第六章 DB2存取控制

《第六章 DB2存取控制》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、第六章DB2存取控制DB2存取控制安全策略DB2认证DB2权限DB2特权数据库安全性考虑允许谁访问实例和数据库在何处以及如何验证用户的密码授予用户的权限级别允许用户运行的命令允许用户对数据所做的操作允许用户对数据库对象所作的操作DB2安全机制认证(Authentication)核实用户身份,典型的手段是要求用户提供用户名和口令。这个过程由DB2之外的安全机制负责。这些安全设施通常包括：操作系统的安全机制，以及第三方的安全产品。权限(Authority)是一种高层次的用户权力，通常授予需要对数据库和实例进行管理和维护的用户。权限主要用于对实例内部对象的存取，控制

2、用户是否能够执行某项管理任务。特权(Privilege)是针对数据库对象的用户权力，通常授予只需对数据库对象进行存取的用户，用来控制他们对数据库对象的存取。DB2认证简介DB2认证控制着数据库安全性计划的下列几个方面：允许谁访问实例和/或数据库在何处/如何验证用户的密码需要进行DB2认证过程的命令：ATTACH(连接实例)CONNECT(连接数据库)如果在使用Attach和Connect命令的时候，没有提供用户名和口令，系统将会使用用户在登录操作系统时所使用的用户名和口令进行认证，认证的过程是由DB2之外的安全设施来进行的。DB2支持的认证类型认证类型即如何进

3、行认证以及在何处进行认证。DB2支持的认证类型包括：类型描述server在服务器上进行认证。server＿encrypt在服务器上进行认证。在将口令(密码)发送给服务器之前，先在客户机上对口令(密码)进行加密。client在客户机机器上进行认证。kerberos认证由kerberos安全性软件执行。krb＿server＿encrypt如果客户机设置为kerberos，则认证由kerberos安全性软件执行。否则，就使用server_encrypt。在服务器上设置认证认证类型可以设置在DB2服务器端和DB2客户端。如果要在数据库服务器上设置认证类型，可通过设置数

4、据库管理器配置参数authentication实现。该参数为实例级参数，因此实例中所有数据库都会受到该参数设置的影响。db2updatadbmcfgusingauthenticationserver_encrypydb2stopdb2start在客户机上设置认证对于连接到非主机数据库的客户机，可通过catalogdatabase命令设置认证类型。客户机的认证设置必须匹配客户机所连接的数据库服务器的认证设置。db2catalogdatabasesampleatnodend1authenticationserver在客户机上设置认证当服务器将认证类型设置成Clie

5、nt的时候，希望由客户端代替服务器端进行认证。但最终认证类型是否在客户端进行还要由两个因素决定：一是客户端的受信任程度；第二是数据库管理器配置文件中的两个参数。TRUST_ALLCLNTSTRUST_CLNTAUTH客户机的信任程度根据客户机操作系统提供的安全机制，把客户机分成以下三类:不可信的客户机：运行在Windows98/ME操作系统上的客户机。主机客户机：运行在类似OS/390这样的主机操作系统上的客户机。可信的客户机：运行在WindowsNT，Windows2000，Unix等具备完备的安全机制的操作系统上的客户端。TRUST＿ALLCLNTS该参数

6、确定是否信任所有客户端，指定是否所有的客户端都可以对用户进行验证。取值作用YES参数缺省值。迫使所有的客户端（包括不受信任的客户端）对用户进行验证。NO所有不受信任的客户端将在服务器端进行验证，在连接时必须提供用户名和口令。所有受信任的客户端将在客户端进行用户验证。DRDAONLY只有MVS、OS/390、VM、VSE和OS/400系统上的DB2客户端可以代表数据库服务器进行用户验证。TRUST＿CLNTAUTH该参数用来设定当用户进行实例或数据库连接的时候，如果提供了用户名和口令，则认证过程会在什么地方发生。取值作用client验证过程将在客户端进行。如果连

7、接时没有提供用户名和口令，系统将自动使用用户登录到客户端操作系统时提供的用户名和口令进行验证。server验证过程将在服务器端进行思考：如果要让所有的认证过程都在客户端完成，该如何设置相关参数？除了服务器端的认证类型要设置成client之外，还要将trust_allclnts参数设置为yes。trust_clntauth参数设置为client。DB2权限简介用户通过了认证，DB2内部的安全机制将会控制用户对数据库系统的存取，这种存取控制主要是通过为用户指定某些权限或者特权来决定的。DB2权限控制数据库安全性计划的以下几方面：授予用户的权限级别允许用户运行的命令

8、允许用户读和修改的数据允许用户创建、修