讲解Informix安全特性保护数据的具体措施

7/25/2008来源:SQL技巧人气:5925

前言


保护数据需要权衡考虑安全性和访问能力。如何找到最合适的方法呢?


目前,公司和政府为数据的可审计性和控制制定了严格的标准,这使数据库安全性成为近来的热点。DBA 必须保证用户能够访问完成工作所需的数据,同时避免数据风险。


绝对保护数据的惟一方法是把服务器关闭,锁起来,不让人使用。但是,为了让数据库发挥作用,就必须允许访问数据。IDS 在数据库、表和列级都应用了安全措施。安全措施还可以应用于视图中的记录级。所有安全措施都基于用来连接数据库的用户名。


我将解释 Informix 安全特性如何帮助您保护数据,同时允许适当的用户访问数据。

安全建议


每个环境和数据库开发的每个阶段有不同的数据库安全性需求。开发环境必须让程序员能够快速创建和修改数据库对象。测试和生产环境需要稳定性,需要控制可以对数据库对象执行哪些操作。有效的数据库安全模型的一个关键部分是,定义和分配 DBA、数据库安全官(DSO)和对象所有者角色。


对于 DBA 角色,应该创建一个抽象的用户登录。DBA 本质上是数据库超级用户。建立一个单独的登录会减少用户意外删除数据库的风险。这条原则在生产环境中尤其重要。DBA 登录名应该是数据库和数据库中所有表的创建者。DBA 应该是对数据库中任何表有修改特权的惟一用户。作为数据库和数据库中所有表的创建者,DBA 可以把特权授予其他用户。


一些生产环境可能需要一个 DSO,这是 DBA 之外的一个单独职位,他负责数据安全。DSO 也应该是一个单独的抽象用户登录。为了能够有权在数据库中添加新用户,DSO 需要 DBA 数据库特权。DSO 还需要数据库中每个表的授予特权,以便把特权授予其他用户。


为了建立具有 DSO 特权的角色,必须给 DSO 分配用户对于数据库中每个表可能需要的所有特权。下面是使用带 grant option 的 grant 命令的 SQL 语法:


GRANT SELECT, INSERT, UPDATE, DELETE, INDEX ON table_name TO dso_login_name

WITH GRANT OPTION;

Public特权


Informix 使用关键字 public 表示应用于所有用户的特权。public 关键字是一个非常强大的工具,可以开放对数据的访问。同样,为了防止未经过授权的所有用户连接数据库和选择数据,可以完全撤消 public 特权。

对象所有者特权


创建数据库或数据库对象(表、索引、函数、过程等等)的用户就是这个对象的所有者,他控制这个对象的访问和特权。对象的所有者拥有所有表级特权,而且这些特权不能撤消。当系统从开发环境转移到生产环境时,或者表或数据库原来的所有者离开组织时,这个限制可能会造成问题。任何其他用户(即使是 DBA)都无法撤消所有者的特权。因此,必须谨慎地决定数据库或表的所有者。


表的所有者是可以向其他用户授予这个表的特权的惟一用户。一些应用程序也使用 owner.tablename 语法来访问表。在我的一个客户的数据库中,表在开发、接收测试和生产阶段有不同的所有者。一个表只能有一个所有者。当把应用程序代码从开发环境转移到测试环境,然后再转移到生产环境中时,必须改变表的所有者,这可能会造成问题。在不同的环境中,必须修改应用程序代码中的 owner.tablename,这会增加风险。

数据库特权


有三个数据库特权级别:DBA、Resource 和 Connect。Connect 特权允许用户访问数据库以及添加、修改和删除数据。Resource 特权授予用户所有 Connect 特权,还授予创建新的表、索引和过程的特权。DBA 特权包括 Connect 和 Resource 特权,还授予用户把 Resource、Connect 或 DBA 特权授予其他用户的权力。具有 DBA 特权的用户还可以删除数据库中的所有对象或完全删除数据库。


对于大多数数据库活动,Connect 特权就足够了。要创建新对象的程序员或开发人员可能需要 Resource 特权。DBA 特权就像是 Unix 操作系统的 “超级用户”。授予或撤消数据库特权的语法是:


grant [ dba | resource | connect ] to [ public | USERS ];


revoke [ dba | resource | connect ] from [ public | USERS ];

 

 

数据库特权存储在系统表 sysusers 中。可以用 select * from sysusers; 列出所有用户及其数据库特权,显示的信息包括:


◆username,连接数据库的用户的登录名

◆usertype,数据库特权类型;D 表示 DBA,R 表示 Resource,C 表示 Connect

PRiority,这一列没有正式使用,但它是系统表的一部分(通常,对于所有用户,这一列是 5;对于数据库所有者,是 9)

◆passWord,这一列没有使用,但它是系统表的一部分

数据库特权


应该避免把 DBA 特权授予 public。我见过一些第三方应用程序把 DBA 特权授予 public,仅仅是因为这样做非常省事。如果把 DBA 特权授予 public,那么任何用户都能够删除数据库、撤消所有其他用户的所有特权和创建新的数据库用户。如果把 Resource 特权授予 public,那么就允许任何用户在数据库中创建对象(表或视图)。


撤消用户的 DBA 或 Resource 特权会使特权转换为 Connect。如果希望从数据库中完全删除一个用户,还需要撤消 Connect 特权。


在授予数据库特权时,采用以下原则可以减少很多麻烦:


◆DBA 特权应该只授予一两个登录名,这些登录名不供常规用户使用。这些登录名应该只用于数据库管理(DBA 和 DSO)。

◆Resource 特权应该只授予开发环境中的程序员,以及必须通过运行过程创建索引的用户。

◆Connect 特权应该只授予需要访问数据库的用户。

表特权


有七种表特权:


◆Select(查看表中的数据)

◆Insert(在表中添加新的数据行)

◆Update(修改现有行)

◆Delete(删除数据行)

◆Index(在表中添加索引)

◆Alter(修改表结构)

◆Reference(在引用约束中引用列)

用户必须具有 Resource 数据库特权和相关的表特权,才能创建索引、修改表结构或引用持久表。

 


创建表的用户是所有者,他拥有所有表特权,这些特权无法撤消。with grant option 允许用户把特权授予其他用户;应该谨慎地使用这个选项,因为它把控制表特权的过程委托给了其他用户。使用 as GRANTOR 选项以另一个用户的身份授予特权。只有 DBA 或具有授予权限的用户可以使用这个选项。只有授予一个特权的用户能够撤消这个特权。


授予和撤消表特权的语法如下:


grant [ all | [ select | insert | update | delete | index | alter | reference ]

on [ TABLE | VIEW | SYNONYM ] to [ public | USERS ]

[ with grant option ][ as GRANTOR ];


revoke [ all | [ select | insert | update | delete | index | alter| reference ]

on [ TABLE | VIEW | SYNONYM ] from [ public | USERS ];

 

 

表特权存储在系统表systabauth中,这个表包含四列:


◆grantor,授予这个特权的用户

◆grantee,获得这个特权的用户

◆tabid,这个表在系统表中的编号

◆tabauth,表特权

使用下面的 SQL 语句列出表和具有表特权的用户:


select systables.tabname, systabauth.*from systables, systabauth

where systables.tabid = systabauth.tabid and systables.tabid > 99 order by tabname;

 

 

这个语句联结 systabauth 和 systables,从 systables 中获取表名并显示用户。tabauth 列包含特权,需要根据这个列中的位置进行解码(见图 1)。

图 1. tabauth 列包含的特权

 

tabauth 中的字符表示对于一个表有哪些表级特权。表 1 给出列中的位置与其表示的表和列级特权之间的对应关系。

 

表1. 表和列级特权之间的对应关系

 

大写字母表示用户可以把这个特权授予其他用户;- 表示用户不拥有这个特权。所以在图 1 中,Sarah 只有 customer 表的 select 特权,而 Robert 有 select、insert、update 和 delete 特权;没有列级特权。


与数据库特权一样,应该谨慎地使用 public。可以撤消一个用户的所有表特权,但是这个用户仍然拥有分配给 public 的特权。在默认情况下,每个表在创建时都有 public 特权,所以需要检查 public 特权,考虑是否需要修改默认的 public 特权。


在数据仓库系统中,用户只需要 select 特权。在 OLTP 数据库中,应该根据需求把特权限制在 select、update、insert 和 delete。

列特权


两个列级特权是 select 和 update。具有列级特权的用户不应该拥有表级的 select 或 update 特权。用户的表级 select 或 update 特权将覆盖列级特权。列级特权存储在 syscolauth 表中,它们限制用户是否可以查看或修改表中记录的指定列。


授予列级特权的语法如下:


grant [ select (COLUMN) | update (COLUMN) | reference ( COLUMN ) ]

on [ TABLE | VIEW | SYNONYM ] to [ public | USERS ][ with grant option ][ as GRANTOR ] ;


除非在表级撤消 select 和 update 特权,否则列级特权不起作用。当存在列级特权时,systabauth 表的 tabauth 列的第三个位置上会显示一个星号(见表 1)。


列级特权在控制对机密信息(比如工资或 SSN)的访问方面非常有用。

权衡考虑控制和访问


安全性是 DBA 的一项重要责任。既要保护组织的数据,又要满足适当的使用需求,这是个难题。关键是分配适当的特权级别。