Plan ćwiczenia. Rozdział 16 Uwierzytelnianie i autoryzacja w bazie danych. UŜytkownicy i schematy (2) UŜytkownicy i schematy (1) baza danych: ZESP99

Transkrypt

1 Plan ćwiczenia Rozdział 16 Uwierzytelnianie i autoryzacja w bazie danych UŜytkownicy i schematy bazy danych. Uwierzytelnianie i autoryzacja. Przywileje systemowe i obiektowe. Role. Synonimy. Uprawnienia, role, synonimy 1 2 UŜytkownicy i schematy (1) UŜytkownicy i schematy (2) UŜytkownik osoba lub aplikacja, uprawniona do dostępu do danych zgromadzonych w bazie danych. Schemat kolekcja logicznych struktur danych (relacji, perspektyw, ograniczeń, indeksów, programów składowanych, itd.), schemat posiada swoją nazwę, schemat jest własnością określonego. SELECT * FROM zespoly; baza danych: ZESP99 schemat: ALA schemat: OLEK uŝytkownik: ALA SELECT * FROM OLEK.zespoly; uŝytkownik: OLEK SELECT * FROM zespoly; 3 4

2 Informacje o ch Uwierzytelnianie uŝytkowników ALL_USERS DBA_USERS USER_USERS Zawiera nazwy i daty utworzenia wszystkich uŝytkowników w bazie danych Zawiera nazwę, identyfikator, zakodowane hasło, nazwę domyślnej przestrzeni tabel,nazwę tymczasowej przestrzeni tabel, datę utworzenia i profil kaŝdego bazy danych Zawiera nazwę, identyfikator, domyślną przestrzeń tabel, tymczasową przestrzeń tabel i datę utworzenia aktualnego Uwierzytelnianie to proces weryfikacji toŝsamości bazy danych. Metody uwierzytelniania, wykorzystywane przez SZBD: uwierzytelnianie przez SZBD, uwierzytelnianie przez system operacyjny, uwierzytelnianie przez usługę sieciową, uwierzytelnianie wielowarstwowe. SELECT * FROM user_users; SELECT username FROM all_users; 5 6 Autoryzacja uŝytkowników Przywileje Autoryzacja jest procesem weryfikacji uprawnień do wykonania określonej operacji: ograniczenia co do obiektów i operacji, jakie uŝytkownik moŝe na nich realizować: system przywilejów, role bazodanowe, ograniczenie wykorzystania zasobów systemowych (czasu procesora, czasu połączenia, itd.) przy realizacji operacji: profile. Przywilej prawo wykonywania przez określonej akcji w bazie danych lub dostępu do określonego obiektu, np.: przyłączenie się do bazy danych, odczyt danych określonej relacji, wykonanie dowolnej składowanej w bazie danych procedury, utworzenia perspektywy, itd. Rodzaje przywilejów: systemowe, obiektowe. 7 8

3 Przywileje systemowe (1) Przywileje systemowe (2) Prawa wykonania: określonej akcji w bazie danych, lub określonej operacji na wskazanym typie obiektu we wskazanym/dowolnym schemacie bazy danych. Przykłady: CREATE SESSION CREATE TABLE CREATE ANY TABLE SELECT ANY TABLE INSERT ANY TABLE DROP ANY VIEW Nadawanie przywilejów systemowych: GRANT <lista_przywilejów_systemowych> TO <lista_uŝytkowników> PUBLIC [WITH ADMIN OPTION]; Odbieranie przywilejów systemowych: REVOKE <lista_przywilejów> FROM <lista_uŝytkowników> PUBLIC; Przykład: GRANT CREATE SESSION, SELECT ANY TABLE TO OLEK; GRANT CREATE TABLE TO ALA; REVOKE SELECT ANY TABLE FROM OLEK; 9 10 Informacje o przywilejach systemowych Przywileje obiektowe (1) USER_SYS_PRIVS - uprawnienia systemowe nadane uŝytkownikowi bezpośrednio SESSION_PRIVS - uprawnienia systemowe nadane uŝytkownikowi zarówno bezpośrednio jak i przez role SQL> SELECT * FROM user_sys_privs; USERNAME PRIVILEGE ADMIN_OPTION OLEK CREATE SESSION NO OLEK INSERT ANY TABLE NO OLEK UNLIMITED TABLESPACE YES OLEK CREATE VIEW YES Prawa wykonania określonej operacji na wskazanym obiekcie w określonym schemacie bazy danych. Przykłady: SELECT ON pracownicy ALTER ON zespoly EXECUTE ON PoliczPracownikow REFERENCES ON etaty Uwaga! UŜytkownik posiada wszystkie uprawnienia do obiektu, którego jest właścicielem! Nie moŝna mu tych przywilejów odebrać

4 Przywileje obiektowe (2) Przywileje obiektowe (3) Przywilej Relacja Perspektywa Procedura/ Sekwencja funkcja/pakiet ALTER DELETE EXECUTE INDEX INSERT REFERENCES SELECT UPDATE Nadawanie przywilejów obiektowych: GRANT <lista_przywilejów> ALL ON <nazwa_obiektu> TO <lista_uŝytkowników> PUBLIC [WITH GRANT OPTION]; przywileje INSERT, UPDATE i REFERENCES mogą dodatkowo specyfikować kolumny relacji Odbieranie przywilejów obiektowych: REVOKE <lista_przywilejów> ALL ON <nazwa_obiektu> FROM <lista_uŝytkowników> PUBLIC [CASCADE CONSTRAINTS]; Przywileje obiektowe (4) Informacje o przywilejach obiektowych Przykłady: GRANT SELECT ON zespoly TO OLEK; GRANT UPDATE(placa_pod, placa_dod) ON pracownicy TO ALA; REVOKE DELETE ON pracownicy FROM OLEK; USER_TAB_PRIVS USER_TAB_PRIVS_MADE USER_TAB_PRIVS_RECD USER_COL_PRIVS USER_COL_PRIVS_MADE USER_COL_PRIVS_RECD Uprawnienia do obiektów, których uŝytkownik jest właścicielem oraz uprawnienia obiektowe, które uŝytkownik otrzymał lub przyznał Uprawnienia do obiektów, będących własnością Uprawnienia obiektowe, które uŝytkownik otrzymał Uprawnienia do atrybutów, których uŝytkownik jest właścicielem oraz uprawnienia do atrybutów, które uŝytkownik otrzymał lub przyznał Uprawnienia do atrybutów będących własnością Uprawnienia do atrybutów, które uŝytkownik otrzymał SELECT * FROM user_tab_privs_made; SELECT * FROM user_tab_privs_recd; 15 16

5 Opcja administracyjna przywilejów Role (1) umoŝliwia uŝytkownikowi przekazanie innym uŝytkownikom otrzymanego przywileju (systemowego lub obiektowego), przywileje systemowe: ADMIN: GRANT SELECT ANY TABLE TO SCOTT WITH ADMIN OPTION; SCOTT: GRANT SELECT ANY TABLE TO JONES; odebranie przywileju systemowego uŝytkownikowi SCOTT nie powoduje odebrania przywileju uŝytkownikowi JONES przywileje obiektowe: SCOTT: GRANT INSERT ON ETATY TO JONES WITH GRANT OPTION; JONES: GRANT INSERT ON SCOTT.ETATY TO SMITH; Rola nazwany zbiór powiązanych przywilejów. Ułatwiają zarządzanie systemem przywilejów. UŜytkownik moŝe mieć nadanych wiele ról, rola moŝe zostać przyznana wielu uŝytkownikom lub rolom. Przykłady zastosowań: role aplikacyjne grupują przywileje niezbędne do działania określonej aplikacji, role uŝytkowników tworzone dla grup uŝytkowników, wymagających tych samych przywilejów. odebranie przywileju obiektowego uŝytkownikowi JONES powoduje odebranie przywileju równieŝ uŝytkownikowi SMITH Role (2) Role (3) Predefiniowane role w SZBD Oracle: CONNECT, RESOURCE, DBA. Tworzenie roli: bez autoryzacji: Nadawanie przywilejów roli: GRANT <lista_przywilejów> [ON <nazwa_obiektu>] TO <lista_ról>; Nadawanie roli uŝytkownikowi/roli: CREATE ROLE <nazwa_roli>; autoryzowanej przez SZBD: GRANT <lista_ról> TO <lista_uŝytkowników> <lista_ról> PUBLIC [WITH ADMIN OPTION]; CREATE ROLE <nazwa_roli> IDENTIFIED BY <hasło>; autoryzowanej przez aplikację: Odbieranie przywilejów roli: CREATE ROLE <nazwa_roli> IDENTIFIED USING <nazwa_pakietu>; REVOKE <lista_przywilejów> [ON <nazwa_obiektu>] FROM <lista_ról>; Usunięcie roli: Odbieranie roli uŝytkownikowi/roli: DROP ROLE <nazwa_roli>; REVOKE <lista_ról> FROM <lista_uŝytkowników> <lista_ról> PUBLIC; 19 20

6 Role (4) Informacje o rolach Zablokowanie/odblokowanie roli dla bieŝącej sesji: SET ROLE [ <nazwa_roli> [ IDENTIFIED BY <hasło> ] ALL [EXCEPT <nazwa_roli> NONE ]; Przykład: USER_ROLE_PRIVS ROLE_ROLE_PRIVS ROLE_SYS_PRIVS ROLE_TAB_PRIVS Role przyznane uŝytkownikowi Role przyznane innym rolom Uprawnienia systemowe przyznane rolom Uprawnienia obiektowe przyznane rolom CREATE ROLE KASJER IDENTIFIED BY pass123; GRANT SELECT, UPDATE, DELETE ON PRACOWNICY TO KASJER; GRANT KASJER TO KOWALSKI; SESSION_ROLES SELECT role, table_name, privilege FROM role_tab_privs; Role aktywowane w bieŝącej sesji uŝytkownik KOWALSKI włączy rolę poleceniem: SET ROLE KASJER IDENTIFIED BY pass123; SELECT * FROM session_roles; Synonimy (1) Synonimy (2) Synonim alternatywna nazwa dla obiektu. Cele stosowania: uproszczenie konstrukcji poleceń SQL, ukrycie nazwy oryginalnego obiektu, ukrycie lokalizacji oryginalnego obiektu (np. z innego schematu, ze zdalnej bazy danych). Rodzaje synonimów: synonim prywatny jest własnością określonego, dostępny tylko dla właściciela oraz uŝytkowników, którzy uzyskają prawo dostępu, synonim publiczny dostępny dla kaŝdego bazy danych. Tworzenie: CREATE [PUBLIC] SYNONYM <synonim> FOR <nazwa_obiektu>; Usuwanie: DROP [PUBLIC] SYNONYM <synonim>; 23 24

7 Synonimy (3) Informacje o synonimach Przykład: uŝytkownik OLEK wykonuje: GRANT SELECT, INSERT ON pracownicy TO ALA; uŝytkownik ALA wykonuje: ALL_SYNONYMS USER_SYNONYMS Synonimy publiczne i prywatne dostępne dla Synonimy prywatne, będące własnością SELECT * FROM OLEK.pracownicy; CREATE SYNONYM prac_olek FOR OLEK.pracownicy; SELECT * FROM prac_olek; SELECT synonym_name, table_name FROM user_synonyms; Podsumowanie UŜytkownik zostaje uwierzytelniony przed przyłączeniem do bazy danych. Autoryzacja jest procesem weryfikacji uprawnień do wykonania określonej operacji w bazie danych. Przywilej to prawo wykonywania przez określonej akcji w bazie danych lub dostępu do określonego obiektu bazy danych. Rola to nazwany zbiór przywilejów, ułatwiający zarządzanie systemem autoryzacji. Synonim jest alternatywną nazwą obiektu w bazie danych. 27