IBM System i 对数据库视图的权限

Question

我们有一个运行 IBM i OS v6r1 的 IBM System i。在这个系统上，我创建了一些数据库视图。我想要做的是让特定的用户组只能访问这些视图，而不是视图所在的库中的其他任何内容。这可能吗？我有一个用户组，该用户组对我的视图所在的库中的所有表和视图具有只读权限，并且当用户在此用户组下时访问有效。我尝试复制用户组，然后分配权限以仅包含我创建的视图，但访问被拒绝。为了访问视图，用户或用户组是否还必须拥有对视图源自的表的权限？

Answer 1

是的。授予使用视图的权限是不够的。用户还必须具有对基础表的权限。

允许受限用户访问的一种方法是采用权限。为了举例，我们假设以下情况：

用户 RESTRICTED 无权访问任何表。所有库要么是 AUT(*EXCLUDE)，要么是用户 RESTRICTED 对所有库具有 *EXCLUDE 权限。USER PERMITTED 可以访问（或拥有）表和库。数据库 DATA 有表格。库 PROGRAMS 包含程序和存储过程。

已允许在库 PROGRAMS 中创建 RPG 存储过程。确保程序已指定 USRPRF(*OWNER)。这意味着当程序运行时，它将使用所有者的权限 (PERMITTED)，而不是执行它的配置文件的权限 (RESTRICTED)。

授予用户对 RPG 程序对象的 PERMITTED *USE 权限 - 或 - 通过 SQL GRANT。另外，授予用户 RESTRICTED *USE 对库程序的访问权限。这将允许 RESTRICTED 执行存储过程/程序。

请注意，用户 RESTRICTED 无权访问 DATA 中的表，您希望保留这种状态。

现在让用户 RESTRICTED 使用 SQL 来调用存储过程。她有权执行该程序，因为她对库程序以及已编译的程序对象拥有 *USE 权限。存储过程在所有者 PERMITTED 的权限下运行，并且由于 PERMITTED 对库 DATA 及其中的表具有完全访问权限，因此存储过程可以访问/更新这些表。RESTRICTED 尝试使用的任何原始 SQL 都会因权限不足而失败 - 她唯一能做的就是调用为她创建的存储过程。

如果您的程序与数据存储在同一个库中，您将需要向该库授予 RESTRICTED *USE 权限，并特别限制她（通过 *EXCLUDE）对该库中的所有表的访问权限。创建一个仅保存存储过程的 RESTRICTED 库并将其授权给该库可能会更容易。这使得持续维护变得更加容易，因为您不必试图记住不断限制她在 DATA 中新创建的表。