Лекция 2. Управление доступом к данным. Транзакции и параллелизм. Безопасность и целостность баз данных.

Управление доступом к базам данных

В любой многопользовательской компьютерной системе обеспечение безопасности является крайне важной задачей. Системы баз данных Oracle — не исключение. При отсутствии надлежащего управления безопасностью системы нарушители могут проникнуть в базу данных Oracle, просмотреть конфиденциальную информацию и внести несанкционированные изменения в хранимые данные. В этой главе анализируются разнообразные средства Oracle, которые позволяют управлять доступом пользователей к ресурсам баз данных:

·       Управление работой пользователей и аутентификация

·       Управление привилегиями и ролями

·       Ограничение использования ресурсов баз данных

·       Работа с паролями пользователей

·       Аудит баз данных

Управление работой пользователей

Первой линией защиты от нежелательного проникновения в базы данных является управление доступом к системе. Чтобы пользователь мог соединиться с базой данных Oracle, он должен иметь в ней имя (username). Создавать имена пользователей можно при помощи SQL-команды CREATE USER.

Аутентификация пользователей

Необходимо точно указать, как Oracle следует опознавать (аутентифи­цировать) использование новых учетных сведений (account) для каждого пользователя базы данных. Когда кто-то пытается соединиться с базой данных при помощи некоторого имени пользователя, Oracle определяет, имеет ли право человек, употребивший данное имя, использовать эти учетные сведения. Опознавать пользователей Oracle может тремя различными способами: по паролю, а также применяя аутентификацию операционной системы и аутентификацию глобального имени пользователя.

Аутентификация по паролю

Oracle может опознавать имя пользователя по паролю (password). Когда пользователь запускает приложение, оно требует ввести имя и соответствующий этому имени пароль. Затем Oracle проверяет подлинность запроса на соединение с помощью информации, содержащейся в учетных сведениях пользователя, которые управляются базой данных. Аутентификация по паролю распространена в системах клиент/сервер Oracle, когда пользователи соединяются с сервером баз данных Oracle при помощи клиентских PC или NC.

Когда применяется аутентификации по паролю, рекомендуется использовать достаточно сложные пароли, а также следить за тем, чтобы пользователи периодически их изменяли. Более подробно о работе с паролями рассказано в разделе "Работа с учетными сведениями пользователей" данной главы.

Аутентификация операционной системы

Oracle может опознавать имя пользователя при помощи операционной системы того компьютера, на котором работает сервер баз данных. При запуске приложения оно не запрашивает у пользователя информацию о соединении. Вместо этого приложение передает Oracle учетные сведения пользователя, предоставляемые операционной системой. Затем Oracle проверяет подлинность запроса на соединение, убеждаясь в том, что пользователь операционной системы зарегистрирован в базе данных. Аутентификация операционной системы распространена в тех средах Oracle, которые ориентированы на использование хост-машин, когда пользователи соединяются с Oracle при помощи терминалов, непосредственно соединенных с сервером баз данных.

Аутентификация глобального имени пользователя

Oracle может опознавать глобальное имя пользователя (global username) при помощи внешнего сетевого сервиса. Когда пользователь запускает приложение и запрашивает соединение, Oracle проверяет подлинность запроса с помощью информации о пользователе, управляемой внешним сервисом защиты. В Oracle8 имеется собственный сервис защиты, Oracle Security Server, который можно применять для работы с глобальными пользователями баз данных. Аутентификация глобального имени пользователя распространена и тех сетевых средах, где требуется доступ к нескольким базам данных Oracle, а сеть не всегда достаточно защищена.

Табличная область по умолчанию для пользователя

Табличная область (tablespace) — это логический элемент хранения базы данных, который организует физическое хранение её информации. Для каждого пользователя базы данных можно задать табличную область по умолчанию (default tablespace). Когда пользователь создает новый объект базы данных, например таблицу или индекс, и не указывает табличную область для этого объекта явно, Oracle сохраняет новый объект в табличной области по умолчанию для этого пользователя. Если не указано обратное, то табличной областью по умолчанию для пользователя является область SYSTEM.

Временная табличная область пользователя

Часто для выполнения SQL-операторов необходимо временное рабо­чее пространство. Например, для запроса, который соединяет и сортирует большой объем данных, может потребоваться временное рабочее пространство для построения результирующего множества данных. При необходимости Oracle выделяет такое пространство для SQL-операгоров пользователя во временной табличной области (temporary tablespace) этого пользователя. Если не указано обратное, то временной табличной областью пользователя является табличная область SYSTEM.

Блокированные и разблокированные учетные сведения пользователей

В Oracle можно управлять доступом к базам данных, блокируя (lock) и разблокируя (unlock) в любое удобное время учетные сведения пользова­телей. Когда учетные сведения пользователя заблокированы, он не может соединиться с Oracle. Чтобы затем разрешить пользователю обращаться к базам данных посредством своих учетных сведений, необходимо их разблокировать. Для чего же блокируются и разблокируются учетные сведения пользователей?

·       Можно блокировать учетные сведения в том случае, когда пользователь временно отсутствует на работе.

·       Когда служащий увольняется из компании, можно блокировать его учетные сведения вместо того, чтобы их удалять. Это особенно удобно, если в схеме этого пользователя содержатся объекты, которые требуется сохранить.

·       Часто блокируются учетные сведения, которые выполняют роль схемы для логического хранения всех задействованных в приложении объектов баз данных.

Когда появляется новый пользователь базы данных, Oracle создает новые учетные сведения, разблокированные по умолчанию.

Далее, будет показано, как можно автоматически блокировать учетные сведения пользователя после истечения срока действия его пароля или после нескольких последовательных попыток неудачного соединения.