사용자를 새로 생성하거나 변경, 제거하기 위해서는 DBA 특권을 가진 사용자로 Tibero에 접속한다.

Tibero에서는 기본적으로 SYS라는 사용자를 제공한다. SYS 사용자는 Tibero를 설치하는 과정에서 생기는 계정으로 DBA 역할이 부여된다.

SYS 사용자로 Tibero에 접속하는 방법은 다음과 같다.

$ tbsql SYS/tibero

tbSQL 7 

TmaxData Corporation Copyright (c) 2008-. All rights reserved.

Connected to Tibero.

SQL>

SYS 사용자는 DBA의 역할이 부여된 만큼 될 수 있으면 다른 사용자 계정을 사용할 것을 권장한다.

데이터베이스 사용자가 계정에 접속할 수 없도록 계정을 잠금 상태로 설정하거나 잠금 상태를 해제할 수 있다.

SQL> ALTER USER Peter ACCOUNT LOCK;

User 'PETER' altered.

계정 잠금 상태에서 해당 계정에 접속을 시도하면 다음과 같은 오류 코드와 함께 접속이 중단된다.

SQL> conn peter/abcd;
TBR-17006: Account is locked.

No longer connected to server.

계정 잠금을 해제하려면 다음의 SQL을 수행한다.

SQL> ALTER USER Peter ACCOUNT UNLOCK;

User 'PETER' altered.

프로파일 설정에 따라 패스워드 사용 기한이 만료되거나 패스워드 오류 횟수 초과 등으로 계정 잠금 상태가 된 경우에도 동일한 방법으로 잠금을 해제할 수 있다.

사용자 생성은 보안 정책에 따라 데이터베이스 보안 정책을 따르는 사용자 생성과 운영체제(OS) 인증 정책을 따르는 사용자 생성으로 구분된다.

운영체제(OS) 인증을 사용하는 사용자 계정은 다음과 같이 생성할 수 있다.

SQL> CREATE USER OSA$Steve                  ... ① ...
            IDENTIFIED externally           ... ② ...

시스템 특권도 WITH ADMIN OPTION을 이용하여 다른 사용자에게 특권을 부여할 수 있다. 단, 특권을 부여할 때에는 해당 특권을 소유하고 있어야 한다.

다음은 시스템 특권을 가지고 있는 사용자 SYS가 Susan에게 WITH ADMIN OPTION과 함께 GRANT SELECT ANY TABLE 특권을 부여하는 예이다.

SQL> conn SYS/tibero
Connected to Tibero.

SQL> GRANT SELECT ANY TABLE TO Susan WITH ADMIN OPTION;
Granted.

사용자 Susan은 SYS 사용자에게 부여 받은 시스템 특권을 다른 사용자에게 부여할 수 있는 권한이 생성된다. 즉, 다른 사용자에게 데이터베이스 내의 모든 테이블을 조회할 수 있는 특권을 부여할 수 있다는 의미이다.

WITH ADMIN OPTION과 함께 부여된 특권은 WITH GRANT OPTION과는 달리 연속적으로 회수되지 않는다.

다음은 사용자 Susan이 사용자 SYS로부터 부여받은 특권을 Peter에게 부여하는 예이다.

SQL> conn Susan/abcd
Connected to Tibero.

SQL> GRANT SELECT ANY TABLE TO Peter;
Granted.

다음과 같이 Susan에게 부여한 시스템 특권을 회수하더라도 사용자 Susan이 Peter에게 부여한 시스템 특권은 그대로 유지된다.

SQL> conn SYS/tibero
Connected to Tibero.

SQL> REVOKE SELECT ANY TABLE FROM Susan;

다음은 프로파일을 생성하는 예이다.

SQL> CREATE PROFILE prof LIMIT
      failed_login_attempts 3
      password_lock_time 1/1440
      password_life_time 90
      password_reuse_time unlimited
      password_reuse_max 10
      password_grace_time 10
      password_verify_function verify_function;

Profile 'PROF' created.

위 예제에서 보았듯이 프로파일을 생성, 변경할 때는 세부적인 파라미터를 지정할 수 있다.

다음은 사용자 계정을 생성할 때 프로파일을 지정하는 예이다.

SQL> CREATE USER Peter IDENTIFIED BY abcd PROFILE prof;

User 'PETER' created.

다음은 prof1 프로파일에서 Default 프로파일로 변경하는 예이다. Default 프로파일은 데이터베이스를 생성할 때 기본으로 함께 생성되는 프로파일이다.

SQL> ALTER USER Peter PROFILE default;

User 'PETER' altered.

프로파일 관련 정보는 다음과 같이 확인할 수 있다.

SQL> select * from dba_profiles;
 
PROFILE   RESOURCE_NAME             RESOURCE_TYPE LIMIT
--------- ------------------------- ------------- ---------------
DEFAULT   FAILED_LOGIN_ATTEMPTS     PASSWORD      UNLIMITED
DEFAULT   PASSWORD_LIFE_TIME        PASSWORD      UNLIMITED
DEFAULT   PASSWORD_REUSE_TIME       PASSWORD      UNLIMITED
DEFAULT   PASSWORD_REUSE_MAX        PASSWORD      UNLIMITED
DEFAULT   PASSWORD_VERIFY_FUNCTION  PASSWORD      NULL_VERIFY_FUNCTION
DEFAULT   PASSWORD_LOCK_TIME        PASSWORD      1
DEFAULT   PASSWORD_GRACE_TIME       PASSWORD      UNLIMITED
DEFAULT   LOGIN_PERIOD              PASSWORD      UNLIMITED

16 rows selected.

다음은 사용자별로 적용된 프로파일 정보를 조회하는 예이다. PETER라는 사용자에 T_PROF라는 프로파일이 할당된 상황을 확인할 수 있다.

SQL> select username, profile from dba_users;
 
USERNAME   PROFILE
---------- ----------
USER1      
PETER      T_PROF
OUTLN      
SYSGIS     
SYSCAT     
SYS        
 
6 rows selected.

다음은 역할을 생성하거나 변경, 특권을 부여하는 예이다. 사용자 SYS로 접속하여 사용자 Peter에게 CREATE ROLE, ALTER ANY ROLE, GRANT ANY ROLE 특권을 부여하고 있다.

SQL> conn SYS/tibero
Connected to Tibero.

SQL> GRANT CREATE ROLE, ALTER ANY ROLE, GRANT ANY ROLE TO Peter;
Granted.

다음은 역할을 생성하는 예이다.

SQL> CREATE ROLE APP_USER;
Role 'APP_USER' created.

SQL> GRANT CREATE SESSION TO APP_USER;
Granted.

SQL> CREATE ROLE CLERK;
Role 'CLERK' created.

SQL> GRANT SELECT, INSERT ON Peter.EMPLOYEE TO CLERK;
Granted.

SQL> GRANT SELECT, INSERT ON Peter.TIME_CARDS TO CLERK;
Granted.

SQL> GRANT SELECT, INSERT ON Peter.DEPARTMENT TO CLERK;
Granted.

다음은 본 예제를 기준으로 생성된 역할에 대한 설명이다.

역할을 다른 역할에게 부여할 수 있다. 예를 들면 다음과 같이 역할 APP_USER를 역할 CLERK에 부여할 수 있다.

SQL> GRANT APP_USER TO CLERK;
Granted.

위의 SQL 문장이 실행되면 역할 CLERK을 부여 받은 사용자에게 동시에 역할 APP_USER가 부여되고 역할 CLERK과 APP_USER에 양쪽에 포함된 모든 특권을 사용할 수 있게 된다.

역할을 부여 받은 사용자는 그 역할을 다른 사용자에게 다시 부여할 수 있다. 단, 역할을 부여하는 사용자가 그 역할을 다음과 같이 WITH ADMIN OPTION과 함께 부여 받아야 한다.

SQL> GRANT CLERK TO Susan WITH ADMIN OPTION;
Granted.

SQL> GRANT CLERK TO Peter;
Granted.

위의 GRANT 명령이 실행되면, 사용자 Susan은 부여된 역할을 다시 다른 사용자에게 부여할 수 있으며 그 사용자로부터 역할을 회수할 수도 있다. 하지만 사용자 Peter는 CLERK 역할을 사용만 할 뿐 그 역할을 다시 다른 사용자에게 부여하거나 회수하지는 못 한다.

다른 사용자로부터 역할을 회수시키기 위해서는 REVOKE 명령을 사용해야 한다. DBA는 자신이 직접 부여하지 않은 역할에 대해서도 다른 사용자로부터 회수할 수 있다.

다음은 사용자 Peter와 역할 CLERK으로부터 역할 APP_USER를 회수하는 예이다.

REVOKE APP_USER FROM Peter;
REVOKE APP_USER FROM CLERK;

위의 예에서는 회수 대상이 사용자든 역할이든 문법은 동일하다.

Tibero에서는 빈번하게 사용되는 시스템 특권을 모아 다음과 같은 역할로 미리 정의하고 있다.

LISTENER_PORT 이외의 데이터베이스의 접속 포트를 추가하고 싶은 경우 다음과 같은 설정을 통해 추가 가능하다.

alter system listener add port 8799;

추가한 리스너 포트를 삭제하는 경우 다음과 같은 명령어를 통해 삭제한다.

alter system listener delete port 8799;

EXTRA_LISTENER_PORTS 파라미터를 설정하는 경우 끝부분에 세미콜론(;) 구분자를 넣어야 한다.

<<$TB_SID.tip>>

EXTRA_LISTENER_PORTS=8799;8800;

감사를 설정하거나 해제하려면 AUDIT 또는 NOAUDIT 명령어을 사용한다.

시스템 특권을 감사하기 위해서는 AUDIT SYSTEM 시스템 특권을 부여받아야 한다.

다음은 시스템 특권에 대한 감사를 설정하는 예이다.

SQL> AUDIT create table BY tibero;

Audited.

위의 SQL 문장이 성공하면 tibero라는 사용자가 테이블을 생성하려고 할 때 그것이 성공하든 실패하든 관계 없이 감사 기록을 남긴다.

감사 기록은 $TB_SID.tip 파일에 설정된 AUDIT_TRAIL 파라미터에 따라 데이터베이스 내부 또는 OS 파일에 저장할 수 있다. OS 파일에 감사 기록을 저장하는 경우 파일의 위치와 최대 크기를 각각 $TB_SID.tip 파일의 AUDIT_FILE_DEST 파라미터와 AUDIT_FILE_SIZE 파라미터로 설정할 수 있다.

다음은 감사 기록의 저장 위치를 지정하는 예이다.

<<$TB_SID.tip>>

AUDIT_TRAIL=DB_EXTENDED

위와 같이 설정하면 감사 기록에 포함되는 기본 정보뿐만 아니라 사용자가 실행한 SQL문장까지 데이터베이스에 저장된다.

<<$TB_SID.tip>>

AUDIT_TRAIL=OS
AUDIT_FILE_DEST=/home/tibero/audit/
AUDIT_FILE_SIZE=10M

위와 같이 설정하면 "/home/tibero/audit/audit.log"에 최대 10MB의 크기로 감사 기록이 저장된다.

다음은 저장된 감사 기록의 항목에 대한 설명이다.

AUDIT_TRAIL이 OS일 경우 로그의 형태로 Audit를 남기고, DB 또는 DB_EXTENDED일 경우에는 SYS._DD_AUD 테이블에 Insert를 하여 View 형태로 보여준다.

DBMS_FGA 패키지를 사용하여 사용자가 감사할 조건(policy)을 등록한다. 사용자가 등록한 조건이 맞을 때 SYS.FGA_LOG$ 테이블에 기록이 된다.

다음은 policy를 등록 후 감사 기록이 저장되고 확인하는 예이다.

BEGIN
DBMS_FGA.ADD_POLICY(
  OBJECT_SCHEMA => 'TIBERO',
  OBJECT_NAME => 'T',
  POLICY_NAME => 'FGA_POLICY',
  AUDIT_CONDITION => null,
  AUDIT_COLUMN => 'C1',
  STATEMENT_TYPES => 'SELECT',
  AUDIT_TRAIL => DBMS_FGA.DB + DBMS_FGA.EXTENDED);
END;
/

SQL> SELECT C1 FROM T;

        C1 
---------- 
       123 

1 row selected.

SQL>  SELECT OBJ$SCHEMA, OBJ$NAME, POLICYNAME, LSQLTEXT FROM SYS.FGA_LOG$; 
                                                                           
OBJ$SCHEMA OBJ$NAME   POLICYNAME LSQLTEXT                                  
---------- ---------- ---------- --------------------                      
TIBERO     T          FGA_POLICY SELECT C1 FROM T
      

위의 예제는 DBMS_FGA 패키지의 ADD_POLICY 프러시저를 사용하여 policy를 등록한다. 등록 된 policy의 이름은 FGA_POLICY이며, TIBERO.T 테이블 C1 컬럼이 SELECT 문으로 조회될 때 감사한다. C1 컬럼을 조회한 뒤 SYS.FGA_LOG$에 감사 기록이 저장이 된다.