系統管理Lesson 06. Administering User Security

1. 一個 Oracle 用戶賬戶必須具備哪些安全特征？

• A unique username
• An authentication
• A default tablespace
• A temporary tablespace
• A user profile
• An initial consumer group
• An account status
  翻譯
• 唯一的用戶名
• 驗證方法
• 默認表空間
• 臨時表空間
• 用戶概要檔案
• 初始使用者組
• 賬戶狀態

2. 資料庫創建好后，有哪幾個預定義的管理賬戶，各自的功能是什么 ？

SYS:

• Owns the data dictionary and the Automatic Workload Repository(AWR)
• Used for startup and shutdown of the database instance

SYSTEM:Owns additional administrative tables and views
SYSBACKUP:Facilitates Oracle Recouvery Manager(RMAN) backup and recovery operations
SYSDG:Facilitates Oracle Data Guard operations
SYSKM:Facilitates Transparent Data Encryption wallet operatioins
翻譯
SYS:

• 擁有資料字典和自動作業量資料檔案庫（AWR）
• 用于資料庫實體的啟動和關閉

SYSTEM:擁有附加管理表和視圖
SYSBACKUP:實施Oracle recovery Manager（RMAN）備份和恢復操作
SYSDG:實施Oracle Data Guard操作
SYSKM:實施透明資料加密密鑰操作

3. 驗證授權賬戶的方法有哪幾個？

Password:User definition includes a password that must be supplied when the user attempts to log in to the database
External:Authentication by a method outside the database(operating system, Kerberos, or Radius)
Global:Users are identified by using an LDAP-based directory service
翻譯
口令驗證：用戶定義包括用戶嘗試登錄資料庫時必須提供的口令
外部驗證：通過資料庫外部的方法進行身份驗證(operating system, Kerberos, or Radius)
全域驗證：通過使用基于LDAP的目錄服務來標識用戶

4. 請寫出解鎖賬戶和修改賬戶密碼的 SQL 陳述句，

解鎖賬戶
alter user 賬戶 account unlock;
修改賬戶密碼
alter user 賬戶 identified by 密碼;

5. 在用 grant 命令時，with admin option 和 with grant option 選項的作用分別時什么？

with admin option
被授予該權限的用戶有權將某個權限(如create any table)授予其他用戶或角色
取消是不級聯的

場景

1. DBA 將帶 ADMIN OPTION 的 CREATE TABLE 系統權限授予 Joe，
2. Joe 創建表，
3. Joe 將 CREATE TABLE 系統權限授予 Emily，
4. Emily 創建表，
5. DBA 撤銷 Joe 的 CREATE TABLE 系統權限，

結果
Joe 的表仍舊存在，但是 Joe 不能再創建新表，Emily 的表仍舊存在，而且她仍舊具有 CREATE TABLE 系統權限，

with grant option
權限賦予/取消是級聯的
被授予的用戶也可把此物件權限授予其他用戶或角色，管理員識訓用戶物件權限時，權限會因傳播而失效

場景

1. Joe 被授予了對 EMPLOYEES 的 SELECT 物件權限（帶 GRANT OPTION），
2. Joe 將對 EMPLOYEES 的 SELECT 權限授予 Emily，
3. 撤銷 Joe 的 SELECT 權限，此撤銷也級聯到 Emily，

6. 什么是角色，使用角色有哪些好處？

Roles:

• Used to group together privileges and roles
• Facilitate granting of multiple privileges or roles to uers

Benefits of roles:

• Easier privilege management
• Dynamic privilege management
• Selective availability of privileges

角色：

• 用于將權限和角色分組
• 方便向用戶授予多個權限或角色

好處：

• 簡化權限管理
• 進行動態權限管理
• 有選擇地提供權限

7. 請談談使用 DBMS_PRIVILEGE_CAPTURE 進行權限分析時的基本流程，

a. Create analysis
b. Start analyzing used privileges
c. Stop analyzing
d. Generate report
e. Compare with unused privileges
f. Revoke unuesd privileges
翻譯
a、 創建分析
b、 開始分析使用的權限
c、 停止分析
d、 生成報告
e、 與未使用的權限進行比較
f、 撤消未使用的權限

8. 一個用戶賬戶的概要檔案（Profiles）都有哪些功能？

Users are assigned onlu one profile at a time.
Profiles:

• Control resource consumption
• Manage account status and password expiration

翻譯：
用戶一次只能分配一個組態檔，
組態檔：

• 控制資源使用量
• 管理帳戶狀態和口令過期
  管理員使用概要檔案控制系統資源（CPU、網路/記憶體、磁盤I/O）

9. 為什么 Oracle 建議不要對 SYS、SYSMAN 和 DBSNMP 這些管理賬戶使用概要檔案進行口令限制？

使SYS、SYSMAN 和 DBSNMP帳戶口令到期和鎖定這些帳戶，會導致OracleEnterpriseManager無法正常運行，
應用程式必須捕獲“口令到期”警告訊息并處理口令更改;否則，寬限期一到期，就會鎖定用戶而不通知原因，
鎖定后就涼了，得找Oracle公司，Oracle公司收費灰常高滴，

10. 請談談你對“使用最小權限原則”這一最佳實踐要求的理解，

1??must要在操作者在操作以前為他指派權限（定義操作者的權限邊界），
當操作者要對某個資源進行操作時，系統會在他的權限邊界內匹配是否有對該資源的操作權限，有就可以讓他進行操作，沒有就拒絕，
2?? 必須為用戶授予高效地完成任務所需的權限，
降低用戶修改或查看（無意或惡意）他們無權修改或查看資料的幾率，

11. 請把下面內容翻譯成中文：

Oracle資料庫包括五個管理特權，這些特權是為了便于職責分離而提供的，
SYSDBA和SYSOPER管理權限用于執行各種標準資料庫操作，包括啟動資料庫實體和關閉資料庫實體，
有關SYSDBA和SYSOPER權限的授權操作的完整串列，請參閱《Oracle資料庫管理員指南》，
SYSBACKUP、SYSDG和SYSKM是Oracle Database 12c的新功能，它們是針對特定的備份和恢復、Oracle Data Guard和透明資料加密密鑰管理的管理任務，
在以前的版本中，這些任務需要SYSDBA權限，
這些特權使您能夠連接到資料庫，即使資料庫未打開，
有關SYSBACKUP、SYSDG和SYSKM權限的支持操作串列，請參閱racle Database Security Guide，