27_SH43-0144-00 (1038594), страница 58
Текст из файла (страница 58)
Однако такому пользователю не будет позволеновыполнять операции UPDATE непосредственно на подтаблице Manager и,следовательно, не будет позволено изменять собственные (не унаследованные)столбцы таблицы Manager.В следующих руководствах содержится информация об авторизациях,требуемых для выполнения конкретных команд, интерфейсов API и операторовSQL:v SQL Referencev Command Referencev Administrative API Reference.Информацию об авторизации, требуемой для изменения статистики каталога,смотрите в книге Руководство администратора: Производительность.Информацию о том, как определяются привилегии производной таблицы,смотрите в разделе об операторе CREATE VIEW в руководстве SQL Reference.Привилегии псевдонимовПривилегии псевдонимов касаются действий для псевдонимов в базе данных.Эти привилегии не затрагивают привилегий для объектов - источников данных,Глава 5.
Управление доступом к базам данных261обозначаемых псевдонимами. Пользователю нужна привилегия CONNECT длябазы данных, чтобы использовать какие-либо из следующих привилегий:v Привилегия CONTROL предоставляет пользователю все привилегии дляпсевдонимов, включая возможность отбросить псевдоним, а также давать иотзывать отдельные привилегии псевдонимов. Чтобы предоставитьпривилегию CONTROL, нужно иметь полномочия SYSADM или DBADM.Создатель псевдонима автоматически получает привилегию CONTROL дляэтого псевдонима.v Привилегия ALTER позволяет пользователю изменять имена столбцов впсевдониме, добавлять и изменять тип DB2, в который отображается типданных столбца, и задавать опции столбца в столбцах псевдонима.v Привилегия INDEX позволяет пользователю создать спецификацию индексана псевдониме. Создатель спецификаций индекса автоматически получаетпривилегию CONTROL для этого индекса.v Привилегия REFERENCES позволяет пользователю создать и отброситьвнешний ключ, задав родительский статус псевдонима по отношению кдругим псевдонимам.
Пользователь может обладать этой привилегией и дляконкретных столбцов.Привилегию предоставлять эти привилегии другим можно дать с помощьюопции WITH GRANT OPTION оператора GRANT.Примечание: Когда пользователю или группе предоставляется привилегияCONTROL для псевдонима, все остальные привилегии для этогопсевдонима автоматически предоставляются с опцией WITHGRANT OPTION. Если затем привилегия пользователя CONTROLдля псевдонима отзывается, у пользователя сохраняютсяостальные привилегии, которые были предоставленыавтоматически.Чтобы получить доступ к данным источника данных, надо также иметьсоответствующую авторизацию для объектов в источниках данных, на которыеуказывают псевдонимы.Когда пользователь обращается к производной таблице, содержащей ссылки наодин или несколько псевдонимов, этому пользователю должен быть разрешендоступ к производной таблице и объектам в источниках данных, обозначеннымпсевдонимами.Привилегии сервераСуществует только одна привилегия сервера: PASSTHRU.
Эта привилегияопределяет, какие ID авторизации могут выдавать операторы DDL и DMLнепосредственно (минуя сервер) источникам данных.262Руководство администратора: РеализацияDB2 поддерживает два оператора SQL, управляющих операциями черезпромежуточный сервер:v GRANT PASSTHRU, который предоставляет полномочия выполнятьоператоры SET PASSTHRU для источника данных и передавать операторыDML и DDL этому источнику данных, минуя сервер.v REVOKE PASSTHRU, который отзывает полномочия выполнять операторыSET PASSTHRU для источника данных и передавать операторы DML и DDLэтому источнику данных, минуя сервер.Пример оператора, предоставляющего привилегию PASSTHRU пользователюSHAWN для сервера ORACLE1:GRANT PASSTHRU ON SERVER ORACLE1 TO USER SHAWNПолную информацию о синтаксисе операторов PASSTHRU смотрите всправочнике SQL Reference.Привилегии пакетовПакет - это объект базы данных с информацией, позволяющей менеджеру базданных эффективно обращаться к данным для конкретной прикладнойпрограммы.
Привилегии пакетов позволяют пользователю создавать пакеты иуправлять ими. Пользователю нужна привилегия CONNECT для базы данных,чтобы использовать какие-либо из следующих привилегий:v Привилегия CONTROL позволяет пользователю повторно связать, отброситьи выполнить пакет, а также давать эти привилегии другим. Создатель пакетаавтоматически получает эту привилегию. Пользователь с привилегиейCONTROL получает привилегии BIND и EXECUTE и может также даватьпривилегии BIND и EXECUTE другим пользователям.
Чтобы предоставитьпривилегию CONTROL, пользователь должен иметь полномочия SYSADMили DBADM.v Привилегия BIND позволяет пользователю повторно связать существующийпакет.v Привилегия EXECUTE позволяет пользователю выполнить пакет.Помимо этих привилегий пакетов, привилегия BINDADD для базы данныхпозволяет пользователям создать новые пакеты или повторно связатьсуществующий пакет в базе данных.Пользователям с полномочиями выполнять пакеты, содержащие псевдонимы, ненужны дополнительные привилегии и уровень полномочий для псевдонимов впакете; однако им надо будет пройти процедуру аутентификации на источникахданных, содержащих объекты, обозначенные псевдонимами.
Кроме того,пользователи пакетов должны иметь соответствующие привилегии или уровниполномочий для объектов источников данных на источнике данных.Глава 5. Управление доступом к базам данных263Может случиться, что пакеты, содержащие псевдонимы, потребуютдополнительных шагов авторизации, поскольку DB2 использует динамическиеSQL при соединении с источниками данных семейства DB2. ID авторизации,запустивший пакет в источнике данных, должен располагать соответствующимиполномочиями для динамического выполнения пакета в источнике данных.Дополнительную информацию о том, как DB2 обрабатывает статические идинамические SQL, смотрите в справочнике SQL Reference.Привилегии индексовСоздатель индекса или спецификации индекса автоматически получаетпривилегию CONTROL для индекса.
Привилегия CONTROL для индексасводится к праву отбросить индекс. Чтобы давать привилегию CONTROL дляиндекса, пользователь должен иметь полномочия SYSADM или DBADM.Привилегия INDEX уровня таблицы позволяет пользователю создать индексдля этой таблицы (смотрите раздел “Привилегии таблиц и производных таблиц”на стр. 259).Управление доступом к объектам баз данныхУправление доступом к данным требует понимания прямых и косвенныхпривилегий, полномочий управления и пакетов. В этом разделе излагаются этитемы и приводятся некоторые примеры.Прямо предоставленные привилегии хранятся в системном каталоге.
Методыаудита реализации плана управления доступом к базе данных описаны в разделе“Использование системного каталога” на стр. 275.Есть три способа управлять авторизацией:v Явной авторизацией можно управлять через привилегии, управляемыеоператорами GRANT и REVOKEv Неявной авторизацией можно управлять, создавая и отбрасывая объектыv Неявные привилегии связаны с пакетами.Темы:v “Предоставление привилегий” на стр. 265v “Отзыв привилегий” на стр.
265v “Управление неявными авторизациями при создании и отбрасыванииобъектов” на стр. 267v “Предоставление косвенных привилегий посредством пакета” на стр. 268v “Управление доступом к данным с помощью производных таблиц” настр. 270v “Управление доступом к данным с помощью утилиты аудита” на стр. 273.264Руководство администратора: РеализацияПредоставление привилегийС помощью оператора GRANT авторизованный пользователь можетпредоставлять привилегии. В одном операторе привилегия можетпредоставляться одному или нескольким именам авторизации или группеPUBLIC, то есть всем пользователям. Обратите внимание на то, что имяавторизации может быть именем не только отдельного пользователя, но игруппы.В операционных системах, в которых имена пользователей и групп могутсовпадать, следует указывать, кому предоставляется привилегия - пользователюили группе. И оператор GRANT, и оператор REVOKE поддерживают ключевыеслова USER (пользователь) и GROUP (группа).
Если этих необязательныхключевых слов нет, менеджер баз данных обращается к утилите защитыоперационной системы и определяет, к кому относится имя авторизации - кпользователю или к группе. Если имя авторизации может быть и именемпользователя, и именем группы, возвращается ошибка.В следующем примере привилегии SELECT для таблицы EMPLOYEEпредоставляются пользователю HERON:GRANT SELECTON EMPLOYEE TO USER HERONВ следующем примере привилегии SELECT для таблицы EMPLOYEEпредоставляются группе HERON:GRANT SELECTON EMPLOYEE TO GROUP HERONДля большинства объектов право предоставлять привилегии принадлежитпользователям с полномочиями SYSADM или DBADM или привилегиейCONTROL для данного объекта; кроме того, привилегию может предоставитьпользователь, обладающий этой привилегией с опцией WITH GRANT OPTION.Привилегии можно предоставлять только для существующих объектов.
Чтобыпредоставлять привилегию CONTROL другим, пользователь должен иметьполномочия SYSADM или DBADM. Чтобы предоставлять полномочия DBADM,пользователь должен иметь полномочия SYSADM.Дополнительную информацию об операторе GRANT смотрите в руководствеSQL Reference.Отзыв привилегийОператор REVOKE позволяет авторизованным пользователям отзыватьпривилегии, ранее предоставленные другим пользователям.
![](https://s.studizba.com/z.php?f=/templates/si/i/noavatar.png&w=100&h=100&t=1"){kind=avatar}
