db2數(shù)據(jù)庫安全

本章介紹db2數(shù)據(jù)庫的安全性問題。

db2數(shù)據(jù)庫和功能可以由兩個不同的安全控制模式進行管理：

• 認證
• 授權(quán)

認證

驗證是確認，在僅根據(jù)權(quán)限的用戶日志來執(zhí)行他被授權(quán)執(zhí)行的活動的過程中。用戶認證可以在操作系統(tǒng)級別或數(shù)據(jù)庫級別本身進行。通過身份驗證的工具生物識別技術(shù)，如視網(wǎng)膜和數(shù)字印刷都在使用，以防止黑客或惡意用戶的數(shù)據(jù)庫。

數(shù)據(jù)庫安全可以從db2數(shù)據(jù)庫系統(tǒng)之外進行管理。這里有一些類型的安全認證過程：

• 基于操作系統(tǒng)的認證。
• 輕量級目錄訪問協(xié)議(ldap)

對于db2，安全服務(wù)是操作系統(tǒng)作為一個單獨的產(chǎn)品的一部分。對于身份驗證，它需要兩個不同的憑據(jù)，這些都是用戶id或用戶名和密碼。

授權(quán)

可以訪問db2數(shù)據(jù)庫系統(tǒng)，這是由在db2數(shù)據(jù)庫管理器管理內(nèi)的db2數(shù)據(jù)庫和它的功能性。授權(quán)是由db2數(shù)據(jù)庫管理器管理的過程。該管理器獲得有關(guān)當(dāng)前鑒定的用戶，指示哪個數(shù)據(jù)庫操作的用戶可以執(zhí)行或訪問信息。

下面是可用于授權(quán)的權(quán)限的不同方法：

主要權(quán)限：直接授予的授權(quán)id。

次級權(quán)限：授予給組和角色，如果用戶是一個成員

公共權(quán)限：授予公開所有用戶。

上下文相關(guān)的權(quán)限：授予到受信任上下文中的作用。

授權(quán)可以給基于以下類別的用戶：

• 系統(tǒng)級授權(quán)
• 系統(tǒng)管理員[sysadm]
• 系統(tǒng)控制 [sysctrl]
• 系統(tǒng)維護 [sysmaint]
• 系統(tǒng)監(jiān)視 [sysmon]

當(dāng)局提供了實例級別的功能控制。管理局提供給組權(quán)限，控制維護和權(quán)威操作。例如，數(shù)據(jù)庫和數(shù)據(jù)庫對象。

• 數(shù)據(jù)庫級授權(quán)
• 安全管理員 [secadm]
• 數(shù)據(jù)庫管理員 [dbadm]
• 訪問控制 [accessctrl]
• 數(shù)據(jù)訪問 [dataaccess]
• sql管理員 [sqladm]
• 工作負載管理管理員[wlmadm]
• 解釋 [explain]

有關(guān)部門提供的數(shù)據(jù)庫中的控件。其他機構(gòu)的數(shù)據(jù)庫，包括ldad和connect。

對象級授權(quán)：對象級授權(quán)涉及驗證權(quán)限當(dāng)對象上執(zhí)行的動作。 基于內(nèi)容的授權(quán)：用戶可以讀取和使用基于標(biāo)簽的訪問控制[lbac]寫訪問個別行和列的特定表。

db2表和配置文件用于記錄與授權(quán)名稱關(guān)聯(lián)的權(quán)限。當(dāng)用戶試圖訪問數(shù)據(jù)，記錄的權(quán)限驗證以下權(quán)限：

• 用戶的授權(quán)名稱
• 哪組屬于用戶
• 哪些角色被直接授予用戶或間接向一組
• 通過受信任上下文獲得的權(quán)限。

同時用sql語句在工作中，db2授權(quán)模型考慮了以下權(quán)限的組合：

• 與sql語句相關(guān)聯(lián)的主授權(quán)id授予的權(quán)限。
• 二級授權(quán)id與sql語句相關(guān)。
• 授予public
• 授予可信上下文角色。

實例級受權(quán)

讓我們討論一些實例有關(guān)受權(quán)。

系統(tǒng)管理權(quán)限（sysadm）

它是在實例級的最高級別的管理權(quán)限。具有sysadm權(quán)限的用戶可以在實例中執(zhí)行某些數(shù)據(jù)庫和數(shù)據(jù)庫管理器命令。具有sysadm權(quán)限的用戶可以執(zhí)行以下操作：

• 升級數(shù)據(jù)庫
• 恢復(fù)數(shù)據(jù)庫
• 更新數(shù)據(jù)庫管理器配置文件。

系統(tǒng)控制權(quán)限（sysctrl）

它是在系統(tǒng)控制權(quán)限的最高水平。它提供了對數(shù)據(jù)庫管理器實例及其數(shù)據(jù)庫執(zhí)行維護和實用操作。這些操作可以影響系統(tǒng)資源，但它們不允許直接訪問數(shù)據(jù)庫中的數(shù)據(jù)。

sysctrl權(quán)限的用戶可以執(zhí)行以下操作：

• 更新數(shù)據(jù)庫，節(jié)點或分布式連接服務(wù)（dcs）目錄
• 強迫用戶關(guān)閉系統(tǒng)級
• 創(chuàng)建或刪除數(shù)據(jù)庫級
• 創(chuàng)建，修改或刪除表空間
• 使用任何表空間
• 還原數(shù)據(jù)庫

系統(tǒng)維護權(quán)限（sysmaint）

它是系統(tǒng)的控制權(quán)限的第二級。它提供了對數(shù)據(jù)庫管理器實例及其數(shù)據(jù)庫執(zhí)行維護和實用操作。這些操作會影響系統(tǒng)資源，而不允許直接訪問數(shù)據(jù)庫中的數(shù)據(jù)。這個權(quán)限的目的是為用戶維護一個包含敏感數(shù)據(jù)的數(shù)據(jù)庫管理器實例中的數(shù)據(jù)庫。

只有具有sysmaint或更高級別的系統(tǒng)受權(quán)的用戶可以執(zhí)行以下任務(wù)：

• 執(zhí)行備份
• 還原備份
• 向前回滾恢復(fù)
• 啟動或停止實例
• 恢復(fù)表空間
• 執(zhí)行db2trc命令
• 以系統(tǒng)監(jiān)控快照的情況下的實例級別的用戶或數(shù)據(jù)庫級別的用戶。

具有sysmaint用戶可以執(zhí)行以下任務(wù)：

• 查詢表空間的狀態(tài)
• 更新日志歷史文件
• 表重組
• 使用runstats（收集目錄統(tǒng)計信息）

系統(tǒng)監(jiān)視權(quán)限（sysmon）

有了這個權(quán)限，用戶可以監(jiān)控或采取數(shù)據(jù)庫管理器實例或它的數(shù)據(jù)庫的快照。 sysmon權(quán)限使運行以下任務(wù)的用戶：

• get database manager monitor switches
• get monitor switches
• get snapshot
• list
  • list active databases
  • list applications
  • list database partition groups
  • list dcs applications
  • list packages
  • list tables
  • list tablespace containers
  • list tablespaces
  • list utitlities
• reset monitor
• update monitor switches

數(shù)據(jù)庫權(quán)限

每個數(shù)據(jù)庫授權(quán)持有授權(quán)id執(zhí)行數(shù)據(jù)庫的一些操作。這些數(shù)據(jù)庫授權(quán)的權(quán)限不同。下面是一些數(shù)據(jù)庫權(quán)限列表：

accessctrl: 允許授予和撤銷所有對象特權(quán)和數(shù)據(jù)庫權(quán)限。

bindadd: 允許創(chuàng)建一個新包在數(shù)據(jù)庫中。

connect: 允許連接到數(shù)據(jù)庫。

createtab: 允許在數(shù)據(jù)庫中創(chuàng)建新表。

create_external_routine: 允許創(chuàng)建要使用的應(yīng)用程序和數(shù)據(jù)庫的用戶的過程。

dataaccess: 允許用戶訪問存儲在數(shù)據(jù)庫表中的數(shù)據(jù)。

dbadm: 作為一個數(shù)據(jù)庫管理員。它提供了除accessctrl，dataaccess和secadm的所有其他數(shù)據(jù)庫權(quán)限。

explain: 可以解釋的查詢計劃，而不需要他們持有的特權(quán)訪問數(shù)據(jù)表。

implicit_schema: 允許用戶通過使用create語句創(chuàng)建一個對象隱式地創(chuàng)建一個模式。

load: 允許將數(shù)據(jù)加載到表中。

quiesce_connect: 允許訪問該數(shù)據(jù)庫，而它是靜止（臨時禁用）。

secadm: 允許作為安全管理員的數(shù)據(jù)庫。

sqladm: 允許監(jiān)視和調(diào)整sql語句。

wlmadm: 允許充當(dāng)工作負載管理員

權(quán)限

setsessionuser

授權(quán)標(biāo)識特權(quán)包括對授權(quán)標(biāo)識的行為。只有一個權(quán)限，稱為setsessionuser特權(quán)。它可以授予用戶或組，并允許會話用戶身份切換到任何在其上的權(quán)限被授予的授權(quán)id。此特權(quán)授予用戶secadm權(quán)限。

模式特權(quán)

這種特權(quán)涉及對數(shù)據(jù)庫的模式操作。該模式的所有者擁有所有操縱表，視圖，索引，包，數(shù)據(jù)類型，函數(shù)，觸發(fā)器，過程和別名的模式對象的權(quán)限。一個用戶，一個組，一個角色或public可以授予以下權(quán)限的用戶：

• createin: 允許模式中創(chuàng)建對象
• alterin: 允許模式中修改的對象。

dropin權(quán)限

這允許在模式中刪除的對象。

表空間權(quán)限

這些權(quán)限涉及到對數(shù)據(jù)庫表空間的操作。用戶可被授予use特權(quán)的表空間。該權(quán)限讓他們在表空間中創(chuàng)建數(shù)據(jù)表。特權(quán)所有者可以授予use特權(quán)具有與創(chuàng)建表空間時，表空間grant option命令。secadm或accessctrl機關(guān)有權(quán)對表空間使用特權(quán)的權(quán)限。

表和視圖權(quán)限

用戶必須擁有對數(shù)據(jù)庫的connect權(quán)限可以使用表和視圖權(quán)限。特權(quán)表和視圖，如下所示：

control

它為表或視圖，包括刪除和授予提供的所有權(quán)限，撤銷各個表權(quán)限給用戶。

alter

它允許用戶修改的表。

delete

它允許用戶從表中或視圖中刪除行。

index

它允許用戶將行插入表或視圖。它也可以運行導(dǎo)入實用程序。

references

它允許用戶創(chuàng)建和刪除外鍵。

select

它允許用戶從表中或視圖中檢索行。

update

它允許用戶改變表或視圖的條目。

包權(quán)限

用戶必須具有連接權(quán)限數(shù)據(jù)庫。包是包含數(shù)據(jù)庫管理的信息來訪問以最有效的方式為特定的應(yīng)用程序數(shù)據(jù)的數(shù)據(jù)庫對象。

控制

它提供了重新綁定的權(quán)限，刪除或執(zhí)行包用戶。此權(quán)限的用戶被授予bind 和 execute權(quán)限。

綁定

它允許用戶綁定或重新綁定該程序包。

執(zhí)行

允許執(zhí)行一個包。

索引權(quán)限

此權(quán)限自動接收對索引control特權(quán)。

序列權(quán)限

序列自動對序列的接收使用情況和alter權(quán)限。

例程權(quán)限

它涉及的例程，如函數(shù)，過程，和一個數(shù)據(jù)庫中的方法的操作。