数据库5—数据库基础·数据库安全和备份恢复

数据库知识 - 索引目录

一、数据库安全性

1、用户权限和角色管理

用户权限和角色管理用于控制用户对数据库对象的访问和操作权限，以确保数据的保密性、完整性和可用性。

1.1 用户权限

用户权限是指用户对数据库对象（表、视图、存储过程等）执行特定操作的权利。常见的数据库操作权限包括：

1. SELECT（查询）： 允许用户从表或视图中检索数据。
2. INSERT（插入）： 允许用户向表中插入新数据。
3. UPDATE（更新）： 允许用户修改表中已有的数据。
4. DELETE（删除）： 允许用户从表中删除数据。
5. CREATE（创建）： 允许用户创建新的数据库对象，如表或视图。
6. ALTER（修改）： 允许用户修改已存在的数据库对象的结构，如表结构的更改。
7. DROP（删除）： 允许用户删除数据库对象，如表或视图。
8. GRANT（授权）： 允许用户授予其他用户某些权限。

1.2 角色管理

角色是一组权限的集合，可以将角色分配给用户，以简化权限管理。通过给角色分配权限，可以更方便地管理大量用户的权限。例如，可以创建一个“管理员”角色，赋予该角色对所有表的完全权限，然后将管理员用户分配到这个角色中。

1.3 示例

我们有一个简化的学生信息管理数据库，包含学生表（students）：

学生表（students）：
+--------+------------+--------+
| 学生ID | 姓名         | 年龄   |
+--------+------------+--------+
| 1      | 张三         | 20     |
| 2      | 李四         | 22     |
+--------+------------+--------+

现在，我们创建两个用户和一个角色：

1. 用户A（student_editor）：具有对学生表的SELECT、INSERT、UPDATE权限。
2. 用户B（admin_user）：具有对学生表的所有权限，并且可以GRANT权限给其他用户。
3. 角色C（readonly_role）：具有对学生表的SELECT权限。

然后，将用户A分配到角色C，以便他只能查询学生表，而用户B被分配到管理员角色，具有对学生表的完全控制权限。

-- 创建用户
CREATE USER student_editor IDENTIFIED BY 'password';
CREATE USER admin_user IDENTIFIED BY 'admin_password';

-- 创建角色
CREATE ROLE readonly_role;

-- 赋予角色权限
GRANT SELECT ON students TO readonly_role;
GRANT ALL PRIVILEGES ON students TO admin_user;

-- 将用户分配到角色
GRANT readonly_role TO student_editor;

这样，用户A只能查询学生表，而用户B具有完全的权限。通过使用角色，可以更灵活地管理用户权限，特别是在有大量用户和复杂权限需求的情况下。

2、数据加密和审计

数据加密和审计有助于保护数据库中的敏感信息并跟踪数据库操作。

2.1 数据加密

数据加密是通过使用算法将数据库中的数据转换为不可读的形式，以防止未经授权的访问。主要有两种类型的数据加密：

1. 数据传输加密： 保护数据在传输过程中的安全性，通常通过使用安全套接字层（SSL）或传输层安全性（TLS）协议实现。

2. 数据存储加密： 保护数据在数据库中的存储，通常通过使用加密算法对特定列或整个表进行加密。

数据传输加密示例

我们有一个用户表：

用户表（users）：

用户ID	用户名	密码
1	Alice	123456
2	Bob	abcdef

通过使用SSL/TLS协议，可以确保在用户登录时，用户名和密码在传输过程中是加密的，防止中间人攻击。

简单示例：展示使用SSL/TLS保护数据库中的数据传输

数据传输加密通常通过使用SSL/TLS协议来实现。

步骤：

1. 准备工作： 首先，确保数据库服务器和客户端都支持SSL/TLS。大多数主流数据库系统（如MySQL、PostgreSQL、SQL Server）都支持SSL/TLS。

2. 生成SSL证书和密钥： 为了使用SSL/TLS，你需要生成SSL证书和私钥。这通常可以通过以下步骤完成：

   • 生成私钥：

     openssl genpkey -algorithm RSA -out server-key.pem
     

   • 生成证书签名请求（CSR）：

     openssl req -new -key server-key.pem -out server-csr.pem
     

   • 生成自签名证书：

     openssl x509 -req -in server-csr.pem -signkey server-key.pem -out server-cert.pem
     

   在实际生产环境中，可能会使用由受信任的证书颁发机构（CA）签名的证书。

3. 配置数据库服务器： 配置数据库服务器以使用生成的SSL证书和私钥。具体配置方式因数据库系统而异。

   • 对于MySQL，你可以在配置文件中添加以下行：

     [mysqld]
     ssl-key = /path/to/server-key.pem
     ssl-cert = /path/to/server-cert.pem
     

   • 对于PostgreSQL，你可以在配置文件中添加以下行：

     ssl = on
     ssl_cert_file = '/path/to/server-cert.pem'
     ssl_key_file = '/path/to/server-key.pem'
     

4. 配置数据库客户端： 配置数据库客户端以使用SSL/TLS连接到服务器。这同样取决于数据库系统。

   • 对于MySQL客户端，你可以在连接参数中添加以下选项：

     mysql --ssl-key=/path/to/client-key.pem --ssl-cert=/path/to/client-cert.pem --ssl-ca=/path/to/ca-cert.pem -u your_username -p
     

   • 对于PostgreSQL客户端，你可以在连接字符串中添加以下选项：

     psql "sslkey=/path/to/client-key.pem sslcert=/path/to/client-cert.pem sslrootcert=/path/to/ca-cert.pem user=your_username dbname=your_database"
     

5. 测试SSL连接： 确保SSL连接正常工作，你可以尝试连接到数据库并执行一些查询。

   SHOW STATUS LIKE 'Ssl_cipher';
   

   如果连接是加密的，将显示使用的加密算法。

数据存储加密示例

我们对用户表的密码列进行数据存储加密：

-- 创建加密密钥
CREATE KEY my_key WITH ALGORITHM = AES_256;

-- 加密密码列
UPDATE users
SET 密码 = ENCRYPT_AES(密码, my_key);

2.2 审计

审计是记录和监控数据库操作的过程，以便跟踪谁在何时访问数据库，并了解执行了哪些操作。审计信息对于检测潜在的安全威胁、合规性要求和故障排除都至关重要。

审计示例

我们对用户表的操作进行审计，记录用户的登录和修改密码操作：

-- 启用审计
ALTER DATABASE my_database SET AUDIT ON;

-- 创建审计规则
CREATE AUDIT POLICY user_audit_pol
ACTIONS (SELECT, UPDATE)
ON users;

-- 启用审计规则
ALTER DATABASE my_database SET AUDIT POLICY user_audit_pol;

-- 查询审计日志
SELECT * FROM sys.aud$;

这样，数据库将记录用户对用户表的SELECT和UPDATE操作，审计日志可用于后续分析。

二、备份与恢复

1、数据库备份的类型

数据库备份与恢复通常是在考虑如何保护数据库中的数据，以便在发生故障、错误或数据丢失时能够迅速地还原数据库到之前的状态。

1.1 数据库备份的类型

1. 完整备份（Full Backup）：

   • 完整备份是对整个数据库的一份复制，包括所有表、索引、存储过程等。
   • 这是最基本的备份类型，可以用于恢复整个数据库。

2. 差异备份（Differential Backup）：

   • 差异备份仅包含上一次完整备份之后发生变化的数据。
   • 这样可以减少备份文件的大小，但恢复时需要先还原完整备份，再应用差异备份。

3. 事务日志备份（Transaction Log Backup）：

   • 事务日志备份记录了数据库中所有的事务操作。
   • 这种备份类型允许你将数据库还原到某个特定的事务点。

4. 增量备份（Incremental Backup）：

   • 增量备份包含自上一次备份以来发生的所有变化。
   • 与差异备份不同，增量备份是相对于上一次增量备份或完整备份的。

2、备份与恢复的基本流程

1. 完整备份（Full Backup）

• 备份操作：

  BACKUP DATABASE YourDatabaseName TO DISK = 'C:\Backup\FullBackup.bak' WITH INIT;
  

  这将创建一个包含整个数据库状态的完整备份文件。

• 恢复操作：

  RESTORE DATABASE YourDatabaseName FROM DISK = 'C:\Backup\FullBackup.bak' WITH NORECOVERY;
  

  这将还原数据库到完整备份的状态，但保持数据库处于恢复状态，允许进一步的恢复操作。

2. 差异备份（Differential Backup）

• 备份操作：

  BACKUP DATABASE YourDatabaseName TO DISK = 'C:\Backup\DiffBackup.bak' WITH DIFFERENTIAL;
  

  这将创建一个包含自上一次完整备份以来发生变化的数据的差异备份文件。

• 恢复操作：

  RESTORE DATABASE YourDatabaseName FROM DISK = 'C:\Backup\FullBackup.bak' WITH NORECOVERY;
  RESTORE DATABASE YourDatabaseName FROM DISK = 'C:\Backup\DiffBackup.bak' WITH RECOVERY;
  

  这先还原完整备份，然后应用差异备份，完成整个数据库的恢复。

3. 事务日志备份（Transaction Log Backup）

• 备份操作：

  BACKUP LOG YourDatabaseName TO DISK = 'C:\Backup\LogBackup.trn';
  

  这将创建一个事务日志备份文件，记录数据库中所有的事务操作。

• 恢复操作：

  RESTORE DATABASE YourDatabaseName FROM DISK = 'C:\Backup\FullBackup.bak' WITH NORECOVERY;
  RESTORE LOG YourDatabaseName FROM DISK = 'C:\Backup\LogBackup.trn' WITH RECOVERY;
  

  这先还原完整备份，然后应用事务日志备份，完成整个数据库的恢复。

4. 增量备份（Incremental Backup）

• 备份操作：

  BACKUP DATABASE YourDatabaseName TO DISK = 'C:\Backup\IncrementalBackup.bak' WITH INCREMENTAL;
  

  这将创建一个包含自上一次备份以来发生的所有变化的增量备份文件。

• 恢复操作：

  RESTORE DATABASE YourDatabaseName FROM DISK = 'C:\Backup\FullBackup.bak' WITH NORECOVERY;
  RESTORE DATABASE YourDatabaseName FROM DISK = 'C:\Backup\IncrementalBackup.bak' WITH RECOVERY;
  

  这先还原完整备份，然后应用增量备份，完成整个数据库的恢复。