Kompatibilitätsrollen in benutzerdefinierte Rollen migrieren (SQL)

Migrieren Sie eine Kompatibilitätsrolle in eine benutzerdefinierte Rolle und erteilen Sie anschließend die neue Rolle anderen Rollen und Benutzern. Beim Migrieren einer Kompatibilitätsrolle wird allen Berechtigungsempfängern der Kompatibilitätsrolle automatisch die benutzerdefinierte Rolle erteilt und die Kompatibilitätsrolle wird gelöscht.

Voraussetzungen

Sie benötigen das MANAGE ROLES-Systemprivileg und Administrationsrechte für die zu migrierende Rolle.

Kontext und Bemerkungen

Kompatibilitätsrollen sind mit Startrollen vergleichbar. Sie können nicht die zugrunde liegenden Privilegien von Kompatibilitätsrollen ändern. Sie können jedoch Kompatibilitätsrollen in benutzerdefinierte Rollen migrieren und anschließend die Privilegien ändern.

Der Name, den Sie der neuen Rolle zuordnen, darf weder mit dem Präfix SYS_ beginnen noch mit dem Suffix _ROLE enden. SYS_MyBackup_ROLE kann beispielsweise nicht als Name einer benutzerdefinierten Rolle verwendet werden. Der Name, den Sie der neuen Rolle geben, ist permanent und Sie können ihn nicht zu einem späteren Zeitpunkt ändern.

Wenn Sie eine Rolle migrieren, bei der die Vererbung von Systemprivilegien deaktiviert wurde (z.B. SYS_AUTH_VALIDATE_ROLE), werden die Privilegien der neu erstellten benutzerdefinierten Rolle allen Berechtigungsempfängern in der Vererbungsstruktur erteilt.

Die Systemrollen SYS_AUTH_SA_ROLE und SYS_AUTH_SSO_ROLE können nicht einzeln migriert werden. Wenn jedoch die SYS_AUTH_DBA_ROLE-Systemrolle migriert wird, werden die Systemrollen SYS_AUTH_SA_ROLE und SYS_AUTH_SSO_ROLE automatisch in die neue benutzerdefinierte Rolle einbezogen.

Aufgabe

Wenn Sie eine Kompatibilitätsrolle migrieren möchten, führen Sie eine ALTER ROLE-Anweisung ähnlich der folgenden aus:
ALTER ROLE compatibility-role MIGRATE TO new-role-name;
Wenn Sie die SYS_AUTH_DBA_ROLE-Systemrolle migrieren, vergessen Sie nicht, Namen für die Systemrollen SYS_AUTH_SA_ROLE und SYS_AUTH_SSO_ROLE einzubeziehen, die automatisch migriert werden (d.h. MIGRATE TO neuer_Rollenname, neuer_sa-Rollenname, neuer_sso-Rollenname).

Ergebnisse

Allen Berechtigungsempfänger der Kompatibilitätsrolle wird automatisch die benutzerdefinierte Rolle erteilt. Die Kompatibilitätsrolle wird gelöscht.

Nächste Schritte

Ändern Sie die Systemprivilegien der neuen benutzerdefinierten Rolle und erteilen Sie die Rolle anderen Benutzern.

Obwohl Kompatibilitätsrollen nach dem Migrieren automatisch gelöscht werden, können Sie sie mit der CREATE ROLE-Anweisung für zukünftige Zwecke wiederherstellen. Siehe Kompatibilitätsrollen wiederherstellen (SQL).

Beispiel

Die folgende Anweisung migriert die SYS_AUTH_BACKUP_ROLE-Kompatibilitätsrolle in die neue benutzerdefinierte Rolle my_BACKUP. Allen Benutzern, denen zuvor die SYS_AUTH_BACKUP_ROLE-Kompatibilitätsrolle erteilt wurde, wird nun die my_BACKUP-Rolle erteilt, einschließlich der Administrationsrechte, die sie für die Kompatibilitätsrolle hatten.

ALTER ROLE SYS_AUTH_BACKUP_ROLE MIGRATE TO my_BACKUP;

Die folgende Anweisung migriert die Systemrollen SYS_AUTH_DBA_ROLE, SYS_AUTH_SA_ROLE und SYS_AUTH_SSO_ROLE in die benutzerdefinierten Rollen my_DBA, my_DBA_Administration bzw. my_DBA_Security. Alle Benutzer, zugrunde liegenden Privilegien und der ursprünglichen Rolle erteilten Rollen werden automatisch in die neuen Rollen migriert. Abschließend werden die Systemrollen SYS_AUTH_DBA_ROLE, SYS_AUTH_SA_ROLE und SYS_AUTH_SSO_ROLE gelöscht.

ALTER ROLE SYS_AUTH_DBA_ROLE
MIGRATE TO my_DBA, my_DBA_Administration, my_DBA_Security;

Siehe auch

Kommentieren Sie diese Seite in DocCommentXchange.