一种数据库权限管理方法及系统与流程

本发明涉及数据库安全管理技术领域，尤其涉及一种数据库权限管理方法及系统。

背景技术：

传统的数据库系统中，都存在root管理员，root管理员拥有数据库的所有权限，也就是说，一旦root管理员的账号被盗取，数据库内的任何数据都将被泄露。为避免root管理员的权限过大，进一步提高数据库的安全性能以及日常安全管理，我们需要对数据库权限实施分散化管理。

传统数据库中，用户输入用户名和密码后就能访问数据库，对于多层结构的应用系统来说，这些系统都是用单个共享用户连接数据库，一方面，该用户的口令以不安全的方式存储在服务器上，易于泄漏，另一方面，该用户权限过大，不利于不同应用系统之间权限的分离。

技术实现要素：

有鉴于此，本发明提出了一种能够有效削弱、分散root管理员权限，同时将用户访问权限和应用系统安全凭证(例如口令或者数字证书)相关联的数据库权限管理方法及系统。

本发明的技术方案是这样实现的：本发明提供了一种数据库权限管理方法，包括如下步骤：

步骤一、在系统初始化时预创建三个用户，分别为系统管理员、安全管理员和审计员；

步骤二、在系统初始化时预创建三个安全属性，将三个安全属性分别授予系统管理员、安全管理员和审计员，三个安全属性分别对应三个子系统的管理权限；

步骤三、在系统初始化时将数据表的所有权限分配给安全管理员，安全管理员用于转授权限；

步骤四、在系统初始化时禁用系统原有超级用户root；

步骤五、系统管理员创建用户和数据库表以及系统资源，安全管理员为用户分配数据库权限，并将安全角色指派给用户；

步骤六、安全管理员配置数据库访问控制策略，安全管理员为安全角色配置角色激活凭证要求；

步骤七、用户连接数据库，并利用安全管理员配置的角色激活凭证要求激活安全角色，并进行数据访问；

步骤八、审计员对用户、系统管理员和安全管理员的操作记录进行查看。

在以上技术方案的基础上，优选的，步骤二中，所述三个安全属性分别为系统管理员安全属性、安全管理员安全属性和审计员安全属性。

在以上技术方案的基础上，优选的，步骤二中，所述系统管理员用于管理数据库系统内所有资源的创建、自主访问控制权限的授予和角色分配，系统管理员具有系统管理员安全属性，只能执行系统管理操作，不能访问数据库数据。

在以上技术方案的基础上，优选的，步骤二中，所述安全管理员用于管理属性访问控制，指定用户、数据库和表的属性，制定安全访问控制策略，安全管理员具有安全管理员安全属性，只能执行安全管理操作，不能访问数据库数据。

更进一步优选的，步骤二中，审计员负责审计数据库内所有用户的操作，所有用户包括系统管理员和安全管理员，审计员具有审计员安全属性，只能执行审计操作，不能访问数据库数据。

在以上技术方案的基础上，优选的，三个安全属性互不兼容，系统管理员、安全管理员和审计员的权限是相互独立的，具有安全属性的用户只能进行管理操作，不能访问数据库表数据。

在以上技术方案的基础上，优选的，用户登录数据库系统后，只具有连接权限，用户在获取安全凭证，并通过安全凭证激活安全角色后才能获得访问数据库表的访问权限。

本发明还提供了一种数据库权限管理系统，包括用户、系统管理员模块、安全管理员模块和审计员模块，系统管理员模块用于管理用户，并对安全管理员模块和审计员模块进行权限分配，安全管理员模块为用户制定访问策略，并生产安全角色激活凭证，审计员模块用于管理用户、系统管理员模块和安全管理员模块的操作。

在以上技术方案的基础上，优选的，所述系统管理员模块还包括用户管理模块、资源管理模块和数据表模块，所述用户管理模块用于创建用户，并给用户分配数据库权限，资源管理模块用于创建和管理数据库表资源，数据表模块用于分配数据表权限给安全管理员模块和审计员模块。

在以上技术方案的基础上，优选的，所述安全管理员模块还包括策略管理模块和安全角色凭证模块，所述策略管理模块用于配置数据库访问控制策略，安全角色凭证模块用于配置安全角色，并配置安全角色激活的凭证要求。

本发明的数据库权限管理方法和系统相对于现有技术具有以下有益效果：

(1)本发明的数据库权限管理方法及系统提供了一种权限的权限管理思路，通过削弱数据库管理员账户的权限，并将一个账户管理方式分割为三个账户进行管理，每个账户获得一个或多个独立且唯一的管理权限。通过三个账户进行权限独立管理的方式，降低一个账户管理的安全风险；

(2)本发明的数据库权限管理方法及系统将用户的连接权限和数据库访问权限分离开来，用户连接数据库后建立连接缓冲池，保证数据的高速访问通道，不同应用系统通过激活该应用系统所具有的安全凭证，例如口令或者数字证书，来获得不同于其他应用系统的动态权限。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明数据库权限管理方法中用户的管理框图；

图2为本发明数据库权限管理系统中各功能模块的连接框图。

具体实施方式

下面将结合本发明实施方式，对本发明实施方式中的技术方案进行清楚、完整地描述，显然，所描述的实施方式仅仅是本发明一部分实施方式，而不是全部的实施方式。基于本发明中的实施方式，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施方式，都属于本发明保护的范围。

如图1所示，本发明的数据库权限管理方法，其包括如下步骤：

步骤一、在系统初始化时预创建三个用户，分别为系统管理员、安全管理员和审计员；

步骤二、在系统初始化时预创建三个安全属性，将三个安全属性分别授予系统管理员、安全管理员和审计员，三个安全属性分别对应三个子系统的管理权限；

步骤三、在系统初始化时将数据表的所有权限分配给安全管理员，安全管理员用于转授权限；

步骤四、在系统初始化时禁用系统原有超级用户root；

步骤五、系统管理员创建用户和数据库表以及系统资源，安全管理员为用户分配数据库权限，并将安全角色指派给用户；

步骤六、安全管理员配置数据库访问控制策略，安全管理员为安全角色配置角色激活凭证要求；

步骤七、用户连接数据库，并利用安全管理员配置的角色激活凭证要求激活安全角色，并进行数据访问；

步骤八、审计员对用户、系统管理员和安全管理员的操作记录进行查看。

以上实施方式中，常规数据库管理用户为一个，本发明将一个管理用户拆分为三个，同时将属性访问控制模型数据表的所有权限分配给安全管理员，通过安全管理员实现对数据库内部的属性访问进行控制，三个安全属性限定相应的管理员用户只能执行相应的管理操作，不能访问数据库表中的数据。

在具体实施方式中，步骤二中，所述三个安全属性分别为系统管理员安全属性、安全管理员安全属性和审计员安全属性。

在具体实施方式中，步骤二中，所述系统管理员用于管理数据库系统内所有资源的创建、自主访问控制权限的授予和角色分配，系统管理员具有系统管理员安全属性，只能执行系统管理操作，不能访问数据库数据。

以上实施方式中，系统管理员用于对资源和用户进行管理，数据库内的资源创建需要通过系统管理员进行，同时用户访问首先需要经过自主访问控制，系统管理员可以对自主访问控制的权限进行授予，并对用户进行角色分配。

在具体实施方式中，步骤二中，所述安全管理员用于管理属性访问控制，指定用户、数据库和表的属性，制定安全访问控制策略，安全管理员具有安全管理员安全属性，只能执行安全管理操作，不能访问数据库数据。

以上实施方式中，安全管理员用于管理属性访问控制，通过安全管理员可以对数据库的资源和用户进行属性制定，并根据对应的属性制定对应的安全访问控制策略，从而细化用户的访问权限，细化安全访问的管理，提高数据的安全性能。

在具体实施方式中，步骤二中，审计员负责审计数据库内所有用户的操作，所有用户包括系统管理员和安全管理员，审计员具有审计员安全属性，只能执行审计操作，不能访问数据库数据。

以上实施方式中，审计员主要对用户的操作进行管理，同时还可以对系统管理员和安全管理员的操作进行管理，从而达到制约系统管理员和安全管理员的操作的目的，防止系统管理员和安全管理员的账户被盗取，同时审计员也仅仅只能进行用户操作的管理，并不能对数据库内的资源进行实际操作。

以上实施方式中，系统管理员、安全管理员和审计员各负责一定的权限，互相不冲突，除非三个账户同时被盗取，否则数据库的资源是无法被泄露的。

在具体实施方式中，三个安全属性互不兼容，系统管理员、安全管理员和审计员的权限是相互独立的，具有安全属性的用户只能进行管理操作，不能访问数据库表数据。

在具体实施方式中，用户登录数据库系统后，只具有连接权限，用户在获取安全凭证，并通过安全凭证激活安全角色后才能获得访问数据库表的访问权限。

如图2所示，本发明还提供了一种数据库权限管理系统，包括用户、系统管理员模块、安全管理员模块和审计员模块，系统管理员模块用于管理用户，并对安全管理员模块和审计员模块进行权限分配，安全管理员模块为用户制定访问策略，并生产安全角色激活凭证，审计员模块用于管理用户、系统管理员模块和安全管理员模块的操作。

在具体实施方式中，所述系统管理员模块还包括用户管理模块、资源管理模块和数据表模块，所述用户管理模块用于创建用户，并给用户分配数据库权限，资源管理模块用于创建和管理数据库表资源，数据表模块用于分配数据表权限给安全管理员模块和审计员模块。

在具体实施方式中，所述安全管理员模块还包括策略管理模块和安全角色凭证模块，所述策略管理模块用于配置数据库访问控制策略，安全角色凭证模块用于配置安全角色，并配置安全角色激活的凭证要求。

以上所述仅为本发明的较佳实施方式而已，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。