Oracle数据库中的特权和角色

     来源：赛迪网    作者：limeinan

(1)特权：特权是执行一种特殊类型的SQL语句或存取另一用户的对象的权力。有两类特权：系统特权和对象特权。

系统特权：是执行一处特殊动作或者在对象类型上执行一种特殊动作的权利。ORACLE有60多种不同系统特权,每一种系统允许用户执行一种特殊的数据库操作或一类数据库操作.

系统特权可授权给用户或角色,一般,系统特权全管理人员和应用开发人员,终端用户不需要这些相关功能.授权给一用户的系统特权并具有该 系统特权授权给其他用户或角色.反之,可从那些被授权的用户或角色回收系统特权.

对象特权：在指定的表、视图、序列、过程、函数或包上执行特殊动作的权利。对于不同类型的对象,有不同类型的对象特权。对于有些模式对象，如聚集、索引、触发器、数据库链没有相关的对象特权，它们由系统特权控制。

对于包含在某用户名的模式中的对象，该用户对这些对象自动地具有全部对象特权，即模式的持有者对模式中的对象具有全部对象特权。这些对象的持有者可将这些对象上的任何对象特权可授权给其他用户。如果被授者包含有GRANT OPTION 授权，那么该被授者也可将其权利再授权给其他用户。

(2)角色：为相关特权的命名组，可授权给用户和角色。ORACEL利用角色更容易地进行特权管理。有下列优点：

◆减少特权管理，不要显式地将同一特权组授权给几个用户，只需将这特权组授给角色，然后将角色授权给每一用户。

◆动态特权管理，如果一组特权需要改变，只需修改角色的特权，所有授给该角色的全部用户的安全域将自动地反映对角色所作的修改。

◆特权的选择可用性，授权给用户的角色可选择地使其使能（可用）或使不能（不可用）。

◆应用可知性，当一用户经一用户名执行应用时，该数据库应用可查询字典，将自动地选择使角色使能或不能。

◆专门的应用安全性，角色使用可由口令保护，应用可提供正确的口令使用权角色使能，达到专用的应用安全性。因用户不知其口令，不能使角色使能。

一般，建立角色服务于两个目的：为数据库应用管理特权和为用户组管理特权。相应的角色称为应用角色和用户角色。

应用角色是授予的运行一数据库应用所需的全部特权。一个应用角色可授给其它角色或指定用户。一个应用可有几种不同角色，具有不同特权组的每一个角色在使用应用时可进行不同的数据存取。

用户角色是为具有公开特权需求的一组数据库用户而建立的。用户特权管理是受应用角色或特权授权给用户角色所控制，然后将用户角色授权给相应的用户。

数据库角色包含下列功能：

◆一个角色可授予系统特权或对象特权。

◆一个角色可授权给其它角色，但不能循环授权。

◆任何角色可授权给任何数据库用户。

◆授权给一用户的每一角色可以是使能的或者使不能的。一个用户的安全域仅包含当前对该用户使能的全部角色的特权。

◆一个间接授权角色（授权给另一角色的角色）对一用户可显式地使其能或使不能。

在一个数据库中，每一个角色名必须唯一。角色名与用户不同，角色不包含在任何模式中，所以建立一角色的用户被删除时不影响该角色。

ORACLE为了提供与以前版本的兼容性，预定义下列角色：CONNENT、RESOURCE、DBA、EXP-FULL-DATABASE和IMP-FULL-DATABASE。