[發明專利]一種數據庫權限管理方法

有效

• 申請號: 201910359595.2
• 申請日: 2019-04-29
• 公開（公告）號: CN110135146B
• 公開（公告）日: 2021-04-02
• 發明（設計）人: 周洲
• 申請（專利權）人: 武漢中銳源信息技術開發有限公司
• 主分類號: G06F21/45
• 分類號: G06F21/45;G06F16/21
• 代理公司: 武漢紅觀專利代理事務所(普通合伙) 42247
• 代理人: 李季

本發明提出了一種數據庫權限管理方法及系統，通過創建三個管理用戶，分別為系統管理員、安全管理員和審計員，三個管理用戶分別具有不同的管理權限，相互制約，系統安全員給每個業務用戶分配安全角色，每個安全角色有不同的權限，用戶只有通過應用系統提供的安全憑證(例如口令或者數字證書)激活安全角色，才能訪問數據庫。本發明為數據庫的權限管理提供了一種更加安全便捷的管理思路，具有良好的安全性能和應用前景。

技術領域

本發明涉及數據庫安全管理技術領域，尤其涉及一種數據庫權限管理方法。

背景技術

傳統的數據庫系統中，都存在root管理員，root管理員擁有數據庫的所有權限，也就是說，一旦root管理員的賬號被盜取，數據庫內的任何數據都將被泄露。為避免root管理員的權限過大，進一步提高數據庫的安全性能以及日常安全管理，我們需要對數據庫權限實施分散化管理。

傳統數據庫中，用戶輸入用戶名和密碼后就能訪問數據庫，對于多層結構的應用系統來說，這些系統都是用單個共享用戶連接數據庫，一方面，該用戶的口令以不安全的方式存儲在服務器上，易于泄漏，另一方面，該用戶權限過大，不利于不同應用系統之間權限的分離。

發明內容

有鑒于此，本發明提出了一種能夠有效削弱、分散root管理員權限，同時將用戶訪問權限和應用系統安全憑證(例如口令或者數字證書)相關聯的數據庫權限管理方法及系統。

本發明的技術方案是這樣實現的：本發明提供了一種數據庫權限管理方法，包括如下步驟：

步驟一、在系統初始化時預創建三個用戶，分別為系統管理員、安全管理員和審計員；

步驟二、在系統初始化時預創建三個安全屬性，將三個安全屬性分別授予系統管理員、安全管理員和審計員，三個安全屬性分別對應三個子系統的管理權限；

步驟三、在系統初始化時將數據表的所有權限分配給安全管理員，安全管理員用于轉授權限；

步驟四、在系統初始化時禁用系統原有超級用戶root；

步驟五、系統管理員創建用戶和數據庫表以及系統資源，安全管理員為用戶分配數據庫權限，并將安全角色指派給用戶；

步驟六、安全管理員配置數據庫訪問控制策略，安全管理員為安全角色配置角色激活憑證要求；

步驟七、用戶連接數據庫，并利用安全管理員配置的角色激活憑證要求激活安全角色，并進行數據訪問；

步驟八、審計員對用戶、系統管理員和安全管理員的操作記錄進行查看。

在以上技術方案的基礎上，優選的，步驟二中，所述三個安全屬性分別為系統管理員安全屬性、安全管理員安全屬性和審計員安全屬性。

在以上技術方案的基礎上，優選的，步驟二中，所述系統管理員用于管理數據庫系統內所有資源的創建、自主訪問控制權限的授予和角色分配，系統管理員具有系統管理員安全屬性，只能執行系統管理操作，不能訪問數據庫數據。

在以上技術方案的基礎上，優選的，步驟二中，所述安全管理員用于管理屬性訪問控制，指定用戶、數據庫和表的屬性，制定安全訪問控制策略，安全管理員具有安全管理員安全屬性，只能執行安全管理操作，不能訪問數據庫數據。

更進一步優選的，步驟二中，審計員負責審計數據庫內所有用戶的操作，所有用戶包括系統管理員和安全管理員，審計員具有審計員安全屬性，只能執行審計操作，不能訪問數據庫數據。

在以上技術方案的基礎上，優選的，三個安全屬性互不兼容，系統管理員、安全管理員和審計員的權限是相互獨立的，具有安全屬性的用戶只能進行管理操作，不能訪問數據庫表數據。