DB2 授权简介 
DB2授权控制数据库安全计划的以下方面：
用户被授予的权限级别 
允许用户运行的命令 
允许用户读取和/或修改的数据 
允许用户创建、修改和/或删除的数据库对象
授权由特权组和高级数据库管理程序（实例级）维护和实用操作组成。在DB2可用的5种权限中，SYSADM、SYSCTRL 和SYSMAINT是实例级权限 。这意味着它们的范围包含实例级命令以及针对这个实例中的所有数据库的命令。这些权限只能分配给组；可以通过DBM CFG文件分配这些权限。
针对特定数据库的DBADM和LOAD权限可以分配给用户或用户组。可以使用GRANT命令显式地分配这些权限。
以下几节描述如何分配每种权限以及允许拥有此权限的用户执行哪些命令。
注意，任何提到组成员关系的地方都假设在操作系统级上已经定义了这些用户和组名。
用户可以通过发出以下命令来判断自己拥有哪些权限和数据库级特权：
$db2 get authorizations 
获得SYSADM权限 
DB2中的SYSADM权限就像是UNIX上的根权限或Windows上的Administrator 权限。对一个DB2实例拥有SYSADM权限的用户能够对这个实例、这个实例中的任何数据库以及这些数据库中的任何对象发出任何DB2命令。他们还能够访问数据库中的数据以及对其他用户授予或撤消特权或权限。只允许SYSADM用户更新DBM CFG文件。
SYSADM权限由DBM CFG文件中的SYSADM_GROUP参数控制。在Windows上，在创建实例时，这个参数设置为 Administrator（但是，如果发出命令 db2 get dbm cfg ，它看起来是空的）。在 UNIX 上，它设置为创建这个实例的用户的主组。
因为只允许SYSADM用户更新DBM CFG文件，所以只有他们能够向其他组授予任何SYS*权限。以下示例演示如何向 db2grp1 组授予 SYSADM 权限：
db2 update dbm cfg using SYSADM_GROUP db2grp1 
请记住，这一修改直到实例停止并重新启动之后才会生效。还要记住，如果您当前不是作为 db2grp1 组的成员登录的，那么就无权重新启动实例！您必须注销并用正确的组中的 ID 重新登录，或者将自己当前的ID添加进 db2grp1 组中。
获得SYSCTRL权限 
拥有SYSCTRL权限的用户可以在实例中执行所有管理和维护命令。但是，与SYSADM用户不同，他们不能访问数据库中的任何数据，除非他们被授予了访问数据所需的特权。SYSCTRL 用户可以对实例中的任何数据库执行的命令示例如下： 
db2start/db2stop
db2 create/drop database
db2 create/drop tablespace
db2 backup/restore/rollforward database
db2 runstats （针对任何表）
db2 update db cfg for database dbname 
拥有 SYSADM 权限的用户可以使用以下命令将 SYSCTRL 分配给一个组：
db2 update dbm cfg using SYSCTRL_GROUP group name 
获得SYSMAINT权限 
拥有SYSMAINT权限的用户可以发出的命令是拥有SYSCTRL权限的用户可以发出的命令的子集。SYSMAINT 用户只能执行与维护相关的任务，比如：
db2start/db2stop
db2 backup/restore/rollforward database
db2 runstats （针对任何表）
db2 update db cfg for database dbname 
注意，拥有SYSMAINT权限的用户不能创建或删除数据库或表空间。他们也不能访问数据库中的任何数据，除非他们被显式地授予访问数据所需的特权。
如果您拥有 SYSADM 权限，那么可以使用以下命令将 SYSMAINT 权限分配给一个组：
db2 update dbm cfg using SYSMAINT_GROUP group name 
获得DBADM权限 
DBADM 权限是一个数据库级权限，而不是实例级权限。DBADM用户对一个数据库有几乎完全的控制能力。DBADM用户不能执行某些维护或管理任务，比如：
drop database
drop/create tablespace
backup/restore databasedb2数据库安装
update db cfg for database db name 
但是，他们可以执行以下任务：
db2 create/drop table
db2 grant/revoke （任何特权）
db2 runstats （任何表） 
DBADM用户还被自动地授予对数据库对象及其内容的所有特权。因为 DBADM 权限是一个数据库级权限，所以它可以被分配给用户和用户组。以下命令演示授予DBADM 权限的不同
方法。 
db2 create database test 
这个命令将数据库test上的DBADM权限隐式地授予发出此命令的用户。
db2 connect to sample
db2 grant dbadm on database to user tst1 
这个命令只能由 SYSADM 用户发出；它向用户 tst1 授予示例数据库上的DBADM权限。注意，在授予DBADM权限之前，发出这个命令的用户必须连接到示例数据库。
db2 grant dbadm on database to group db2grp1 
这个命令将 DBADM 权限授予 db2grp1 组中的每个用户。同样，只有 SYSADM 用户能够发出这个命令。
获得LOAD权限 
LOAD权限是一个数据库级权限，所以它可以被分配给用户和用户组。顾名思义，LOAD权限允许用户对表发出LOAD命令。当用大量数据填充表时，LOAD命令通常用来替代插入或导入命令，它的速度更快。根据您希望执行的LOAD 操作类型，仅仅拥有 LOAD权限可能还不够。可能还需要表上的特定特权。
拥有LOAD权限的用户可以运行以下命令：
db2 quiesce tablespaces for table
db2 list tablespaces
db2 runstats （任何表）
db2 load insert （必须有表上的插入特权）
db2 load restart/terminate after load insert （必须有表上的插入特权）
db2 load replace （必须有表上的插入和删除特权）
db2 load restart/terminate after load replace （必须有表上的插入和删除特权） 
只有拥有SYSADM或DBADM权限的用户能够对用户或用户组授予或撤消 LOAD 权限。以下示例演示LOAD权限如何允许我们的用户使用 LOAD 命令将数据装载进 sales 表中。假设已经发出了命令 db2 connect to sample 。
db2 grant load on database to user tst1
db2 grant insert on table sales to user tst1 
有了 LOAD 权限和插入特权，tst1 就可以对 sales 表发出 LOAD INSERT 或 LOAD RESTART ，或者在LOAD INSERT之后发出TERMINATE 。
db2 grant load on database to group grp1
db2 grant delete on table sales to group grp1
db2 grant insert on table sales to group grp1
有了 LOAD 权限以及删除和插入特权，grp1的任何成员就可以对sales表发出 LOAD REPLACE 或 LOAD RESTART ，或者在 LOAD REPLACE 之后发出 TERMINATE 。
DB2对象特权
用户可以拥有的数据库级特权有：
CREATETAB： 用户可以在数据库中创建表。
BINDADD： 用户可以使用BIND命令在数据库中创建包。
CONNECT： 用户可以连接数据库。
CREATE_NOT_FENCED： 用户可以创建unfenced用户定义函数（UDF）。
IMPLICIT_SCHEMA： 用户可以在数据库中隐式地创建模式，而不需要使用 CREATE SCHEMA 命令。
LOAD： 用户可以将数据装载进表中。
QUIESCE_CONNECT： 用户可以访问处于静默（quiesced）状态的数据库。
CREATE_EXTERNAL_ROUTINE： 用户可以创建供应用程序和数据库的其他用户使用的过程。
数据库对象 包括表、视图、索引、模式和包。幸运的是，大多数对象级特权的意义无需解释。下表总结了这些特权。
特权名称
相关对象
描述
CONTROL
表、视图、索引、包、别名、不同的类型、用户定义函数、序列
提供对对象的全部权限。拥有这种特权的用户还可以向其他用户授予或撤消对对象的特权。
DELETE
表、视图
允许用户从对象中删除记录。
INSERT
表、视图
允许用户通过 INSERT 或 IMPORT 命令将记录插入对象中。
SELECT
表、视图
提供使用选择语句来查看对象内容的能力。
UPDATE
表、视图
允许用户使用更新语句修改对象中的记录。
ALTER
表
允许用户使用更改语句更改对象定义。
INDEX
表
允许用户使用创建索引语句在对象上创建索引。
REFERENCES
表
提供在对象上创建或删除外键约束的能力。
BIND
包
允许用户重新绑定现有的包。
EXECUTE
包、过程、函数、方法
允许用户执行包和例程。
ALTERIN
模式
允许用户修改模式中的对象定义。
CREATEIN
模式
允许用户在模式中创建对象。
DROPIN
模式
允许用户删除模式中的对象。
关于对象级特权的信息存储在系统编目视图中。视图名称是syscat.tabauth 、lauth、syscat.indexauth 、syscat.schemaauth 、utineauth 和 syscat.packageauth 。

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。