Oracle 11gR1中细粒度访问网络服务(1)

作者: 黄永兵 出处:　

 

阅读提示：Oracle允许使用几个PL/SQL API（UTL_TCP, UTL_SMTP, UTL_MAIL, UTL_HTTP和 UTL_INADDR）访问外部网络服务，这些API都使用TCP协议，在上一个数据库版本中（10g）是通过一个基于用户是否被授予执行某个包的许可的on/off开关来实现的，Oracle 11g引入了细粒度访问网络服务，通过在XML DB 数据库中使用访问控制列表（ACL）来实现。

Oracle允许使用几个PL/SQL API（UTL_TCP, UTL_SMTP, UTL_MAIL, UTL_HTTP和 UTL_INADDR）访问外部网络服务，这些API都使用TCP协议，在上一个数据库版本中（10g）是通过一个基于用户是否被授予执行某个包的许可的on/off开关来实现的，Oracle 11g引入了细粒度访问网络服务，通过在XML DB 数据库中使用访问控制列表（ACL）来实现，允许控制哪个用户能够访问哪个网络资源，而不关心包的授权。

使用FTP或WebDav可以直接在XML DB 数据库中创建、修改和删除访问控制列表，Oracle提供了DBMS_NETWORK_ACL_ADMIN和DBMS_NETWORK_ACL_UTILITY程序包允许从PL/SQL管理访问控制列表，这些API就是本文的主角。

创建一个访问控制列表（ACL）

访问控制列表是使用DBMS_NETWORK_ACL_ADMIN程序包来操作的，CREATE_ACL存储过程使用下面的参数来创建一个新的访问控制列表：

 acl - 访问控制列表XML文件的名字，产生在XML DB 数据库中的/sys/acls目录下
 description - 访问控制列表的描述信息
 principal - 第一个被授予或拒绝的用户账号，大小写敏感
 is_grant - TRUE意味着授予了权限，FALSE意味着权限被拒绝
 privilege - 给UTL_TCP, UTL_SMTP, UTL_MAIL和UTL_HTTP授予connect权限，给UTL_INADDR名称/ip解析授予resolve权限，大小写敏感
 start_date - 默认值是NULL，当指定了一个值后，访问控制列表只有在指定的日期到达时或到达后才被激活
 en_date - 访问控制列表结束日期（可选的）

下面的代码创建了两个测试用户充当委托人，然后又创建了一个新的访问控制列表。

CONN sys/password@db11g AS SYSDBA

CREATE USER test1 IDENTIFIED BY test1;
GRANT CONNECT TO test1;

CREATE USER test2 IDENTIFIED BY test2;
GRANT CONNECT TO test2;

BEGIN
  DBMS_NETWORK_ACL_ADMIN.create_acl (
    acl          => 'test_acl_file.xml', 
    description  => 'A test of the ACL functionality',
    principal    => 'TEST1',
    is_grant     => TRUE, 
    privilege    => 'connect',
    start_date   => SYSTIMESTAMP,
    end_date     => NULL);

  COMMIT;
END;
/

一旦创建完毕，访问控制列表就能够在目录下看到。

使用ADD_PRIVILEGE存储过程将其他的用户或角色添加到访问控制列表中，它的参数与CREATE_ACL存储过程的参数类似，省略了DESCRIPTION参数，同时增加了POSITION参数，它用于设置优先顺序。

BEGIN
  DBMS_NETWORK_ACL_ADMIN.add_privilege ( 
    acl         => 'test_acl_file.xml', 
    principal   => 'TEST2',
    is_grant    => FALSE, 
    privilege   => 'connect', 
    position    => NULL, 
    start_date  => NULL,
    end_date    => NULL);

  COMMIT;
END;
/

每个委托人在访问控制列表中都被作为一个独立的访问控制单元（ACE）进行定义，当定义了多条原则时，他们按照从上到下的顺序被评估，直到最后一条定义权限的原则，这就意味着一个拒绝访问某个资源的角色可以被授予一个用户，但是如果这个用户又作为一个委托人定义在文件中时，这个定义将覆盖角色的定义，使用POSITION参数保证权限是按顺序进行评估的。

使用DELETE_PRIVILEGE存储过程移除权限，如果IS_GRANT或PRIVILEGE参数的值是NULL，将移除所有授予的权限。

BEGIN
  DBMS_NETWORK_ACL_ADMIN.delete_privilege ( 
    acl         => 'test_acl_file.xml', 
    principal   => 'TEST2',
    is_grant    => FALSE, 
    privilege   => 'connect');

  COMMIT;
END;
/

使用DROP_ACL删除访问控制列表

BEGIN
  DBMS_NETWORK_ACL_ADMIN.drop_acl ( 
    acl         => 'test_acl_file.xml');

  COMMIT;
END;
/