Oracle使用者許可權分配
一、許可權分類
系統許可權:系統規定使用者使用資料庫的許可權。(系統許可權是對使用者而言)。
實體許可權:某種許可權使用者對其它使用者的表或檢視的存取許可權。(是針對表或檢視而言的)。
二、系統許可權管理
1、系統許可權分類:
DBA: 擁有全部特權,是系統最高許可權,只有DBA才可以建立資料庫結構。
RESOURCE:擁有Resource許可權的使用者只可以建立實體,不可以建立資料庫結構。
CONNECT:擁有Connect許可權的使用者只可以登入Oracle,不可以建立實體,不可以建立資料庫結構。
對於普通使用者:授予connect, resource許可權。
對於DBA管理使用者:授予connect,resource, dba許可權。
2、系統許可權授權命令:
[系統許可權只能由DBA使用者授出:sys, system(最開始只能是這兩個使用者)]
授權命令:SQL> grant connect, resource, dba to 使用者名稱1 [,使用者名稱2]...;
注意:[普通使用者通過授權可以具有與system相同的使用者許可權,但永遠不能達到與sys使用者相同的許可權,system使用者的許可權也可以被回
收。]
刪除使用者:SQL> drop user 使用者名稱 cascade; //加上cascade則將使用者連同其建立的東西全部刪除
3、系統許可權傳遞:
增加WITH ADMIN OPTION選項,則得到的許可權可以傳遞。
SQL> grant connect, resorce to user50 with admin option; //可以傳遞所獲許可權。
4、系統許可權回收:系統許可權只能由DBA使用者回收
命令:SQL> Revoke connect, resource from user50;
說明:
1)如果使用WITH ADMIN OPTION為某個使用者授予系統許可權,那麼對於被這個使用者授予相同許可權的所有使用者來說,取消該使用者的
系統許可權並不會級聯取消這些使用者的相同許可權。
2)系統許可權無級聯,即A授予B許可權,B授予C許可權,如果A收回B的許可權,C的許可權不受影響;系統許可權可以跨使用者回收,即A可以直
接收回C使用者的許可權。
三、實體許可權管理
1、實體許可權分類:select, update, insert, alter, index, delete, all //all包括所有許可權
user01:
SQL> grant select, update, insert on product to user02;
SQL> grant all on product to user02;
user02:
SQL> select * from user01.product;
// 此時user02查user_tables,不包括user01.product這個表,但如果查all_tables則可以查到,因為他可以訪問。
2. 將表的操作許可權授予全體使用者:
SQL> grant all on product to public; // public表示是所有的使用者,這裡的all許可權不包括drop。
[實體許可權資料字典]:
SQL> select owner, table_name from all_tables; // 使用者可以查詢的表
SQL> select table_name from user_tables; // 使用者建立的表
SQL> select grantor, table_schema, table_name, privilege from all_tab_privs; // 獲權可以存取的表(被授權的)
SQL> select grantee, owner, table_name, privilege from user_tab_privs; // 授出許可權的表(授出的許可權)
3. DBA使用者可以操作全體使用者的任意基表(無需授權,包括刪除):
4. 實體許可權傳遞(with grant option):
user01:
SQL> grant select, update on product to user02 with grant option; // user02得到許可權,並可以傳遞。
5. 實體許可權回收:
user01:
SQL>Revoke select, update on product from user02; //傳遞的許可權將全部丟失。
說明
1)如果取消某個使用者的物件許可權,那麼對於這個使用者使用WITH GRANT OPTION授予許可權的使用者來說,同樣還會取消這些使用者的
相同許可權,也就是說取消授權時級聯的。