SCHEMA/DATABASE 내에 새로운 OBJECT 가 생성될때 자동으로 권한을 부여받는 방법

Question

제품 : ORACLE SERVER
작성날짜 : 2002-11-05
SCHEMA/DATABASE 내에 새로운 OBJECT 가 생성될때 자동으로 권한을 부여받는 방법
=====================================================
PURPOSE
schema 나 database 내에 새로운 table 이 생성될 때 application role 에
object privilege 를 grant 하는 operation 을 자동으로 하는 방법에 대해
소개한다.
이 방법은 procedural object, view 와 같은 object type 에도 확장 적용할
수 있으며 database 내의 application object 의 보안을 관리하는 모든
DBA 에게 필요한 자료이다.
Explanation
CREATE 같은 DDL 문과 관련된 trigger 를 fire 시킬 수 있는 user event
를 사용한다.
- DDL trigger 는 database 나 schema 와 관련될 수 있다.
- SCHEMA triger 는 특정 user 에 대해 각 event 에 대해서 fire 된다.
- DATABASE trigger 는 모든 user 에 대해 각 event 에 대해 fire 된다.
Example
SCOTT schema 에 table 이 생성될 때마다, SELECT, INSERT, UPDATE,
DELETE privilege 를 role R1 에 grant 할 필요가 있는 예를 살펴보자.
( 참고로, 다음은 oracle 9i 에서 role R1 이 있다는 전제하에 test 한다.)
1. sys user 에서 새로 생성되는 table 이름을 저장할 table 을 생성한다.
생성된 table 을 특정 schema 또는 PUBLIC 으로 모든 권한을 부여한다.
SQL> connect / as sysdba
Connected.
SQL> drop table event_table;
Table dropped.
SQL> create table event_table
(ora_dict_obj_owner varchar2(30), ora_dict_obj_name varchar2(30));
Table created.
SQL> grant all on sys.event_table to scott;
Grant succeeded.
2. procedure 를 생성한다.
위의 1.에서 생성한 table 로 부터 table name 을 retrieve 하여
role R1 에 table name 의 권한을 부여하고 row 를 삭제한다.
SQL> create or replace PROCEDURE grant_proc AS
own VARCHAR2(30);
nam VARCHAR2(30);
v_cur INTEGER;
cursor pkgs is
select ora_dict_obj_owner, ora_dict_obj_name
from SYS.event_table;
BEGIN
open pkgs;
loop
fetch pkgs into own, nam;
exit when pkgs%notfound;
v_cur := dbms_sql.open_cursor;
dbms_sql.parse(v_cur,
'grant SELECT, INSERT, UPDATE, DELETE on '||own||'.
'||nam|| ' to R1', dbms_sql.native);
dbms_sql.close_cursor(v_cur);
commit;
delete from sys.event_table;
commit;
end loop;
end;
Procedure created.
3. role R1 에 권한을 부여하는 procedure 를 call 하는 job 을 submit
하는 procedure 를 생성한다.
SQL> create or replace procedure grant_job(procname varchar2) as
jobid number := 0;
procnm varchar2(30);
begin
ProcNm := 'Begin '||ProcName||'; End;';
dbms_job.submit(jobid, procnm);
commit;
end;
Procedure created.
4. trigger 를 생성한다.
이 trigger 는 CREATE 문 이후에 fire 되며 위의 1.에서 생성된
table 에 생성된 table 의 이름이 insert 된다.
그리고 role R1 에 object 권한을 부여하는 procedure 를 call 하는
job 을 submit 하는 procedure 를 call 한다.
SQL> CREATE or REPLACE TRIGGER role_update
AFTER CREATE on scott.schema
DECLARE
PRAGMA AUTONOMOUS_TRANSACTION;
BEGIN
IF( ora_sysevent='CREATE' and ora_dict_obj_type = 'TABLE') THEN
insert into sys.event_table values
(ora_dict_obj_owner, ora_dict_obj_name);
grant_job('grant_proc');
END IF;
END;
Trigger created.
5. 다음의 작업으로 확인해 볼 수 있다.
SQL> connect scott/tiger
Connected.
SQL> create table test_trig (c number);
Table created.
SQL> create table test_trig2 (c number);
Table created.
SQL> select * from sys.event_table;
ORA_DICT_OBJ_OWNER ORA_DICT_OBJ_NAME
SCOTT TEST_TRIG
SCOTT TEST_TRIG2
-> 위에서 새로 생성된 table 의 이름들이 insert 되어 있다.
SQL> connect / as sysdba
Connected.
SQL> select * from dba_tab_privs where grantee='R1';
no rows selected
-> job 이 아직 실행되지 않았을 것이다.
SQL> select * from user_jobs;
JOB LOG_USER PRIV_USER
SCHEMA_USER LAST_DATE LAST_SEC THIS_DATE THIS_SEC NEXT_DATE
NEXT_SEC TOTAL_TIME B
INTERVAL
FAILURES
WHAT
NLS_ENV
MISC_ENV INSTANCE
39 SCOTT SYS
SYS 13-SEP-02
11:43:46 0 N
null
Begin grant_proc; End;
NLS_LANGUAGE='AMERICAN' NLS_TERRITORY='AMERICA' NLS_CURRENCY='$' NLS_ISO_CURRENC
Y='AMERICA' NLS_NUMERIC_CHARACTERS='.,' NLS_DATE_FORMAT='DD-MON-RR' NLS_DATE_LAN
GUAGE='AMERICAN' NLS_SORT='BINARY'
0102000000000000 0
-> job 이 실행되는 동안 기다린다.
다시 event_table 을 select 해 본다.
SQL> select * from sys.event_table;
no rows selected
SQL> select * from dba_tab_privs where grantee='R1';
GRANTEE OWNER TABLE_NAME GRANTOR PRIVILEGE GRA HIE
R1 SCOTT TEST_TRIG SCOTT INSERT NO NO
R1 SCOTT TEST_TRIG SCOTT SELECT NO NO
R1 SCOTT TEST_TRIG SCOTT UPDATE NO NO
R1 SCOTT TEST_TRIG SCOTT DELETE NO NO
R1 SCOTT TEST_TRIG2 SCOTT INSERT NO NO
R1 SCOTT TEST_TRIG2 SCOTT SELECT NO NO
R1 SCOTT TEST_TRIG2 SCOTT UPDATE NO NO
R1 SCOTT TEST_TRIG2 SCOTT DELETE NO NO
8 rows selected.
job 이 실행된 후 event_table 은 비워 있고
role R1 은 새로 생성된 2개의 table 에 대한 권한을 받았을 것이다.
SQL> select * from user_jobs;
no rows selected
단, 위에서 설명된 것에 따르면 SCHEMA trigger 는 현재 user 의
schema 에서만 fire 되므로 DBA 가 해당 schema 아래에 table 을 생성한다면 이는 작동되지 않을 것이다.
SQL> connect system/manager
Connected.
SQL> create table SCOTT.TEST_TRIG3 (c number);
Table created.
SQL> select * from dba_tab_privs
where grantee='R1' and table_name='TEST_TRIG3';
no rows selected
scott.schema 대신에 DATABASE 에 같은 trigger 를 생성한다면
schema 내에 생성된 table 은 누가 생성했던지 role R1 은 object 권한을
적절하게 부여 받을 것이다.
Reference Documents
<Note:210693.1>
Oracle9i Application Developer's Guide - Fundamentals
Chapter Working With System Events - Event Attribute Functions
Oracle8i SQL Reference - SQL Statements - CREATE TRIGGER
Oracle8i SQL Reference - SQL Statements - CREATE PROCEDURE

Answer 1