码迷,mamicode.com
首页 > 其他好文 > 详细

解析grant connect, resource to user语句

时间:2014-06-17 19:21:44      阅读:162      评论:0      收藏:0      [点我收藏+]

标签:oracle   角色   grant   

今天同事问了一个问题:“创建用户分配的权限是:grant connect,resource to user;,但是建立view的时候失败了,错误是权限不够,后来我给这个用户分配了创建view的权限,然后创建view才可以成功。我有个疑问就是为什么用户在自己的空间没办法直接建立view,还得增加创建view的权限才可以?”


我们知道,创建一个新用户时,网上各种的帖子包括书籍中经常用到一个grant connect,resource to user;,这样才能用这个用户登录数据库,那么这条语句的真正作用是什么呢?


1、首先,grant XXX to user;,grant是授权的作用,这里的XXX可以是一个角色role,也可以是权限,例如grant role to user;,或grant insert on table to user;。

MOS中给出的标准SQL语句:

创建角色:

create role <role name> [IDENTIFIED BY <password>/USING <package>/EXTERNALLY/GLOBALLY ];

赋予角色权限:

grant <object/system privilege> to <role name>;

从角色收回权限:

revoke <privilege> from <role name>;

将角色赋予另一个角色或用户:

grant <role> to <username or role> ;


2、其次,connect和resource是两个系统内置的角色,和dba是并列的关系。

参考一些帖子的说法,权限可以分为两类:

系统权限:系统规定用户使用数据库的权限。(系统权限是对用户而言)。 

实体权限:某种权限用户对其它用户的表或视图的存取权限。(是针对表或视图而言的)。

接下来看系统权限,

DBA:拥有全部特权,是系统最高权限,只有DBA才可以创建数据库结构。

RESOURCE:拥有Resource权限的用户只可以创建实体,不可以创建数据库结构。

CONNECT:拥有Connect权限的用户只可以登录Oracle,不可以创建实体,不可以创建数据库结构。

对于普通用户:授予connect, resource权限。 

对于DBA管理用户:授予connect,resource, dba权限。

系统权限只能由DBA用户授出:sys, system(最开始只能是这两个用户)。普通用户通过授权可以具有与system相同的用户权限,

但永远不能达到与sys用户相同的权限,system用户的权限也可以被回收。

另外,对于WITH ADMIN OPTION级联授权的问题,

1)如果使用WITH ADMIN OPTION为某个用户授予系统权限,那么对于被这个用户授予相同权限的所有用户来说,取消该用户的

系统权限并不会级联取消这些用户的相同权限。 

2)系统权限无级联,即A授予B权限,B授予C权限,如果A收回B的权限,C的权限不受影响;系统权限可以跨用户回收,即A可以

直接收回C用户的权限。


3、证明下为什么resource和connect的角色不能创建视图。

SQL> select role, count(*) from role_sys_privs group by role;

ROLE                                    COUNT(*)

------------------------------ ----------

EXP_FULL_DATABASE            8

DBA                                      160

SCHEDULER_ADMIN             6

RESOURCE                            8

IMP_FULL_DATABASE           68

CONNECT                             1

可以看到RESOURCE和CONNECT具有的权限个数。


下面看看各自都有什么权限:

SQL> select grantee,privilege from dba_sys_privs where grantee=‘RESOURCE‘ order by privilege;

GRANTEE                              PRIVILEGE

------------------------------ ----------------------------------------
RESOURCE                            CREATE CLUSTER
RESOURCE                            CREATE INDEXTYPE
RESOURCE                            CREATE OPERATOR
RESOURCE                            CREATE PROCEDURE
RESOURCE                            CREATE SEQUENCE
RESOURCE                            CREATE TABLE
RESOURCE                            CREATE TRIGGER
RESOURCE                            CREATE TYPE
8 rows selected.

SQL> select grantee,privilege from dba_sys_privs where grantee=‘CONNECT‘ order by privilege;

GRANTEE                              PRIVILEGE
------------------------------ ----------------------------------------
CONNECT                             CREATE SESSION


结果不言自明了,CREATE VIEW权限并不在这两个角色中,因此需要额外grant CREATE VIEW to user;,才能让这用户可以创建视图。往往实验是最好的老师,这次又证明了这点。

解析grant connect, resource to user语句,布布扣,bubuko.com

解析grant connect, resource to user语句

标签:oracle   角色   grant   

原文地址:http://blog.csdn.net/bisal/article/details/31735185

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!