Линтер методичка

П

Решение:

1. Добавить дополнительное поле в таблицу PHONES:

ра

alter table PHONES add(POSITION char(20));

кт

2. Убрать доступ к таблице PHONES

ич

revoke all on PHONES from B;

ес

3. Создать представление для доступа к необходимым столбцам таблицы PHONES:

ко

create view PH_VIEW as select ID,NAME from PHONES;

е

4. Передать доступ к созданному представлению:

за

grant select,insert on PH_VIEW to B;

ня

ти

Задачи для самостоятельной работы:

е 5

1. К таблице почтовых адресов добавить фамилии руководителей и сделать их

Ра

недоступными для всех пользователей, кроме пользователей A и B.

зг

5.3. Использование представлений для разграничения доступа

ра

Для «горизонтального» разграничения доступа к таблице также могут

ни

использоваться представления. Рассмотрим это на следующей задаче.

че

Задача: Предоставить пользователям A и B доступ ко всем записям таблицы

ни

телефонов, а остальным пользователям доступ только к телефонам, номера которых

е

начинаются с цифры ‘9’.

до

Решение:

ст

1. Создать представление для доступа к необходимым столбцам таблицы PHONES:

уп

create view PH_VIEW2 as select ID,NAME from PHONES where PHONE like ‘9%’;

в

grant select,insert on PH_VIEW2 to PUBLIC;

С

Н Механизм ролей позволяет быстро назначать группе пользователей привилегии к

наборуТ

таблиц и представлений приложения. Такое использование удобно, если в

приложении предусмотрена многопользовательская работа с разграничением доступа.

ЕР

Задача: Пользователь A создал в рамках приложения таблицы с телефонами

.

физических лиц и адресами предприятий (см. задачи выше). Необходимо предоставить

Д

пользователям C1,C2,C3 доступ на чтение к информации в этих таблицах (используя

ис

доступ через представления).

кр

Решение:

ец

1. Работая под пользователем A, создаем роль ROLE_A:

ио

create role ROLE_A;

до

3.

Создаем пользователей C1,C2,C3:

ст

grant connect to C1;

уп

grant connect to C2;

E-

grant connect to C3;

mai

!31

4.

Назначаем роль пользователям C1, C2, C3:

l:

П

Grant role ROLE_A to C2;

ра

Grant role ROLE_A to C3;

кт

ич

Теперь в случае появления дополнительных таблиц для приложения, необходимо

будет передать роли доступ к новым таблицам. Пользователи автоматически получат

ес

доступ к таблице (представлению) через механизм ролей.

ко

Задачи для самостоятельной работы:

е

1.

Для пользователя A создать несколько ролей, каждой из которых назначены

за

следующие привилегии к таблицам телефонов (PHONES

) и адресов

ня

предприятий:

ти

a.

только чтение;

е 5

b.

только вставка;

Ра

c. чтение, изменение, вставка;

зг

d. чтение, вставка, удаление, изменение.

ра

2.

Назначить роли для пользователей (создать предварительно недостающих)

ни

соответственно:

a.

C1, C2;

че

b.

C3;

ни

c.

D1, D2, D3;

е

d.

E.

до

ст

5.5. Задачи для самостоятельной работы

уп

Для каждой задачи необходимо спроектировать структуру таблиц для хранения всей

а

указанной информации. Выделить различные категории пользователей

(включая

в

администратора безопасности и администратора данных) и предоставить им

соответствующиеС

привилегии к различным таблицам или представлениям. При

разграничении доступа необходимо использовать роли.

У

Задача 1. База данных городской думы.

Б

Д

В базе хранятся имена, адреса, домашние и служебные телефоны всех членов

Думы. В Думе работает порядка сорока комиссий, все участники которых являются членами

Л

Думы. Каждая комиссия имеет свой профиль, например, вопросы образования, проблемы,

связанныеИ

с жильем и так далее. Данные по каждой из комиссий включают: ее нынешний

ис

Фирме принадлежит небольшая флотилия рыболовных катеров. Каждый катер

имеет “паспорт”, куда занесены его название, тип, водоизмещение и дата постройки. Фирма

кр

регистрирует каждый выход на лов, записывая название катера, имена и адреса членов

командыец

с указанием их должностей (капитан, боцман и т. д.), даты выхода и возвращения,

й

Фирма занимается продажей с аукциона антикварных изделий и произведений

искусствадо

. Владельцы вещей, выставляемых на проводимых фирмой аукционах,

юридически являются продавцами. Лица, приобретающие эти вещи, именуются покупа

-

ст

E-mail: market@relex.ru

ЗАО НПП «РЕЛЭКС»

http://www.relex.ru

lhb s –u SYSTEM/MANAGER –ot LIB_* –f /home/linter/prac4/

Пр

db_backup/db_lib.lhb

Задача 4. Создать архив таблиц бибилиотеки, со всеми представлениями и правами

ак

доступа.

тиче

lhb s –u SYSTEM/MANAGER –ot LIB_* –ov –oa –f /home/linter/

ск

prac4/db_backup/db_lib.lhb

ое

Здесь ключ –ov без маски указывает необходимость сохранения всех

за

представлений; –oa указывает необходимость сохранения привилегий доступа.

ня

6.4. Создание инкрементных архивов

ти

Создание инкрементных архивов подразумевает создание контрольной точки в

е 6

журнале базы данных, то которой следует хранить изменения в базе. При дополнении

контрольнойРе

точки.

зер

Следует удалять неиспользуемые контрольные точки из журнала, поскольку их

наличие ведет к разрастанию журнала.

вн

Задача 5. Создать инкрементный архив всей базы данных.

ое

ко

lhb s –u SYSTEM/MANAGER –startinc –f /home/linter/prac4/

пиро

db_backup/db_inc.lhb

ва

При этом в журнал добавляется контрольная точка, имеющая номер и время

создания (обновления) инкрементного архива. Список контрольных точек можно

ни

просмотреть, а также, удалить точку по ее номеру.

е и

Задача 6. Добавить изменения в инкрементный архив.

во

lhb s –u SYSTEM/MANAGER –inc –f /home/linter/prac4/

сст

ан

db_backup/db_inc.lhb

ов

При этом происходит запись в файл архива данных журнала от контрольной точки

ле

до текущего момента и сдвиг контрольной точки на текущий момент.

ни

Для работы с контрольными точками предназначена команда cp.

E-

Задача 10. Восстановить базу данных из полного архива, созданного в задаче 1.

mai

Директорией назначения использовать:

l:

/home/linter/prac4/db_restored.

mar

ket

@re

lex.

ru

Пр

•

Создадим директорию db_restored в директории /home/linter/prac4/;

•

Запустим процесс восстановления:

акти

lhb r –f /home/linter/prac4/db_backup/db_full.lhb –g KBYNTH

че

–p /home/linter/prac4/db_backup

ск

После восстановления, на развернутой базе можно запускать ядро.

ое

Задача 11. (студенты выполняют самостоятельно) Восстановить базу данных из

за

инкрементного архива, созданного в задаче 5. Директорией назначения использовать /

home/linter/prac4/dbня

_restored_inc.

ти

6.6. Пообъектное восстановление

е 6

Пообъектно можно восстанавливать данные только из архива, созданного в

ДляРе пообъектного восстановления необходимо активное ядро, соответственно, необходимо

указывать параметры соединения с ядром.

зер

Задача 11. Восстановить таблицу LIB_WROTE из архива, созданного в задаче 3.

вн

ое

•

Используя утилиту lhb, удалим таблицу LIB_WROTE;

ко

•

Запустим процесс восстановления:

пи

lhb r –u SYSTEM/MANAGER –f /home/linter/prac4/db_backup/

варо

db_lib.lhb –ot LIB_WROTE

ни

Задача 12. (студенты выполняют самостоятельно) Восстановить представление

PUPKINS_BOOKS из инкрементного архива, созданного в задаче 4.

е и

6.7. Тестирование архивов

во

сст

Для проверки правильности архива на резервных носителях, рекомендуется

ле

lhb t–f /home/linter/prac4/db_backup/db_lib.lhb

ни

Задача 12. (студенты выполняют самостоятельно) Протестировать архив,

е

созданныйда

в задаче 1.

П

Задача: Объединить пользователей A и B в группу G1, а пользователей C и D

ра

включить в группы G2 и G3 соответственно.

кт

Для этого сначала создадим группы G1, G2 и G3. Пример:

ич

CREATE GROUP G1;

ес

ко

Теперь назначаем группы пользователям. Пример:

за

Теперь, подав SELECT из представления USER_SECURITY, видим в столбце SGR

ня

назначенные группы.

ти

7.5. Создание объектов БД

е 7

Задача: Создать несколько таблиц с разными уровнями доступа от имени разных

Ра

пользователей:

зг

ра

Владелецни

Таблица

RAL таблицы и

WAL таблицы и

че

всех столбцов

всех столбцов

ни

TB(I INT, C CHAR(20))

НЕСЕКРЕТНО

НЕСЕКРЕТНО

B

C е

TC(D DATE, T CHAR(20))

ДСП

НЕСЕКРЕТНО

до

TD(I INT, D DATE)

ДСП

ДСП

D

ст

уп

в

SQL>username D/

С

У

SQL>CREATE TABLE TD(

Б

I INT LEVEL(“ДСП”, “ДСП”),

Д

И

Заметим, что пользователь D не может создать таблицу с RAL ниже «ДСП» - это не

позволяетН

сделать его WAL. Такой запрос

Т

CREATE TABLE TD2(

ЕР

.

I INT,

ан

вызовет ошибку нарушения привилегий.

да

Указание: т.к. пользователь С не имеет категории DBA, он не может явно указывать

тн

разных пользователей:

П

ра

кт

Таблица

RAL,WAL данных

Результат

Пользователь

ич

TB

по умолчанию

успешно

B

ес

B

TB

НЕСЕКРЕТНО, ДСП

успешно

ко

B е

TB

НЕСЕКРЕТНО,

успешно

за

НЕСЕКРЕТНО

ня

TB

по умолчанию

успешно

A

ти

TB

СЕКРЕТНО, ДСП

успешно (можно повысить

A

е 7

уровень заносимых данных)

Ра

C

TC

по умолчанию

успешно

зг

ра

TC

НЕСЕКРЕТНО,

успешно (WAL пользователя

C

ни

НЕСЕКРЕТНО

позволяет понизить уровень

че

чтения)

ни

TC

по умолчанию

нарушение мандатного

B

е

доступа: между группами

до

пользователей нет доверия

Dст

TD

по умолчанию

успешно

уп

TD

НЕСЕКРЕТНО, ДСП

нарушение мандатного

D

а

доступа

Dв

TD

ДСП, ДСП

успешно (минимальные

С

уровни, которые может

У

занести пользователь

Б

Д

Пример запроса с указанием уровней:

Л

Н

Примечание: Примеры всех запросов приведены в файле ins.sql

Т

7.7. Выборка данных

ЕР

Задача: Просмотреть добавленные данные под разными пользователями:

.

М

ан

Запрос

Описание

Пользователь

да

select tb.*, security(*,'R') RAL

Пользователь видит 5 сток. Получаем

B

тн

from tb;

также их RAL. 3 строки несекретные, 2 -

ы

секретные

Aй

select * from b.tb;

Пользователь видит только 3

до

несекретные строки

ст

select sum(i) from b.tb;

При подсчете агрегатных функций тоже

A

уп

учитываются только видимые строки

B

select * from c.tc;

Нарушение мандатного доступа: таблица

39!

принадлежит другой группе

E-

mai

select tc.*, security(*,'R') RAL,

Видим 2 добавленные строки и их уровни

C

l:

security(*,’W’) WAL from tc;

ma

rke

t@

rele

x.r

u

D

select td.*, security(*,'R') RAL,

Видим 2 добавленные строки и их уровни

П

security(*,’W’) WAL from td;

ра

кт

7.8. Установка доверия между группами

ич

ес

Задача: Установить доверие группы G2 к группе G1.

ко

Решение: АБ (SYSTEM) подает запрос

е

GRANT ACCESS ON G2 TO G1;

за

ня

Задача: Проверить возможность доступа пользователей разных групп к объектам и

данным группы G2.

ти

е 7

ПользоРа

-

Таблица

Действие

Результат

ватель

зг

ра

TC

выборка данных (select *)

теперь видим строки

B

ни

TC

вставка строки с (RAL,WAL) по

успешно

B

че

умолчанию

ни

B е

TC

вставка строки с (RAL,WAL)

успешно

до

“НЕСЕКРЕТНО”, “НЕСЕКРЕТНО”

B

TC

выборка данных с информацией

Видны старые и новые строки с

ст

о группе:

разными RAL; метки групп

уп

select c.tc.*, security(*,’G’) GR,

отличаются для строк,

а

security(*,’R’) RAL from c.tc;

добавленных разными

в

пользователями

AС

TC

выборка данных (select *)

нарушение мандатного доступа:

У

RAL пользователя ниже, чем RAL

Б

таблицы

CД

TC

выборка данных (select *)

пользователь видит только 2

Л

строки, т.к. группа G1 не

И

оказывала доверия его группе

BН

GRANT ACCESS ON G1 TO G2;

B является DBA группы G1 и

Т

может оказать доверие другой

ЕР

группе

C .

TC

выборка данных (select *)

теперь пользователь видит три

М

строки (одна ему по-прежнему

ан

недоступна вследствие высокого

да

RAL)

D

TC

выборка данных (select *)

нарушение мандатного доступа:

тн

группе G3 не было оказано

ы

й

доверие

-

Таблица

Действие

Результат

ПользоE-

mai

ватель

l:

ma

rke

t@

rele

x.r

u