Предварительно установленные роли базы данных

Система ролей в базе данных

Работа с привилегиями при помощи ролей

Предоставление и отмена привилегий

Дать пользователю системную или объектную привилегию можно с помощью SQL-команды GRANT (предоставить), а лишить привилегии можно с помощью SQL-команды REVOKE (отменить). Предостав­лять и отменять привилегии пользователей могут только конкретные лица. Управляя какой-либо систе­мой и привилегиями пользователей необходимо помнить, что:

• Предоставить системную привилегию может лишь пользователь, имеющий системную привилегию с правами администратора на предоставление привилегий другим пользователям.

• Предоставить привилегию на объект базы данных может лишь пользователь, владеющий этим объектом или имеющий объектную привилегию с правами администратора на предоставление привилегий другим пользователям.

Вполне возможно, что для использования обычного приложения баз данных придется назначить множество системных и объектных привилегий. Когда с приложением работает множество пользовате­лей, управление привилегиями может быстро превратиться в достаточно трудную задачу, так как нужно будет предоставлять прииилсгии каждому пользователю. Чтобы упростить процесс обеспечения безопас­ности системы, можно воспользоваться ролями. Роль (role) — это совокупность системных и объектных привилегий, предоставляемых пользователям и другим ролям. Например, при создании нового приложения можно создать новую роль с привилегиями, необходимыми для выполнения данной программы. После того как пользователю приложения предоставляется эта роль, он может, запускать приложение, соединяться с базой данных и выполнять свою работу. Если привилегии, необходимые для выполнения приложения, изменяются, то нужно только быстро модифицировать набор привилегий, заданных в роли. Все пользователи, которым предоставлена эта роль, автоматически отслеживают происшедшие изменения и продолжают работу с приложением, имея на то необходимые привилегии.

Oracle определяет несколько предварительно установленных ролей, которые можно применять для предоставления привилегий пользователям баз данных:

CONNECT Основная роль пользователей, которая позволяет соединяться

с базой данных, а затем создавать таблицы, представления,

синонимы, последовательности, связи баз данных и кластеры

данных в соответствующей схеме.

RESOURCE Предназначена для разработчиков приложений; позволяет

создавать таблицы, последовательности, кластеры данных,

процедуры, функции, модули, триггеры и объектные типы в

соответствующей схеме.

DBA Предназначена для администраторов; позволяет выполнять

любые операции с базой данных, так как включает все

системные привилегии. Кроме того, пользователь, которому

предоставлена роль DBA, может предоставлять любые

системные привилегии любому другому пользователю базы

данных и любой роли.

SELECT_CATALOG_ROLE Позволяет обращаться с запросами к представлениям

словаря данных, созданным администратором.

DELETE_CATALOG_ROLE Позволяет удалять записи из журнала аудита базы данных

EXECUTE_CATALOG_ROLE Позволяет выполнять модули утилиты RDBMS

EXP_FULL_DATABASE Позволяет экспортировать и импортировать информацию,

IMP_FULL_DATABASE содержащуюся в базе данных, при помощи утилит экспорта

и импорта

Дата добавления: 2014-01-07