OCP学习之用户与权限管理
1、系统权限与对象权限
系统权限：获得访问数据库的权限，并且执行特定DDL操作
对象权限：处理数据库对象的权限，SELECT 、INSERT 、UPDATE
2、系统权限 (SYS用户不需要授权就具有以下权限)
CREATE USER :
DROP USER:
DROP ANY TABLE:
BACKUP ANY TABLE
SELECT ANY TABLE
CREATE ANY TABLE
3、用户系统权限管理
创建用户sim之后，是不能直接登录的，因为连登录的权限都没有
SQL> grant create session to sim;
同理还有创建其他的权限
grant create table/view/sequence/procedure
不需要一个一个地授权，可以写在一行上
SQL> grant create table,create view,create sequence,create procedure to sim;
4、对象权限
对象权限是能对特定的表，视图、序列等对象执行操作的权限和能力，每个对象都有一组可以授权的权限。
对象权限特点：
1）对象权限根据对象的不同而变化（不经授权sim用户不能访问hr用户的表）
2）对象的所有者对其具有所有的权限（hr用户不用授权就可以管理 hr. 下面的所有对象）
3）所有者可以将属于他的对象授予其他用户
5、授权对象权限
1）授予sim用户对employees表的查询权限（否则会报 [表或视图不存在] 的错误）
SQL> conn hr/hr
Connected.
SQL> grant select on hr.employees to sim;
Grant succeeded.
2）授权DML权限，并且指定具体列名（若使用hr用户登录可以不加hr. 的前缀 ，sys用户需要加）
SQL> grant update(email,phone_number) on employees to sim;
Grant succeeded.
6、撤销系统权限与对象权限
1）收回sim用户的创建表的系统权限（使用sys用户登录）
SQL> revoke create table from sim;
Revoke succeeded.
注意：是REVOKE ... FROM ,不是 TO
2）收回sim用户对 employees表的查询权限
SQL> revoke select on employees from sim;
Revoke succeeded.
这时候sim用户再查询 employees表就会报【权限不足】的报错，之前是【表或视图不存在】
3）前面不是授权了update的权限吗？收回select后还可以update吗？
不能，报【权限不足】，可以推测出select是最基础的权限
7、WITH GRANT OPTION 与 WITH ADMIN OPTION
WITH GRANT OPTION : 使用revoke收回权限后，其他用户被授权的会被级联收回
WITH ADMIN OPTION : 不会级联收回
8、角色（role） 管理
直接授权不同的权限方法很安全，但是有两个问题：
1）工作量大：需要很多的授权语句，如果新增了一个用户，岂不是要又要执行很多grant 语句？
2）无法使权限在某些环境中处于活动状态（看不太懂）
9、创建角色
1）创建一个hr_leader角色，作为hr部门的领导，可以访问到所有的表（sys用户登录）
SQL> create role hr_leader;
Role created.
2）授权角色
grant create session to hr_leader;
GRANT SELECT ON HR.REGIONS to hr_leader;
GRANT SELECT ON HR.COUNTRIES to hr_leader;
GRANT SELECT ON HR.LOCATIONS to hr_leader;
GRANT SELECT ON HR.DEPARTMENTS to hr_leader;
GRANT SELECT ON HR.JOBS to hr_leader;
GRANT SELECT ON HR.EMPLOYEES to hr_leader;
GRANT SELECT ON HR.JOB_HISTORY to hr_leader;
3）授权给该角色给一个用户
SQL> grant hr_leader to sim;
Grant succeeded.
10、预定义的角色
CONNECT : 12c仅有create session 权限
RESOURCE ：此角色可以创建数据库对象和过程对象
DBA : 拥有大多数系统权限，以及多个对象权限和角色，任何被授予DBA角色的用户可以管理数据库的大多数方面（启动和关闭数据库除外）
SELECT_CATALOG_ROLE : 拥有针对数据库字典中大多的对象权限，但是没有系统权限和针对用户数据的权限。针对监视数据库并报告数据库情况，但看不到用户数据
SCHEDUILER_ADMIN : 拥有管理调度作业的系统权限
PUBLIC : 这是一个特殊的角色，每一个用户都具有这个角色
如果将某个权限授予PUBLIC，该权限将作用于所有的数据库用户，如：
grant select on hr.employees to public;
11、表空间授权
1）授权配额
如果没有授权，就会报错：ORA-01950: 对表空间 XXX 无权限
SQL> alter user sim quota unlimited on users;
User altered.
99、
1）查看系统权限授权情况（sys用户登录）
SQL> select grantee,privilege from dba_sys_privs where grantee='SIM';
GRA PRIVILEGE
--- ----------------------------------------
SIM CREATE TABLE
SIM CREATE VIEW
SIM CREATE PROCEDURE
SIM CREATE SESSION
SIM CREATE SEQUENCE
2）查看对象权限授权（普通用户登录）
select GRANTEE,OWNER,TABLE_NAME,PRIVILEGE from user_tab_privs WHERE grantee='SIM';
