role之精解:来自puber西瓜

ROLE（角色）是一个命了名的一组权限的集合。
角色可以grant给任何其他的用户或者角色，但不能grant给它自己，角色不能循环授权。角色不属于任何schema，但它在数据字典中有描述。
role 没有schema（即owener），所以对于SYS建立的role，其他的用户也可以对其进行操作。

创建角色
create role testrole
create role testrole identified by role123  --激活role的时候需要进行口令验证
create role testrole identified externally  --设置为外部认证，对role 激活的用户必须是通过外部认证的用户


修改角色
alter role testrole1 not identified;
alter role testrole1 identified externally;
alter role testrole1 identified by xxx

分配角色
grant role1,role2 to {user|role|public},{user|role|public} [with admin option];
grant testrole to username with admin option ;
参数PUBLIC: Grants the role to all users
参数max_enabled_roles指定了数据库中可以激活的最大的角色数。如果用户没有with admin option参数传递权限，但拥有grant any role的权限，同样可以给其他用户grant和revoke 权限。

设置缺省的role
alter user xxx default role role1,role2,...
alter user xxx default role all
alter user xxx default role all expect role1,...
设置了缺省的role之后，在登陆时将自动激活，而且忽略role的口令。
alter user xxx default role none;取消所有的default role

创建应用程序角色（Application Roles）
create role admin_role identified using hr.employees;
在这里，admin_role是一个应用程序角色，只能被定义在hr.employee PL/SQL package中模块激活。

激活角色
set role [role1 identified by passwd1,role2 identified by passwd2]|
[all except role1]|none

set role testrole 激活角色
set role all
set role all except role1,...
set role none
set role testrole1 identified by xxx

权限回收
REVOKE role [,role] FROM {user|role|PUBLIC} [,{user|role|PUBLIC}]
revoke testrole1 from username ;
revoke testrole1 from public ;
权限回收的时候，with admin option传递出去的权限也全部被回收

系统权限可以传递，但对象权限不能传递
grant select on authours to testrole with grant option ;
这个语句将无法执行。

删除ROLE
drop role testrole; --所有用户或者权限中包含的该角色被回收删除


获取角色信息
dba_roles：列举数据库中存在的所有角色
dba_role_privs：roles granted to the users and roles
role_role_privs：roles that are granted to roles
dba_sys_privs：system privileges granted to users and roles
role_sys_privs：system privileges granted to roles
role_tab_privs：object privileges granted to roles
session_roles：roles enabled for current user


ORACLE预定义的角色

角色        创建者        包含的权限说明
connect        sql.bsq        alter session,create cluster,
create database link,create sequence,
create session,create synonym,
create table,create view
resource        sql.bsq        create cluster,create indextype,
craate operator, create procedure,
create sequence ,create table ,
create trigger ,create type
dba        sql.bsq        所有带有with admin option的系统权限
exp_full_database        catexp.sql        提供执行完整的和增量的数据库输出所需要的权限，包括：select any table,
backup any table,execute any procedure,
execute any type,administer resource manager
和对表sys.incvid,sys.incfil,sys.incexp进行insert,delete和update，也包含下面的角色：
execute_catalog_role
select_catalog_role
imp_full_database        catexp.sql        提供执行完整的数据库输入所需要的权限，包含一个系统全县的扩展表（使用视图权限表dba_sys_privs来查询这些权限）和如下角色：
execute_catalog_role
select_catalog_role
delele_catalog_role        sql.bsq        提供对审计表（aud$）的delete权限
execute_catalog_role        sql.bsq        提供执行在数据字典中的对象的execute权限，还包括角色hs_admin_role
select_catalog_role        sql.bsq        提供选取在数据字典中的对象的select权限，还包括角色hs_admin_role
recovery_catalog_owner        catalog.sql        为恢复目录的拥有者提供权限，包括：
create session,alter session,create synonym,
create view,create database link,
create table,create cluster,
create sequence,create trigger
create procedure
hs_admin_role        caths.sql        用来防止对HS（异构服务）数据字典表（授予select）和包（授予execute）的访问，它被授予select_catalog_role和execute_catalog_role角色，使得有一般数据字典访问权限的用户都可以访问HS数据字典。



4.1 权限分类
权限可分为系统权限和对象权限。

4.2 系统权限
1)权限举例
category        examples
index        Create any index
                Alter any index
                Drop any index
table        Create table
                Create any table
                Alter any table
                Drop any table
               Select any table
                Update any table
               Delete any table
session        Create session
               Alter session
              Restricted session
tablespace        Create tablespace
                                Alter tablespace
                                 Drop tablesapce
                                Unlimited tablespace
create table
create any table
这两个权限是不一样的，后者可以创建其他的用户的table
常规权限授予：
grant connect,resource,dba to user;

2)sysdba 和 sysoper两个权限的区别
Category        examples
sysoper        Startup |Shutdown
                Alter database open|mount
                Alter database backup controlfile to
                Revoke database
                Alter database archivelog|noarchivelog
                Restricted session
sysdba        Sysoper privileges with admin option
                Create database
                Alter tablespace begin/end backup
                Restricted session
                Revoke database until
3)参数o7_DICTIONARY_ACCESSIBILITY
如果该参数设置为TRUE，则用户被分配了select any table的权限后，用户就可以查看属于SYS用户的关于数据字典的相关视图等。
如果该参数设置为FALSE，则用户即使被分配select any table的权限，也不能察看数据字典视图。只有以CONNECT AS SYSDBA的用户的才能够查看。
其他的drop any table权限也类似。实际上，这个就是保护数据字典的一个参数，限制ANY权限在数据字典上的操作。

4）权限的授予
Grant create table to public ; --这就意味着将create table权限赋给所有人。
grant create table to test1 with admin option ;  --test1获得将create table传递给第三个人的权限。

5)系统权限的传递性：
sys ->(grant to) user1 ->(grant to) user2
权限传递之后，sys <-(revoke from) user1  ，user1的权限被回收，但user2的不受影响。
4.3 对象权限
只有该对象的owner（schema）才能将权限传递给其他人。
GRANT { object_privilege [(column_list)]
         [, object_privilege [(column_list)] ]...
         |ALL [PRIVILEGES]}
ON        [schema.]object
TO        {user|role|PUBLIC}[, {user|role|PUBLIC} ]...
        [WITH GRANT OPTION]

REVOKE { object_privilege
                [, object_privilege ]...
                | ALL [PRIVILEGES] }
ON        [schema.]object
FROM {user|role|PUBLIC}
                [, {user|role|PUBLIC} ]...
                [CASCADE CONSTRAINTS]

对象权限的传递性：
original schema ->(grant to) user1 ->(grant to) user2
权限传递之后，original schema <-(revoke from) user1  ，user1的权限被回收，user2的权限也被收回。