Oracle自主訪問(wèn)控制機(jī)制系統(tǒng)表研究 |
發(fā)布時(shí)間: 2012/7/13 15:07:54 |
本人近來(lái)關(guān)注于數(shù)據(jù)庫(kù)安全方面,粗略地研究了下數(shù)據(jù)庫(kù)的自主訪問(wèn)控制(DAC)和強(qiáng)制訪問(wèn)控制(MAC),現(xiàn)把自己對(duì)Oracle中DAC的理解寫(xiě)出來(lái),與大家分享,以上均Oracle文檔結(jié)合自己的理解,難免存在錯(cuò)誤的地方,還請(qǐng)指正。
訪問(wèn)控制是允許或者禁止某人訪問(wèn)某資源的過(guò)程,數(shù)據(jù)庫(kù)中就是限制用戶對(duì)數(shù)據(jù)庫(kù)客體(如表、試圖等)的訪問(wèn)。實(shí)現(xiàn)這種訪問(wèn)控制一般是基于訪問(wèn)控制列表(ACL),ACL一般記錄了who能訪問(wèn)what以及how訪問(wèn)。大多數(shù)據(jù)庫(kù)的將ACL以數(shù)據(jù)庫(kù)系統(tǒng)表的形式進(jìn)行實(shí)現(xiàn)。下面具體介紹下Oracle中的權(quán)限相關(guān)系統(tǒng)表的設(shè)計(jì)。 Oracle中的權(quán)限分為兩種:系統(tǒng)權(quán)限和對(duì)象權(quán)限。 系統(tǒng)權(quán)限 系統(tǒng)權(quán)限包括數(shù)據(jù)庫(kù)管理權(quán)限和帶有ANY的權(quán)限。管理權(quán)限如ALTER DATABASE,CREATE USER等權(quán)限,這類(lèi)權(quán)限是和DDL相關(guān)的權(quán)限。另一類(lèi)帶有ANY的權(quán)限,如SELECT ANY TABLE,表示可以查詢所有表的權(quán)限,這類(lèi)權(quán)限是全局DML相關(guān)的權(quán)限。查看所有的系統(tǒng)權(quán)限可以通過(guò)表SYSTEM_PRIVILEGE_MAP,該視圖顯示了權(quán)限名稱及其對(duì)應(yīng)的值,通過(guò)表可以看出所有的系統(tǒng)權(quán)限的權(quán)限值均為負(fù)數(shù)。 記錄用戶的系統(tǒng)權(quán)限授權(quán)的信息主要存儲(chǔ)在系統(tǒng)表SYS.SYSAUTH$表中,可以通過(guò)DBMA_METADATA包獲取表的創(chuàng)建信息。
可以看到表字段信息,包含GRANTEE#,PRIVILEGE#,SEQUENCE#和OPTION$。GRANTEE#表示被授權(quán)者的UID,PRIVILEGE#表示被授權(quán)的權(quán)限值,OPTION$表示是此權(quán)限否可被轉(zhuǎn)授,SEQUENCE#個(gè)人感覺(jué)是時(shí)間戳的概念,對(duì)于這個(gè)的驗(yàn)證放在后面。由此可見(jiàn),系統(tǒng)權(quán)限和角色的授予,并不記錄授權(quán)者的信息。通過(guò)查詢這張表,可以看到PRIVILEGE#字段并不是上面所說(shuō)的全是負(fù)數(shù),還存在正數(shù),不錯(cuò),這是因?yàn)檫@張表不僅僅存放了系統(tǒng)權(quán)限,還存放了角色的授予信息,如果授予角色的時(shí)候,PRIVILEGE#字段即為角色的ID,當(dāng)然角色也可能被授予角色和系統(tǒng)權(quán)限,因此想通過(guò)簡(jiǎn)單的SQL語(yǔ)句獲取一個(gè)用戶所擁有的所有的角色或所有的系統(tǒng)權(quán)限,會(huì)涉及到遞歸的查詢,大家可以想下如何構(gòu)造這個(gè)SQL語(yǔ)句,(提示下:Oracle特有的CONNECT BY語(yǔ)法)。 由系統(tǒng)權(quán)限的系統(tǒng)表可以看出,對(duì)于系統(tǒng)權(quán)限,Oracle中并不記錄授權(quán)者的概念,這說(shuō)明對(duì)系統(tǒng)權(quán)限的回收肯定是特定用戶進(jìn)行的,由于沒(méi)有授權(quán)者的概念,當(dāng)然也就沒(méi)有了級(jí)聯(lián)回收系統(tǒng)權(quán)限的情況,這里SEQUENCE#字段作為時(shí)間戳貌似也沒(méi)有太大的意義了。 本文出自:億恩科技【mszdt.com】 服務(wù)器租用/服務(wù)器托管中國(guó)五強(qiáng)!虛擬主機(jī)域名注冊(cè)頂級(jí)提供商!15年品質(zhì)保障!--億恩科技[ENKJ.COM] |