openGuass——管理用户安全

2024-08-26 16:28
文章标签 安全 管理 用户 openguass

本文主要是介绍openGuass——管理用户安全,希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!

一、默认权限机制

二、管理员

 1、核心管理员

 2、辅助管理员

三、三权分立

1、思想

2、实践

四、权限操作

1、用户的创建与删除

2、用户的修改与信息查看

五、角色

1、创建、修改和删除角色

六、GRANT

七、REVOKE

八、设置用户安全策略

自动锁定和解锁用户

手动锁定和解锁用户

设置帐号有效期

设置密码安全策略


一、默认权限机制

  • 对象创建者默认是该对象的所有者。
  • openGauss安装后的默认情况下,未开启三权分立,数据库系统管理员具有与对象所有者相同的权限。也就是说对象创建后,默认只有对象所有者或者系统管理员可以查询、修改和销毁对象,以及通过GRANT命令将对象的权限授予其他用户。
  • openGauss支持以下的权限:SELECT、INSERT、UPDATE、DELETE、TRUNCATE、REFERENCES、CREATE、CONNECT、EXECUTE和USAGE。
  • 要撤消已经授予的权限,可以使用REVOKE命令。
  • 对象所有者的权限(例如ALTER、 DROP、GRANT和REVOKE)是隐式的,无法授予或撤消。但对象所有者可以撤消自己的普通权限,例如,使表对自己以及其他人只读。
  • 系统表和系统视图要么只对系统管理员可见,要么对所有用户可见。标识了需要系统管理员权限的系统表和视图只有系统管理员可以查询。

二、管理员

 1、核心管理员

数据库中默认的三个管理员及权限:

  •  系统管理员:具备SYSADMIN权限,默认安装情况下具有与对象所有者相同的权限,但不包括dbe_perf模式的对象权限
  •  安全管理员:具备SAFEADMIN权限。
  •  审计管理员:具备AUDITADMIN权限。

三个管理员并非唯一的,可以按需创建。以系统管理为例可以创建新的系统管理员,或将权限授予现有用户:

openGauss=# ALTER USER sysadmin SYSADMIN;

授予现有用户:

openGauss=# CREATE USER sysadmin WITH SYSADMIN password "xxxxxxxxx";

2、辅助管理员

数据库中默认的三个辅助管理员及权限:

  •  监控管理员:具备MONADMIN权限,具有查看dbe_perf模式下视图和函数的权限,亦可以对dbe_perf模式的对象权限进行授予或收回。
  • 运维管理员:具有OPRADMIN属性的用户。
  • 安全策略管理员是指具有POLADMIN属性的用户,具有创建资源标签、脱敏策略和统一审计策略的权限。

辅助管理员也并非唯一的,可以按需创建。以监控管理员为例可以创建新的监控管理员,或将权限授予现有用户:

openGauss=# CREATE USER monadmin WITH MONADMIN password "xxxxxxxxx";

授予现有用户

openGauss=# ALTER USER monadmin MONADMIN;

三、三权分立

1、思想

默认规则下系统管理员继承了初始用户绝大部分权限,拥有的权限过高。为了避免权限过于集中带来的风险,建议对安全有较高要求的用户开启三权分立,又叫三员分立:

减少系统管理员的权限
与安全管理员、安全审计员相互制约。
三员相互独立、配合管理。

2、实践

系统管理员取消CREATEROLE权限和AUDITADMIN权限
CREATEROLE授予安全管理员
AUDITADMIN授予审计管理员
开启三权分立:将参数enableSeparationOfDuty设置为on

  • 使用CREATE USER和ALTER USER可以创建和管理数据库用户。openGauss包含一个或多个已命名数据库。用户和角色在整个openGauss范围内是共享的,但是其数据并不共享。即用户可以连接任何数据库,但当连接成功后,任何用户都只能访问连接请求里声明的那个数据库。
  • 非三权分立下,openGauss用户用户只能由系统管理员或拥有CREATEROLE属性的安全管理员创建和删除。三权分立时,用户用户只能由初始用户和安全管理员创建
  • 在用户登录openGauss时会对其进行身份验证。用户可以拥有数据库和数据库对象(例如表),并且可以向用户和角色授予对这些对象的权限以控制谁可以访问哪个对象。除系统管理员外,具有CREATEDB属性的用户可以创建数据库并授予对这些数据库的权限。

四、权限操作

1、用户的创建与删除

创建用户joe,并设置用户拥有CREATEDB属性

openGauss=# CREATE USER joe WITH CREATEDB PASSWORD "xxxxxxxxx";
CREATE ROLE

删除用户,同时会删除同名的schema。语法格式

DROP USER [ IF EXISTS ] user_name [, ...] [ CASCADE | RESTRICT ];

CASCADE:级联删除依赖用户的对象。
RESTRICT:如果用户还有任何依赖的对象,则拒绝删除该用户(缺省行为)

 

2、用户的修改与信息查看

修改角色的权限

ALTER USER user_name [ [ WITH ] option [ ... ] ];

修改用户名

ALTER USER user_name RENAME TO new_name;

修改与用户关联的指定会话参数值

ALTER USER user_name  SET configuration_parameter { { TO | = } { value | DEFAULT } | FROM CURRENT };

重置与用户关联的指定会话参数值

ALTER USER user_name RESET { configuration_parameter | ALL };

ALTER USER中修改的会话参数只针对指定的用户,且在下一次会话中有效。

要查看用户列表,请查询视图PG_USER:

openGauss=# SELECT * FROM pg_user; 

五、角色

        角色是一组用户的集合。通过GRANT把角色授予用户后,用户即具有了角色的所有权限。推荐使用角色进行高效权限分配。例如,可以为设计、开发和维护人员创建不同的角色,将角色GRANT给用户后,再向每个角色中的用户授予其工作所需数据的差异权限。在角色级别授予或撤消权限时,这些更改将作用到角色下的所有成员。
        openGauss提供了一个隐式定义的拥有所有角色的组PUBLIC,所有创建的用户和角色默认拥有PUBLIC所拥有的权限。关于PUBLIC默认拥有的权限请参考GRANT。要撤销或重新授予用户和角色对PUBLIC的权限,可通过在GRANT和REVOKE指定关键字PUBLIC实现。
        要查看所有角色,请查询系统表PG_ROLES:

openGauss=# SELECT * FROM PG_ROLES;

1、创建、修改和删除角色

        非三权分立时,只有系统管理员和具有CREATEROLE属性的用户才能创建、修改或删除角色。三权分立下,只有初始用户和具有CREATEROLE属性的用户才能创建、修改或删除角色。
        要创建角色,请使用CREATE ROLE。
        要在现有角色中添加或删除用户,请使用ALTER ROLE。
        要删除角色,请使用DROP ROLE。DROP ROLE只会删除角色,并不会删除角色中的成员用户用户。

六、GRANT

使用GRANT命令进行用户授权包括以下三种场景:

  •  将系统权限授权给角色或用户

        系统权限又称为用户属性,包括SYSADMIN、CREATEDB、CREATEROLE、AUDITADMIN和LOGIN。

  • 将数据库对象授权给角色或用户

        将数据库对象(表和视图、指定字段、数据库、函数、模式、表空间等)的相关权限授予特定角色或用户;

  • 将角色或用户的权限授权给其他角色或用户

        将一个角色或用户的权限授予一个或多个其他角色或用户。在这种情况下,每个角色或用户都可视为拥有一个或多个数据库权限的集合。

创建名为mvsuser的用户,并将sysadmin权限授权给他

openGauss=# CREATE USER mvsuser PASSWORD ’ password#123'; 
openGauss=# GRANT ALL PRIVILEGES TO mvsuser; 

授权成功后,用户mvsuseer会拥有sysadmin的所有权限。

七、REVOKE

REVOKE用于撤销一个或多个角色的权限。

非对象所有者试图在对象上REVOKE权限,命令按照以下规则执行:

  • 如果授权用户没有该对象上的权限,则命令立即失败。
  • 如果授权用户有部分权限,则只撤销那些有授权选项的权限。
  • 如果授权用户没有授权选项,REVOKE ALL PRIVILEGES形式将发出一个错误信息,而对于其他形式的命令而言,如果是命令中指定名称的权限没有相应的授权选项,该命令将发出一个警告。
  • 不允许对表分区进行REVOKE操作,对分区表进行REVOKE操作会引起告警。

八、设置用户安全策略

        openGauss为用户提供了自动锁定和解锁用户、手动锁定和解锁异常用户和删除不再使用的用户等一系列的安全措施,保证数据安全。

自动锁定和解锁用户

        为了保证用户安全,如果用户输入密码次数超过一定次数(failed_login_attempts),系统将自动锁定该用户,默认值5。次数设置越小越安全,但是在使用过程中会带来不便。
        当用户被锁定时间超过设定值(password_lock_time),则当前用户自动解锁,默认值为1天。时间设置越长越安全,但是在使用过程中会带来不便。

手动锁定和解锁用户

        若管理员发现某用户被盗、非法访问等异常情况,可手动锁定该用户。
当管理员认为用户恢复正常后,可手动解锁该用户。

设置帐号有效期

        创建新用户时,需要限制用户的操作期限(有效开始时间和有效结束时间)。
        不在有效操作期内的用户需要重新设定帐号的有效操作期。

设置密码安全策略

        用户密码存储在系统表pg_authid中,为防止用户密码泄露,openGauss对用户密码进行加密存储,所采用的加密算法由配置参数password_encryption_type决定。
        当参数password_encryption_type设置为0时,表示采用md5方式对密码加密。md5为不安全的加密算法,不建议使用。
        当参数password_encryption_type设置为1时,表示采用sha256和md5方式对密码加密,为默认配置。
        当参数password_encryption_type设置为2时,表示采用sha256方式对密码加密。

这篇关于openGuass——管理用户安全的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!



http://www.chinasem.cn/article/1109076

相关文章

JAVA保证HashMap线程安全的几种方式

《JAVA保证HashMap线程安全的几种方式》HashMap是线程不安全的,这意味着如果多个线程并发地访问和修改同一个HashMap实例,可能会导致数据不一致和其他线程安全问题,本文主要介绍了JAV... 目录1. 使用 Collections.synchronizedMap2. 使用 Concurren

Mysql用户授权(GRANT)语法及示例解读

《Mysql用户授权(GRANT)语法及示例解读》:本文主要介绍Mysql用户授权(GRANT)语法及示例,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教... 目录mysql用户授权(GRANT)语法授予用户权限语法GRANT语句中的<权限类型>的使用WITH GRANT

HTML5中的Microdata与历史记录管理详解

《HTML5中的Microdata与历史记录管理详解》Microdata作为HTML5新增的一个特性,它允许开发者在HTML文档中添加更多的语义信息,以便于搜索引擎和浏览器更好地理解页面内容,本文将探... 目录html5中的Mijscrodata与历史记录管理背景简介html5中的Microdata使用M

Spring 基于XML配置 bean管理 Bean-IOC的方法

《Spring基于XML配置bean管理Bean-IOC的方法》:本文主要介绍Spring基于XML配置bean管理Bean-IOC的方法,本文给大家介绍的非常详细,对大家的学习或工作具有一... 目录一. spring学习的核心内容二. 基于 XML 配置 bean1. 通过类型来获取 bean2. 通过

python uv包管理小结

《pythonuv包管理小结》uv是一个高性能的Python包管理工具,它不仅能够高效地处理包管理和依赖解析,还提供了对Python版本管理的支持,本文主要介绍了pythonuv包管理小结,具有一... 目录安装 uv使用 uv 管理 python 版本安装指定版本的 Python查看已安装的 Python

基于Python和MoviePy实现照片管理和视频合成工具

《基于Python和MoviePy实现照片管理和视频合成工具》在这篇博客中,我们将详细剖析一个基于Python的图形界面应用程序,该程序使用wxPython构建用户界面,并结合MoviePy、Pill... 目录引言项目概述代码结构分析1. 导入和依赖2. 主类:PhotoManager初始化方法:__in

Python从零打造高安全密码管理器

《Python从零打造高安全密码管理器》在数字化时代,每人平均需要管理近百个账号密码,本文将带大家深入剖析一个基于Python的高安全性密码管理器实现方案,感兴趣的小伙伴可以参考一下... 目录一、前言:为什么我们需要专属密码管理器二、系统架构设计2.1 安全加密体系2.2 密码强度策略三、核心功能实现详解

nvm如何切换与管理node版本

《nvm如何切换与管理node版本》:本文主要介绍nvm如何切换与管理node版本问题,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教... 目录nvm切换与管理node版本nvm安装nvm常用命令总结nvm切换与管理node版本nvm适用于多项目同时开发,然后项目适配no

最新Spring Security实战教程之Spring Security安全框架指南

《最新SpringSecurity实战教程之SpringSecurity安全框架指南》SpringSecurity是Spring生态系统中的核心组件,提供认证、授权和防护机制,以保护应用免受各种安... 目录前言什么是Spring Security?同类框架对比Spring Security典型应用场景传统

mysql删除无用用户的方法实现

《mysql删除无用用户的方法实现》本文主要介绍了mysql删除无用用户的方法实现,文中通过示例代码介绍的非常详细,对大家的学习或者工作具有一定的参考学习价值,需要的朋友们下面随着小编来一起学习学习吧... 1、删除不用的账户(1) 查看当前已存在账户mysql> select user,host,pa