人大金仓KCA | 对象访问权限入门

OS版本：CentOS-7-x86_64-Everything-2009
KES版本：KingbaseES_V008R006C008B0014_Lin64
许可证版本：license_39893_0.dat（开发版）

一、知识预备

1. 对象的分类

数据库的表、索引、视图、缺省值、规则、触发器等都称为数据库对象，对象分为两类：

• 模式对象：可以理解为一个存储目录，包含视图、索引、数据类型、函数和操作符等
• 非模式对象：其它的数据库对象，如数据库、表空间、用户

2. 对象访问权限概述

• 对象都会有一个所有者，所有者一般是对象的创建者，所有者也可以被改变，类似于Linux中的文件权限。
• 初始状态下，只有所有者和超级用户能够对该对象执行任何操作
• 其它用户和角色要使用该对象，必须显式的为其授予访问该对象的相关权限
• 不同的对象类型所支持权限类似是不一样的

3. 级联授权

数据库中的级联授权（Cascading Authorization）是一种权限传递机制，它允许一个用户（或角色）将其所拥有的权限授予另一个用户（或角色），并且这种授权关系可以逐级传递下去。

4. 权限描述符

在KES中制定了一种类似于Linux权限掩码的权限描述符，在查询相关对象的权限时，仅显式权限描述符，减少打印空间。

常见权限描述符

权限描述符	完整单词	针对对象	说明
a	INSERT	针对表或视图	插入
w	UPDATE	针对表或视图	更新
D	TRUNCATE	针对表	清空记录
t	TRIGGER	针对表	创建触发器
U	USAGE	针对模式	使用权
c	CONNECT	针对数据库	创建连接
r	SELECT	针对表或视图	查询
d	DELETE	针对表或视图	参照引用
x	REFERENCES	针对表	删除
X	EXECUTE	针对存储过程	执行
C	CREATE	针对模式或数据库	创建对象
T	TEMPORARY	针对数据库	创建临时表

查看student表中各用户拥有的权限

\dp student

具体权限说明

system=arwdDxt/system+

• 语法格式：[ 被授权用户 ]=权限明细[ * ]/授权用户
• system：代表被授权的用户
• arwdDxt：具体权限明细
• /system：被授权的用户
• +：类似于间隔符

user01=ar*/system

• user01：被授权的用户
• ar：代表insert和select权限
• r*：代表user01可以向其它用户授予select权限
• /system：代表是system用户向user01用户授予的权限

5. 使用EasyKStudio查看用户权限

[Step1]: 通过编辑用户，可以查看用户对数据库的权限

权限	说明
ALL	授予所有权限
CREATE	允许创建表、模式、索引
TEMPORARY	允许创建临时表
TEMP	允许创建临时表
CONNECT	允许连接数据库

[Step2]: 通过编辑用户，可以查看用户对模式的权限

权限	说明
ALL	授予全部权限
USAGE	允许访问指定模式中的对象，如果是序列则允许使用currval和nextval函数
CREATE	允许在模式中创建对象

[Step3]: 通过编辑用户，可以查看用户对指定表的权限

权限	说明
ALL	授予全部权限
SELECT	授予读取权限
INSERT	授予插入权限
UPDATE	授予更新权限
DELETE	授予删除权限
TRUNCATE	允许对表进行截断清空
REFERENCES	允许创建外键约束
TRIGGER	允许在表上创建触发器

二、案例实施

1. 用户授权综合案例

• 使用 system 用户登录 test 数据库
• 创建 user01 用户，在public模式下创建 tb01 表
• 向 tb01 表中插入数据，授予 user01 用户可查询 tb01 表
• 授予 user01 用户拥有对 tb01 表的查询转授权限
• 授予 user01 用户可以在 tb01 表中插入数据

[Step1]: 使用system用户登录test数据库

ksql -Usystem -d test

[Step2]: 创建user01用户，新建tb01表

create user user01 password 'kingbase';
create table tb01 (id int,name varchar(100));

[Step3]: 往tb01表中插入数据

insert into tb01 values(1001,'Mike'),(1002,'Jack');

[Step4]: 授予user01用户查询和转授权限，授予user01用户插入权限

grant select on public.tb01 to user01 with grant option;
grant insert on public.tb01 to user01;

[Step5]: 验证：查看tb01表中所有用户权限

\dp tb01

2. 对象的创建者默认就是对象的所属主

[Step1]: 使用 system 用户创建 tb02 表

create table tb02 (id int,name varchar(10));
\dt tb02

3. 该表对象的所属主

[Step1]: 修改 tb02 的所属主为 user01

alter table tb02 owner to user01;
\dt tb02

4. 对象属主的权限设置

[Step1]: 查看 user01 在tb02上的隐式权限

select * from information_schema.table_privileges
where table_catalog='test'
and table_schema='public'
and table_name='tb02';

[Step2]: 属主的特殊权限不可被授予或移除

grant drop to tb02 to user01;
grant grant to tb02 to user01;
grant revoke to tb02 to user01;
revoke drop on table tb02 from user01;
revoke grant on table tb02 from user01;
revoke revoke on table tb02 from user01;

[Step3]: 管理员和属主可以撤销所有者在表中普通权限

revoke select on table tb02 from user01;

5. 授权普通用户访问对象

[Step1]: 创建新用户 user03

create user user03 password 'kingbase';

[Step2]: 授予用户访问数据库的权限

grant connect on database test to user03;

[Step2]: 授予用户访问模式的权限

grant usage on schema public to user03;

[Step3]: 授予用户访问表的权限

grant select on table db01 to user03;

[Step4]: 验证：使用 tb01 用户登录

\c - user03
select * from public.tb01;

6. public角色

public角色默认拥有登录所有数据库、在public模式下创建对象的权限，默认情况下所有用户属于public角色。

[Step1]: 查看public角色在test数据库、public模式中的权限

\l test
\dn+ public

[Step2]: 创建一个用户 pub_user，可以发现 pub_user 默认可以登录 test 数据库，可以在public模式中创建对象

create user pub_user password 'kingbase';
\c - pub_user
create table pub_tb (id int,name varchar(10));

[Step3]: 回收 public 角色的所有默认权限

revoke all on database test from public;

[Step4]: 验证：pub_user已经无法在test数据库中登录

\c - db_user