2. 首页 > 国产数据库教程 > 达梦DM教程 > 正文

DM教程FG011-达梦数据库安全管理与访问控制实战

教程整理：风哥教程  |  更新时间：2026-02-01  |  教程分类：达梦DM教程  |  文档学习：24

内容简介：本文档风哥主要介绍DM达梦数据库的安全管理与访问控制，涵盖用户管理、角色管理、权限管理、安全审计等内容，风哥教程参考DM官方文档《DM8安全管理手册》、《DM8系统管理员手册》等官方资料。本文档为DM数据库学习系列的第十一篇，重点介绍安全管理和访问控制的详细步骤和实战操作。

Part01-基础概念与理论知识

1.1 安全管理概述

DM数据库的安全管理是数据库管理的重要组成部分，它涉及到数据库的认证、授权、审计等多个方面。

1.1.1 安全管理的重要性

  • 数据保护：防止未授权访问和数据泄露
  • 合规要求：满足行业法规和审计要求
  • 业务连续性：确保数据库的安全运行
  • 声誉保护：避免安全事件对企业声誉的损害

1.1.2 安全管理的范围

  • 认证管理：用户身份验证
  • 授权管理：用户权限控制
  • 审计管理：操作行为记录
  • 加密管理：数据加密和传输加密
  • 漏洞管理：安全漏洞的发现和修复

1.2 访问控制概述

访问控制是安全管理的核心部分，它决定了哪些用户可以访问哪些资源，以及可以执行哪些操作。

1.2.1 访问控制的原则

  • 最小权限原则：用户只能获得完成任务所需的最小权限
  • 职责分离原则：不同职责的用户应具有不同的权限
  • 权限继承原则：用户可以继承角色的权限
  • 权限审查原则：定期审查用户权限

1.2.2 访问控制的实现方式

  • 基于角色的访问控制（RBAC）：通过角色管理权限
  • 基于属性的访问控制（ABAC）：基于用户属性控制访问
  • 基于规则的访问控制：基于规则控制访问

1.3 安全特性介绍

DM数据库提供了多种安全特性，用于保护数据库的安全。

1.3.1 认证特性

  • 密码认证：基于密码的身份验证
  • 证书认证：基于数字证书的身份验证
  • 操作系统认证：基于操作系统用户的身份验证
  • LDAP认证：基于LDAP的身份验证

1.3.2 授权特性

    风哥提示：

  • 系统权限：管理数据库系统的权限
  • 对象权限：操作数据库对象的权限
  • 角色：权限的集合
  • 行级安全：基于行的访问控制

1.3.3 审计特性

  • 登录审计：记录用户登录信息
  • 操作审计：记录用户操作信息
  • 权限变更审计：记录权限变更信息
  • 数据变更审计：记录数据变更信息

1.3.4 加密特性

  • 数据加密：对数据进行加密存储
  • 传输加密：对网络传输数据进行加密
  • 备份加密：对备份数据进行加密
  • 密码加密：对用户密码进行加密存储

1.4 安全模型

DM数据库采用多层安全模型，确保数据库的安全。

1.4.1 安全模型层次

  • 网络层：网络传输安全
  • 认证层：用户身份验证
  • 授权层：用户权限控制
  • 数据层：数据加密和保护
  • 审计层：操作行为记录

Part02-生产环境规划与建议

学习交流加群风哥微信: itpux-com

2.1 安全规划

在生产环境中，合理的安全规划可以提高数据库的安全性。

2.1.1 安全规划的目标

  • 防止未授权访问：确保只有授权用户能够访问数据库
  • 保护数据安全：防止数据泄露和篡改
  • 确保合规性：满足行业法规和审计要求
  • 提高安全性：减少安全漏洞和风险

2.1.2 安全规划的内容

  • 认证策略：确定用户认证方式和密码策略
  • 授权策略：确定用户权限分配方案
  • 审计策略：确定审计范围和审计方式
  • 加密策略：确定数据加密和传输加密方案
  • 安全监控：确定安全监控和告警方案

2.2 访问控制规划

合理的访问控制规划可以确保用户只能访问其授权的资源。

2.2.1 访问控制规划的原则

  • 最小权限原则：用户只能获得完成任务所需的最小权限
  • 职责分离原则：不同职责的用户应具有不同的权限
  • 权限继承原则：用户可以继承角色的权限
  • 权限审查原则：定期审查用户权限

2.2.2 访问控制规划的内容

  • 用户分类：根据用户职责进行分类
  • 角色设计：设计适合业务需求的角色
  • 权限分配：为角色和用户分配适当的权限
  • 权限审查：定期审查用户权限

2.3 认证规划

认证规划是安全规划的重要组成部分，它决定了用户如何证明自己的身份。

2.3.1 认证方式选择

  • 密码认证：适用于大多数场景
  • 证书认证：适用于安全性要求较高的场景
  • 操作系统认证：适用于本地用户

    • 学习交流加群风哥QQ113257174

  • LDAP认证：适用于企业级应用

2.3.2 密码策略

# 密码策略
– 密码长度：至少8位
– 密码复杂度：包含大小写字母、数字和特殊字符
– 密码过期时间：90天
– 密码重用限制：不能重用最近5次的密码
– 失败登录尝试次数：5次
– 账户锁定时间：30分钟

2.4 授权规划

授权规划是访问控制规划的核心部分，它决定了用户可以执行哪些操作。

2.4.1 权限分配原则

  • 最小权限原则：用户只能获得完成任务所需的最小权限
  • 职责分离原则：不同职责的用户应具有不同的权限
  • 权限继承原则：用户可以继承角色的权限
  • 权限审查原则：定期审查用户权限

2.4.2 角色设计

  • 系统管理员：具有最高权限，负责数据库管理
  • 安全管理员：负责安全管理和审计
  • 应用管理员：负责应用相关的数据库管理
  • 普通用户：只能访问授权的资源

Part03-生产环境项目实施方案

3.1 用户管理

详细介绍DM数据库的用户管理方法。

3.1.1 创建用户

# 创建用户
SQL> create user fgedu identified by fgedu123;
# 创建用户并指定默认表空间
SQL> create user fgedu01 identified by fgedu123 default tablespace fgedutbs;
# 创建用户并指定资源限制
SQL> create user fgedu02 identified by fgedu123 limit connect_time 60, idle_time 30;

更多视频教程www.fgedu.net.cn

3.1.2 修改用户

# 修改用户密码
SQL> alter user fgedu identified by fgedu456;
# 修改用户默认表空间
SQL> alter user fgedu default tablespace users;
# 修改用户资源限制
SQL> alter user fgedu limit connect_time 120;
# 锁定用户
SQL> alter user fgedu account lock;
# 解锁用户
SQL> alter user fgedu account unlock;

3.1.3 删除用户

# 删除用户
SQL> drop user fgedu;
# 删除用户及其所有对象
SQL> drop user fgedu cascade;

3.2 角色管理

详细介绍DM数据库的角色管理方法。

3.2.1 创建角色

# 创建角色
SQL> create role fgedu_role;
# 创建带密码的角色
SQL> create role fgedu_role identified by fgedu123;

3.2.2 授予权限给角色

# 授予系统权限给角色
SQL> grant create table, create view to fgedu_role;
# 授予对象权限给角色
SQL> grant select, insert, update, delete on fgedu_test to fgedu_role;

3.2.3 授予角色给用户

# 授予角色给用户
SQL> grant fgedu_role to fgedu; 更多学习教程公众号风哥教程itpux_com
# 授予角色给用户并允许用户将角色授予其他用户
SQL> grant fgedu_role to fgedu with admin option;

3.2.4 修改角色

# 修改角色密码
SQL> alter role fgedu_role identified by fgedu456;
# 锁定角色
SQL> alter role fgedu_role account lock;
# 解锁角色
SQL> alter role fgedu_role account unlock;

3.2.5 删除角色

# 删除角色
SQL> drop role fgedu_role;

3.3 权限管理

详细介绍DM数据库的权限管理方法。

3.3.1 授予系统权限

# 授予系统权限给用户
SQL> grant create session, create table to fgedu;
# 授予系统权限给角色
SQL> grant create view, create procedure to fgedu_role;

3.3.2 授予对象权限

# 授予对象权限给用户
SQL> grant select, insert, update, delete on fgedu_test to fgedu; from DB视频:www.itpux.com
# 授予对象权限给角色
SQL> grant select, insert, update, delete on fgedu_test to fgedu_role;
# 授予对象权限并允许用户将权限授予其他用户
SQL> grant select on fgedu_test to fgedu with grant option;

3.3.3 回收权限

# 回收系统权限
SQL> revoke create table from fgedu;
# 回收对象权限
SQL> revoke delete on fgedu_test from fgedu;
# 回收角色
SQL> revoke fgedu_role from fgedu;

3.4 安全审计

详细介绍DM数据库的安全审计方法。

3.4.1 启用审计

# 启用审计
SQL> sp_set_para_value(1, ‘AUDIT_SWITCH’, 1);
# 设置审计文件路径
SQL> sp_set_para_value(1, ‘AUDIT_FILE_PATH’, ‘/dm/audit’);
# 设置审计文件大小
SQL> sp_set_para_value(1, ‘AUDIT_FILE_SIZE’, 1024);

3.4.2 配置审计规则

# 审计登录操作
SQL> audit session;
# 审计表操作
SQL> audit table by fgedu;
# 审计权限变更
SQL> audit grant, revoke;
# 审计数据变更
SQL> audit insert, update, delete on fgedu_test;

3.4.3 查看审计日志

# 查看审计日志
SQL> select * from sysauditor.audit$;
# 查看审计日志（按时间排序）
SQL> select * from sysauditor.audit$ order by event_time desc;
# 查看特定用户的审计日志
SQL> select * from sysauditor.audit$ where user_name = ‘FGEDU’;

Part04-生产案例与实战讲解

4.1 用户管理实战演示

通过实际操作演示DM数据库的用户管理过程。

4.1.1 创建用户

# 创建用户
[dmdba@fgedu ~]$ disql SYSDBA/SYSDBA
SQL> create user fgedu identified by fgedu123;
# 输出信息
操作已执行
SQL> create user fgedu01 identified by fgedu123 default tablespace fgedutbs;
# 输出信息
操作已执行
SQL> select username from dba_users where username like ‘FGEDU%’;
USERNAME
——————————
FGEDU
FGEDU01

4.1.2 修改用户

# 修改用户
[dmdba@fgedu ~]$ disql SYSDBA/SYSDBA
SQL> alter user fgedu identified by fgedu456;
# 输出信息
操作已执行
SQL> alter user fgedu account lock;
# 输出信息
操作已执行
SQL> select username, account_status from dba_users where username = ‘FGEDU’;
USERNAME ACCOUNT_STATUS
—————————— ——————————–
FGEDU LOCKED

4.1.3 删除用户

# 删除用户
[dmdba@fgedu ~]$ disql SYSDBA/SYSDBA
SQL> drop user fgedu01;
# 输出信息
操作已执行
SQL> select username from dba_users where username like ‘FGEDU%’;
USERNAME
——————————
FGEDU

4.2 角色管理实战演示

演示DM数据库的角色管理操作。

4.2.1 创建角色

# 创建角色
[dmdba@fgedu ~]$ disql SYSDBA/SYSDBA
SQL> create role fgedu_role;
# 输出信息
操作已执行
SQL> select role from dba_roles where role = ‘FGEDU_ROLE’;
ROLE
——————————
FGEDU_ROLE

4.2.2 授予权限给角色

# 授予权限给角色
[dmdba@fgedu ~]$ disql SYSDBA/SYSDBA
SQL> grant create table, create view to fgedu_role;
# 输出信息
操作已执行
SQL> create table fgedu_test (id int, name varchar(100));
# 输出信息
操作已执行
SQL> grant select, insert, update, delete on fgedu_test to fgedu_role;
# 输出信息
操作已执行

4.2.3 授予角色给用户

# 授予角色给用户
[dmdba@fgedu ~]$ disql SYSDBA/SYSDBA
SQL> alter user fgedu account unlock;
# 输出信息
操作已执行
SQL> grant fgedu_role to fgedu;
# 输出信息
操作已执行
SQL> select grantee, granted_role from dba_role_privs where grantee = ‘FGEDU’;
GRANTEE GRANTED_ROLE
—————————— ——————————
FGEDU FGEDU_ROLE

4.3 权限管理实战演示

演示DM数据库的权限管理操作。

4.3.1 授予权限

# 授予权限
[dmdba@fgedu ~]$ disql SYSDBA/SYSDBA
SQL> grant create session to fgedu;
# 输出信息
操作已执行
SQL> grant select on fgedu_test to fgedu with grant option;
# 输出信息
操作已执行

4.3.2 验证权限

# 验证权限
[dmdba@fgedu ~]$ disql FGEDU/fgedu456
SQL> create session;
# 输出信息
操作已执行
SQL> select * from fgedu_test;
# 输出信息
未选定行
SQL> insert into fgedu_test values (1, ‘fgedu1’);
# 输出信息
操作已执行
SQL> commit;
# 输出信息
操作已执行
SQL> select * from fgedu_test;
ID NAME
———– ——————————
1 fgedu1

4.3.3 回收权限

# 回收权限
[dmdba@fgedu ~]$ disql SYSDBA/SYSDBA
SQL> revoke insert, update, delete on fgedu_test from fgedu;
# 输出信息
操作已执行
# 验证权限
[dmdba@fgedu ~]$ disql FGEDU/fgedu456
SQL> insert into fgedu_test values (2, ‘fgedu2’);
# 输出信息
第1 行附近出现错误:
权限不足

4.4 安全审计实战演示

演示DM数据库的安全审计操作。

4.4.1 启用审计

# 启用审计
[dmdba@fgedu ~]$ disql SYSDBA/SYSDBA
SQL> sp_set_para_value(1, ‘AUDIT_SWITCH’, 1);
# 输出信息
DMSQL 过程已成功完成
SQL> sp_set_para_value(1, ‘AUDIT_FILE_PATH’, ‘/dm/audit’);
# 输出信息
DMSQL 过程已成功完成
SQL> sp_set_para_value(1, ‘AUDIT_FILE_SIZE’, 1024);
# 输出信息
DMSQL 过程已成功完成

4.4.2 配置审计规则

# 配置审计规则
[dmdba@fgedu ~]$ disql SYSDBA/SYSDBA
SQL> audit session;
# 输出信息
操作已执行
SQL> audit table by fgedu;
# 输出信息
操作已执行
SQL> audit grant, revoke;
# 输出信息
操作已执行

4.4.3 查看审计日志

# 查看审计日志
[dmdba@fgedu ~]$ disql SYSDBA/SYSDBA
SQL> select * from sysauditor.audit$ order by event_time desc;
# 输出信息（示例）
SESSION_ID USER_NAME USERHOST TERMINAL ACTION_NAME OBJ_NAME OBJ_TYPE EVENT_TIME RETURNCODE
————– ————- ———— ———— ————— ———— ———— ————————- ————
12345 FGEDU 127.0.0.1 pts/0 LOGON – – 2023-04-09 16:00:00 0
12346 FGEDU 127.0.0.1 pts/0 SELECT FGEDU_TEST TABLE 2023-04-09 16:01:00 0
12347 FGEDU 127.0.0.1 pts/0 INSERT FGEDU_TEST TABLE 2023-04-09 16:02:00 0
12348 SYSDBA 127.0.0.1 pts/1 GRANT – – 2023-04-09 16:03:00 0

Part05-风哥经验总结与分享

5.1 安全管理技巧与注意事项

基于实际经验，分享一些安全管理的技巧和注意事项。

5.1.1 安全管理技巧

  • 使用强密码策略，定期更换密码
  • 启用审计功能，记录用户操作
  • 使用角色管理权限，简化权限管理
  • 定期审查用户权限，确保最小权限原则
  • 使用加密功能，保护敏感数据

5.1.2 安全管理注意事项

  • 避免使用默认管理员账户
  • 避免将管理员权限授予普通用户
  • 避免在生产环境中使用测试账户
  • 定期备份安全配置
  • 定期进行安全审计

5.2 访问控制技巧与注意事项

基于实际经验，分享一些访问控制的技巧和注意事项。

5.2.1 访问控制技巧

  • 使用基于角色的访问控制（RBAC）
  • 根据用户职责设计角色
  • 定期审查用户权限
  • 使用行级安全控制敏感数据
  • 使用视图限制用户访问的数据范围

5.2.2 访问控制注意事项

  • 避免直接授予用户权限，应通过角色授予
  • 避免授予用户不必要的权限
  • 避免使用WITH GRANT OPTION授予权限
  • 定期检查权限变更
  • 记录权限变更操作

5.3 最佳实践建议

基于实际经验，提供DM数据库安全管理与访问控制的最佳实践。

5.3.1 安全管理最佳实践

风哥提示：在管理DM数据库安全时，一定要遵循最小权限原则，只授予用户完成任务所需的最小权限。同时，要定期审查用户权限，确保权限的合理性。

5.3.2 访问控制最佳实践

  • 角色设计：根据业务需求设计合理的角色
  • 权限分配：通过角色分配权限，简化权限管理
  • 权限审查：定期审查用户权限，确保最小权限原则
  • 行级安全：对敏感数据使用行级安全控制
  • 视图控制：使用视图限制用户访问的数据范围

5.3.3 审计最佳实践

  • 启用审计功能，记录用户操作
  • 配置合理的审计规则，避免审计日志过大
  • 定期查看审计日志，及时发现异常操作
  • 备份审计日志，防止审计日志丢失
  • 定期清理审计日志，避免存储空间不足

5.3.4 密码管理最佳实践

密码管理最佳实践：

  • 使用强密码策略
  • 定期更换密码
  • 避免使用相同的密码
  • 使用密码管理工具
  • 定期检查密码强度

5.3.5 安全监控最佳实践

  • 监控用户登录情况
  • 监控权限变更情况
  • 监控数据变更情况
  • 设置安全告警机制
  • 定期进行安全扫描

本文档风哥教程参考DM官方文档《DM8安全管理手册》、《DM8系统管理员手册》等资料编写，。

本文由风哥教程整理发布,仅用于学习测试使用,转载注明出处:http://www.fgedu.net.cn/10327.html

相关推荐

联系我们

在线咨询：点击这里给我发消息

微信号：itpux-com

工作日：9:30-18:30，节假日休息