6 Управление доступом

Средства управления доступом являются одним из наиболее трудных для описания аспектов функционирования СУБД, так как в этой части рассматриваемые нами СУБД при обеспечении в принципе эквивалентных возможностей используют различные подходы и различную терминологию. Ниже мы попытаемся прежде всего "привести к общему знаменателю" некоторые средства управления доступом в DB2 и Oracle с последующим указанием различий между ними.

6.1 Аутентификация и авторизация

Доступ к данным и возможностям СУБД персонифицирован. Для каждого действия, выполняемого в системе, определено, каким пользователем оно выполняется. Пользователь - это некоторое имя, определенное в базе данных и связанное с некоторым субъектом, который может соединяться с базой данных и выполнять доступ к ее объектам. Логически пользователь понимается обеими СУБД одинаково, хотя с принципиально различными реализациями этого понятия (см. ниже).

Процедура аутентификации состоит в представлении пользователя системе и подтверждении его подлинности. Подтверждение подлинности выполняется паролем. Аутентификация выполняется при установлении соединения с базой данных (при запуске приложения).

Связь с базой данных устанавливается приложением при помощи SQL-оператора CREATE DATABASE LINK в Oracle или оператора CONNECT в DB2. Синтаксис этих операторов (только минимальные наборы необходимых составляющих) показан на рис. 6.1 и 6.2 соответственно.

Рисунок 6.1 - Установка связи с базой данных в Oracle

Рисунок 6.2 - Установка связи с базой данных в DB2

Обе СУБД используют термин "привилегии", хотя и с некоторыми разночтениями в его понимании. Описывая общие свойства, мы будем понимать под привилегией некоторый поддерживаемый системой признак, который определяет, разрешение на выполнение какой-либо конкретной операции (общей или относящейся к конкретному объекту). Каждое действие, выполняемое пользователем в базе данных, сопровождается процедурой авторизации, которая заключается в проверке того, может ли данный пользователь выполнять запрошенное действие над данным объектом, то есть, имеет ли данный пользователь данную привилегию. По результатам авторизации запрос на доступ выполняется или отклоняется.