出权限
grant any privilege 授予任意系统特权的权限
grant any role 授予任意角色的权限
index table 给表加索引的权限
insert any table 向任意表中插入行的权限
insert snapshot 向快照中插入行的权限
insert table 向用户表中插入行的权限
insert view 向用户视图中插行的权限
lock any table 给任意表加锁的权限
manager tablespace 管理（备份可用性）表空间的权限
references table 参考表的权限
restricted session 创建有限制的数据库会话的权限
select any sequence 使用任意序列的权限
select any table 使用任意表的权限
select snapshot 使用快照的权限
select sequence 使用用户序列的权限
select table 使用用户表的权限
select view 使用视图的权限
unlimited tablespace 对表空间大小不加限制的权限
update any table 修改任意表中行的权限
update snapshot 修改快照中行的权限
update table 修改用户表中的行的权限
update view 修改视图中行的权限

阅读原文