Oracle用戶權限及角色管理淺談
Oracle用戶權限是指Oracle角色中的一組可執行操作范圍，其實，每個Oracle用戶都有一個名字和口令，擁有一些可以創建表、試圖和資源。將某個角色賦予相應的用戶，這些用戶便具有了這些權限，同時，這些用戶也可以給其他用戶授權。
數據庫系統權限（Database System Privilege）允許用戶執行特定的命令集。例如，CREATE TABLE的Oracle用戶權限允許用戶創建表，GRANT ANY PRIVILEGE 權限允許用戶授予任何系統權限。
數據庫對象權限（Database Object Privilege）使得用戶能夠對各個對象進行某些操作。例如DELETE權限允許用戶刪除表或視圖的行，SELECT權限允許用戶通過select從表、視圖、序列（sequences）或快照 （snapshots）中查詢信息。
一、創建用戶
Oracle內部有兩個建好的用戶：SYSTEM和SYS。用戶可直接登錄到SYSTEM用戶以創建其他用戶，因為SYSTEM具有創建別的Oracle用戶權限。在安裝Oracle時，用戶或系統管理員首先可以為自己建立一個用戶。例如：
create user user01 identified by u01;
該命令還可以用來設置其他權限，詳細情況參見自學資料。要改變一個口令，可以使用alter user命令：
alter user user01 identified by usr01;
現在user01的口令已由“u01”改為“usr01”。
除了alter user命令以外，用戶還可以使用password命令。如果使用password命令，用戶輸入的新口令將不在屏幕上顯示。有dba特權的用戶可以通過password命令改變任何其他用戶的口令；其他用戶只能改變自己的口令。
當用戶輸入password命令時，系統將提示用戶輸入舊口令和新口令，如下所示：
- password
- Changing password for user01
- Old password:
- New password:
- Retype new password:
當成功地修改了口令時，用戶會得到如下的反饋：
Password changed
二、刪除用戶
刪除用戶，可以使用drop user命令，如下所示：
drop user user01;
如果用戶擁有對象，則不能直接刪除，否則將返回一個錯誤值。指定關鍵字CASCADE，可刪除用戶所有的對象，然后再刪除用戶。下面的例子用來刪除用戶與其對象：
drop user user01 CASCADE;
三、3種標準角色
Oracle為了兼容以前的版本，提供了三種標準的角色（role）：CONNECT、RESOURCE和DBA。
1. CONNECT Role(連接角色)
臨時用戶，特別是那些不需要建表的用戶，通常只賦予他們CONNECTrole。CONNECT是使用Oracle的簡單權限，這種權限只有在對其他用戶的表有訪問權時，包括select、insert、update和delete等，才會變得有意義。擁有CONNECT role的用戶還能夠創建表、視圖、序列（sequence）、簇（cluster）、同義詞（synonym ）、會話（session）和與其他數據庫的鏈（link）。
2. RESOURCE Role(資源角色)
更可靠和正式的數據庫用戶可以授予RESOURCE role。RESOURCE提供給用戶另外的權限以創建他們自己的表、序列、過程（procedure）、觸發器（trigger）、索引（index）和簇（cluster）。
3. DBA Role(數據庫管理員角色)
DBA role擁有所有的系統權限----包括無限制的空間限額和給其他用戶授予各種權限的能力。SYSTEM由DBA用戶擁有。下面介紹一些DBA經常使用的典型權限。
（1）grant（授權）命令
下面對剛才創建的用戶user01授權，命令如下：
grant connect, resource to user01;
（2）revoke（撤消）權限
已授予的權限可以撤消。例如撤消（1）中的授權，命令如下：
revoke connect, resource from user01;
一個具有DBA角色的用戶可以撤消任何別的用戶甚至別的DBA的CONNECT、RESOURCE 和DBA的其他權限。當然，這樣是很危險的，因此，除非真正需要，DBA權限不應隨便授予那些不是很重要的一般用戶。
撤消一個用戶的所有權限，并不意味著從Oracle中刪除了這個用戶，也不會破壞用戶創建的任何表；只是簡單禁止其對這些表的訪問。其他要訪問這些表的用戶可以象以前那樣地訪問這些表。
四、創建角色
除了前面講到的三種系統角色----CONNECT、RESOURCE和DBA，用戶還可以在Oracle創建自己的role。用戶創建的role可以由表或系統權限或兩者的組合構成。為了創建role，用戶必須具有CREATE ROLE系統權限。下面給出一個create role命令的實例：
create role STUDENT;
這條命令創建了一個名為STUDENT的role。
一旦創建了一個role，用戶就可以給他授權。給role授權的grant命令的語法與對對用戶的語法相同。在給role授權時，在grant命令的to子句中要使用role的名稱，如下所示：
grant select on CLASS to STUDENT;
現在，擁有STUDENT角色的所有用戶都具有對CLASS表的select權限。
五、刪除角色
要刪除角色，可以使用drop role命令，如下所示：
drop role STUDENT;
指定的role連同與之相關的Oracle用戶權限將從數據庫中全部刪除。
【編輯推薦】
