三權(quán)分立的應(yīng)用.doc

《三權(quán)分立的應(yīng)用.doc》由會員上傳分享，免費(fèi)在線閱讀，更多相關(guān)內(nèi)容在教育資源-天天文庫。

1、三權(quán)分立的應(yīng)用1三權(quán)分立簡介?　　摘要：在數(shù)據(jù)庫的應(yīng)用系統(tǒng)中，有時需要將數(shù)據(jù)訪問的權(quán)限控制到行級，通過應(yīng)用系統(tǒng)實(shí)現(xiàn)的方法也有很多，但如何保障高安全性、提高大數(shù)據(jù)量的查詢效率問題一直是人們討論的話題。達(dá)夢數(shù)據(jù)庫(簡稱DM)三權(quán)分立安全管理機(jī)制提供了很好的解決方案。利用DM的強(qiáng)制訪問控制，可以使數(shù)據(jù)的訪問粒度達(dá)到行級，具有控制靈活，高安全性、即使數(shù)據(jù)量較大時查詢效率高等特點(diǎn)。本文從一個實(shí)際應(yīng)用為例，介紹DM三權(quán)分立的應(yīng)用，為應(yīng)用系統(tǒng)提供一套解決方案以做參考。1三權(quán)分立簡介?　　DM三權(quán)分立安全管理機(jī)制旨在構(gòu)建高安全性數(shù)據(jù)庫，以三權(quán)分立安全管理機(jī)制為基礎(chǔ)

2、的DM安全版數(shù)據(jù)庫的安全級別已達(dá)到B1級。?DM在安全管理方面采用了三權(quán)分立的安全管理體制，即把系統(tǒng)管理員分為數(shù)據(jù)庫管理員DBA，數(shù)據(jù)庫安全管理員SSO，數(shù)據(jù)庫審計員AUDITOR三類：（1）數(shù)據(jù)庫管理員（DBA）?　　系統(tǒng)預(yù)設(shè)了數(shù)據(jù)庫管理員賬號SYSDBA，每個數(shù)據(jù)庫至少需要一個數(shù)據(jù)庫管理員來管理，他負(fù)責(zé)安裝和升級達(dá)夢數(shù)據(jù)庫管理系統(tǒng)、配置達(dá)夢數(shù)據(jù)庫參數(shù)、創(chuàng)建數(shù)據(jù)庫對象、自主訪問權(quán)限的分配、數(shù)據(jù)導(dǎo)入導(dǎo)出以及數(shù)據(jù)庫的備份和恢復(fù)。（2）數(shù)據(jù)庫審計員（AUDITOR）?　　系統(tǒng)預(yù)設(shè)了數(shù)據(jù)庫審計員賬號SYSAUDITOR，負(fù)責(zé)配置數(shù)據(jù)庫的審計設(shè)置，定義新的

3、數(shù)據(jù)庫審計員，查看數(shù)據(jù)庫的審計記錄。（3）數(shù)據(jù)庫安全員（SSO）?　　系統(tǒng)預(yù)設(shè)了數(shù)據(jù)庫安全員賬號SYSSSO，負(fù)責(zé)對系統(tǒng)進(jìn)行強(qiáng)制訪問控制，定義新的數(shù)據(jù)庫安全員，設(shè)置系統(tǒng)的策略及標(biāo)記。?把數(shù)據(jù)庫的普通用戶、審計用戶與標(biāo)記用戶的權(quán)限及相關(guān)處理完全分開，包括系統(tǒng)預(yù)設(shè)系統(tǒng)登錄、用戶、系統(tǒng)角色、用戶角色及權(quán)限分配和控制。它們?nèi)咧g互相聯(lián)系、互相制約，共同完成數(shù)據(jù)庫的管理工作。1.1策略及標(biāo)記的概念?　　系統(tǒng)可定義多個策略（policy），每個策略互相獨(dú)立。一個策略包括一組預(yù)定義的標(biāo)記組件，包括等級分類和非等級類別。?　　一個策略可以應(yīng)用在多個用戶或表上，在

4、單個用戶或表上也可以應(yīng)用多個策略。標(biāo)記用于標(biāo)識數(shù)據(jù)庫中主體及客體的敏感度（sensitivity）。一個標(biāo)記由多個組件組成，其組件包括等級分類（level）和非等級類別(category)。每個標(biāo)記必須包含一個等級分類組件，非等級類別組件則是可選的。?(1)等級分類（level）：?　　它是一線性有序的名稱序列，用L=(l1，l2，…，lp)表示。其中l(wèi)i(1≤i≤p)表示第i個名稱，任意兩個名稱li、lj之間，若i≤j，則li≤lj，于是有l(wèi)1≤l2≤…≤lp，其中l(wèi)1，l2，…，lp稱為等級分類（以下簡稱等級）。　　?在DM中，一個策略最大可定

5、義9999個等級。用戶在定義策略中的等級時，需要為其指定編號，其編號在1－9999之間（編號小的意味著級別較低）。(2)非等級類別　　?設(shè)集合C={c1，c2，…，cm}中每一元素都是一名稱，c1，c2，…，cm間彼此獨(dú)立，無序，則集合C及其任意子集稱為非等級類別集合，其中c1，c2，…，cm稱為非等級類別（以下簡稱為范圍）。?　　在DM5中，最大可定義10000個范圍，范圍不需要用戶設(shè)置編號，且沒有級別高低之分。1.2DM的強(qiáng)制訪問控制?　　DM5為每個表都提供了自主訪問控制（DAC，DiscretionaryAccessControl)，除此之

6、外，其還利用標(biāo)記提供了強(qiáng)制訪問控制（MAC，MandatoryAccessControl）。當(dāng)在一個表上應(yīng)用了基于標(biāo)記的一個安全策略時，每條元組均具備了與該策略相關(guān)的一個標(biāo)記(LABEL)，此標(biāo)記反應(yīng)了該元組的敏感度（sensitivity），由此，在該策略上，通過比較用戶的標(biāo)記與元組的標(biāo)記可決定對該元組的訪問級別。?　　DM5的DAC策略優(yōu)先于MAC策略。為了能訪問一條元組，用戶不僅首先要滿足DAC條件，還必須滿足MAC的條件。?　　用戶訪問表時，必須保證應(yīng)用于表上的所有策略均適用于該用戶，否則訪問被拒絕。若表上未應(yīng)用任何策略，則用戶只需滿足DA

7、C條件即可。讀訪問時，要滿足用戶等級大于等于數(shù)據(jù)標(biāo)記的等級，用戶能讀的范圍是數(shù)據(jù)標(biāo)記范圍的非空子集，則能讀取改行數(shù)據(jù)；寫訪問（包括增刪改）時，要滿足用戶等級等于數(shù)據(jù)標(biāo)記的等級，用戶能寫的范圍是數(shù)據(jù)標(biāo)記范圍的非空子集?！　≡趹?yīng)用于表的所有策略上，用戶插入一條元組時，該元組的標(biāo)記即為用戶的寫標(biāo)記（用戶等級加上用戶寫范圍組成的標(biāo)記）；標(biāo)記列可以被顯式更新，必須滿足標(biāo)記列更新前和更新后，用戶對該元組都可寫，即前后標(biāo)記值中范圍都是在用戶寫標(biāo)記的范圍內(nèi)（同時用戶標(biāo)記的等級不小于元組標(biāo)記的等級）?！　?對于視圖及存儲過程，當(dāng)前用戶在調(diào)用它們訪問數(shù)據(jù)時，其策略標(biāo)記

8、與視圖及存儲過程訪問的任何基表上元組的策略標(biāo)記的比較都必須符合上述規(guī)則。?　　用戶可以通過自己設(shè)置連接的讀寫標(biāo)記，以便看到