SEGURANÇA DE USUÁRIOS
Cada banco de dados Oracle possui uma lista de usuários válidos, identificados por USERNAMES.
Todos os usuários são cadastrados no Dicionário de Dados do Banco em tabelas e views consultados pelo DBA. Quando o usuário do Banco de Dados é criado, um Schema correspondente com mesmo nome é criado para o usuário.
Um Schema é o conjunto de informações sobre o USERNAME. Isso inclui: • Username
• Password
• Privilégios permitidos
• Tablespaces de seus objetos • Quotas nas Tablespace • Profile
• Role
Agora que já entendemos o que vem a ser um usuário no Oracle, veremos como criar, alterar, excluir e monitorá-los.
Criando um novo usuário: SQL> CREATE USER [Usuário]
IDENTIFIED BY [Senha/Externally/Globally as] DEFAULT TABLESPACE [Nome Default]
TEMPORARY TABLESPACE [Nome Temporária] PROFILE [Nome Profile]
QUOTA [K/M/Unlimited] ON [Tablespace]
PASSWORD EXPIRE ACCOUNT [Lock/Unlock] Onde:
• Usuário - Nome do usuário a ser criado. • Senha - Especifica a senha do usuário.
• Externally - Verifica o acesso do usuário através do sistema operacional. • Globally As - Especifica que o usuário será autenticado por um sistema
externo de Gerenciamento de Segurança (Oracle Security Server) ou outro Sistema de Gerenciamento de autenticação.
• Default Tablespace - Identifica a Tablespace onde serão criados os objetos dos usuários.
• Temporary Tablespace - Identifica a Tablespace para segmentos temporários.
• Profile - O nome do Profile associado ao usuário. • Quota - Especifica o valor da quota na Tablespace
• Unlimited - Permite ao usuário alocar espaço dentro de uma Tablespace sem limites.
• On - Especifica o nome da Tablespace cujo espaço será controlado peça Quota. • Password Expire - Torna a senha do usuário extinta, solicitando uma nova
senha no próximo login. • Lock - Desabilita o login. • Unlock - Habilita o login. Exemplo:
SQL> CREATE USER iMasters IDENTIFIED BY Revista
DEFAULT TABLESPACE User_Data TEMPORARY TABLESPACE User_Temp PROFILE [Nome Profile]
QUOTA 15M ON User_Data QUOTA 10M ON User_Temp PASSWORD EXPIRE ACCOUNT Unlock PROFILE Default; Alterando um Usuário: SQL> ALTER USER <Usuário>
<Opções a serem alteradas> <Novo Valor> DEFAULT TABLESPACE [Nome Default] Exemplo:
SQL> ALTER USER iMasters QUOTA 5M ON User_Data; Excluindo um Usuário:
SQL> DROP USER <Usuário> [CASCADE] <Opções a serem alteradas> <Novo Valor>
DEFAULT TABLESPACE [Nome Default] Onde:
CASCADE Permite a exclusão de todos os objetos associados ao usuário.
Essa opção somente será usado em raras exceções. Quando o usuário é excluído com a opção CASCADE, o Username e seu Schema associado são removidos do Dicionário de Dados e todos objetos contidos no usuário são imediatamente excluídos.
Exemplo:
SQL> DROP USER Imasters; Monitorando Usuários:
O Oracle armazena, no Dicionário de Dados, informações completas de todos os usuários do banco.
Views do Dicionário de Dados:
• DBA_USERS - Descreve todos os usuários do Banco de Dados
• ALL_USERS - Lista os usuários visíveis ao usuário atual, mas não os descreve • USER_USERS - Descreve somente o usuário atual
• DBA_TS_QUOTAS - Descreve as quotas da Tablespace • USER_TS_QUOTAS - Descreve as quotas da Tablespace
• USER_PASSWORD_LIMITS - Descreve os parâmetros do perfil da senha que são atribuídos ao usuário
• USER_RESOURCE_LIMITS - Indica os limites do recurso para o usuário atual • DBA_PROFILES - Indica todos os perfis e seus limites
• RESOURCE_COST - Lista o custo para cada recurso
• VSESSION - Lista a informação da sessão para cada sessão atual, incluí o nome do usuário
• VSESSTAT - Lista as estatísticas da sessão do usuário
• PROXY_USERS - Descreve os usuários que podem assumir a identidade de outros usuários
Todas as consultas às tabelas ou visões do Dicionário de Dados só serão possíveis com privilégio adequado.
Exemplo:
Mostrando informações dos usuários, a partir do Dicionário de Dados: SQL> SELECT USERNAME, PROFILE, ACCOUNT_STATUS
FROM DBA_USERS;
USERNAME PROFILE ACCOUNT_STATUS
--- --- --- SYS DEFAULT OPEN SYSTEM DEFAULT OPEN IMASTER DEFAULT OPEN
Mostrando informações sobre a quantidade de espaço que um usuário pode usar nas Tablespaces, a partir do Dicionário de Dados:
SQL> SELECT *
FROM DBA_TS_QUOTAS WHERE USERNAME IMASTER;
O gerenciamento de usuários e seus respectivos privilégios aos objetos do banco de dados, dependendo do número de objetos e usuários, pode ser tornar uma tarefa árdua para o administrador do banco de dados.
Quando este número ultrapassa 10 usuários a DBA já deve começar a tomar cuidado para não se passar ao conceder os Grants (permissões) para os objetos do banco em nível de usuário, ou seja, um a um. Uma forma muito simples de minimizar este trabalho é a utilização de Roles (papéis).
O que é uma role?
Uma Role pode ser definida como um “pacote” de privilégios que podem ser associados de forma muito fácil aos usuários do banco de dados. Por exemplo, podemos criar uma role com privilégio total a todos os objetos de nosso banco de dados, ou seja, privilégio de administrador. Sendo assim, todos os usuários com papel de administradores do banco de dados deverão ser associados a esta role.
Desta forma, fica muito fácil o gerenciamento de privilégios para um grupo de usuários, pois se antes era necessário realizarmos Grant de todas as tabelas, views, functions e procedures para todos os usuários com permissão de administradores, agora, com a Role, necessitamos apenas associar estes usuários a ela.
Metendo a mão na massa
Para ficar mais claro o conceito de Role vamos ilustrar com exemplos como funciona o gerenciamento de um banco de dados com e sem Roles. Vamos conceder privilégios de administrador para um usuário.
Definindo privilégios sem o uso de Role: GRANT ALL ON CLIENTES TO PAULO; GRANT ALL ON PRODUTOS TO PAULO; GRANT ALL ON ESTOQUES TO PAULO;
Repare que se fosse necessário criamos outro usuário, deveríamos executar novamente o mesmo script modificando apenas o nome do usuário:
GRANT ALL ON CLIENTES TO VERA; GRANT ALL ON PRODUTOS TO VERA; GRANT ALL ON ESTOQUES TO VERA;
Para bancos de dados com poucos usuários e poucos objetos esta tarefa é muito simples e não exige grande esforço, porém, sabemos que na realidade, um banco de dados pode tranqüilamente ultrapassar uma centena de objetos e algumas dezenas de usuários. Quando isto ocorre o DBA pode ter muitas dores de cabeça caso tenha que
controlar privilégios para cada usuário, abaixo veremos como esta tarefa pode ser bem mais tranqüila, com a utilização de Roles.
Primeiro vamos criar a Role: CREATE ROLE ADMINISTRADOR;
Agora vamos atribuir os privilégios a esta Role ao invés de atribuir aos usuários: GRANT ALL ON CLIENTES TO ADMINISTRADOR;
GRANT ALL ON PRODUTOS TO ADMINISTRADOR; GRANT ALL ON ESTOQUES TO ADMINISTRADOR;
Uma vez que nossa Role ADMINISTRADOR já foi criada e recebeu privilégios para os objetos do banco de dados, é hora de associarmos nossos usuários a ela, notem como é muito mais simples atribuir privilégios aos usuários com a utilização da Role criada: GRANT ADMINISTRADOR TO PAULO, VERA;
Reparem como ficou muito mais simples a atribuição de permissões aos objetos com a utilização da Role, caso seja necessário modificar os privilégios dos usuários PAULO e VERA, devemo apenas executar Grant e Revoke a Role que automaticamente isto se refletirá em todos os usuários associados a ela.
Autenticando usuários
Autenticação significa verificar a identidade de alguém ou algo (um usuário, dispositivo ou outra entidade) que quer usar os dados, recursos ou aplicativos. Validando que a identidade estabelece uma relação de confiança para interações mais. Autenticação também permite a responsabilização, tornando possível a ligação de acesso e ações de identidades específicas. Após a autenticação, processos de autorização podem permitir ou limitar os níveis de acesso e de acção que têm permissão para essa entidade. Quando você cria um usuário, você deve decidir sobre a técnica de autenticação para
usar, que podem ser modificados posteriormente.
Senha: Este também é conhecido como autenticação pelo banco de dados Oracle. Criar cada usuário com uma senha associada que deve ser fornecida quando o utilizador tenta estabelecer uma conexão. Ao configurar uma senha, você pode expirar a senha imediatamente, o que força o usuário a alterar a senha após a primeira exploração madeireira polegadas Se você decidir que termina senhas de usuários, certifique-se que os usuários têm a capacidade de alterar a senha. Alguns aplicativos não têm esta funcionalidade. Todas as senhas criadas no Oracle Database 11g são sensíveis ao caso por padrão. Essas senhas também podem conter caracteres multibyte e são limitadas a 30 bytes. Cada senha criados em um banco de dados que é atualizado para o Oracle Database 11g permanece maiúsculas e minúsculas até que a
senha seja alterada.
As senhas são sempre de forma automática e transparente criptografada usando o algoritmo Advanced Encryption Standard (AES) em rede (cliente / servidor e servidor / servidor) conexões antes de enviá-los através da rede.
Externa: Esta é a autenticação através de um método fora do banco de dados (sistema operacional, Kerberos ou RADIUS). A Opção de Segurança Avançada é necessário para Kerberos ou RADIUS. Os usuários podem se conectar ao banco de dados Oracle sem especificar um nome de usuário ou senha. A Opção de Segurança Avançada (que é uma autenticação forte) permite que os usuários sejam identificados através do uso da biometria, certificados x509 e dispositivos token. Com a autenticação externa, sua base de dados depende do sistema operacional, serviço de autenticação de rede ou serviço de autenticação externa para restringir o acesso a contas de banco de dados. Uma senha de banco de dados não é usado para este tipo de login. Se seu sistema operacional ou autorizações de serviços de rede, você pode tê-lo autenticar os usuários. Se você usar autenticação do sistema operacional, definir o parâmetro de inicialização OS_AUTHENT_PREFIX e utilizar este prefixo em nomes de usuários Oracle. O parâmetro OS_AUTHENT_PREFIX define um prefixo que o banco de dados Oracle adiciona ao início de cada nome da conta do usuário do sistema operacional. O valor padrão desse parâmetro é $ OPS para compatibilidade com versões anteriores do software Oracle. O banco de dados Oracle compara o nome prefixado com os nomes de usuários Oracle em banco de dados quando um usuário tenta se conectar. Por exemplo, suponha que OS_AUTHENT_PREFIX é definido como segue:
OS_AUTHENT_PREFIX OPS = $
Se um usuário com uma conta do sistema operacional chamado tsmith precisa se conectar a um banco de dados Oracle e ser autenticado pelo sistema operacional, o banco de dados Oracle verifica se há um usuário de banco correspondente OPS $ tsmith e, nesse caso, permite que o usuário se conectar. Todas as referências a um usuário é autenticado pelo sistema operacional deve incluir o prefixo, como visto na de inicialização.
Global: Com a opção do Oracle Advanced Security, a autenticação global permite que os usuários sejam identificados através do uso do Oracle Internet Directory. Para mais informações sobre métodos avançados de autenticação, consulte o Oracle Database Security curso.
Perfis de Usuários :
Perfis impor um conjunto chamado de limite de recursos no uso dos recursos de banco de dados ea instância. Os perfis também gerenciar o status da conta limitações e colocar em senhas de usuários (comprimento, tempo de expiração, e assim por diante). Cada utilizador é atribuído um perfil e pode pertencer a apenas um perfil em um determinado momento. Se os usuários já registrados em quando você muda seu perfil, a alteração não terá efeito até o seu próximo login.
O perfil DEFAULT serve como base para todos os outros perfis. Como ilustrado no slide, as limitações de um perfil pode ser especificada implicitamente (como no CPU / sessão), pode ser ilimitada (como no CPU / Call), ou pode fazer referência a qualquer definição no perfil padrão (como no tempo de conexão).
Perfis não pode impor limitações de recursos de usuários a menos que o parâmetro de inicialização RESOURCE_LIMIT é definida como TRUE. Com RESOURCE_LIMIT em seu valor padrão de FALSE, as limitações do perfil são ignorados. Perfil de configurações de senha sempre são aplicadas
Perfis permitir ao administrador controlar os recursos do sistema a seguir: CPU: os recursos da CPU pode ser limitada por sessão ou por chamada. A CPU / limitação Sessão de 1000 significa que se uma sessão individual, que utiliza este perfil consome mais de 10 segundos de tempo de CPU (limitações de tempo de CPU está em centésimos de segundo), a sessão recebe um erro e é registrado fora:
ORA-02392: ultrapassou o limite da sessão sobre a utilização de CPU, você está sendo desconectado
Uma limitação por chamada faz a mesma coisa, mas ao invés de limitar global da sessão do usuário, que impede qualquer comando único da CPU consumir muito. Se a CPU / Call é limitada e que o usuário exceder o limite, anula comando. O usuário recebe uma mensagem de erro como o seguinte:
ORA-02393: excedeu o limite de chamada em uso de CPU
Rede / Memória: Cada sessão de banco de dados consome recursos do sistema e recursos de memória (se a sessão é de um usuário que não é local para o servidor) da rede. Você pode especificar o seguinte:
Connect Time: Indica de quantos minutos o usuário pode estar conectado antes de ser automaticamente desconectado
Idle Time: Indica de quantos minutos a sessão do usuário pode permanecer inativa antes de ser automaticamente desconectado. O tempo ocioso é calculada para o processo de servidor único. Ele não leva em conta a atividade dos aplicativos. O limite IDLE_TIME não é afetado por consultas de longa duração e outras operações.
Sessões Simultâneas: indica quantas sessões simultâneas podem ser criados usando uma conta de usuário do banco de dados
Private SGA: Limita a quantidade de espaço consumido no Sistema Global Area (SGA) para a classificação, a fusão bitmaps, e assim por diante. Essa restrição tem efeito apenas se a sessão utiliza um servidor compartilhado. (Servidores compartilhados são abordados na lição intitulada "Configurando o Oracle Ambiente de Rede").
Disk I / O: Isso limita a quantidade de dados que um usuário pode ler no nível por sessão ou o nível de cada chamada. Lê sessão e / Lê / Call estabelecer uma limitação sobre o número total de leituras da memória e do disco. Isso pode ser feito para garantir que nenhum I / O uso excessivo de memória intensiva declarações e discos. Perfis permitem também um limite de composto. Composto limites são baseados em uma combinação ponderada de CPU / Session, Lê / sessão, tempo de conexão, e privados PIG. Composto limites são discutidos em mais detalhes no Oracle Database Security Guide.
Para criar um perfil, clique na guia Servidor e clique em perfis sob o título Security. Na página de perfis, clique no botão Criar.
Nota: Resource Manager é uma alternativa para muitas das configurações do perfil. Para mais detalhes sobre o Resource Manager, consulte o Guia do Oracle Database Administrator.
