Oracle数据库安全管理课件.ppt

《Oracle数据库安全管理课件.ppt》由会员分享，可在线阅读，更多相关《Oracle数据库安全管理课件.ppt（101页珍藏版）》请在三一办公上搜索。

1、第10章 安全管理,主要内容,Oracle数据库安全性概述用户管理 权限管理 角色管理概要文件管理审计 利用OEM进行安全管理,本章要求,了解Oracle数据库安全机制掌握用户管理掌握权限管理掌握角色管理了解概要文件的作用及其应用了解审计及其应用,10.1 数据库安全性概述,数据库的安全性主要包括两个方面的含义：一方面是防止非法用户对数据库的访问，未授权的用户不能登录数据库；另一方面是每个数据库用户都有不同的操作权限，只能进行自己权限范围内的操作。Oracle数据安全控制机制 用户管理权限管理 角色管理 表空间设置和配额 用户资源限制 数据库审计,Oracle数据库的安全可以分为两类：系统安全

2、性系统安全性是指在系统级控制数据库的存取和使用的机制，包括有效的用户名与口令的组合、用户是否被授权可连接数据库、用户创建数据库对象时可以使用的磁盘空间大小、用户的资源限制、是否启动了数据库审计功能，以及用户可进行哪些系统操作等。数据安全性数据安全性是指在对象级控制数据库的存取和使用机制，包括用户可存取的模式对象和在该对象上允许进行的操作等。,10.2 用户管理,用户管理概述 创建用户 修改用户 删除用户 查询用户信息,10.2.1用户管理概述,Oracle数据库初始用户 SYS：是数据库中具有最高权限的数据库管理员，可以启动、修改和关闭数据库，拥有数据字典；SYSTEM：是一个辅助的数据库管理

3、员，不能启动和关闭数据库，但可以进行其他一些管理工作，如创建用户、删除用户等。SCOTT：是一个用于测试网络连接的用户，其口令为TIGER。PUBLIC：实质上是一个用户组，数据库中任何一个用户都属于该组成员。要为数据库中每个用户都授予某个权限，只需把权限授予PUBLIC就可以了。,用户属性用户身份认证方式默认表空间临时表空间表空间配额 概要文件 账户状态,用户身份认证方式数据库身份认证：数据库用户口令以加密方式保存在数据库内部，当用户连接数据库时必须输入用户名和口令，通过数据库认证后才可以登录数据库。外部身份认证：当使用外部身份认证时，用户的账户由Oracle数据库管理，但口令管理和身份验证

4、由外部服务完成。外部服务可以是操作系统或网络服务。当用户试图建立与数据库的连接时，数据库不会要求用户输入用户名和口令，而从外部服务中获取当前用户的登录信息。全局身份认证：当用户试图建立与数据库连接时，Oracle使用网络中的安全管理服务器（Oracle Enterprise Security Manager）对用户进行身份认证。Oracle的安全管理服务器可以提供全局范围内管理数据库用户的功能。,默认表空间当用户在创建数据库对象时，如果没有显式地指明该对象在哪个表空间中存储，系统会自动将该数据库对象存储在当前用户的默认表空间中。如果没有为用户指定默认表空间，则系统将数据库的默认表空间作为用户的

5、默认表空间。临时表空间 当用户进行排序、汇总和执行连接、分组等操作时，系统首先使用内存中的排序区SORT_AREA_SIZE，如果该区域内存不够，则自动使用用户的临时表空间。在Oracle 10g中，如果没有为用户指定临时表空间，则系统将数据库的默认临时表空间作为用户的临时表空间。,表空间配额表空间配额限制用户在永久表空间中可以使用的存储空间的大小，默认情况下，新建用户在任何表空间中都没有任何配额。用户在临时表空间中不需要配额。概要文件 每个用户都必须有一个概要文件，从会话级和调用级两个层次限制用户对数据库系统资源的使用，同时设置用户的口令管理策略。如果没有为用户指定概要文件，Oracle将为

6、用户自动指定DEFAULT概要文件。账户状态在创建用户的同时，可以设定用户的初始状态，包括用户口令是否过期以及账户是否锁定等。Oracle允许任何时候对帐户进行锁定或解锁。锁定账户后，用户就不能与Oracle数据库建立连接，必须对账户解锁后才允许用户访问数据库。,10.2.2.创建用户,基本语法CREATE USER user_name IDENTIFIED BY password|EXTERNALLY|GLOBALLY AS external_nameDEFAULT TABLESPACE tablespace_nameTEMPORARY TABLESPACE temp_tablesapce_

7、nameQUOTA n K|M|UNLIMITED ON tablespace_namePROFILE profile_namePASSWORD EXPIREACCOUNT LOCK|UNLOCK;,参数说明user_name：用于设置新建用户名，在数据库中用户名必须是唯一的；IDENTIFIED：用于指明用户身份认证方式；BY password：用于设置用户的数据库身份认证，其中password为用户口令；EXTERNALLY：用于设置用户的外部身份认证；GLOBALLY ASexternal_name：用于设置用户的全局身份认证，其中external_name为Oracle的安全管理服务器

8、相关信息；DEFAULT TABLESPACE：用于设置用户的默认表空间，如果没有指定，Oracle将数据库默认表空间作为用户的默认表空间；,TEMPORARY TABLESPACE：用于设置用户的临时表空间；QUOTA：用于指定用户在特定表空间上的配额，即用户在该表空间中可以分配的最大 空间；PROFILE：用于为用户指定概要文件，默认值为DEFAULT，采用系统默认的概要文件；PASSWORD EXPIRE：用于设置用户口令的初始状态为过期，用户在首次登录数据库时必须修改口令；ACCOUNT LOCK：用于设置用户初始状态为锁定，默认为不锁定；ACCOUNT UNLOCK：用于设置用户初始

9、状态为不锁定或解除用户的锁定状态,注意在创建新用户后，必须为用户授予适当的权限，用户才可以进行相应的数据库操作。例如，授予用户CREATE SESSION权限后，用户才可以连接到数据库。创建数据库用户示例 创建一个用户user3，口令为user3，默认表空间为USERS，在该表空间的配额为10 MB，初始状态为锁定。CREATE USER user3 IDENTIFIED BY user3 DEFAULT TABLESPACE USERS QUOTA 10M ON USERS ACCOUNT LOCK;,创建一个用户user4，口令为user4，默认表空间为USERS，在该表空间的配额为10

10、MB。口令设置为过期状态，即首次连接数据库时需要修改口令。概要文件为example_profile（假设该概要文件已经创建）。CREATE USER user4 IDENTIFIED BY user4 DEFAULT TABLESPACE USERS QUOTA 10M ON USERSPROFILE example_profile PASSWORD EXPIRE;,基本语法ALTER USER user_name IDENTIFIEDBY password|EXTERNALLY|GLOBALLY AS external_nameDEFAULT TABLESPACE tablespace_na

11、meTEMPORARY TABLESPACE temp_tablesapce_nameQUOTA n K|M|UNLIMITED ON tablespace_namePROFILE profile_nameDEFAULT ROLE role_list|ALL EXCEPT role_list|NONEPASSWORD EXPIREACCOUNT LOCK|UNLOCK;,10.2.3 修改用户,参数说明role_list：角色列表；ALL：表示所有角色；EXCEPT role_list：表示除了role_list列表中的角色之外的其他角色；NONE：表示没有默认角色。注意，指定的角色必须是使用

12、GRANT命令直接授予该用户的角色。,修改数据库用户示例将用户user3的口令修改为newuser3，同时将该用户解锁。ALTER USER user3 IDENTIFIED BY newuser3 ACCOUNT UNLOCK;修改用户user4的默认表空间为ORCLTBS1，在该表空间的配额为20 MB，在USERS表空间的配额为10 MB。ALTER USER user4DEFAULT TABLESPACE ORCLTBS1 QUOTA 20M ON ORCLTBS1 QUOTA 10M ON USERS;,用户的锁定与解锁某个用户暂时离开工作 某个用户永久离开工作DBA创建的特殊用户帐

13、户示例ALTER USER user3 ACCOUNT LOCK;ALTER USER user3 ACCOUNT UNLOCK;,10.2.4删除用户,基本语法DROP USER user_name CASCADE;步骤先删除用户所拥有的对象再删除用户将参照该用户对象的其他数据库对象标志为INVALID,10.2.5查询用户信息,ALL_USERS：包含数据库所有用户的用户名、用户ID和用户创建时间。DBA_USERS：包含数据库所有用户的详细信息。USER_USERS：包含当前用户的详细信息。DBA_TS_QUOTAS：包含所有用户的表空间配额信息。USER_TS_QUOTAS：包含当前用

14、户的表空间配额信息。V$SESSION：包含用户会话信息。V$OPEN_CURSOR：包含用户执行的SQL语句信息。,查看数据库所有用户名及其默认表空间。SELECT SERNAME,DEFAULT_TABLESPACE FROM DBA_USERS;查看数据库中各用户的登录时间、会话号。SELECT SID,SERIAL#,LOGON_TIME,USERNAME FROM V$SESSION;,10.3 权限管理,权限管理概述系统权限管理对象权限管理查询权限信息,10.3.1权限管理概述,概念所谓权限就是执行特定类型SQL命令或访问其他用户的对象的权利。用户在数据库中可以执行什么样的操作，以

15、及可以对哪些对象进行操作，完全取决于该用户所拥有的权限。分类系统权限：系统权限是指在数据库级别执行某种操作的权限，或针对某一类对象执行某种操作的权限。例如，CREATE SESSION权限、CREATE ANY TABLE权限。对象权限：对象权限是指对某个特定的数据库对象执行某种操作的权限。例如，对特定表的插入、删除、修改、查询的权限。,授权方法直接授权：利用GRANT命令直接为用户授权。间接授权：先将权限授予角色，然后再将角色授予用户。,10.3.2系统权限管理,系统权限分类系统权限的授权 系统权限的回收,（1）系统权限分类,一类是对数据库某一类对象的操作能力，通常带有ANY关键字。例如，C

16、REATE ANY INDEX，ALTER ANY INDEX，DROP ANY INDEX。另一类系统权限是数据库级别的某种操作能力。例如，CREATE SESSION。,（2）系统权限的授权,语法为GRANT sys_priv_list TO user_list|role_list|PUBLIC WITH ADMIN OPTION;参数说明：sys_priv_list：表示系统权限列表，以逗号分隔；user_list：表示用户列表，以逗号分隔；role_list：表示角色列表，以逗号分隔；PUBLIC：表示对系统中所有用户授权；WITH ADMIN OPTION：表示允许系统权限接收者再把

17、此权限授予其他用户。,系统权限授予时需要注意的几点：只有DBA才应当拥有ALTER DATABASE 系统权限。应用程序开发者一般需要拥有CREATE TABLE、CREATE VIEW和CREATE INDEX等系统权限。普通用户一般只具有CREATE SESSION系统权限。只有授权时带有WITH ADMIN OPTION子句时，用户才可以将获得的系统权限再授予其他用户，即系统权限的传递性。,为PUBLIC用户组授予CREATE SESSION系统权限。GRANT CREATE SESSION TO PUBLIC;为用户user1授予CREATE SESSION，CREATE TABLE，

18、CREATE INDEX系统权限。GRANT CREATE SESSION,CREATE TABLE,CREATE VIEW TO user1;为用户user2授予CREATE SESSION，CREATE TABLE，CREATE INDEX系统权限。user2获得权限后，为用户user3授予CREATE TABLE权限。GRANT CREATE SESSION,CREATE TABLE,CREATE VIEW TO user2 WITH ADMIN OPTION;CONNECT user2/user2 ORCL GRANT CREATE TABLE TO user3;,语法为REVOKE

19、sys_priv_list FROM user_list|role_list|PUBLIC;注意事项多个管理员授予用户同一个系统权限后，其中一个管理员回收其授予该用户的系统权限时，该用户将不再拥有相应的系统权限。为了回收用户系统权限的传递性（授权时使用了WITH ADMIN OPTION子句），必须先回收其系统权限，然后再授予其相应的系统权限。如果一个用户获得的系统权限具有传递性，并且给其他用户授权，那么该用户系统权限被回收后，其他用户的系统权限并不受影响。,（3）系统权限的回收,10.3 对象权限管理,对象权限分类对象权限的授权对象权限的回收,（1）对象权限分类,在Oracle数据库中共有9

20、种类型的对象权限，不同类型的模式对象有不同的对象权限，而有的对象并没有对象权限，只能通过系统权限进行控制，如簇、索引、触发器、数据库链接等。,（2）对象权限的授权,语法GRANT obj_priv_list|ALL ON schema.objectTO user_list|role_list WITH GRANT OPTION;参数说明obj_priv_list：表示对象权限列表，以逗号分隔；schema.object：表示指定的模式对象，默认为当前模式中的对象；user_list：表示用户列表，以逗号分隔；role_list：表示角色列表，以逗号分隔；WITH GRANT OPTION：表示

21、允许对象权限接收者把此对象权限授予其他用户。,将scott模式下的emp表的SELECT，UPDATE，INSERT权限授予user1用户。GRANT SELECT,INSERT,UPDATEON scott.emp TO user1;将scott模式下的emp表的SELECT，UPDATE，INSERT权限授予user2用户。user2用户再将emp表的SELECT，UPDATE权限授予user3用户。GRANT SELECT,INSERT,UPDATE ON scott.emp TO user2 WITH GRANT OPTION;CONNECT user2/user2ORCLGRANT

22、SELECT,UPDATE ON scott.emp TO user3;,语法REVOKE obj_priv_list|ALL ON schema.object FROM user_list|role_list;注意事项多个管理员授予用户同一个对象权限后，其中一个管理员回收其授予该用户的对象权限时，该用户不再拥有相应的对象权限。为了回收用户对象权限的传递性（授权时使用了WITH GRANT OPTION子句），必须先回收其对象权限，然后再授予其相应的对象权限。如果一个用户获得的对象权限具有传递性（授权时使用了WITH GRANT OPTION子句），并且给其他用户授权，那么该用户的对象权限被回

23、收后，其他用户的对象权限也被回收。,（3）对象权限的回收,WITH ADMIN OPTION当甲用户授权给乙用户，且激活该选项，则被授权的乙用户具有管理该权限的能力：或者能把得到的权限再授给其他用户丙，或者能回收授出去的权限。当甲用户收回乙用户的权限后，乙用户曾经授给丙用户的权限仍然存在与WITH GRANT OPTION比较当甲用户授权给乙用户，且激活该选项，则被授权的乙用户具有管理该权限的能力：或者能把得到的权限再授给其他用户丙，或者能回收授出去的权限。当甲用户收回乙用户的权限后，乙用户曾经授给丙用户的权限也被回收。,WITH ADMIN OPTION,DBA,GRANT,REVOKE,J

24、eff,Emi,Jeff,Emi,DBA,GRANT,REVOKE,WITH GRANT OPTION,Bob,Jeff,Emi,Emi,Jeff,Bob,10.3.4查询权限信息,DBA_TAB_PRIVS：包含数据库所有对象的授权信息ALL_TAB_PRIVS：包含数据库所有用户和PUBLIC用户组的对象授权信息USER_TAB_PRIVS：包含当前用户对象的授权信息DBA_COL_PRIVS：包含所有字段已授予的对象权限ALL_COL_PRIVS：包含所有字段已授予的对象权限信息USER_COL_PRIVS：包含当前用户所有字段已授予的对象权限信息。DBA_SYS_PRIVS：包含授予用

25、户或角色的系统权限信息USER_SYS_PRIVS：包含授予当前用户的系统权限信。,10.4角色管理,Oracle数据库角色概述 预定义角色 自定义角色利用角色进行权限管理 查询角色信息,10.4.1 Oracle数据库角色概述,角色的概念所谓角色就是一系列相关权限的集合,10.4.2 预定义角色,预定义角色概述预定义角色是指在Oracle数据库创建时由系统自动创建的一些常用的角色，这些角色已经由系统授予了相应的权限。DBA可以直接利用预定义的角色为用户授权，也可以修改预定义角色的权限。Oracle数据库中有30多个预定义角色。可以通过数据字典视图DBA_ROLES查询当前数据库中所有的预定义

26、角色，通过DBA_SYS_PRIVS查询各个预定义角色所具有的系统权限。,10.4.3 自定义角色,创建角色 角色权限的授予与回收 修改角色 角色的生效与失效 删除角色,（1）创建角色,语法为CREATE ROLE role_name NOT IDENTIFIEDIDENTIFIED BY password;参数说明role_name：用于指定自定义角色名称，该名称不能与任何用户名或其他角色相同；NOT IDENTIFIED：用于指定该角色由数据库授权，使该角色生效时不需要口令；IDENTIFIED BY password：用于设置角色生效时的认证口令。,例如，创建不同类型的角色。CREATE

27、 ROLE high_manager_role;CREATE ROLE middle_manager_role IDENTIFIED BY middlerole;CREATE ROLE low_manager_role IDENTIFIED BY lowrole;,（2）角色权限的授予与回收,说明给角色授予适当的系统权限、对象权限或已有角色。在数据库运行过程中，可以为角色增加权限，也可以回收其权限。给角色授权时应该注意，一个角色可以被授予另一个角色，但不能授予其本身，不能产生循环授权。示例GRANT CONNECT,CREATE TABLE,CREATE VIEW TO low_manager

28、_role;GRANT CONNECT,CREATE TABLE,CREATE VIEW TO middle_manager_role;,GRANT CONNECT,RESOURCE,DBA TO high_manager_role;GRANT SELECT,UPDATE,INSERT,DELETE ON scott.emp TO high_manager_role;REVOKE CONNECT FROM low_manager_role;REVOKE CREATE TABLE,CREATE VIEW FROM middle_manager_role;REVOKE UPDATE,DELETE,

29、INSERT ON scott.emp FROM high_manager_role;,（3）修改角色,概念修改角色是指修改角色生效或失效时的认证方式，也就是说，是否必须经过Oracle确认才允许对角色进行修改。修改角色的语法ALTER ROLE role_name NOT IDENTIFIED|IDENTIFIED BY password；示例ALTER ROLE high_manager_role IDENTIFIED BY highrole;ALTER ROLE middle_manager_role NOT IDENTIFIED;,（4）角色的生效与失效,概念所谓角色的失效是指角色暂时

30、不可用。当一个角色生效或失效时，用户从角色中获得的权限也生效或失效。因此，通过设置角色的生效或失效，可以动态改变用户的权限。在进行角色生效或失效设置时，需要输入角色的认证口令，避免非法设置。,语法SET ROLE role_nameIDENTIFIED BY password|ALL EXCEPT role_name|NONE;参数说明role_name：表示进行生效或失效设置的角色名称；IDENTIFIED BY password：用于设置角色生效或失效时的认证口令；ALL：表示使当前用户所有角色生效；EXCEPT role_name：表示除了特定角色外，其余所有角色生效；NONE：表示使当

31、前用户所有角色失效。,示例SET ROLE NONE;SET ROLE high_manager_role IDENTIFIED BY highrole;SET ROLE middle_manager_role,low_manager_low IDENTIFIED BY lowrole;SET ROLE ALL EXCEPT low_manager_role,middle_manager_role;,（5）删除角色,语法结构DROP ROLE role_name;说明如果某个角色不再需要，则可以使用DROP ROLE语句删除角色。角色被删除后，用户通过该角色获得的权限被回收。,10.4.4 利

32、用角色进行权限管理,给用户或角色授予角色从用户或角色回收角色 用户角色的激活或屏蔽,（1）给用户或角色授予角色,语法GRANT role_list TO user_list|role_list；例如，将CONNECT，high_manager_role角色授予用户user1，将RESOURCE，CONNECT角色授予角色middle_manager_role。GRANT CONNECT,high_manager_role TO user1;GRANT RESOURCE,CONNECT TO middle_manager_role;,（2）从用户或角色回收角色,语法为REVOKE role_li

33、st FROM user_list|role_list；例如，回收角色middle_manager_role的RESOURCE，CONNECT角色。SQLREVOKE RESOURCE,CONNECT FROM middle_manager_role;,（3）用户角色的激活或屏蔽,语法为ALTER USER user_name DEFAULT ROLE role_name|ALL EXCEPT role_name|NONE;示例ALTER USER user1 DEFAULT ROLE NONE;ALTER USER user1 DEFAULT ROLE CONNECT,DBA;ALTER U

34、SER user1 DEFAULT ROLE ALL;ALTER USER user1 DEFAULT ROLE ALL EXCEPT DBA;,10.4.5查询角色信息,DBA_ROLES：包含数据库中所有角色及其描述；DBA_ROLE_PRIVS：包含为数据库中所有用户和角色授予的角色信息；USER_ROLE_PRIVS：包含为当前用户授予的角色信息；ROLE_ROLE_PRIVS：为角色授予的角色信息；ROLE_SYS_PRIVS：为角色授予的系统权限信息；ROLE_TAB_PRIVS：为角色授予的对象权限信息；SESSION_PRIVS：当前会话所具有的系统权限信息；SESSION_R

35、OLES：当前会话所具有的角色信息。,查询角色CONNECT所具有的系统权限信息。SELECT*FROM ROLE_SYS_PRIVS WHERE ROLE=CONNECT;查询DBA角色被授予的角色信息。SELECT*FROM ROLE_ROLE_PRIVS WHERE ROLE=DBA;,10.5概要文件管理,概要文件概述 概要文件中参数介绍 概要文件的管理,10.5.1 概要文件概述,概要文件的作用 资源限制级别和类型 启用或停用资源限制,（1）概要文件的作用,概要文件（PROFILE）是数据库和系统资源限制的集合，是Oracle数据库安全策略的重要组成部分。利用概要文件，可以限制用户对

36、数据库和系统资源的使用，同时还可以对用户口令进行管理。在Oracle数据库创建的同时，系统会创建一个名为DEFAULT的默认概要文件。如果没有为用户显式地指定一个概要文件，系统默认将DEFAULT概要文件作为用户的概要文件。,（2）资源限制级别和类型,资源限制级别会话级资源限制：对用户在一个会话过程中所能使用的资源进行限制。调用级资源限制：对一条SQL语句在执行过程中所能使用的资源进行限制。资源限制类型CPU使用时间；逻辑读；每个用户的并发会话数；用户连接数据库的空闲时间；用户连接数据库的时间；私有SQL区和PL/SQL区的使用。,（3）启用或停用资源限制,在数据库启动前启用或停用资源限制将数

37、据库初始化参数文件中的参数RESOURCE_LIMIT的值设置为TRUE或FALSE（默认），来启用或停用系统资源限制。在数据库启动后启用或停用资源限制使用ALTER SYSTEM语句修改RESOURCE_LIMIT的参数值为TRUE或FALSE，来启动或关闭系统资源限制。ALTER SYSTEM SET RESOURCE_LIMIT=TRUE;,10.5.2 概要文件中参数,资源限制参数口令管理参数,（1）资源限制参数,CPU_PER_SESSION：限制用户在一次会话期间可以占用的CPU 时间总量，单位为百分之一秒。当达到该时间限制后，用户就不能在会话中执行任何操作了，必须断开连接，然后重

38、新建立连接。CPU_PER_CALL：限制每个调用可以占用的CPU 时间总量，单位为百分之一秒。当一个SQL语句执行时间达到该限制后，该语句以错误信息结束。CONNECT_TIME：限制每个会话可持续的最大时间值，单位为分钟。当数据库连接持续时间超出该设置时，连接被断开。,IDLE_TIME：限制每个会话处于连续空闲状态的最大时间值，单位为分钟。当会话空闲时间超过该设置时，连接被断开。SESSIONS_PER_USER：限制一个用户打开数据库会话的最大数量。LOGICAL_READS_PER_SESSION：允许一个会话读取数据块的最大数量，包括从内存中读取的数据块和从磁盘中读取的数据块的总和

39、。LOGICAL_READS_PER_CALL：允许一个调用读取的数据块的最大数量，包括从内存中读取的数据块和从磁盘中读取的数据块的总和。,PRIVATE_SGA：在共享服务器操作模式中，执行SQL语句或PL/SQL程序时，Oracle将在SGA中创建私有SQL区。该参数限制在SGA中一个会话可分配私有SQL区的最大值。COMPOSITE_LIMIT：称为“综合资源限制”，是一个用户会话可以消耗的资源总限额。该参数由CPU_PER_SESSION，LOGICAL_READS_PER_SESSION，PRIVATE_SGA，CONNECT_ TIME几个参数综合决定。,（2）口令管理参数,FAI

40、LED_LOGIN_ATTEMPTS：限制用户在登录Oracle数据库时允许失败的次数。一个用户尝试登录数据库的次数达到该值时，该用户的账户将被锁定，只有解锁后才可以继续使用。PASSWORD_LOCK_TIME：设定当用户登录失败后，用户账户被锁定的时间长度。PASSWORD_LIFE_TIME：设置用户口令的有效天数。达到限制的天数后，该口令将过期，需要设置新口令。,PASSWORD_GRACE_TIME：用于设定提示口令过期的天数。在这几天中，用户将接收到一个关于口令过期需要修改口令的警告。当达到规定的天数后，原口令过期。PASSWORD_REUSE_TIME：指定一个用户口令被修改后，

41、必须经过多少天后才可以重新使用该口令。PASSWORD_REUSE_MAX：指定一个口令被重新使用前，必须经过多少次修改。PASSWORD_VERIFY_FUNCTION：设置口令复杂性校验函数。该函数会对口令进行校验，以判断口令是否符合最低复杂程度或其他校验规则。,10.5.3概要文件管理,创建概要文件 将概要文件分配给用户 修改概要文件 删除概要文件 查询概要文件,（1）创建概要文件,语法为CREATE PROFILE profile_name LIMITresource_parameters|password_parameters;参数说明如下。profile_name：用于指定要创建的

42、概要文件名称；resource_parameter：用于设置资源限制参数，形式为resource_parameter_name integer|UNLIMITED|DEFALUTpassword_parameters：用于设置口令参数，形式为password_parameter_name integer|UNLIMITED|DEFALUT,创建一个名为res_profile的概要文件，要求每个用户最多可以创建4个并发会话；每个会话持续时间最长为60分钟；如果会话在连续20分钟内空闲，则结束会话；每个会话的私有SQL区为100 KB；每个SQL语句占用CPU时间总量不超过10秒。CREATE P

43、ROFILE res_profile LIMITSESSIONS_PER_USER 4 CONNECT_TIME 60 IDLE_TIME 20 PRIVATE_SGA 100K CPU_PER_CALL 100;创建一个名为pwd_profile的概要文件，如果用户连续4次登录失败，则锁定该账户，10天后该账户自动解锁。CREATE PROFILE pwd_profile LIMIT FAILED_LOGIN_ATTEMPTS 4PASSWORD_LOCK_TIME 10；,（2）将概要文件分配给用户,可以在创建用户时为用户指定概要文件CREATE USER user5 IDENTIFIED

44、 BY user5 PROFILE res_profile;也可以在修改用户时为用户指定概要文件。ALTER USER user5 PROFILE pwd_profile;,（3）修改概要文件,语法为ALTER PROFILE profile_name LIMIT resource_parameters|password_parameters;注意对概要文件的修改只有在用户开始一个新的会话时才会生效。修改pwd_profile概要文件，将用户口令有效期设置为10天。ALTER PROFILE pwd_profile LIMITPASSWORD_LIFE_TIME 10;,（4）删除概要文件,语

45、法DROP PROFILE profile_name CASCADE;注意如果要删除的概要文件已经指定给用户，则必须在DROP PROFILE语句中使用CASCADE子句。如果为用户指定的概要文件被删除，则系统自动将DEFAULT概要文件指定给该用户。删除概要文件pwd_profile。DROP PROFILE pwd_profile CASCADE;,（5）查询概要文件,USER_PASSWORD_LIMITS：包含通过概要文件为用户设置的口令策略信息。USER_RESOURCE_LIMITS：包含通过概要文件为用户设置的资源限制参数。DBA_PROFILES：包含所有概要文件的基本信息。,

46、10.6 审计,审计的概念 审计分类审计的启动,10.6.1审计的概念,审计是监视和记录用户对数据库所进行的操作，以供DBA进行统计和分析。利用审计可以完成下列任务：调查数据库中的可疑活动。监视和收集特定数据库活动的数据。一条审计记录中包含用户名、会话标识、终端标识、所访问的模式对象名称、执行的操作、操作的完整语句代码、日期和时间戳、所使用的系统权限等。,10.6.2审计分类,语句审计（Statement Auditing）：对特定的SQL语句进行审计，不指定具体对象。权限审计（Privilege Auditing）：对特定的系统权限使用情况进行审计。对象审计（Object Auditing）

47、：对特定的模式对象上执行的特定语句进行审计。精细审计（Fine-Grained Auditing，FGA）：对基于内容的各种SQL语句进行审计，可以使用布尔表达式对列级别上的内容进行审计。,根据用户执行的语句是否成功，审计分为：成功执行语句的审计不成功执行语句的审计无论语句是否执行成功都进行审计根据对同一个语句审计次数的不同，审计分为：会话级审计：对某一个用户或所有用户的同一个语句只审计一次，形成一条审计记录；存取方式审计：对某一个用户或所有用户的同一个语句每执行一次便审计一次，即同一条语句形成多个审计记录。,10.6.3审计的启动,通过修改静态参数AUDIT_TRAIL值来启动或关闭数据库的

48、审计功能。AUDIT_TRAIL参数可以取值：为DB，OS，NONE，TRUE，FALSE，DB_EXTENDED，XML或EXTENDED。DB表示启动审计功能，审计信息写入SYS.AUD$数据字典中；OS表示启动审计功能，审计信息写入操作系统文件中；默认为NONE，表示不启动审计功能；TRUE功能与DB选项一样；FALSE表示不启动审计功能，但Oracle会监视特定活动并写入操作系统文件，如例程的启动、关闭以及DBA连接数据库等。,通过SQL*Plus环境启动数据库的审计功能。ALTER SYSTEM SET audit_trail=DB SCOPE=SPFILE;SHUTDOWN IMM

49、EDIATESTARTUP 通过OEM数据库控制台启动数据库的审计功能。,10.7 利用OEM进行安全管理,用户管理 角色管理 概要文件管理 审计设置,（1）用户管理,（2）角色管理,单击“角色”链接后进入角色管理界面，可以完成数据库角色的创建、编辑、查看、删除等操作。对角色的管理过程与用户管理过程基本相似，可以参考用户管理。,（3）概要文件管理,（4）审计设置,5、世上最美好的事是：我已经长大，父母还未老;我有能力报答，父母仍然健康。6、没什么可怕的，大家都一样，在试探中不断前行。7、时间就像一张网，你撒在哪里，你的收获就在哪里。纽扣第一颗就扣错了，可你扣到最后一颗才发现。有些事一开始就是错

50、的，可只有到最后才不得不承认。8、世上的事，只要肯用心去学，没有一件是太晚的。要始终保持敬畏之心，对阳光，对美，对痛楚。9、别再去抱怨身边人善变，多懂一些道理，明白一些事理，毕竟每个人都是越活越现实。10、山有封顶，还有彼岸，慢慢长途，终有回转，余味苦涩，终有回甘。11、人生就像是一个马尔可夫链，你的未来取决于你当下正在做的事，而无关于过去做完的事。12、女人，要么有美貌，要么有智慧，如果两者你都不占绝对优势，那你就选择善良。13、时间，抓住了就是黄金，虚度了就是流水。理想，努力了才叫梦想，放弃了那只是妄想。努力，虽然未必会收获，但放弃，就一定一无所获。14、一个人的知识，通过学习可以得到;一