Контроль доступа к базе данных

Разбить на страницы

Показывать лекцию целиком

Привилегии

Привилегии пользователей назначаются им администратором базы данных и определяют,какие действия над данными и над объектами схемы являются разрешенными. При контроле привилегий используется имя пользователя базы данных, называемое иногда идентификатором авторизации (Autorization ID). Некоторые СУБД идентифицируют понятие "пользователь" с понятием "учетная запись".

Все объекты пользователя БД входят в его схему. На практике один пользователь, как правило, ассоциируется с одной схемой, хотя стандарт подразумевает, что одному пользователю может принадлежать несколько схем, содержащих взаимосвязанные объекты.

После успешного завершения процедуры идентификации открывается сеанс пользователя и устанавливается соединение с базой данных.

Существуют привилегии двух типов:

системные привилегии (system privileges), контролирующие общий доступ к базе данных ;

объектные привилегии (object privileges), контролирующие доступ к конкретным объектам базы данных.

Синтаксис, используемый для работы с привилегиями, на практике значительно шире стандарта, но в значительной степени зависит от архитектуры конкретной БД.

Для управления привилегиями определены следующие правила:

объект принадлежит пользователю, его создавшему (если синтаксисом не указано создание объекта другого пользователя, конечно, при соответствующих полномочиях);

владелец объекта, согласно стандарту, может изменять привилегии своего объекта (в коммерческих СУБД, таких как Oracle, уровни полномочий представляют собой более сложную иерархию);

объектная привилегия всегда соотносится с конкретным объектом, а системная - с объектами вообще.

Язык SQL поддерживает следующие привилегии:

ALTER - позволяет выполнять оператор ALTER TABLE;

SELECT - позволяет выполнять оператор запроса;

INSERT - позволяет выполнять добавление строк в таблицу;

UPDATE - позволяет изменять значения во всей таблице или только в некоторых столбцах;

DELETE - позволяет удалять строки из таблицы;

REFERENCES - позволяет устанавливать внешний ключ с использованием в качестве родительского ключа любых столбцов таблицы или только некоторых из них;

INDEX - позволяет создавать индексы (не входит в стандарт SQL-92);

DROP - позволяет удалять таблицу из схемы базы данных.

Предоставление и снятие привилегий

Предоставление привилегии выполняется SQL-оператором GRANT , который имеет в стандарте SQL-92 следующее формальное описание:

GRANT
 ON { [TABLE] table_name 
       | DOMAIN domain_name 
       | COLLATION collation_name
       | CHARACTER SET set_name
       | TRANSLATION translation_name }
TO { user_name .,: } | PUBLIC
[ WITH GRANT OPTION ]

где privilege определяется как

{ ALL PRIVELEGES }
      | SELECT  
      | DELETE
      | INSERT [(field .,:)]
      | UPDATE [(field .,:)]
      | REFERENCES [(field .,:)]
      | USAGE

После фразы GRANT через запятую можно перечислить список всех назначаемых привилегий.

Фраза ON определяет объект, для которого устанавливается привилегия.

Фраза TO указывает пользователя или пользователей, для которых устанавливается привилегия.

Так, оператор GRANT SELECT ON tbl1 TO PUBLIC; предоставляет доступ к выполнению оператора SELECT для таблицы tbl1 не только всем существующим пользователям, но и тем, которые позднее будут добавлены в базу данных.

Оператор GRANT UPDATE ON tbl1 TO user1; предоставляет пользователю user1 привилегию UPDATE на всю таблицу, а оператор GRANT UPDATE (f1,f2) ON tbl1 TO user1 предоставляет привилегию UPDATE для изменения только столбцов f1 и f2.

Фраза WITH GRANT OPTION предоставляет получающему привилегию пользователю дополнительную привилегию GRANT OPTION,позволяющую выполнять передачу полученных привилегий.

Отмена привилегии выполняется SQL-оператором REVOKE, который имеет в стандарте SQL-92 следующее формальное описание:

REVOKE [ GRANT OPTION FOR ]
      { ALL PRIVILEGES } | privilege    
      ON { [TABLE] table_name
           | DOMAIN domain_name 
           | COLLATION collation_name
           | CHARACTER SET set_name
           | TRANSLATION translation_name }
      FROM { PUBLIC | user_name .,: }
      [ CASCADE | RESTRICT ]

После фразы REVOKE через запятую можно перечислить список всех отменяемых привилегий.

Фраза ON определяет объект, для которого отменяется привилегия.

Фраза FROM указывает пользователя или пользователей, для которых отменяется привилегия.

Фраза GRANT OPTION FOR определяет отмену не самих привилегий, а только права их передачи другим пользователям.

Если одна привилегия вместе с опцией WITH GRANT OPTION была последовательно передана от одного пользователя другому несколько раз, то образуется цепочка зависимых привилегий. Фразы CASCADE и RESTRICT определяют, что будет происходить с этими привилегиями при отмене одного из звеньев этой цепочки.

Если при отмене зависимой привилегии для объекта не остается ни одной существующей привилегии, то такой объект называется несостоявшимся. Например, подобное может произойти с представлением, созданным как запрос к таблице, привилегия на которую была утрачена. Эта ситуация показана на рис. 8.1.

(рис 8.1) Появление несостоявшегося объекта

Если при отмене привилегии появляется несостоявшийся объект, то фраза RESTRICT предотвратит выполнение оператора REVOKE, и никакие привилегии отменены не будут.

Если указана фраза CASCADE и при отмене привилегии появляется несостоявшийся объект, то все несостоявшиеся объекты (представления) удаляются, а при наличии несостоявшихся ограничений в таблицах они отменяются автоматически, выполнением оператора ALTER TABLE несостоявшиеся ограничения в доменах отменяются автоматически выполнением оператора ALTER DOMAIN.

Роли

Ролью называется именованный набор привилегий. Объединение привилегий в роли значительно упрощает процесс назначения и снятия привилегий. Если СУБД поддерживает управление ролями, то в SQL-операторах GRANT и REVOKE вместо имени пользователя можно указывать имя роли.

Многоуровневый контроль доступа в БД Oracle

Среди современных коммерческих СУБД базу данных Oracle можно считать одной из самых продвинутых в области контроля доступа. Все привилегии делятся на системные и объектные.

Синтаксис оператора GRANT, выполняющего предоставление пользователям или ролям системных полномочий и ролей, может быть представлен следующей схемой:

Предоставление пользователям или ролям привилегий над обычными объектами БД Oracle также может быть показано на примере следующей схемы:

system_priv - предоставляемое системное полномочие.

role - предоставляемая роль.

TO -определяет пользователей или роли, которым предоставляются системные или объектные полномочия.

PUBLIC - указывает, что системные или объектные полномочия, определяемые оператором, предоставляются всем пользователям.

WITH ADMIN OPTION - позволяет пользователю, получившему системные или объектные полномочия или роль, предоставлять их в дальнейшем другим пользователям или ролям. Такое разрешение включает и возможность изменения или удаления роли. (Синтаксически данная опция отличается от стандарта SQL-92.)

object_priv - определяет предоставляемую привилегию, которая может быть указана одним из следующих значений:

ALTER

DELETE

EXECUTE (только для процедур, функций и пакетов)

INDEX (только для таблиц)

INSERT

REFERENCES (только для таблиц)

SELECT

UPDATE.

column - определяет столбец таблицы или представления, на который распространяется предоставляемая привилегия.

ON - определяет объект (таблицу, вид, хранимую процедуру, снимок), на который предоставляется привилегия.

Например:

GRANT SELECT, UPDATE ON tbl1 TO PUBLIC 
GRANT REFERENCES  (f1), UPDATE (f1, f2, f3) 
        ON user1.tbl1 TO user2

Приведем список предоставляемых оператором GRANT системных полномочий, который характеризует систему контроля доступа БД Oracle. К системным полномочиям относятся следующие:

ALTER ANY CLUSTER - разрешает получившему эти полномочия изменение любого кластера в любой схеме;

ALTER ANY INDEX - разрешает изменение любого индекса в любой схеме;

ALTER ANY PROCEDURE - разрешает изменение любой хранимой функции, процедуры или пакета в любой схеме;

ALTER ANY ROLE - разрешает изменение в базе данных любой роли;

ALTER ANY SEQUENCE - разрешает изменение в базе данных любой последовательности;

ALTER ANY SNAPSHOT - разрешает изменение в базе данных любого снимка;

ALTER ANY TABLE - разрешает изменение в схеме любой таблицы или вида;

ALTER ANY TRIGGER - позволяет разрешать, запрещать или компилировать любой триггер базы данных в любой схеме; изменение в базе данных любой роли;

ALTER DATABASE - разрешает изменение базы данных;

ALTER PROFILE - разрешает изменение профилей;

ALTER RESOURCE COST - разрешает устанавливать цену ресурсов сеанса работы пользователя;

ALTER ROLLBACK SEGMENT - разрешает изменение сегментов отката;

ALTER SESSION - разрешает выполнение оператора ALTER SESSION ;

ALTER SYSTEM - разрешает выполнение оператора ALTER SYSTEM ;

ALTER TABLESPACE - разрешает изменение табличных пространств;

ALTER USER - разрешает изменение параметров для любого пользователя (пароль, количество доступного табличного пространства, назначенный профиль и т.п.);

ANALYZE ANY - разрешает анализировать таблицу, кластер или индекс в любой схеме;

AUDIT ANY - разрешает выполнять аудит любого объекта в любой схеме;

AUDIT SYSTEM - разрешает выполнение SQL-оператора AUDIT ;

BACKUP ANY TABLE - позволяет выполнять экспорт объектов из схемы других пользователей;

BECOME USER - позволяет становиться другим пользователем (требуется при импорте БД);

COMMENT ANY TABLE - разрешает получившему эти полномочия комментарий для любой таблицы, вида или столбца в любой схеме;

CREATE ANY CLUSTER ;

CREATE ANY INDEX ;

CREATE ANY LIBRARY ;

CREATE ANY PROCEDURE ;

CREATE ANY SEQUENCE ;

CREATE ANY SNAPSHOT ;

CREATE ANY SYNONYM ;

CREATE ANY TABLE ;

CREATE ANY TRIGGER ;

CREATE ANY VIEW ;

CREATE CLUSTER - разрешает создавать кластер в своей схеме (системное полномочие, не содержащее в названии фразу ANY, распространяется только на собственную схему пользователя);

CREATE DATABASE LINK - разрешает создавать линк базы данных в своей схеме;

CREATE PROCEDURE ;

CREATE PROFILE ;

CREATE PUBLIC DATABASE LINK - разрешает создавать общедоступные линки базы данных;

CREATE PUBLIC SYNONYM ;

CREATE ROLE - разрешает создание ролей;

CREATE ROLLBACK SEGMENT ;

CREATE LIBRARY ;

CREATE SEQUENCE ;

CREATE SESSION - разрешает соединение с базой данных;

CREATE SNAPSHOT;

CREATE SYNONYM;

CREATE TABLE;

CREATE TABLESPACE ;

CREATE TRIGGER;

CREATE USER ;

CREATE VIEW ;

DELETE ANY TABLE ;

DROP ANY CLUSTER ;

DROP ANY INDEX - разрешает удаление любого индекса;

DROP ANY LIBRARY ;

DROP ANY PROCEDURE ;

DROP ANY ROLE ;

DROP ANY SEQUENCE ;

DROP ANY SNAPSHOT ;

DROP ANY SYNONYM ;

DROP ANY TABLE ;

DROP ANY TRIGGER ;

DROP ANY VIEW ;

DROP LIBRARY ;

DROP PROFILE ;

DROP PUBLIC DATABASE LINK ;

DROP PUBLIC SYNONYM ;

DROP ROLLBACK SEGMENT ;

DROP TABLESPACE ;

DROP USER ;

EXECUTE ANY PROCEDURE - разрешает выполнение процедур и функций, а также ссылки на общедоступные переменные пакетов в любой схеме;

FORCE ANY TRANSACTION - позволяет выполнять фиксацию или откат любой сомнительной распределенной транзакции на локальной базе данных, а также определять сбой распределенной транзакции;

FORCE TRANSACTION - позволяет выполнять фиксацию или откат собственной сомнительной распределенной транзакции на локальной базе данных;

GRANT ANY PRIVILEGE ;

GRANT ANY ROLE ;

INSERT ANY TABLE ;

LOCK ANY TABLE ;

MANAGE TABLESPACE - разрешает переключение табличного пространства из автономного режима в оперативный или обратно, а также разрешает выполнять копирование табличного пространства;

RESTRICTED SESSION ;

SELECT ANY SEQUENCE ;

SELECT ANY TABLE ;

UNLIMITED TABLESPACE - разрешает неограниченное использование любого табличного пространства.Предоставление этого полномочия перекрывает любые ограничения на количество доступного табличного пространства, ранее установленные для пользователя;

UPDATE ANY TABLE - разрешает изменение строк в таблицах и видах любой схемы.

При создании базы данных Oracle некоторые роли создаются автоматически. Следующая таблица содержит названия автоматически создаваемых Oracle ролей и список предоставляемых ими системных полномочий. Эти роли создают иерархию предоставляемых полномочий.

Роль	Предоставляемые системные полномочия и роли
`CONNECT`	`ALTER SESSION`
	`CREATE CLUSTER`
	`CREATE DATABASE LINK`
	`CREATE SEQUENCE`
	`CREATE SESSION`
	`CREATE SYNONYM`
	`CREATE TABLE`
	`CREATE VIEW`
`RESOURCE`	`CREATE CLUSTER`
	`CREATE PROCEDURE`
	`CREATE SEQUENCE`
	`CREATE TABLE`
	`CREATE TRIGGER`
`DBA`	Все системные полномочия `WITH ADMIN OPTION`
	`EXP_FULL_DATABASE (роль)`
	`IMP_FULL_DATABASE` (роль)
`EXP_FULL_DATABASE`	`SELECT ANY TABLE`
	`BACKUP ANY TABLE`
	`INSERT, UPDATE, DELETE`
	`ON sys.incexp, sys.incvid, sys.incfil`

Для просмотра предоставленных привилегий администратор базы данных может использовать следующие системные представления словаря данных:

Системное представление	Описание
`ALL_COL_PRIVS`	Содержит список привилегий, предоставленных для столбцов таблицы другим пользователям или `PUBLIC`. ;
	Содержит столбцы:
	`GRANTOR` (кто предоставляет привилегию)
	`GRANTEE` (кому предоставляется привилегия)
	`TABLE_SCHEMA` (схема объекта)
	`TABLE_NAME`
	`COLUMN_NAME`
	`PRIVILEGE`
`ALL_COL_PRIVS_MADE`	Содержит список привилегий столбцов, которыми владеет пользователь или предоставляет на них привилегии.
	Содержит столбцы:
	`GRANTEE`
	`OWNER`
	`GRANTOR`
	`TABLE_NAME`
	`COLUMN_NAME`
	`PRIVILEGE`
`ALL_TAB_PRIVS`	Содержит список привилегий, предоставленных для таблицы другим пользователям или `PUBLIC`.
	Содержит столбцы:
	`GRANTOR`
	`GRANTEE`
	`TABLE_NAMEPRIVILEGE`
`DBA_PROFILES`	Содержит описания всех профилей базы данных и определяемых ими ограничений.
	Содержит столбцы:
	`PROFILE`
	`RESOURCE_NAME`
	`LIMIT`
`DBA_ROLES`	Содержит список имен всех существующих в базе данных ролей.
	Содержит столбцы:
	`ROLE`
	`PASSWORD_REQUIRED`
`DBA_ROLE_PRIVS`	Содержит список ролей, предоставляемых другим пользователям или ролям.
	Содержит столбцы:
	`GRANTEE` (кто получает полномочия)
	`GRANTED_ROLE` (предоставляемая роль)
`DBA_SYS_PRIVS`	Содержит список системных полномочий, предоставленных пользователям и ролям.
	Содержит столбцы:
	`GRANTEE` (кто получает полномочия)
	`PRIVILEGE` (название системного полномочия)
	`ADMIN_OPTION`
`DBA_TAB_PRIVS`	Содержит список всех предоставленных полномочий для объектов базы данных.
	Содержит столбцы:
	`GRANTEE`
	`OWNER`
	`TABLE_NAME`
	`GRANTOR PRIVILEGE`
`DBA_USERS`	Содержит информацию обо всех пользователях базы данных.
	Содержит столбцы:
	`USERNAME`
	`USER_ID`
	`PASSWORD`
	`DEFAULT_TABLESPACE`
	`PROFILE`
`ROLE_SYS_PRIVS`	Содержит информацию о предоставленных ролям системных полномочиях.
	Содержит столбцы:
	`ROLE`
	`PRIVILEGE`
`ROLE_TAB_PRIVS`	Содержит информацию о предоставленных ролям привилегиях для таблиц и столбцов.
	Содержит столбцы:
	`ROLE`
	`OWNER`
	`TABLE_NAME`
	`COLUMN_NAME`
	`PRIVILEGE`
`SYSTEM_PRIVILEGE_MAP`	Содержит список всех системных полномочий
`TABLE_PRIVILEGE_MAP`	Содержит информацию о кодах привилегий доступа к таблицам и столбцам.
`USER_ROLE_PRIVS`	Содержит список ролей, предоставленных пользователю.
	Содержит столбцы:
	`USERNAME`
	`GRANTED_ROLE`
`USER_SYS_PRIVS`	Содержит список всех системных полномочий, предоставленных пользователю.
	Содержит столбцы:
	`USERNAME`
	`PRIVILEGE`
`USER_TAB_PRIVS`	Содержит список привилегий для объектов, где пользователь является владельцем, получателем или лицом, предоставляющим привилегии.
	Содержит столбцы:
	`GRANTEE` (кому предоставляется привилегия)
	`OWNER TABLE_NAME` (имя объекта)
	`GRANTOR` (кто предоставляет привилегию)
`USER_TAB_PRIVS_MADE`	Содержит список всех предоставлений привилегий для объектов, принадлежащих пользователю.
	Содержит столбцы:
	`GRANTEE`
	`GRANTOR`
	`TABLE_NAME`
	`PRIVILEGE`
`USER_TAB_PRIVS_RECD`	Содержит список всех привилегий для объектов, где пользователь является получателем привилегии.
	Содержит столбцы:
	`OWNER` (владелец объекта)
	`TABLE_NAME` (имя объекта)
	`GRANTOR` (имя пользователя, предоставившего привилегию)
	`PRIVILEGE`

Эти системные представления позволяют администратору БД Oracle полностью контролировать назначение, передачу и взаимозависимость системных и объектных привилегий.

Страницы: