《安全管理》PPT课件.ppt

《《安全管理》PPT课件.ppt》由会员分享，可在线阅读，更多相关《《安全管理》PPT课件.ppt（68页珍藏版）》请在装配图网上搜索。

1、第 8章 安全管理 内容提要 本章从数据库用户管理 、 权限管理及资 源限制管理几个方面介绍 Oracle数据库 的安全性策略 。 数据库的 安全性 是 指保护数据库以防止 不合法的使用所造成的数据泄露、更改 或破坏 。 Oracle作为一种大型的数据库系 统，其安全问题更为突出。为此， Oracle 数据库一面要检查用户的合法性，只有 合法的用户才能登录到数据库系统；另 一方面数据库系的各个用户有着不同的 管理和操作权限，登录后只能在自己所 拥有权限范围内执行相应的操作。 8.1 用户管理 用户是定义在数据库中的一个名称，它是 Oracle数据库的基本访问控制机制。当用户 要连接到 Orac

2、le数据库以进行数据访问时， 必须要提供合法的用户名及其口令，如 CONNECT scott tiger。 Oracle数据库是可以为多个用户共享使用 的，一个数据库中通常会包含多个用户。数 据库在新建后通常会自动建好一些用户，其 中最重要的有 sys和 system两个管理员用户及 scott等一些普通用户。 数据库每个用户都可以拥有自己的对象，一个用户所 拥有对象的集合称为一个模式，用户与模式具有一一 对应的关系，并且两者名称相同。不同模式中可以具 有相同的数据库对象名，即不同用户下的对象名称可 以相同。对象的访问格式为 模式名 .对象名，只有访 问自己模式对象时，模式名才可以省略。 例如

3、，用户 userl和用户 user2都建立有名称为 t的表。 用户 userl的表 t属于 userl模式， user2的表 t属于 user2 模式。用户 userl如果要访问自己模式的表 t，访问格式 t或 userl t都是可以的，但是如果访问 user2模式对象 t， 则必须使用 user2 t格式。 数据库管理员可以定义和创建新的数据库用户， 可以为用户更改口令，可以锁定某用户禁止其 登录数据库，总之，用户管理工作是数据库管 理员的职责之一。 创建用户必须具有 CREATE USER系统权限。 通常情况下只有数据库管理员或安全管理员才 拥有 CREATE USER权限。 创建用户时除

4、了指定用户名外，还要指出验 证方式、默认使用表空间、空间使用限额、 用户是否被锁定、用于资源限制的概要文件等 选项。验证方式包括数据库口令验证、操作 系统验证。数据库口令验证要求用户登录时必须要提供 口令。 例如，创建新用户 jwcuser： SQLCREATE USERWCUSer IDENTIFIED BY welcomel35 DEFAULT TABLESPACE edu TEMPORARY TABLESPACE temp QUOTA 10M ON edu QUOTA 2M ON users PASSWORD EXPIRE； 该命令创建的用户为 jwcuser，采用数据库口令验证， 口令

5、为 welcomel35；存储对象默认使用 edu表空间， 临时表空间为 temp QUOTA选项指定该用户在某个表 空间的最大使用空间 (默认情况下，用户在任何表空间 上都没有限额 )，此处意即在 edu表空间上最多 可使用 10MB空间、在 users表空间上使用限额为 2MB； PASSWORD EXPIRE选项指示口令过期，这要求用户第 一次登录时就要更改口令。 又如，创建用户 rscuser： SQLCREATE USER rscuser IDENT工 F工 ED EXTERNALLY DEFAULT TABLESPACE users TEMPORARY TABLESPACE tem

6、p QUOTA UNLIMITED ON users； 创建的用户 rscuser采用操作系统验证，存储 对象默认使用 users表空间，且在该表空间上所 能使用的存储空间不受限制，临时表空间为 temp。 下面命令所创建的用户为 testuser，口令以 数字开头 (此时需要双引号 )，所建用户处于锁 定状态被禁止登录数据库。 SQLCREATE USER testuser IDENTIF工 ED BY ”123456” ACCOUNT LOCK； 由于没有指明默认表空间，因此将采用 SYSTEM作为用户默认的表空间，考虑到系统 性能问题，建议指明一个非系统表空间。 8.1.2 特权用户 特

7、权用户是指具有特殊权限 (SYSDBA或 SYSOPER)的 数据库用户，这类用户主要用于执行数据库的维护操 作，例如，启动和关闭数据库、建立数据库、备份和 恢复等任务。 从 Oracle9i开始，当建立实例服务时会建立名称为 sys的特权用户。另外，当将初始化参数 REMOTE- LOGIN_PASSWORDFILE设置为 EXCLUSIVE时，还可以 将 SYSDBA和 SYSOPER特权授予其他用户。 需要注意的是，从 Oracle9i开始， sys用户或其他欲 以特权身份登录的用户登录必须带有 As SYSDBA或 AS SYSOPER子句，而且特权用户都对应 sys用户，图 8 1

8、验证了这一点。 以 SYSDBA和 SYSOPER登录都可以执 行启动和关闭数据库的操作，但是 SYSDBA更高，不仅具有 SYSOPER的所有 权限，并且还具有建立数据库以及执行 不完全恢限。 8-1 SYSDBA和 SYSOPER权限 类别 示例 SYSOPER STARTUP SHUTDOWN AIJER DAIlABASE OPEN l MOUNT ALTER DATABASE BACKUP CoNTRoLFILE RECOVER DATABASE AIJTER DATABASE ARCHIVELoG RESTRICTED SESSION SYSDBA SYSOPER PRIVILEG

9、ES WITH ADMIN OPTION CREATE DATABASE ALTER TABLESPACE BEGIN/END BACKUP RECOVER DATABASE UNTIL 8.1.3 修改用户 1更改口令 使用 ALTER USER命令可以修改用户的信息 ，但是需要由 DBA或者具有 ALTER USER系统 权限的用户来完成。用户经常更改登录口令是 一个不错的习惯。每个用户都可以使用如下命 令修改其自身口令： SQLALTER USER testuser IDENTIFIED BY ertghj 当用户遗忘了口令无法登录时，可以由 DBA 使用上述命令为其重设一个新口令。 2

10、更改某个表空间的使用配额 用户在某个表空间的使用配额可能会根据实际 情况有所调整。 例如，当用户在一个表上执行 INSERT、 UPDATE操作时总是出现错误 (0RA一 01536： space quota exceeded for tablespaceedu)， 但 SELECT和 DELETE操作却没有问题。此时 可能是由于用户在该表所在的表空问上已经占满了空间 配额所致， DBA需要修改以增大表空间配额，使用命 令为： SQLALTER USER jwcuser QUOTA 15M ON edu； 有时候不希望用户再使用某表空间，可以将其在该 表空间上的空间配额改成： SQLALTER

11、 USER jwcuser QUOTA 0 ON users； 需要注意的是，如果用户 jwcuser在 users表空间上 拥有表 t，则该对象仍然保留，只是不会再为该表分配 新的空间。 3更改用户的状态 不希望某用户使用数据库数据时，可以将此用 户进行锁定： SQLALTER USER testuser ACCOUNT LOCK； 而解除对 testuser用户账户的锁定，使用如下 命令： SQLALTER USER testuser ACCOUNT UNLOCK； 删除用户之后， Oracle会从数据字典中删除 用户及该用户拥有对象的信息。 例如： SQLDROP USER testus

12、er； 以上命令会删除用户 testuser，但是，如果该用户拥有 数据库对象，则删除时必须带有 CASCADE选项，否则 会显示如下错误信息： ORA一 01922： CASCADE must be specified to dropTESTUSER 应该使用如下格式删除命令： SQLDROP USER testuser CASCADE； 需要注意的是，当前正在连接的用户是不能删除的。 通过数据字典 dba_users、 dba ts quotas、 user_users、 user_ts_quotas等可以查询出用户相关信息。 例如，查询 jwcuser用户的默认表空间、临时 表空间、账号

13、状态信息。 SQLSELECT default_tablespace， temporary_tablespace， account_status FROM dba users WHERE username=JWCUSER； 又如， iwcuser用户想了解自己能使用的表 空间、已使用空间及能使用的最大空间情况， 可执行如下 SQL语句： SELECT tablespace name 表空间 ” ， blocks n已占用块总数 n， max blocks-可占用的最大块数 ” FROM user一 ts quotas； 表空间 已占用块总数 可占用的最大块数 SYSTEM 224 0 USER

14、S 344 O TT 40 一 1 其中， max二 blocks表示用户数据对象可 占用的最大块数，一 1表示无限制。 特权用户具有启动、关闭数据库等特权， 通过查询动态性能视图 v$pwfile_users， 可以确定有哪些特权用户及他们有哪些 特权。 8 2权限管理 权限用于限制用户可执行的操作，即限 制用户在数据库中或对象上可以做什么， 不可以做什么。新建立用户没有任何权 限，不能执行任何操作，只有给用户授 予了特定权限或角色之后，该用户才能 连接到数据库，进而执行相应的 SQL语句 或进行对象访问操作。 8.2.1 权限类型 Oracle中权限分为系统权限和对象权限两种类型。 1系统

15、权限 系统权限是在数据库中执行某种操作，或者针 对某一类的对象执行某种操作的权力。 系统权限并不针对某一个特定的对象，而是针 对整个数据库范围。比如，在数据库中创建 空间的权力 (对应的系统权限名称为 CREATE TABLESPACE)，或者为其他模式创建表 权力 (对应的系统权限名称为 CREATEANY TABLE)。 表 8 2系统权限举例 系统权限 含义 注意 CREATE TABLESPACE CREATE USER CREATE TABLE CREATE PROCEDURE CREATE TRIGGER CREATE ANY TABLE SELECT ANY TABLE UPDA

16、TE ANY TABLE CREATE DATABASE LINK CREATE PUBLIC DATABASE LINK CREATE SYNONYM CREATE PUBLIC SYNONYM 连接数据库 创建表空间 创建用户 创建表 创建存储过程、函数和包 创建触发器 任何模式下创建表 检索任何模式下表 更新任何模式下表数据 创建数据库链接 创建公共数据库链接 创建同义词 创建公共同义词 没有 CREATE INDEX系统 权限：当用户具 有 CREATE TABLE系统权限 时，自动在相应 表上具有 CREATE INDEX 系统权限 当用户具有 CREATE TABLE、 CREAT

17、E PROCEDURE等 系统权 限时，自动具有 修改和删除其模 式对象的权力 2.对象权限 对象权限是一种对于特定的表、视图、 序列、过程、函数或程序包执行特定操 作的一种权限或权利。表 8 3列出了 Oracle所提供的对象权限。 Oracle所提供的对象权限 对象权限 表 视 图 序 列 过 程 ALTER DELETE EXECUTE INDEX INSERT REFEREN CES SELECT UPDATE 注意， UPDATE与 INSERT权限可以具体 限制到某些列上，而 SELECT权限只能限 制在整个表。 8.2.2 授予权限 授予权限是通过 GRANT命令实现的，但 是根

18、据授予的是系统权限还是对象权限 GRANT命令语法是有区别的。 1授予系统权限 CREATE SESSl0N是一个用户访问数据库 必须至少具有的系统权限，下面的命令 将该系统权限授予用户 jwcuser： SQLGRAINT CREATE SESSION TOwcuser； 又如，将 CREATE SESSION与 CREATE TABLE两种系统权限同时授予 testuser用户： SQLGRANT CREATE SESSION， CREATE TABLE TO testuser； 再如，将 CREATE SESSION系统权限授予所 有用户： SQLGRANT CREATE SESSION

19、 TO PUBLIC； 这里的 PUBLIC实际上是 Oracle自动创建 的用户组，每个数据库用户都会自动成 为 PUBLIC组中的成员。利用 PUBLIC用户 组可以方便地为数据库中所有的用户授 予某些必需的对象权限和系统权限。默 认情况下，作为 PUBLIC组中的成员，用 户可以查询所有以 USER_和 ALL开头的数 据字典视图。 系统权限授权工作通常由 DBA完成，但是授权 时可以带有 WITHADMIN OPTION选项，使得 被授予者可以进一步将此权限授予其他用户。 图 8 3操作中，首先由 DBA用户将 CREATE SESSION与 CREATE VIEW系统权限授予省级管

20、理员用户 gly_hebei，再由省级管理员授予 2个 地市级管理员 gly sjz、 gly_bd 图 8 3系统权限的传递 2授予对象权限 一个对象的拥有者具有该对象的所有权限，他可以将 该对象上的权限授予数据库的其他用户。如果他允许 被授予者可以再转授此权限给另外的用户，授权时需 要带有 WITH GRANT OPTION选项。 例如， iwcuser将自己表 stud上的查询权限授予用户 testuser： SQLGRANT SELECT ON stud TO testuser； jwcuser将自己表 stud上的插入数据权限、结构更改 权限授予用户 testuser： SQLGRA

21、NT INSERT， ALTER ON stud TO testusel； jwcuser将自己表 course上的所有权限授予用户 userl与 user2： SQLGRANT ALL ON course TO userl， user2； 将表 temp的列 coll和列 c012上的更新、插入 权限授予用户 userl： SQLGRANT UPDATE(C011， C012)， INSERT(c011， C012)0N temp T0 userl； 再如，将包 DBMS OUTPUT上的执行权限授予 用户 userl， userl还可以转授此权限给其他用户： SQLCONN AS SYSD

22、BA SQLGRANT EXECUTE ON DBMS OUTPUT TO user WITH GRANT OPTION； 这里属于对象权限的传递，用 WITH GRANT OPTION选项表示。 8.2.3 回收权限 回收权限的命令是 REVOKE，执行回 收权限操作的用户同时必须具有授予相 同权限的能力与 GRANT命令相类似，回 收权限时也会根据是系统权限还是对象 权限，语法会有些不同。 1系统权限 例如，将 CREATE TABLE系统权限从 testuser用户收回： SQLREVOKE CREATE TABLE FROM testusef； 又如，将 CREATE、， JEw系统权

23、限从省级管理员用户 gly_hebei中收回： SQLREVOKE CREATE VIEW FROM gly_hebei； 在图 8 3所示的例子中， system用户授予了 gly_hebei用户 CREATE VIEW系统权限及 WITH ADMIN OPTION选项，并且 gly_hebei用户又将 CREATE VIEW 系统权限授予了 gly sjz用户，那么当回收了 gly hebei用户的 CREATE VIEW系统权限之后， gly sjz用 户的 CREATE VIEW系统权限不会被回收，即系统权限 不会级联收回。图 8 4示意性地给出了授权与回收过 程。 2对象权限 收回对

24、象权限也是通过 REVOKE命令完成的。例如， jwcuser要收回另一用户 testuser对自己对象 stud表上 的结构更改权限，可以使用如下命令： SQLREVOKE ALTER ON stud FROM testuser； 但不像收回系统权限，收回对象权限时会被级联收 回。假如 DBA将表 test上的 UPDATE权限授给了 gly_hebei，并且带有 WITH GRANT OPTION选项，而 后 gly hebei又将此权限转授给 gly sjz，如图 8 5(a) 所示。而当 DBA将表 test上的 UPDATE权限从 gly_hebei 用户收回时，同时也会收回 gly

25、 sjz用户在 test表上的 UPDATE权限，如图 8.2.4 查看权限 1.显示用户所具有的系统权限 DBA通过查询数据字典 dba_sys_privs， 可以了解指定用户所具有的系统权限以 及 WITH ADMIN OPTION选项，如下所 示： SQLSELECT * FROM dba sys_privs WHERE grantee=TESTUSER； 此例查询的仅是用户 testuser所具有的系 统权限情况， GRANTEE表示权限拥有者， VILEGE表示系统权限名， ADMIN OPTION表示转授系统权限选项，其中 YES意指可以转授，而 NO表示不能转授。 有时用户也需要

26、了解自己拥有哪些权限， 此时查询 user sys privs数据字典即可。 2显示用户所具有的对象权限 通过查询 dba_tab privs、 user_tab_privs两个数据字 典视图，可以获得用户在哪个对象有哪些对象权限信 息。 例如， DBA需要了解 testuser用户所拥有权限的具体信 息，比如在哪些表上有哪些权限，这些表属于哪个用 户，被哪个用户授予，这些权限能否转授等信息，相 应的命 SQLSELECT tabie_name， privilege f owner r grantor|grantable FROM dba_tab_privs WHERE grantee： TE

27、STUSER； 如果想了解更详细的信息，例如，哪些列上具 有 UPDATE权限或 SELECT权限，则可使用如图 8-6所示的命令，查询 dba_col_privs获得。 结果显示： testuser用户所拥有的 UPDATE权限 是在 stud表的 SIlO列和 sname列上。似地，数 据字典 user col privs供用户查询自己在哪个 对象的哪个列上有怎样的对象权限。 8 3角色管理 角色就是一组权限的集合。角色可以被授予用 户或其他的角色，把角色分配给用户，就是把 角色所拥有的权限分配给了用户。 使用角色可以更容易地进行权限管理，主要 体现在如下三个方面。 (1)减少了授权工作：

28、用户可以先将权限授 予一个角色，然后再将角色授予每一个用户， 而不是将一组相同的权限授予多个用户。 (2)动态权限管理：当一组权限需要改变 时，只需要更改角色的权限，则所有被 授予了此角色的用户自动地立即获得了 修改后的权限。 (3)方便地控制角色的可用性：角色可以 临时禁用和启用，从而使权限变得可用 和不可用。 1创建角色 角色不属于任何用户，也不在任何模式下。但是创建角色的用 户需要有 CREATEROI E系统权限。 例如，创建角色 fdy，命令如下： SQIjCREATE ROLE fdy： 角色建立之后，它不具有任何权限，为了使角色发挥作用，要 给它授予相应权限，权限可以是系统权限也

29、可以是对象权限。给 角色授权与给用户授权的方法完全相同。下面的 语句给角色 fdy授予连接到数据库、建立视图、查询表 stud的权限： SQL一 GRANT CREATE SESS工 0N， CREATE V工 EW TO FDY： SQL一 GRANT SELECT ON stud TO fd3： 同样地，也可以将权限从角色收回，如下语句是将建立视图的 系统权限从角色： fdy中收回： sqlREVOKE CREATE VI EW FROM fdy 又如，创建安全性更高的带有口令验证的角色 bzr，命令为： SQLCREATE ROLE bzr IDENTIFIED BY teachers；

30、 2分配角色 分配角色就是指将角色分配给某用户。在建立了角色并为其授予 了权限之后，只有将该角色分配给用户，该角色才能起作用。分 配角色与授予系统权限的命令完全相同。示例如下： SQLGRANT fdy TO testuser； SQLGRANT fdy TO jwcuser； 同样地，回收角色采用 REVOKE命令，示例如下： SQLREVOKE fdy FROM testuser； 3控制角色的可用性 默认情况下，用户登录时自动启用分配给该用 户的所有角色。但是，有时可能需要临时关闭 一些权限，或者希望登录时只自动启用一部分 角色，要灵活地控制一个用户在一个时刻所拥 有的权限，则可以使用默

31、认角色、禁用角色、 启用角色等相关操作。 (1)默认角色。默认角色是用户登录时自动启 用的角色的子集。使用 ALTER USER命令给用 户指定默认角色。 例如，将 fdy与 bzr两个角色作为用户 testuser的默认角色： SQLALTER USER testuser DEFAULT ROLE fdy， bzr； 又如，指定除了 fdy角色以外的所有角色都成为 testuser用户的默认角色： sQLALTER USER testuser DEFAULT ROLE ALL EXCEPT fdy； 再如， testuser用户没有任何默认角色： SQLALTER USER testuser

32、 DEFAULT ROLE none； 需要注意的是，只有授予给用户的角色才能被指定为 用户的默认角色，即必须先将此角色授予用户，此角 色才能成为用户的默认角色。 (2)禁用和启用角色。禁用角色会使用户不能使用与该角色相关的 权限，相反，启用角色用户则会具有该角色的权限。 SET ROLE命 令用于角色的禁用和启用。 例如，启用没有口令验证的角色 fdy： SQLSET ROLE fdy； 而要启用带口令验证的角色 bzr： SQLSET ROLE bzr IDENTIFIED BY teachers j 又如，使除了 fdy以外的所有不带口令的角色变得可用： SQLSET ROLE ALL

33、EXCEPT fdy； 再如，禁用所有角色： SQLSET ROLE NONE： 4删除角色 使用 DROP ROLE命令可以删除角色。即使一个角色已经 被授予一个用户或其他角色， Oracle也允许用户删除 该角色。当一个角色被删除时，立即从用户的角色列 表中去掉该角色。 例如，删除 fdy角色，可以使用 DROPROLE命令： SQLDROP ROLE fdy； 8.3.2使用预定义的角色 当建立数据库时， Oracle自动定义了多个角色。系统 预定义的角色包括如下几个。 (1)CONNECT、 RESOURCE、 DBA：提供这些角色的 目的是为了向后与 Oracle服务器的早期版本兼容

34、。 (2)EXP ULLDATABASE、 IMP_FULLDATABASE： 导出、导入数据库的权限。 (3)DELETE CATALOG_ROLE：对于数据字典表的 DELETE权限。 (4)EXECUTE_CATALOG_ROLE：对于数据字典程序 包的 EXECUTE权限。 (5)SELECT-CATALOG_ROLE：对于数据字典表的 SELECT权限。 许多数据字典视图包含了授予用户和角色的权 限信息，查询这些视图可以了解当前数据库中 已经建立的角色，以及这些角色所拥有的系统 权限和对象权限。 例如，查询 dba roles视图可以了解当前数据 库的所有角色，其中 password

35、_required列指 出了该角色是否需要口令： SQLSELECT role， password required FROM dba_roles； 如下命令可以查得用户 jwcuser所具有的角色信息： SQLSELECT grante(Lrole FROM dba_role privs WHERE grantee=。 JWCUSER。； 又如，查询 fdy角色所拥有的系统权限、对象权限，分 别使用如下两个命令： SQLSELECT。 FROM role_sys_privs WHERE role=。 FDY ; SQLSELECT * FROM role_tab_privs WHERE ro

36、le=FDY： 再如，查询 session_roles视图以获得当前会话启用的 角色： SQLSELECTFROM Session r01es： 8 4 PROFILE管理 PROFILE也称配置文件或概要文件， 是口令限制和资源限制的命名集合。例 如，使用 PROFILE可以指定口令有效期、 进行口令复杂性校验、指定用户连接时 问以及最大空闲时间等。数据库每个用 户都会对应一个配置文件， PROFILE具 有以下一些作用。 (1)限制用户执行某些需要消耗大量资源的 SQL操作。 (2)确保在用户会话空闲一段时间后，将用户从数据 库注销。 (3)在大而复杂的多用户数据库系统中合理分配资源。 (

37、4)控制用户口令的使用。 当建立数据库时，系统会自动建立 DEFAULT配置文 件，该文件的所有口令及资源限制选项初始值均为 UNLIMITED，即未进行任何口令和资源限制。当建立 用户时，如果不指定 PROFILE子句，则 Oracle会将 DEFAULT分配给该用户。根据用户所承担任务的不 同， DBA应该建立不同的 PROFILE，并将 PROFILE分配 给相应的用户。 8.4.2 使用 PROFILE 使用 PROFILE可以管理口令和进行资源限制。 管理口令有锁定账户、终止口令、口令历史以及口 令校验等四种安全保护方式，共包含了 7个口令管理选 项，如果仅指定某个或某几个选项，那么

38、其他选项将 自动使用 DEFAULT的相应选项值。 在大而复杂的多用户数据库管理环境中，用户众多， 不仅需要管理这些用户的口令，还要对每个用户或会 话使用的 CPU、内存等系统资源予以限制，以有效地 利用系统资源确保系统性能。使用 PROFILE进行资源 限制，既可以限制整个会话的资源占用，也可以限制 调用级 (SQL语句 )的资源占用。 需要注意的是，与管理口令不同，如果使用 PROFILE 管理资源，则必须要激活资源限制，即需要将初始化 参数 RESOURCE-LIMIT设置为 TRUE。 例如，为了加强用户 jwcuser的口令安全，要求其登 录失败次数限制为 3次，如果其连续失败 3次

39、，则其账 户自动锁定， 锁定 7天后解除锁定，而且要求其每 10 天更改一次口令，一个口令再次使用必须间隔 300天； 最多允许 5名人员同时以 jwcuser用户登录，每个会话 连接时问不能超过 60min，会话空闲时间不能超过 5min。 第一步，需要根据要求建立一个 PROFILE，命令如下： SQLCREATE PROFILE profile_jwcuser LIMIT FAILED_LOGIDLATTEMPTS 3 PASSWORD_LOCK_TIME 7 PASSWORD LIFE TIME 1 0 PASSWORD_REUSE_TIME 3 0 0 SESS工 0NS PER U

40、SER 5 CONNECT TIME 60 IDLE TIME 5； 第二步，因为有资源限制选项，需要设置资源 限制参数，命令为： SQLALTER SYSTEM SET RESOURCE- LIMIT=true； 第三步，将新建立的配置文件 profilejwcuser分配给用户 jwcuser。为用户分 配 PROFILE。既可以在建立用户时使用 PROFILE子句，也可以在建立用户之后使用 ALTER USER语句修改： SQLALTER USER Jwcuser PROFILE profile jwcuser； 8.4.3 修改与删除 PROFILE 当口令和资源限制无法满足目前的实际

41、需 求时，就需要修改口令及资源限制。修改口令 及资源限制由 ALTER PROFILE命令完成，使用 该命令要求用户必须具有 ALTER PROFILE系统 权限。修改 PROFILE的示例如下： SQLALTER PROFILE profile_jWCUSer LIMIT SESSIONS_PER USER 3 FAILED_LOGIN_ATTEMPTS 5； 删除 PROFILE使用 DROP PROFILE命令完成，只是如果 PROFILE已经被分配给某个用户，那么删除 PROFILE时 还必须带有 CASCADE选项。 例如，要求删除 profile_wcuser，由于该 PROFIL

42、E 已经分配给了用户 jwcuser，可使用如下命令删除： SQLDROP PROFILE profile_jwcuser CASCADE ; 删除 PROFILE后系统会自动将 DEFAULT分配给该用 户。 以上对 PROFILE的修改、删除只对新会话起作用， 对已经存在的会话不会产生影响。 8.4.4 查看 PROFILE 1查看用户的 PROFILE 通过查询数据字典 dba_users，可以获得 用户的详细信息，包括用户名称、 PROFILE等。 SQLSELECT profile FROM dba users WHERE username=JWCUSER； 2查看 PROFILE的

43、口令和资源限制选项 当建立或修改 PROFILE时， Oracle会将 PROFILE选项及值存放到数据字典 profiles中。在确定了用户的 PROFILE之 后，通过查询数据字典可以获得用户的 口令及资源限制信息，如下所示： SQLSELECT resource_name， 1lmlt FROM dba_proflles WHERE profile=PROFILE_JWCUSER。 AND resource_type=KERNEL。： 数据字典 dba_profiles包含如下 4个列。 (1)profile： PROFILE名称。 (2)resource namePROFILE选项名。

44、 (3)resource type： PASSWORD表示口令管理 选项，而 KERNAL则表示资源限制选项。 (4)limit： PROFILE选项值。 小 结 本章主要讨论了数据库的安全管理内容， 包括如何创建用户与更改用户属性、如 何管限、角色的概念及如何通过角色管 理权限，并简要介绍 Oracle使用 PROFILE 管理口令限制资源使用的方法和内容。 选择题 1 PROFILE资源文件不能用于限制 ( )。 A使用的 CPU时间 B连接到数据库的总时间 C一个会话处于不活动的最长时问 D读块的时间 2当建立一个新用户并且没有指定一个 PROFILE时， ( )。 A Oracle提示

45、用户指定一个资源文件 B没有给用户分配资源文件 C给用户分配了 DEFAULT资源文件 D Oracle提示用户指定多个资源文件 3 ( )数据字典视图显示了一个用户口令的到期日期。 A dba_profiles B dba_users C dba_passwords D v$session 4当用户具有哪种权限或角色时可以建立数据库 ?( ) A SYSDBA B SYSOPER C DBA D CONNECT 5在以下哪些对象权限上可以授予列权限 ?( ) A SELECT B UPDATE C DELETE D INSERT 6建立用户时没有指定 QUOTA选项，则用户在其默 认表空间上可占用的空间 () A无限制 B为 0 C不超过 10MB D不超过 100MB