Корпоративные базы данных - статьи



3.5. Иерархия прав доступа



Оператор GRANT и другие средства управления доступом СУБД позволяют реализовать
следующие виды ограничения доступа:


  • операционные ограничения (за счет прав доступа SELECT, INSERT,
    UPDATE, DELETE, применимых ко всем или только некоторым столбцам
    таблицы);
  • ограничения по значениям (за счет механизма представлений);
  • ограничения на ресурсы (за счет привилегий доступа к базам данных).

При обработке запроса СУБД сначала проверяет права доступа к объектам. Если операционные
ограничения оказываются нарушенными, запрос отвергается с выдачей соответствующей
диагностики. Нарушение ограничений на значения влияет только на количество результирующих
строк; никакой диагностики при этом не выдается (см. предыдущий пункт). Наконец, после учета
двух предыдущих ограничений, запрос поступает на обработку оптимизатору. Если тот обнаружит
превышение ограничений на ресурсы, запрос будет отвергнут с выдачей соответствующей
диагностики.

На иерархию привилегий можно посмотреть и с другой точки зрения. Каждый пользователь,
помимо, собственных, имеет привилегии PUBLIC. Кроме этого, он может входить в различные
группы и запускать приложения с определенными ролями. Как соотносятся между собой права,
предоставленные различным именованным носителям привилегий?

Иерархия авторизации выглядит для СУБД INGRES следующим образом:


  • роль (высший приоритет)
  • пользователь
  • группа
  • PUBLIC (низший приоритет)

Для каждого объекта, к которому осуществляется доступ, INGRES пытается отыскать в иерархии
привилегию, относящуюся к запрашиваемому виду доступа (SELECT, EXECUTE и т.п.).
Например, при попытке доступа к таблице с целью обновления, INGRES проверяет привилегии
роли, пользователя, группы и всех пользователей. Если хотя бы на одном уровне иерархии
привилегия UPDATE имеется, запрос передается для дальнейшей обработки. В противном случае
используется подразумеваемое право доступа, которое предписывает отвергнуть запрос.

Рассмотрим подробнее трактовку ограничений на ресурсы. Пусть, например, на всех четырех



Содержание  Назад  Вперед