DB2 — Безопасность базы данных

Эта глава описывает безопасность базы данных.

Вступление

База данных и функции DB2 могут управляться двумя различными режимами контроля безопасности:

1. Аутентификация
2. авторизация

Аутентификация

Аутентификация — это процесс подтверждения того, что пользователь входит в систему только в соответствии с правами на выполнение действий, которые ему разрешено выполнять. Аутентификация пользователя может выполняться на уровне операционной системы или самой базы данных. Использование средств аутентификации для биометрических данных, таких как сетчатка и распечатки рисунков, используются для защиты базы данных от хакеров или злоумышленников.

Безопасность базы данных может управляться извне системы базы данных db2. Вот некоторый тип процесса аутентификации безопасности:

• Основано на аутентификации операционной системы.
• Облегченный протокол доступа к каталогам (LDAP)

Для DB2 служба безопасности является частью операционной системы как отдельный продукт. Для аутентификации требуются два различных учетных данных: идентификатор пользователя или имя пользователя и пароль.

авторизация

Вы можете получить доступ к базе данных DB2 и ее функциям в системе баз данных DB2, которая управляется менеджером баз данных DB2. Авторизация — это процесс, управляемый менеджером баз данных DB2. Менеджер получает информацию о текущем аутентифицированном пользователе, которая указывает, какую операцию базы данных пользователь может выполнить или получить к ней доступ.

Вот различные способы разрешений, доступных для авторизации:

Основное разрешение : предоставляет идентификатор авторизации напрямую.

Вторичное разрешение : Предоставляет группам и ролям, если пользователь является участником

Публичное разрешение : Предоставляет всем пользователям публично.

Контекстно-зависимое разрешение . Предоставляет доверенную контекстную роль.

Авторизация может быть предоставлена ​​пользователям на основе категорий ниже:

• Авторизация на уровне системы
• Системный администратор [SYSADM]
• Управление системой [SYSCTRL]
• Обслуживание системы [SYSMAINT]
• Системный монитор [SYSMON]

Власти обеспечивают контроль над функциональностью уровня экземпляра. Полномочия предоставляют групповым привилегиям, контролировать обслуживание и полномочия операций. Например, база данных и объекты базы данных.

• Авторизация на уровне базы данных
• Администратор безопасности [SECADM]
• Администратор базы данных [DBADM]
• Контроль доступа [ACCESSCTRL]
• Доступ к данным [DATAACCESS]
• Администратор SQL. [SQLADM]
• Администратор управления рабочей нагрузкой [WLMADM]
• Объясните [ОБЪЯСНИТЬ]

Власти обеспечивают контроль в базе данных. Другие полномочия для базы данных включают с LDAD и CONNECT.

• Авторизация на уровне объекта. Авторизация на уровне объекта включает проверку привилегий при выполнении операции над объектом.
• Контентная авторизация . Пользователь может иметь доступ на чтение и запись к отдельным строкам и столбцам в конкретной таблице, используя управление доступом на основе меток [LBAC].

Таблицы и файлы конфигурации DB2 используются для записи разрешений, связанных с именами авторизации. Когда пользователь пытается получить доступ к данным, записанные разрешения проверяют следующие разрешения:

• Авторизационное имя пользователя
• Какая группа принадлежит пользователю
• Какие роли предоставляются непосредственно пользователю или косвенно группе
• Разрешения, полученные через доверенный контекст.

При работе с операторами SQL модель авторизации DB2 учитывает комбинацию следующих разрешений:

• Разрешения, предоставленные первичному идентификатору авторизации, связанному с операторами SQL.
• Вторичные идентификаторы авторизации, связанные с операторами SQL.
• Предоставлено ПУБЛИЧНО
• Предоставлено роли доверенного контекста.

Органы уровня инстанции

Давайте обсудим некоторые инстанции, связанные с властями.

Системный администратор (SYSADM)

Это административный орган высшего уровня на уровне экземпляра. Пользователи с полномочиями SYSADM могут выполнять некоторые базы данных и команды менеджера баз данных в экземпляре. Пользователи с полномочиями SYSADM могут выполнять следующие операции:

• Обновить базу данных
• Восстановить базу данных
• Обновить файл конфигурации менеджера баз данных.

Орган управления системой (SYSCTRL)

Это самый высокий уровень в системе контроля над системой. Он обеспечивает выполнение операций обслуживания и утилит в отношении экземпляра менеджера баз данных и его баз данных. Эти операции могут влиять на системные ресурсы, но они не разрешают прямой доступ к данным в базе данных.

Пользователи с полномочиями SYSCTRL могут выполнять следующие действия:

• Обновление базы данных, узла или каталога службы распределенного подключения (DCS)
• Вынуждение пользователей от системного уровня
• Создание или удаление уровня базы данных
• Создание, изменение или удаление табличного пространства
• Использование любого табличного пространства
• Восстановление базы данных

Центр обслуживания системы (SYSMAINT)

Это второй уровень управления системой. Он обеспечивает выполнение операций обслуживания и утилит в отношении экземпляра менеджера баз данных и его баз данных. Эти операции влияют на системные ресурсы, не позволяя прямой доступ к данным в базе данных. Эти полномочия предназначены для пользователей, чтобы поддерживать базы данных в экземпляре менеджера баз данных, который содержит конфиденциальные данные.

Только пользователи с полномочиями системы SYSMAINT или более высокого уровня могут выполнять следующие задачи:

• Принимая резервную копию
• Восстановление резервной копии
• Восстановление с повтором
• Запуск или остановка экземпляра
• Восстановление табличных пространств
• Выполнение команды db2trc
• Создание снимков системного монитора в случае пользователя уровня экземпляра или пользователя уровня базы данных.

Пользователь с SYSMAINT может выполнять следующие задачи:

• Запросить состояние табличного пространства
• Обновление файлов истории журнала
• Реорганизация таблиц
• Использование RUNSTATS (коллекция каталогов статистики)

Полномочия системного монитора (SYSMON)

С этими полномочиями пользователь может отслеживать или делать снимки экземпляра менеджера баз данных или его базы данных. Полномочия SYSMON позволяют пользователю выполнять следующие задачи:

• ПОЛУЧИТЕ ПЕРЕКЛЮЧАТЕЛИ БАЗЫ ДАННЫХ МЕНЕДЖЕРА
• ПОЛУЧИТЬ ПЕРЕКЛЮЧАТЕЛИ МОНИТОРА
• ПОЛУЧИТЬ СНЕЙШОТ
• СПИСОК
  • СПИСОК АКТИВНЫХ БАЗ ДАННЫХ
  • СПИСОК ПРИЛОЖЕНИЙ
  • СПИСОК БАЗ ДАННЫХ
  • СПИСОК ПРИЛОЖЕНИЙ DCS
  • СПИСОК ПАКЕТОВ
  • СПИСОК ТАБЛИЦ
  • СПИСОК СТОЛОВЫХ КОНТЕЙНЕРОВ
  • СПИСОК СТОЛОВ
  • СПИСОК ПОЛЬЗОВАТЕЛЕЙ
• СБРОС МОНИТОРА
• ПЕРЕКЛЮЧАТЕЛИ МОНИТОРА ОБНОВЛЕНИЯ

База данных органов

Каждый орган базы данных содержит идентификатор авторизации для выполнения некоторых действий с базой данных. Эти полномочия базы данных отличаются от привилегий. Вот список некоторых органов управления базами данных:

ACCESSCTRL : позволяет предоставлять и отзывать все привилегии объекта и полномочия базы данных.

BINDADD : позволяет создать новый пакет в базе данных.

CONNECT : позволяет подключаться к базе данных.

CREATETAB : позволяет создавать новые таблицы в базе данных.

CREATE_EXTERNAL_ROUTINE : Позволяет создать процедуру, которая будет использоваться приложениями и пользователями баз данных.

DATAACCESS : позволяет получить доступ к данным, хранящимся в таблицах базы данных.

DBADM : выступать в роли администратора базы данных. Он предоставляет все остальные права доступа к базе данных, кроме ACCESSCTRL, DATAACCESS и SECADM.

ОБЪЯСНИТЬ : Позволяет объяснить планы запросов, не требуя от них обладания правами доступа к данным в таблицах.

IMPLICIT_SCHEMA : позволяет пользователю неявно создавать схему, создавая объект с помощью оператора CREATE.

LOAD : позволяет загружать данные в таблицу.

QUIESCE_CONNECT : позволяет получить доступ к базе данных, пока она находится в состоянии покоя (временно отключена).

SECADM : позволяет выступать в роли администратора безопасности для базы данных.

SQLADM : позволяет отслеживать и настраивать операторы SQL.

WLMADM : позволяет выступать в роли администратора рабочей нагрузки.

привилегии

SETSESSIONUSER

Привилегии ID авторизации включают действия с ID авторизации. Существует только одна привилегия, называемая привилегией SETSESSIONUSER. Он может быть предоставлен пользователю или группе и позволяет пользователю сеанса переключать идентификаторы на любой из идентификаторов авторизации, для которых предоставляются привилегии. Эта привилегия предоставляется полномочиями пользователя SECADM.

Схема привилегий

Эти привилегии включают действия над схемой в базе данных. Владелец схемы имеет все полномочия для управления объектами схемы, такими как таблицы, представления, индексы, пакеты, типы данных, функции, триггеры, процедуры и псевдонимы. Пользователь, группа, роль или PUBLIC могут быть предоставлены любому пользователю со следующими привилегиями:

• CREATEIN : позволяет создавать объекты в схеме
• ALTERIN : позволяет изменять объекты в схеме.

DROPIN

Это позволяет удалять объекты в схеме.

Привилегии табличного пространства

Эти привилегии включают действия с табличными пространствами в базе данных. Пользователю может быть предоставлена ​​привилегия USE для табличных пространств. Затем привилегии позволяют им создавать таблицы в табличных пространствах. Владелец привилегии может предоставить привилегию USE с помощью команды WITH GRANT OPTION для табличного пространства при создании табличного пространства. А полномочия SECADM или ACCESSCTRL имеют разрешения на использование привилегий USE в табличном пространстве.

Привилегии таблиц и представлений

Пользователь должен иметь полномочия CONNECT для базы данных, чтобы иметь возможность использовать таблицы и просматривать привилегии. Привилегии для таблиц и представлений приведены ниже:

КОНТРОЛЬ

Он предоставляет все привилегии для таблицы или представления, включая удаление и предоставление, отзыв отдельных привилегий таблицы для пользователя.

ALTER

Это позволяет пользователю изменять таблицу.

УДАЛЯТЬ

Это позволяет пользователю удалять строки из таблицы или представления.

ИНДЕКС

Это позволяет пользователю вставить строку в таблицу или представление. Он также может запустить утилиту импорта.

РЕКОМЕНДАЦИИ

Это позволяет пользователям создавать и удалять внешний ключ.

ВЫБРАТЬ

Это позволяет пользователю получать строки из таблицы или представления.

ОБНОВИТЬ

Позволяет пользователю изменять записи в таблице, просматривать.

Пакетные привилегии

Пользователь должен иметь полномочия CONNECT для базы данных. Пакет — это объект базы данных, который содержит информацию менеджера базы данных для наиболее эффективного доступа к данным для конкретного приложения.

КОНТРОЛЬ

Он предоставляет пользователю привилегии перепривязывания, удаления или выполнения пакетов. Пользователю с этими привилегиями предоставляются привилегии BIND и EXECUTE.

BIND

Это позволяет пользователю связывать или перепривязывать этот пакет.

ВЫПОЛНИТЬ

Позволяет выполнить пакет.

Индекс привилегий

Эта привилегия автоматически получает привилегию CONTROL для индекса.

Привилегии последовательности

Sequence автоматически получает привилегии USAGE и ALTER для последовательности.

Обычные привилегии

Он включает в себя действие подпрограмм, таких как функции, процедуры и методы в базе данных.