发布日期:2015-11-05 16:44 来源: 标签: 数据库 oracle教程 oracle函数 虚拟私有数据库VPD
本章我们主要学习什么是Oracle虚拟私有数据库(VPD),怎样使用Oracle虚拟私有数据库(VPD),下面我们就做一下具体讲解,希望大家多多支持中国站长网络学院。
1、Oracle虚拟私有数据库(VPD)概述
VPD提供了比角色和视图更好的行级访问控制。例如在internet访问中,虚拟私有数据库可以确保网上银行用户只能看到自己的帐户。互联网应用服务公司可以在一个数据库中维护多个公司的数据,同时确保每个公司只能看到其自己的数据。
在企业内部,VPD降低了应用部署的开销。安全仅需在数据服务器构造一次,而不用在每个访问数据的应用上部署。这样做安全性更强,因为数据库会强制应用安全策略,无论一个用户以何种方式访问数据。用户不能再使用一个查询工具(如SQL*PLUS)或者报表软件(如Informaker)来跳过编制在应用程序中的安全策略了。VPD是企业建立宿主于互联网应用的关键技术。

2、VPD工作原理
VPD通过将一个或更多的安全策略应用于表或视图而生效。直接或间接的访问一个应用了安全策略的表将生成一个访问条件,即生成一个“谓词”(WHERE子句),数据库会把这个谓词添加到用户的SQL语句中,从而动态修改用户的数据访问。
可以通过写存储过程把一个SQL语句谓词添加到每个SQL语句中,从而控制这条语句的行级访问。例如,如果John(属于dept 10)输入了select * from emp语句,则可以使用VPD来添加WHERE DEPT = 10子句,从而可以通过重写查询语句来限制对特定行的数据访问。
VPD可以确保无论一个用户怎样访问数据(通过应用,报表工具或SQL*PLUS),都会遇到一个同样强的访问控制策略。因此,VPD可以帮助银行确保其用户只能看到自己的帐户,电信公司可以保证其每个用户的记录被安全的隔离,HR应用可以支持访问员工记录的复杂规则。

3、以下通过一个简单的例子,介绍VPD的基本实现过程,仅供大家参考:
目标:
A、使用VPD实现一个安全策略:限制用户只能在EMP表中查看自己的记录;
B、创建一个策略函数;
C、添加新的安全策略;
D、检验VPD。
配置说明:
Oracle版本:Oracle 10g 10.2.0.4.0

4、过程如下:
A、创建一个策略函数,限制用户只能在EMP表中查看自己的记录:
SQL> conn / as sysdba
已连接。
SQL> create or replace function func1(
2 p_schema in varchar2,
3 p_object in varchar2)
4 return varchar2
5 as
6 begin
7 return 'ename=sys_context(''USERENV'', ''SESSION_USER'')';
8 end;
9 /
函数已创建。
B、使用DBMS_RLS包添加这个新的安全策略,指定策略将应用于SCOTT模式下的EMP表,策略名为MY_POLICY,使用的策略函数是FUNC1,策略对DELETE,UPDATE,SELECT语句生效:
注意:对某个用户下的表指定策略后,如果表中没有包含用户名的信息,则无法查询到任何消息
SQL> begin
2 dbms_rls.add_policy(
3 object_schema=> 'SCOTT',
4 object_name => 'EMP'
5 ,
6 policy_name => 'MY_POLICY'
7 ,
8 policy_function => 'FUNC1'
9 ,
10 statement_types => 'SELECT, UPDATE, DELETE');
11 END;
12 /
PL/SQL 过程已成功完成。
C、检验VPD,先测试查询策略:以SCOTT用户连接数据库,发现EMP表应用策略后,查询不能返回整个表的记录,用户只能查看到自己的信息:
SQL> conn scott/tiger
已连接。
SQL> select * from emp;
EMPNO ENAME JOB MGR HIREDATE SAL COMM
---------- ---------- --------- ---------- -------------- ---------- ----------
DEPTNO
----------
7788 SCOTT ANALYST 7566 3000
20
D、检查更新策略:更新所有DEPTNO为20的员工的工资,只更新了一条SCOTT自己的记录:
SQL> conn scott/tiger
已连接。
SQL> update emp set sal = sal + 10 where deptno = 20;
已更新1 行。
SQL> select * from emp;
EMPNO ENAME JOB MGR HIREDATE SAL COMM
---------- ---------- --------- ---------- -------------- ---------- ----------
DEPTNO
----------
7788 SCOTT ANALYST 7566 3010
20
E、检查删除策略:删除EMP表中关于SMITH用户的记录,发现没有满足条件的记录;删除EMP表中所有的记录,只能删除SCOTT用户自己的记录:
SQL> delete emp where ename = 'SMITH'
2 /
已删除0行。
SQL> delete emp;
已删除1 行。
从以上可以看出,安全策略已经在EMP表上应用,执行查询时会自动返回WHERE子句控制访问。

5、总结
A、应用上下文是保存在内存中的一系列记录用户会话的“属性和取值”对(如session_user和scott)。Oracle为每个数据库会话提供了缺省的应用上下文,即USERENV名字空间,其中记录了例如IP_ADDRESS、TERMINAL、SESSION_USER、SESSION_USERID等会话的属性。除了使用缺省的应用上下文USERENV,还可以自定义设置应用上下文。本例中在创建策略函数FUNC1时使用了USERENV提供的SESSION_USER属性。
B、使用DBMS_RLS包来添加、更新和删除一个安全策略。

相关评论

专题信息
    ORACLE数据库系统是美国ORACLE公司(甲骨文)提供的以分布式数据库为核心的一组软件产品,是目前最流行的客户/服务器(CLIENT/SERVER)或B/S体系结构的数据库之一。比如SilverStream就是基于数据库的一种中间件。ORACLE数据库是目前世界上使用最为广泛的数据库管理系统,作为一个通用的数据库系统,它具有完整的数据管理功能;本教程主要是针对oracle应用过程中我们常用的函数进行深入讲解,让大家能够通过代码实例更快、更有效的掌握oracle函数,希望对大家有所帮助。