本章介紹數(shù)據(jù)庫(kù)的安全性問(wèn)題。

DB2數(shù)據(jù)庫(kù)和功能可以由兩個(gè)不同的安全控制模式進(jìn)行管理：

1. 認(rèn)證
2. 授權(quán)

認(rèn)證

驗(yàn)證是確認(rèn)，在僅根據(jù)權(quán)限的用戶日志來(lái)執(zhí)行他被授權(quán)執(zhí)行的活動(dòng)的過(guò)程中。用戶認(rèn)證可以在操作系統(tǒng)級(jí)別或數(shù)據(jù)庫(kù)級(jí)別本身進(jìn)行。通過(guò)身份驗(yàn)證的工具生物識(shí)別技術(shù)，如視網(wǎng)膜和數(shù)字印刷都在使用，以防止黑客或惡意用戶的數(shù)據(jù)庫(kù)。

數(shù)據(jù)庫(kù)安全可以從DB2數(shù)據(jù)庫(kù)系統(tǒng)之外進(jìn)行管理。這里有一些類型的安全認(rèn)證過(guò)程：

• 基于操作系統(tǒng)的認(rèn)證。
• 輕量級(jí)目錄訪問(wèn)協(xié)議(LDAP)

對(duì)于DB2，安全服務(wù)是操作系統(tǒng)作為一個(gè)單獨(dú)的產(chǎn)品的一部分。對(duì)于身份驗(yàn)證，它需要兩個(gè)不同的憑據(jù)，這些都是用戶ID或用戶名和密碼。

授權(quán)

可以訪問(wèn)DB2數(shù)據(jù)庫(kù)系統(tǒng)，這是由在DB2數(shù)據(jù)庫(kù)管理器管理內(nèi)的DB2數(shù)據(jù)庫(kù)和它的功能性。授權(quán)是由DB2數(shù)據(jù)庫(kù)管理器管理的過(guò)程。該管理器獲得有關(guān)當(dāng)前鑒定的用戶，指示哪個(gè)數(shù)據(jù)庫(kù)操作的用戶可以執(zhí)行或訪問(wèn)信息。

下面是可用于授權(quán)的權(quán)限的不同方法：

主要權(quán)限：直接授予的授權(quán)ID。

次級(jí)權(quán)限：授予給組和角色，如果用戶是一個(gè)成員

公共權(quán)限：授予公開(kāi)所有用戶。

上下文相關(guān)的權(quán)限：授予到受信任上下文中的作用。

授權(quán)可以給基于以下類別的用戶：

• 系統(tǒng)級(jí)授權(quán)
• 系統(tǒng)管理員[SYSADM]
• 系統(tǒng)控制 [SYSCTRL]
• 系統(tǒng)維護(hù) [SYSMAINT]
• 系統(tǒng)監(jiān)視 [SYSMON]

當(dāng)局提供了實(shí)例級(jí)別的功能控制。管理局提供給組權(quán)限，控制維護(hù)和權(quán)威操作。例如，數(shù)據(jù)庫(kù)和數(shù)據(jù)庫(kù)對(duì)象。

• 數(shù)據(jù)庫(kù)級(jí)授權(quán)
• 安全管理員 [SECADM]
• 數(shù)據(jù)庫(kù)管理員 [DBADM]
• 訪問(wèn)控制 [ACCESSCTRL]
• 數(shù)據(jù)訪問(wèn) [DATAACCESS]
• SQL管理員 [SQLADM]
• 工作負(fù)載管理管理員[WLMADM]
• 解釋 [EXPLAIN]

有關(guān)部門(mén)提供的數(shù)據(jù)庫(kù)中的控件。其他機(jī)構(gòu)的數(shù)據(jù)庫(kù)，包括LDAD和CONNECT。

• 對(duì)象級(jí)授權(quán)：對(duì)象級(jí)授權(quán)涉及驗(yàn)證權(quán)限當(dāng)對(duì)象上執(zhí)行的動(dòng)作。
• 基于內(nèi)容的授權(quán)：用戶可以讀取和使用基于標(biāo)簽的訪問(wèn)控制[LBAC]寫(xiě)訪問(wèn)個(gè)別行和列的特定表。

DB2表和配置文件用于記錄與授權(quán)名稱關(guān)聯(lián)的權(quán)限。當(dāng)用戶試圖訪問(wèn)數(shù)據(jù)，記錄的權(quán)限驗(yàn)證以下權(quán)限：

• 用戶的授權(quán)名稱
• 哪組屬于用戶
• 哪些角色被直接授予用戶或間接向一組
• 通過(guò)受信任上下文獲得的權(quán)限。

同時(shí)用SQL語(yǔ)句在工作中，DB2授權(quán)模型考慮了以下權(quán)限的組合：

• 與SQL語(yǔ)句相關(guān)聯(lián)的主授權(quán)ID授予的權(quán)限。
• 二級(jí)授權(quán)ID與SQL語(yǔ)句相關(guān)。
• 授予PUBLIC
• 授予可信上下文角色。

實(shí)例級(jí)受權(quán)

讓我們討論一些實(shí)例有關(guān)受權(quán)。

系統(tǒng)管理權(quán)限（SYSADM）

它是在實(shí)例級(jí)的最高級(jí)別的管理權(quán)限。具有SYSADM權(quán)限的用戶可以在實(shí)例中執(zhí)行某些數(shù)據(jù)庫(kù)和數(shù)據(jù)庫(kù)管理器命令。具有SYSADM權(quán)限的用戶可以執(zhí)行以下操作：

• 升級(jí)數(shù)據(jù)庫(kù)
• 恢復(fù)數(shù)據(jù)庫(kù)
• 更新數(shù)據(jù)庫(kù)管理器配置文件。

系統(tǒng)控制權(quán)限（SYSCTRL）

它是在系統(tǒng)控制權(quán)限的最高水平。它提供了對(duì)數(shù)據(jù)庫(kù)管理器實(shí)例及其數(shù)據(jù)庫(kù)執(zhí)行維護(hù)和實(shí)用操作。這些操作可以影響系統(tǒng)資源，但它們不允許直接訪問(wèn)數(shù)據(jù)庫(kù)中的數(shù)據(jù)。

SYSCTRL權(quán)限的用戶可以執(zhí)行以下操作：

• 更新數(shù)據(jù)庫(kù)，節(jié)點(diǎn)或分布式連接服務(wù)（DCS）目錄
• 強(qiáng)迫用戶關(guān)閉系統(tǒng)級(jí)
• 創(chuàng)建或刪除數(shù)據(jù)庫(kù)級(jí)
• 創(chuàng)建，修改或刪除表空間
• 使用任何表空間
• 還原數(shù)據(jù)庫(kù)

系統(tǒng)維護(hù)權(quán)限（SYSMAINT）

它是系統(tǒng)的控制權(quán)限的第二級(jí)。它提供了對(duì)數(shù)據(jù)庫(kù)管理器實(shí)例及其數(shù)據(jù)庫(kù)執(zhí)行維護(hù)和實(shí)用操作。這些操作會(huì)影響系統(tǒng)資源，而不允許直接訪問(wèn)數(shù)據(jù)庫(kù)中的數(shù)據(jù)。這個(gè)權(quán)限的目的是為用戶維護(hù)一個(gè)包含敏感數(shù)據(jù)的數(shù)據(jù)庫(kù)管理器實(shí)例中的數(shù)據(jù)庫(kù)。

只有具有SYSMAINT或更高級(jí)別的系統(tǒng)受權(quán)的用戶可以執(zhí)行以下任務(wù)：

• 執(zhí)行備份
• 還原備份
• 向前回滾恢復(fù)
• 啟動(dòng)或停止實(shí)例
• 恢復(fù)表空間
• 執(zhí)行db2trc命令
• 以系統(tǒng)監(jiān)控快照的情況下的實(shí)例級(jí)別的用戶或數(shù)據(jù)庫(kù)級(jí)別的用戶。

具有SYSMAINT用戶可以執(zhí)行以下任務(wù)：

• 查詢表空間的狀態(tài)
• 更新日志歷史文件
• 表重組
• 使用RUNSTATS（收集目錄統(tǒng)計(jì)信息）

系統(tǒng)監(jiān)視權(quán)限（SYSMON）

有了這個(gè)權(quán)限，用戶可以監(jiān)控或采取數(shù)據(jù)庫(kù)管理器實(shí)例或它的數(shù)據(jù)庫(kù)的快照。 SYSMON權(quán)限使運(yùn)行以下任務(wù)的用戶：

• GET DATABASE MANAGER MONITOR SWITCHES
• GET MONITOR SWITCHES
• GET SNAPSHOT
• LIST
  • LIST ACTIVE DATABASES
  • LIST APPLICATIONS
  • LIST DATABASE PARTITION GROUPS
  • LIST DCS APPLICATIONS
  • LIST PACKAGES
  • LIST TABLES
  • LIST TABLESPACE CONTAINERS
  • LIST TABLESPACES
  • LIST UTITLITIES
• RESET MONITOR
• UPDATE MONITOR SWITCHES

數(shù)據(jù)庫(kù)權(quán)限

每個(gè)數(shù)據(jù)庫(kù)授權(quán)持有授權(quán)ID執(zhí)行數(shù)據(jù)庫(kù)的一些操作。這些數(shù)據(jù)庫(kù)授權(quán)的權(quán)限不同。下面是一些數(shù)據(jù)庫(kù)權(quán)限列表：

ACCESSCTRL: 允許授予和撤銷所有對(duì)象特權(quán)和數(shù)據(jù)庫(kù)權(quán)限。

BINDADD: 允許創(chuàng)建一個(gè)新包在數(shù)據(jù)庫(kù)中。

CONNECT: 允許連接到數(shù)據(jù)庫(kù)。

CREATETAB: 允許在數(shù)據(jù)庫(kù)中創(chuàng)建新表。

CREATE_EXTERNAL_ROUTINE: 允許創(chuàng)建要使用的應(yīng)用程序和數(shù)據(jù)庫(kù)的用戶的過(guò)程。

DATAACCESS: 允許用戶訪問(wèn)存儲(chǔ)在數(shù)據(jù)庫(kù)表中的數(shù)據(jù)。

DBADM: 作為一個(gè)數(shù)據(jù)庫(kù)管理員。它提供了除ACCESSCTRL，DATAACCESS和SECADM的所有其他數(shù)據(jù)庫(kù)權(quán)限。

EXPLAIN: 可以解釋的查詢計(jì)劃，而不需要他們持有的特權(quán)訪問(wèn)數(shù)據(jù)表。

IMPLICIT_SCHEMA: 允許用戶通過(guò)使用CREATE語(yǔ)句創(chuàng)建一個(gè)對(duì)象隱式地創(chuàng)建一個(gè)模式。

LOAD: 允許將數(shù)據(jù)加載到表中。

QUIESCE_CONNECT: 允許訪問(wèn)該數(shù)據(jù)庫(kù)，而它是靜止（臨時(shí)禁用）。

SECADM: 允許作為安全管理員的數(shù)據(jù)庫(kù)。

SQLADM: 允許監(jiān)視和調(diào)整SQL語(yǔ)句。

WLMADM: 允許充當(dāng)工作負(fù)載管理員

權(quán)限

SETSESSIONUSER

授權(quán)標(biāo)識(shí)特權(quán)包括對(duì)授權(quán)標(biāo)識(shí)的行為。只有一個(gè)權(quán)限，稱為SETSESSIONUSER特權(quán)。它可以授予用戶或組，并允許會(huì)話用戶身份切換到任何在其上的權(quán)限被授予的授權(quán)ID。此特權(quán)授予用戶SECADM權(quán)限。

模式特權(quán)

這種特權(quán)涉及對(duì)數(shù)據(jù)庫(kù)的模式操作。該模式的所有者擁有所有操縱表，視圖，索引，包，數(shù)據(jù)類型，函數(shù)，觸發(fā)器，過(guò)程和別名的模式對(duì)象的權(quán)限。一個(gè)用戶，一個(gè)組，一個(gè)角色或PUBLIC可以授予以下權(quán)限的用戶：

• CREATEIN: 允許模式中創(chuàng)建對(duì)象
• ALTERIN: 允許模式中修改的對(duì)象。

DROPIN權(quán)限

這允許在模式中刪除的對(duì)象。

表空間權(quán)限

這些權(quán)限涉及到對(duì)數(shù)據(jù)庫(kù)表空間的操作。用戶可被授予USE特權(quán)的表空間。該權(quán)限讓他們?cè)诒砜臻g中創(chuàng)建數(shù)據(jù)表。特權(quán)所有者可以授予USE特權(quán)具有與創(chuàng)建表空間時(shí)，表空間GRANT OPTION命令。SECADM或ACCESSCTRL機(jī)關(guān)有權(quán)對(duì)表空間使用特權(quán)的權(quán)限。

表和視圖權(quán)限

用戶必須擁有對(duì)數(shù)據(jù)庫(kù)的CONNECT權(quán)限可以使用表和視圖權(quán)限。特權(quán)表和視圖，如下所示：

CONTROL

它為表或視圖，包括刪除和授予提供的所有權(quán)限，撤銷各個(gè)表權(quán)限給用戶。

ALTER

它允許用戶修改的表。

DELETE

它允許用戶從表中或視圖中刪除行。

INDEX

它允許用戶將行插入表或視圖。它也可以運(yùn)行導(dǎo)入實(shí)用程序。

REFERENCES

它允許用戶創(chuàng)建和刪除外鍵。

SELECT

它允許用戶從表中或視圖中檢索行。

UPDATE

它允許用戶改變表或視圖的條目。

包權(quán)限

用戶必須具有連接權(quán)限數(shù)據(jù)庫(kù)。包是包含數(shù)據(jù)庫(kù)管理的信息來(lái)訪問(wèn)以最有效的方式為特定的應(yīng)用程序數(shù)據(jù)的數(shù)據(jù)庫(kù)對(duì)象。

控制

它提供了重新綁定的權(quán)限，刪除或執(zhí)行包用戶。此權(quán)限的用戶被授予BIND 和 EXECUTE權(quán)限。

綁定

它允許用戶綁定或重新綁定該程序包。

執(zhí)行

允許執(zhí)行一個(gè)包。

索引權(quán)限

此權(quán)限自動(dòng)接收對(duì)索引CONTROL特權(quán)。

序列權(quán)限

序列自動(dòng)對(duì)序列的接收使用情況和ALTER權(quán)限。

例程權(quán)限

它涉及的例程，如函數(shù)，過(guò)程，和一個(gè)數(shù)據(jù)庫(kù)中的方法的操作。