sysdba與sysoper系統特權介紹

sysdba,sysoper擁有很高的資料庫管理許可權。sysdba的許可權大於sysoper，sysoper不能檢視使用者的資料。sysdba,sysoper系統特權允許在資料庫沒有開啟的時候訪問例項。這時候使用的是外部認證的方式，作業系統認證，密碼檔案認證或者外部伺服器驗證，當然正常的資料字典認證也是可用的（當資料庫開啟以後）。作業系統認證會檢視發出sysdba,sysoper的使用者是否在作業系統oracle軟體所的使用者組內。如果透過驗證則允許該使用者以sysdba,sysoper登入到資料庫.當以sysdba登入到資料庫的時候，使用者所在的模式是sys。當以sysoper登入到資料庫的時候使用者的模式是public。注意sysdba,sysoper是一組資料庫系統特權，不是使用者，也不是role.

實際上當時使用作業系統認證以sysdba或sysoper特權登入，使用者名稱分別是：

sysdba 對應　sys.sysoper 對應 public

SQL> conn / as sysdba

已連線。

SQL> show user

USER 為 "SYS"

sysdba,sysoper系統特權不能授權給role，因為只有當資料庫啟動角色才是可用的。

sysdba,sysoper系統特權的授予：

SQL> grant sysoper to hr;

授權成功。

SQL> grant sysoper to hr

2 with admin option;

授權成功。

SQL> conn hr as sysoper

輸入口令:

已連線。

SQL> show user

USER 為 "PUBLIC" //sysoper系統特權登入的時候，使用者是public。

SQL> grant sysoper to scott;

grant sysoper to scott

*

第 1 行出現錯誤:

ORA-01031: 許可權不足

只有sys才可以授予別的使用者sysdba,sysoper系統特權。獲得sysoper with

admin option的使用者，無法授權其他使用者擁有sysoper系統特權。

剛才那個操作太危險了，趕緊把sysoper系統特權收回來。

SQL> revoke sysoper from hr;

撤銷成功。

sysdba，sysoper特權的授予千萬要小心謹慎。特別是sysdba特權，只要一個使用者獲得了sysdba特權，他就是“sys”了。

如果獲得sysdba特權的使用者想回過頭來幹掉老子（sys）。是不合倫理的。

SQL> show user

USER 為 "SYS"

SQL> revoke sysdba from sys;

revoke sysdba from sys

*

第 1 行出現錯誤:

ORA-01998: REVOKE 失敗: 使用者 SYS 始終具有 SYSOPER 和 SYSDBA

獲得sysdba系統特權的使用者想回收sys使用者的sysdba特權，失敗了。

透過動態效能檢視V$pwfile_users檢視當前資料庫系統中獲得sysdba，sysoper,sysasm系統特權的使用者。

SQL> column username format a15

SQL> select * from V$pwfile_users;

USERNAME SYSDBA SYSOPER SYSASM

--------------- ---------- ---------- ----------

SYS TRUE TRUE FALSE

SCOTT TRUE FALSE FALSE

sysdba系統特權被授予的操作有：

startup and shutdown

alter database: open, mount, back up, 或者改變字符集

create database

drop database

create spfile

alter database archivelog

alter database recover

restricted session privilege

sysoper系統特權被授予的操作有：

startup and shutdown

create spfile

alter database open/mount/backup

alter database archivelog

alter database recover 只能執行完全恢復。不完全恢復需要使用sysdba。

restricted session privileg

sysdba與sysoper系統特權介紹

相關文章