Ідентифікація та підтвердження автентичності всіх користувачів або
додатків, що отримують доступ до бази даних. Будь-який користувач або додаток, звертаючись до системи баз даних, мають вказати своє ім'я і пароль. Ім'я ідентифікує користувача, а пароль підтверджує автентичність імені. Ці два кроки - ідентифікація та підтвердження автентичності - виконуються лише один раз під час з'єднання з базою даних і залишаються чинними до завершення сеансу роботи з базою даних конкретного користувача або додатка.
Автоматичне ведення журналів доступу до даних. У цих журналах
протоколюються операції, виконані над даними користувачами, з метою подальшого аналізу на випадок отримання доступу до бази в обхід системи захисту.
Шифрування даних на зовнішніх носіях. Здійснюється криптографічними
методами на випадок несанкціонованого копіювання даних із зовнішніх носіїв. Припускається, що адмнiстратор бази даних має всі необхідні повноваження на виконання функцiй, пов'язаних із захистом даних.
Довірче й адміністративне керування доступом. Довірче керування
доступом - це такий тип керування, коли система захисту дає змогу звичайним користувачам не лише отримувати доступ до певних даних, але й передавати повноваження на доступ до них іншим користувачам без адміністративного втручання.
Адміністративне керування доступом до даних - це таке керування, за якого система захисту дає змогу передавати повноваження на доступ до даних лише спеціально авторизованому користувачу (адміністратору).
Реєстрація користувачів
Будь-який користувач для отримання доступу до бази даних має бути зареєстрований у системі під певним ім'ям і паролем. Реєстрація необхідна для того, щоб знати, з ким має справу система у кожний момент часу. Зазначимо, що під користувачем розуміється не лише фізична особа, але й будь-яке джерело, що в змозі звернутися до бази даних (прикладна програма, операційна система, інтернет-додаток тощо).
Спрощений вигляд конструкції, що застосовується для означення користувача, є таким:
CREATE USER <користувач> UDENTIFIED <пароль>
Тут <користувач> - ім'я користувача, а <пароль> - пароль.
Спочатку користувач не має жодних повноважень. Щоб користувач міг виконувати ті чи інші операції над базою даних, йому необхідно передати відповідні повноваження.
Керування правами доступу
Визначити права доступу користувачів - це означає зафіксувати інформацію стосовно:
осіб, яким надаються права доступу;
умов надання прав доступу;
об'єктів, на які поширюються права доступу;
операцій, щодо яких специфікуються права доступу;
можливості передачі прав доступу іншим особам.
Схематично аспекти керування правами доступу зображені на рисунку 30.1:
Рисунок 30.1 - Складові прав доступу
Розглянемо коротко всі ці аспекти.
1. Кому надаються права доступу
Права доступу надаються всім, хто звертається до бази даних. Це можуть бути користувачі, прикладні програми, операційні системи тощо. Кожен, хто звертається до бази даних, має насамперед вказати своє ім'я і пароль. Для СКБД не важливо, хто саме звертається до бази даних, головне, щоб усі, хто хоче отримати можливість працювати з нею, були заздалегідь зареєстровані в системі.
У деяких випадках може знадобитися виділити користувачів системи, які мають однакові повноваження. Наприклад, усі співробітники відділу кадрів можуть мати одні й ті ж права, а співробітники планового відділу - інші, причому також однакові. Для реалізації такого розподілу прав вводиться поняття ролі.
Роль - це сукупність повноважень, які можуть передаватися користувачам або іншим ролям. Можна присвоїти повноваження ролям, а згодом приписувати ролі користувачам. Коли користувачу присвоєна роль, він має ті повноваження, які приписані ролі.
Роль має всі повноваження, які присвоєні їй явно, й усі повноваження, які передані їй іншими ролями.
Спрощений синтаксис означення ролі є таким:
CREATE ROLE <роль> IDENTIFIED <пароль>
Тут <роль> - ім'я ролі.
Спочатку роль є порожньою, тобто не має жодного повноваження.