19 Администрирование бд и управление объектами. Разграничение доступа. Привилегии, роли

Администрирование баз данных является неотъемлемой частью работы с базами данных любого уровня: от персональных однопользовательских до больших межорганизационных – хотя задачи, которые в этой связи предстоит решать, различны по уровню сложности.

В общую компетенцию АБД входит упрощение разработки и использования базы данных. Обычно это означает поддержание баланса между противоречащими друг другу установками: на защиту базы данных и на максимизацию ее доступности. Некоторые из функциональных обязанностей АБД:

• обеспечение безопасности базы данных (включая стратегии копирования и восстановления данных);

• распределение прав и обязанностей по обработке данных

• управление структурой базы данных;-управление параллельной обработкой данных;-управление СУБД.

В Oracle используется система избирательного управления доступом. Эта система базируется на следующих понятиях:

• пользователь базы данных;-привилегия;-роль.

Пользователь БД – это тот объект, который может иметь доступ к базе данных, используя механизм СУБД. Пользователь-как человек, так и прикладная программа.

Для получения доступа к базе данных пользователь должен пройти процедуру аутентификации. Эта процедура сводится к предъявлению правильного пароля.

Создание нового пользователя осуществляется администратором либо другими уполномоченными пользователями выполнением команды

CREATE USER имяпользователя IDENTIFIED BY пароль

При создании нового пользователя создается схема для него, и все объекты, создаваемые этим пользователем, помещаются по умолчанию в его схему.Характеристики пользователя базы данных хранятся в профиле, который может быть одним и тем же для различных пользователей. По умолчанию новый пользователь обладает характеристиками, описанными в профиле DEFAULT. Профиль может быть уничтожен командой DROP PROFILE, однако это не влечет уничтожения пользователей, для которых был применен этот профиль – для них назначается профиль DEFAULT

Команда DROP USER – уничтожает пользователя

Каждый пользователь СУБД обладает набором привилегий для работы с базой данных. Привилегия - разрешение выполнять ту или иную операцию с базой данных.

Существует несколько классификаций для привилегий. По одной из них, множество привилегий разделяется на базовые (определенные в стандарте ANSI SQL) и дополнительные (специфичные для каждой конкретной СУБД).Согласно классификации различаются:-системные привилегии (которые дают пользователю право на выполнение какой-либо операции в масштабе базы данных);-привилегии доступа к объектам (разрешающие выполнение определенной операции над конкретным объектом БД)

Пользователь, создавший какой-то объект в собственной схеме, может выполнять над этим объектом любые операции.

Большое число пользователей, статус которых требует различных привилегий для доступа к ресурсам базы данных, требует от АБД значительного объема рутиной работы. Для автоматизации работы администратора по разграничению доступа к базе данных Oracle предлагает механизм ролей. Роль представляет собой поименованный набор привилегий.

Мы можем:

• создать роль (и соответственно изменить или удалить ее);

• предоставить набор привилегий какой-то роли;

• предоставить роль пользователю или другой роли;

• динамически разрешить или запретить использование предоставленной роли.

При изменении привилегий для какой-либо роли этот набор привилегий изменяется для всех пользователей, владеющих этой ролью. При создании базы данных Oracle автоматически создаются роли CONNECT и DBA. Для создания роли используется оператор CREATE ROLE, формат которого напоминает формат создания пользователя:

CREATE ROLE имяроли IDENTIFIED BY пароль