10、用户与安全

一、用户与模式
    模式是用户所拥有的数据库对象的集合。这oracle中，对象是以用户来组织的，用户与模式是一一对应的关系i，并且两者名称相同（当用户访问其他模式对象时，需要附加模式名作为前缀。）

1.1创建用户
create user user_name
identified by password
default tablespace tablespace_name
[quota unlimited on users]
temporary tablespace temp_tablespace
[password expiire];    --强制用户每登录一次就需要修改密码。


1.2修改用户
alter user user_name identified by password_name; --修改密码
alter user user_name quota 10 on user_tablespace; --修改表空间配额
alter user user_name account lock;        --锁定用户
alter user user_name account unlock;        --解锁用户
alter user user_name default tablespace tablespace_name;--修改默认表空间
alter user user_name temporary tablespace temp_tablespace_name; --修改临时表空间

drop user user_name  cascade;    --删除用户
drop user user_name including contents and datafiles cascade constraints; --删除用户2

二、资源配置profile
    profile为用户配置文件，它是密码限制、资源限制的命名集合。


create profile profile_name limit
failed_login_attempts 3            --允许的错误次数
password_lock_time 10            --到达错误次数后，锁定的天数。
password_file_time 10            --密码的有效时间
password_grace_time 2;            --密码到期后的可用时间，2天后会被强制修改密码

P320，关于管理资源的一些参数（CPU时间，会话时间等）


alter user user_name profile profile_name;    --为用户指定profile文件。


alter profile profile_name limit
xxx 1
xxx 2
xxx 3;                --修改profile

drop profile profile_name;    --删除profile

select profile from dba_users where username = 'username'; --查询某用户所拥有的资源文件。
select resource_name,resource_type,limit from dba_profiles where profile='profile_name';--查询资源文件的详细信息。

三、权限的授予
3.1系统权限
grant system_priv[,system_priv,...]
to {PUBLIC | role |user }[,{PUBLIC| role | user}]...
[with admin option];        --授予系统权限

with admin option:被授予的用户、角色可以将相应的权限授权给其他用户或角色。

revoke system_priv[,system_priv] ...
from { PUBLIC | role |user }[,{user | PUBLIC | role}]...   --回收系统权限

系统权限信息视图：
dba_sys_privs:管理员拥有的所有系统权限信息
session_privs:当前数据库用户可以使用的权限信息
system_privilege_map:系统中所有的系统权限信息

系统权限收回，经过传递获得权限的用户不受影响。

3.2对象权限
grant {object_priv [(column_list)]} [,object_priv[(column_list)]]...
| all [priviileges] on [schema.]object
to { user | role | PUBLIC}[,{user | role | public }]...
[with grant option];

with grant option:被授予的用户可以将相应的权限授予给其他用户、角色（但该选项不能修饰角色。）
object_priv:对象权限
column_list:指定相应的列，则该权限仅对此列有效。

revoke { object_priv [,object_priv]...| all [privileges]}
on [schema.]object
from { user | role | PUBLIC};
[cascade constraints];

对象权限信息视图：
dba_tab_privs:所有用户或角色的对象权限信息
dba_col_privs:所有用户或角色的列权限信息
all_tab_privs_made:对象所有者或授权用户所授出的所有对象权限
all_tab_privs_recd:用户所具有的对象权限
all_col_privs_made:对象所有者或授权用户所授出的所有列权限
all_col_privs_recd:用户所具有的列权限


四、管理角色
    角色是具有名称的一组相关权限的组合。我们可以把权限授予角色，然后把角色授予用户。从而在角色层面来控制用户的权限。
预定义角色：
1、connect角色：连接、会话、簇、序列、同义词、视图、表。
2、resource角色：簇、序列、类型、表、过程、触发器。
3、dba角色：包含with admin option选项，默认dba用户为system。dba角色不具备sysdba特权，sysdba特权自动拥有dba角色的所有权限。
4、exp_full_database:用于执行数据导出操作的角色。
5、imp_full_database:用于执行数据导入操作的角色。
6、execute_catalog_role:对所有系统PL/SQL包的execute对象权限
7、delete_catalog_role:
8、select_catalog_role
9、recovery_catalog_owner


create role role_name {not identified | identified by password_name};    --创建角色。
grant system_priv to role_name;            --给角色授权，此处可参考用户授权篇。
alter user user_name default role role_name;    --为用户设置默认角色（一个用户可拥有多个角色）
alter role role_name not identified;        --修改角色为非验证方式
alter role role_name identified by password_name;--修改角色为验证方式
drop role role_name;                --删除用户

角色信息视图：
dba_roles:记录数据库中所有的角色
dba_role_privs:记录所有已经被授予用户和角色的角色
user_roles:包含已经授予当前用户的角色信息
role_role_privs:包含角色授予的角色信息
role_sys_privs:包含为角色授予的系统权限信息
role_tab_privs:包含为角色授予的对象权限信息
session_roles:包含当前会话所包含的角色信息