数据库基础与实例教程（达梦DM8） 课件 项目7 数据库安全管理.pptx

数据库基础（基于达梦DM8）

数据库安全管理7

7.1用户管理03修改用户01数据库的用户管理04删除用户02创建用户

数据库的用户管理7.1.1

7.1.1数据库的用户管理在现实生活中，一个系统一般不会只给一个人使用，而是多人共同使用的。在多人使用的场景下，通常会分为多类使用人群，如数据管理人员、开发人员、某系统负责人、一般用户等。

7.1.1数据库的用户管理如果将所有的权利都赋予某一个人，而不加以监督和控制，势必会产生权利滥用的风险。从数据库安全角度出发，一个大型的数据库系统有必要将数据库系统的权限分配给不同的用户和角色来管理，并且各自偏重于不同的工作职责，使之能够互相限制和监督，从而有效保证系统的整体安全。

7.1.1数据库的用户管理DM数据库采用“三权分立”或“四权分立”的安全机制，将系统中所有的权限按照类型进行划分，为每个管理员分配相应的权限，不同角色管理员之间的权限相互制约又相互协助，从而使整个系统具有较高的安全性和较强的灵活性。

7.1.1数据库的用户管理使用“三权分立”的安全机制时，在安装过程中，DM数据库会预设数据库管理员账号SYSDBA、数据库安全员账号SYSSSO和数据库审计员账号SYSAUDITOR，如图所示。其缺省口令都与用户名一致。

7.1.1数据库的用户管理使用“四权分立”的安全机制时，在“数据库管理员账号SYSDBA”、“数据库安全员账号SYSSSO”和“数据库审计员账号SYSAUDITOR”基础上，新增数据库对象操作员账户SYSDBO，其缺省口令为SYSDBO。

7.1.1数据库的用户管理（1）数据库管理员（DBA）每个数据库至少需要一个DBA来管理，DBA可能是一个团队，也可能是一个人。在不同的数据库系统中，数据库管理员的职责可能也会有比较大的区别，总体而言，数据库管理员的职责主要包括以下任务。评估数据库服务器所需的软、硬件运行环境安装和升级DM服务器数据库结构设计监控和优化数据库的性能计划和实施备份与故障恢复

7.1.1数据库的用户管理（2）数据库安全员（SSO）数据库安全员的主要职责是制定并应用安全策略，强化系统安全机制。数据库安全员SYSSSO是DM数据库初始化的时候就已经创建好的，可以以该用户登录到DM数据库来创建新的数据库安全员。数据库安全员不能对用户数据进行增、删、改、查，也不能执行普通的DDL操作如创建表、视图等。他们只负责制定安全机制，将合适的安全标记应用到主体和客体，通过这种方式可以有效地对DBA的权限进行限制

7.1.1数据库的用户管理（3）数据库审计员（AUDITOR）在DM数据库中，审计员的主要职责就是创建和删除数据库审计员，设置/取消对数据库对象和操作的审计设置，查看和分析审计记录，审计所有用户（包括管理人员）的操作是否符合规定等。数据库审计员（SYSAUDITOR或者其他由SYSAUDITOR创建的审计员）可设置审计策略（包括审计对象和操作），查看审计记录，及时分析并查找出违规人员。

7.1.1数据库的用户管理（4）数据库对象操作员（DBO）数据库对象操作员是“四权分立”新增加的一类用户，可以创建数据库对象，并对自己拥有的数据库对象（表、视图、存储过程、序列、包、外部链接等）具有所有的对象权限并可以授出与回收，但其无法管理与维护数据库对象。

创建用户7.1.2

7.1.2创建用户数据库系统在运行的过程中，往往需要根据实际需求创建用户。创建用户的操作一般只能由系统预设用户SYSDBA、SYSSSO和SYSAUDITOR完成，如果普通用户需要创建用户，必须具有CREATEUSER的数据库权限。在DM中使用CREATEUSER语句创建用户，基本的语法格式如下。CREATEUSER用户名IDENTIFIEDBY口令[PASSWORD_POLICY口令策略][资源限制子句][ALLOW_IPIP项{,IP项}][NOT_ALLOW_IPIP项{,IP项}]

7.1.2创建用户1）口令策略用户口令最长为48字节，创建用户语句中的PASSWORDPOLICY子句用来指定该用户的口令策略，系统支持的口令策略有。0无策略1禁止与用户名相同2口令长度不小于94至少包含一个大写字母（A-Z）8至少包含一个数字（0-9）16至少包含一个标点符号（英文输入法状态下，除““”和“空格”外的所有符号）口令策略可单独应用，也可组合应用。组合应用时，如需要应用策略2和4，则设置口令策略为2+4=6即可。

7.1.2创建用户2）IP限制允许IP、禁止IP只在安全版本中提供。3）资源控制子句资源控制语句中的“资源设置项”详见表7-1。

创建用户案例CREATEUSERFACTOR