Объекты доступа и виды привилегий

Объекты данных, к которым производится доступ могут быть выстроены в следующую иерархию: СУБД - БД - таблица - строка - столбец. Также объектами являются вспомогательные структуры БД - индексы, пакеты, записанные процедуры и т.д.

Доступ к СУБД контролируется механизмом авторизации пользователя. Доступ к БД контролируется при подключении к БД и также может включать в себя авторизацию. Доступ к объектам внутри БД контролируется при каждом акте доступа. Объекты БД, к которым пользователь имеет доступ – это объекты, принадлежащие ему на правах владельца, объекты, права на которые получены им от владельца, объекты, доступ к которым предопределен классом привилегий пользователя, и PUBLIC-объекты.

Объекты владения - те, которые создаются явным образом той или иной модификацией оператора CREATE (CREATE TABLE, CREATE VIEW, CREATE INDEX и т.д.). Отметим, что право владения связывается только с уже существующим объектом, для того, чтобы создать объект и стать его владельцем, пользователь должен иметь право создания в объекте более высокого уровня, например, чтобы создать таблицу, он должен иметь право создавать таблицы для данной БД.

Если пользователь имеет доступ к таблице или к виртуальной таблице, то он по умолчанию имеет доступ ко всем строкам и столбцам данной таблицы. В конкретных применениях может, однако, возникнуть необходимость ограничить доступные пользователю подмножества как строк, так и столбцов. В средствах избирательного управления доступом (операторы GRANT и REVOKE) имеется возможность перечисления тех столбцов таблицы, к которым предоставляется доступ. Возможность же ограничения по строкам в этих средствах отсутствует.

Ограничение доступа и по столбцам, и по строкам обеспечивается виртуальными таблицами. Поскольку оператор CREATE VIEW включает в себя выражение выбора SELECT, то в условии WHERE этого выражения может быть задан критерий отбора тех строк и столбцов, к которым предоставляется доступ.

Объектами доступа являются также и утилиты и служебные команды СУБД, выполняющие, например, копирование-восстановление, экспорт-импорт, реорганизацию БД и т.д. Выполнение некоторых из этих операций не требует явного подключения к БД, но при их вызове производится проверка, аналогичная проверке при подключении (CONNECT). Привилегии на выполнение утилит и служебных команд не передаются средствами избирательного управления. Они являются свойствами классов привилегий и предоставляются/изымаются с предоставлением/изменением класса.

Виды привилегий определяются типом объекта. Для основного объекта доступа - таблицы типичными являются следующие виды привилегий:

· CONTROL - право управления, включает в себя право передачи привилегий доступа, иногда - и все остальные права, в этом случае оно может быть интерпретировано как право владельца;

· ALTER - право изменять структуру таблицы (вводить новые столбцы);

· INDEX - право создавать индексы к таблице;

· SELECT - право чтения;

· DELETE, INSERT, UPDATE - права удаления, вставки, изменения строк;

· REFERENCE - право ссылаться на таблицу.

Дата добавления: 2015-07-20