第14 对象：用户,角色建立,修改,删除,授权

第14 对象：用户，角色建立，修改，删除，授权。

目的：1.掌握Oracle9i用户对象的基本概念，用户的作用。

2.掌握Oracle9i的基本权限。

3.掌握用户，角色的创建，修改，删除。

4.掌握对用户，角色的授权。

5.掌握每种权限在Oracle9i中的作用和功能授课内容：1.Oracle9i的安全机制：1)oracle9i任何对象和数据的访问都要求以一个用户身份登录，用户名和密码。

2)Oracle9i中用户可以执行的动作都需要有权限。

3)DBA负责用户的创建。

4)DBA对用户进行授权，以运行用户进行在权限允许的范围内工作。

5)Oracle9i在对用户授权时，采用2中权限方式：系统级权限，和对象级权限。

2.用户(User)：1)用户是Oracle系统的使用者。

Oracle要求在使用数据库功能时必须以用户登录，然后才可以按照权限进行操作。

2)oracle不允许匿名使用数据库，如web网站。

3)Oracle安装后，创建2个管理员帐号：sys和system.4)用户的创建方法：-使用Oracle Enterprise Manager Console: 方便，不用复杂的语法-使用SQL：create user 语句。

-使用其他工具，如TOAD.5)一个用户可以创建其他用户必须满足如下的条件之一：-用户拥有SYSDBA的系统级权限-用户是DBA的角色-用户由CREATE USER的权限6)用户创建SQL语句: Create user :语法：create user User_Name identified {by password | externally }[ default tablespace table_space_name][ profile profile_name][ password expire ][ account {lock | unlock} ][ temporary tablespace table_sapce_name]注：<1> 用户名的最大长度为30<2> 用户的信息可以通过数据字段表ALL_USERS查询。

7）通过数据字典可以查询用户的基本信息USER_USERS：查询当前用户的详细信息ALL_USERS：查询所有用户的基本信息用户创建的例子1：CREATE USER "GEOA" PROFILE "TC01PROFILE"IDENTIFIED BY "geoa" DEFAULT TABLESPACE "USERS"TEMPORARY TABLESPACE "TEMP"ACCOUNT UNLOCK;GRANT "CONNECT" TO "GEOA";ALTER user GEOA GRANT CONNECT THROUGH GEDOCALTER user SCOTT GRANT CONNECT THROUGH GEOA注：上例中，使用了用户的代理用户概念。

用户创建的例子2：使用表空间限额的创建用户的语法CREATE USER "LHD" PROFILE "DEFAULT"IDENTIFIED BY "LHD" DEFAULT TABLESPACE "USERS"TEMPORARY TABLESPACE "TEMP"QUOTA 5 M ON "TEMP"QUOTA 5 M ON "USERS"ACCOUNT UNLOCK;7)用户修改: 对用户进行修改ALTER USER user_name 要修改的项目如：IDETIFILED BY user_passwordDEFAULT TABLESPACE table_space_nameTEPORARY TABLESPACE table_space_namePROFILE profile_nameDEFAULT ROLE role_name, role_name,….PASSWORD EXPIREACCOUNT {LOCK | UNLOCK}用户修改的例子：ALTER USER ashwini ACCOUNT UNLOCK;ALTER USER ashwini PROFILE prof;ALTER USER susan ACCOUNT LOCK;8)用户删除SQL语句：DROP USER user_name [CASCADE]使用CASCADE选项，此命令删除用户以及用户拥有的所有对象，资源。

如果对象拥有对象，不使用cascade选项，则Oracle返回错误。

3.角色（Role）：1)角色是Oracle中拥有相同权限的用户的集合。

2)创建角色的目的是为了简化对用户权限的授予。

3)在Oracle安装后，自动建立了三个角色：Connect, Resouce, DBA.4)Connect角色：拥有登录，建立表，视图，序列，到其他数据库的连接。

5)DBA角色：DBA角色拥有所有的系统级权限。

6)RESOURCE: 资源角色。

7)角色的创建：SQL语法：CREATE ROLE role_name如：CREATE ROLE "TCSOFT" NOT IDENTIFIED8)角色的删除：SQL语法：DROP ROLE role_name当角色被删除后，用户中的相应的权限也没有了。

9)将用户授权为角色GRANT role_name TO user_name10)将用户从角色中删除REVOKE role_name FROM user_name角色授予示意图：4.权限(Privileges)：1)权限是用户对oracle9i所能进行的操作的许可。

没有相应的权限，就不能执行相应的动作。

2)在Oracle中，权限分系统级权限，和对象级权限。

5.Oracle9i系统级权限1)系统级权限是指用户在oracle中执行各种数据定义和数据控制的命令，还有登录数据库等。

如对表，用户，角色，视图，存储工程，函数，序列，索引，表空间等创建，修改，删除权限。

2)系统级权限一般由DBA授权给其他用户。

用户有了这些权限后，就可以在oracle中进行相应的操作。

3)系统级权限一般包括各种create, alter, drop命令的权限。

4)带ALL 表示可以在任何已经授予相应权限的模式（schema）上使用这些权限，不只限定在自己的模式上。

5)Oracle9i有150个系统级权限。

6)常见的系统级权限：-Database Access 数据库访问CREATE SESSION, ALTER SESSION, RESTRICTED SESSION-Users 用户CREATE USER, BECOME USER, ALTER USER, DROP USER-Tables 表CREATE TABLE, CREATE ANY TABLE, ALTER ANY TABLE, BACKUP ANYTABLE, DROP ANY TABLE, LOCK ANY TABLE, COMMENT ANY TABLE,SELECT ANY TABLE, INSERT ANY TABLE, UPDATE ANY TABLE, DELETEANY TABLE.-Indexes 索引CREATE ANY INDEX, ALTER ANY INDEX, DROP ANY INDEX-Synonyms 同义词CREATE SYNONYM, CREATE ANY SYNONYM, DROP ANY SYNONYM,CREATE PUBLIC SYNONYM, DROP PUBLIC SYNONYM.-Views 视图CREATE VIEW, CREATE ANY VIEW, DROP ANY VIEW-Sequences 序列CREATE SEQUENCE, CREATE ANY SEQUENCE, ALTER ANY SEQUNCE,DROP ANY SEQUNCE, SELECT ANY SEQUENCE.-Roles 角色CREATE ROLE, DROP ANY ROLE, GRANT ANY ROLE, ALTER ANY ROLE.-PL/SQL 对象CREATE PROCEDURE, CREATE ANY PROCEDURE, ALTER ANYPROCEDURE, DROP ANY PROCEDURE, EXECURE ANY PROCEDURE.The CREATE PROCEDURE privilege also allows you to alter and drop PL/SQLblocks that you own.-Triggers 触发器CREATE TRIGGER, CREA TE ANY TRIGGER, ALTER ANY TRIGGER, DROPANY TRIGGER.The CREATE TRIGGER privilege also allows you to alter and drop triggers thatyou own.-Transaction 事务：FORCE TRANSACTION, FORCE ANT TRANSACTION--(权限的数据字典视图：USER_SYS_PRIVS: 此用户拥有的权限SESSIOB_PRIVS)6.Oracle9i对象级权限1)对象级权限一般是指用户特定数据库对象的操作的预科，如对表，视图，存储过程，函数的使用权限。

具体说对表，视图的select, update, delete操作权限，对SP的执行权限，对函数的使用权限等。

2)对象级权限大约只有10个左右。

3)对象级权限一般由对象的所有者授权给其他用户。

4)对于表的对象级权限是：INSERT, UPDA TE, DELETE, SELECT, ALL.5)对存储过程，函数，包的对象级权限是：EXECUTE6)对序列的对象级权限是：SELECT, ALTER7.可用的对象级权限：1）SELECT2）INSERT3）UPDA TE4）DELETE FROM5）ALTER6）INDEX7）REFRENCES8）EXECUTE8.对象级权限授予的先决条件：1)用户是对象的拥有者。

（Object Owner）.2)用户不是对象的拥有者，但对象的拥有者使用了带WITH GRANT OPTION的选项的对象级权限授予了此用户。