Namen von Datenbankobjekten und Präfixe

Der Name eines jeden Datenbankobjekts ist ein Bezeichner. In Beispielabfragen, die in dieser Dokumentation verwendet werden, wird auf Datenbankobjekte aus der Beispieldatenbank im Allgemeinen nur mit ihrem Bezeichner verwiesen. Zum Beispiel:

SELECT * FROM Employees;

Tabellen, Prozeduren und Ansichten haben alle einen Eigentümer. Der Benutzer GROUPO hat die Tabellen in der Beispieldatenbank erstellt. In einigen Fällen müssen Sie dem Objektnamen den Namen des Eigentümers voranstellen, wie im folgenden Beispiel:

SELECT * FROM GROUPO.Employees;

Der Bezug auf die Tabelle "Employees" ist qualifiziert. In anderen Fällen ist es ausreichend, den Objektnamen anzugeben. In diesem Abschnitt wird beschrieben, wann Sie das Eigentümerpräfix verwenden müssen, um Tabellen, Ansichten und Prozeduren zu bezeichnen, und wann nicht.

Wenn Sie Bezug auf ein Datenbankobjekt nehmen, müssen Sie ein Präfix angeben, es sei denn:

Sie sind der Eigentümer des Datenbankobjekts.
Das Datenbankobjekt ist Eigentum einer Rolle, die Ihnen erteilt wurde.

Beispiel

Beachten Sie das folgende Beispiel für eine Unternehmensdatenbank der Firma Acme. Eine Benutzer-ID "Admin" wird mit vollständigen Administrationsrechten für die Datenbank erstellt. Zwei weitere Benutzer-IDs, Joe und Sally, werden für Mitarbeiter erstellt, die in der Verkaufsabteilung arbeiten.

CREATE USER Admin IDENTIFIED BY secret;
GRANT ROLE SYS_AUTH_DBA_ROLE TO Admin;
CREATE USER Sally IDENTIFIED BY xxxxx;
CREATE USER Joe IDENTIFIED BY xxxxx;

Der Admin-Benutzer erstellt die Tabellen in der Datenbank und weist die Eigentumsrechte der Acme-Rolle zu.

CREATE ROLE Acme;
CREATE TABLE Acme.Customers ( ... );
CREATE TABLE Acme.Products ( ... );
CREATE TABLE Acme.Orders ( ... );
CREATE TABLE Acme.Invoices ( ... );
CREATE TABLE Acme.Employees ( ... );
CREATE TABLE Acme.Salaries ( ... );

Nicht jeder im Unternehmen sollte Zugriff auf alle Daten erhalten. Joe und Sally arbeiten in der Verkaufsabteilung und sollen Zugriff auf die Tabellen Customers, Products und Orders erhalten. Dazu müssen Sie eine Rolle namens SalesForce erstellen, dieser Rolle die Privilegien zuordnen, die für den Zugriff auf eine beschränkte Menge von Tabellen erforderlich sind, und diese Rolle diesen beiden Mitarbeitern zuordnen.

CREATE ROLE SalesForce; 
GRANT ALL ON Acme.Customers TO SalesForce;
GRANT ALL ON Acme.Orders TO SalesForce;
GRANT SELECT ON Acme.Products TO SalesForce;
GRANT ROLE SalesForce TO Sally;
GRANT ROLE SalesForce TO Joe;

Joe und Sally haben zwar die erforderlichen Privilegien, um diese Tabellen zu verwenden, aber sie müssen immer noch ihre Tabellenreferenzen qualifizieren, weil der Tabelleneigentümer Acme ist.

SELECT * FROM Acme.Customers;

Um diese Situation zu korrigieren, gewähren Sie der Sales-Rolle die Acme-Rolle.

GRANT ROLE Acme TO SalesForce;

Da Joe und Sally jetzt die Sales-Rolle haben, erhalten sie indirekt auch die Acme-Rolle und können ihre Tabellen ohne Qualifizierer referenzieren. Die SELECT-Anweisung kann wie folgt vereinfacht werden:

SELECT * FROM Customers;

Hinweis

Die benutzerdefinierte Rolle Acme erteilt keine Privilegien auf Objektebene. Diese Rolle ermöglicht es einfach einem Benutzer, die Objekte zu referenzieren, die der Rolle gehören, ohne dass der Eigentümer qualifiziert werden muss. Joe und Sally haben keine zusätzlichen Privilegien aufgrund der Acme-Rolle. Der Acme-Rolle wurden keine weiteren speziellen Privilegien explizit erteilt. Der Admin-Benutzer verfügt über das implizite Privileg, Tabellen wie "Salaries" anzuzeigen, weil er die Tabellen erstellt hat und die SYS_AUTH_DBA_ROLE-Systemrolle hat. Daher erhalten Joe und Sally immer noch eine Fehlermeldung, wenn sie eine der folgenden Anweisungen ausführen:

SELECT * FROM Acme.Salaries;
SELECT * FROM Salaries;

In beiden Fällen verfügen Joe und Sally nicht über die Privilegien zum Anzeigen der Tabelle "Salaries".

Siehe auch

Kommentieren Sie diese Seite in DocCommentXchange.