理解 Oracle 多租户体系中（12c,18c,19c）Grant授权作用域范围
2019-10-31 11:55 askscuti 阅读(1436) 评论(0) 编辑 收藏 举报本篇探讨以下几个问题：你可提前猜测下面6个场景语句中，哪几个授权可以成功执行？
1. 在CDB级别中对用户进行授权，不带 container 子句的效果；
2. 在CDB级别中对用户进行授权，带 container=all 子句的效果；
3. 在CDB级别中对用户进行授权，带 container=current 子句的效果；
4. 在PDB级别中对用户进行授权，不带 container 子句的效果；
5. 在PDB级别中对用户进行授权，带 container=all 子句的效果；
6. 在PDB级别中对用户进行授权，带 container=current 子句的效果；
在理解上面问题之前，我们需要提前约定，就是需要提前知道：
1. CDB级别创建的用户或角色称为公共用户或角色，PDB级别创建的用户或角色称为本地用户或角色。且CDB级别无法对公共用户和角色无法进行 container=current 操作，PDB级别无法对本地用户进行 container=all 操作。
2. 公共用户和角色命名规则对应参数 common_user_prefix ，该参数值默认为 C##。所以，在CDB级别创建公共用户或角色，需要带 C##（也可以更改参数值，但不建议）。
3. PDB$SEED 仅为种子容器，对应 CON_ID 为 2，只读模式，不参与讨论。
演示数据库版本：18.3.0.0.0（18c）
目录
1. CDB 授权不带 container 默认
2. CDB 授权带 container=all
3. CDB 授权带 container=current
4. PDB 授权不带 container 默认
5. PDB 授权带 container=all
6. PDB 授权带 container=current
1. CDB 授权不带 container 默认
CDB创建测试用户
SQL> create user c##admin identified by admin; User created. # 需要注意：CDB级别中这个语句和带 container=all 语句效果一样
该语句创建的用户，将作用于CDB和所有PDB。详情参考《理解 Oracle 多租户体系中（12c,18c,19c）创建用户作用域范围》一文
SQL> select username,common,con_id from cdb_users where username='C##ADMIN'; USERNAME COMMON CON_ID --------------- ------ ---------- C##ADMIN YES 1 C##ADMIN YES 3
对该用户进行授权，不带 container 子句
SQL> grant create session to c##admin; Grant succeeded. # 授权成功后，请问 c##admin 用户能否登陆CDB？能否登陆PDB？
验证该用户是否可以登录CDB和PDB
SQL> conn c##admin/admin@cdb18c Connected. # CDB可以进行登录 SQL> conn c##admin/admin@orders ERROR: ORA-01045: user C##ADMIN lacks CREATE SESSION privilege; logon denied Warning: You are no longer connected to ORACLE. # PDB无法进行登录
结论：公共用户在进行授权不带 container 子句，默认仅作用于CDB级别。
2. CDB 授权带 container=all
CDB创建测试用户
SQL> conn / as sysdba Connected. SQL> create user c##admin1 identified by admin1; User created.
该语句创建的用户，将作用于CDB和所有PDB。
SQL> select username,common,con_id from cdb_users where username='C##ADMIN1'; USERNAME COMMON CON_ID --------------- ------ ---------- C##ADMIN1 YES 1 C##ADMIN1 YES 3
对该用户进行授权，带 container=all 子句
SQL> grant create session to c##admin1 container=all; Grant succeeded.
验证该用户是否可以登录CDB和PDB
SQL> conn c##admin1/admin1@cdb18c Connected. # CDB可以进行登录 SQL> conn c##admin1/admin1@orders Connected. # PDB可以进行登录
结论：公共用户在进行授权带 container=all 子句，默认作用于CDB和所有PDB。
3. CDB 授权带 container=current
CDB创建测试用户
SQL> conn / as sysdba Connected. SQL> create user c##admin2 identified by admin2; User created.
该语句创建的用户，将作用于CDB和所有PDB。
SQL> select username,common,con_id from cdb_users where username='C##ADMIN2'; USERNAME COMMON CON_ID --------------- ------ ---------- C##ADMIN2 YES 1 C##ADMIN2 YES 3
对该用户进行授权，带 container=current 子句
SQL> grant create session to c##admin2 container=current; Grant succeeded.
验证该用户是否可以登录CDB和PDB
SQL> conn c##admin2/admin2@cdb18c Connected. # CDB可以进行登录 SQL> conn c##admin2/admin2@orders ERROR: ORA-01045: user C##ADMIN2 lacks CREATE SESSION privilege; logon denied Warning: You are no longer connected to ORACLE. # PDB无法进行登录
结论：公共用户在进行授权带 container=current 子句，默认仅作用于CDB级别，和不带container子句效果一致。
4. PDB 授权不带 container 默认
PDB创建测试用户
SQL> conn sys/oracle@orders as sysdba Connected. SQL> show pdbs CON_ID CON_NAME OPEN MODE RESTRICTED ---------- ------------------- ---------- ---------- 3 ORDERS READ WRITE NO
SQL> create user padmin identified by padmin; User created.
该语句创建的用户，将作用于当前PDB。
SQL> select username,common,con_id from cdb_users where username='PADMIN'; USERNAME COMMON CON_ID --------------- ------ ---------- PADMIN NO 3
对该用户进行授权，不带 container 子句
SQL> grant create session to padmin; Grant succeeded.
验证该用户是否可以登录当前PDB
SQL> conn padmin/padmin@orders Connected.
# PDB可以进行登录
结论：本地用户在进行授权不带 container 子句，默认仅作用于当前PDB级别。
5. PDB 授权带 container=all
PDB创建测试用户
SQL> create user padmin1 identified by padmin1; User created.
该语句创建的用户，将作用于当前PDB。
SQL> select username,common,con_id from cdb_users where username='PADMIN1'; USERNAME COMMON CON_ID ---------- ------ ---------- PADMIN1 NO 3
对该用户进行授权，带 container=all 子句
SQL> grant create session to padmin1 container=all; grant create session to padmin1 container=all * ERROR at line 1: ORA-65030: cannot grant a privilege commonly to a local user or role # 报错，无法进行本地用户的 container=all 授权
结论：本地用户在进行权限授权时，无法使用 container=all 子句。
6. PDB 授权带 container=current
针对上面PDB用户 padmin1 能否使用 container=current 子句进行授权？
SQL> grant create session to padmin1 container=current; Grant succeeded. SQL> conn padmin1/padmin1@orders Connected.
结论：本地用户在进行权限授权时，使用 container=current 子句，作用域为当前PDB。
综上：
1. 在CDB级别中对用户进行授权，不带 container 子句的效果： 仅作用于当前CDB
2. 在CDB级别中对用户进行授权，带 container=all 子句的效果：作用于当前CDB和所有PDB
3. 在CDB级别中对用户进行授权，带 container=current 子句的效果：仅作用于当前CDB
4. 在PDB级别中对用户进行授权，不带 container 子句的效果：仅作用于当前PDB
5. 在PDB级别中对用户进行授权，带 container=all 子句的效果：X错误X PDB级别不能使用 ALL
6. 在PDB级别中对用户进行授权，带 container=current 子句的效果：仅作用于当前PDB
