zuzu
пишется функция в оракле которая дает гранты,
изначально юзер имеет доступ только к коннекту, данной функции и пару вюшек.
(если надо могу расписать детальнее)

А роли кто нибудь пробовал подключать
в функциях,процедурах или пакетах?

Может есть у кого нибудь опыт.

А так в серьезных системах, наверно не только вход
но и ответственные команды должны
подтверждаться паролем, ключом или глазом. Как в фильмах.

ГеннадичВсё это изобретение велосипеда.
Лучше плодите пользователей(пусть пользователь будет даже иметь вид: 'пользователь'+'домен'+'группа Windows' ) - ничего не прийдётся перекомпиливать - всё решается простым администрированием БД.

Когда за несколько сотен пользователей и 3 сотни таблиц и вьюшек,
то администратор конечно же ничего не решит.
И вобще то за информацию отвечает не администратор БД,
а за ответственное лицо подразделения.

На второй вопрос.

команда
set role .....
лучше в пакете но можно в процедуре или функции.

И кому то надо как прочитать IP адрес в программе.

create or replace view sys.userhosts as
select sessionid,
substr(comment$text,instr(comment$text,'=',1,3)+1,
instr(comment$text,')',1,2)-instr(comment$text,'=',1,3)-1) host
from sys.aud$
where timestamp#>sysdate-.125 and substr(comment$text,instr(comment$text,'=',1,3)+1,
instr(comment$text,')',1,2)-instr(comment$text,'=',1,3)-1) is not null

Создаете такую вьюшку под SYS.
Если sessionid прочитать можете то прочитаети и IP адрес текущей сессии.

Это все для Oracle 9.

ГеннадичЭто что, интересно, за юзеры, которые запросто в схеме сиса вьюшки создают, читают что им не положено итд?
За подобное в соседнем форуме Scott Tiger делал хирургическую операцию тупым ножом на ливер.

Вобще то есть еще команда grant select ...... для юзеров.

И вьюшка конечно же написана не на конкретную сессию,
а для программы мониторинга за IP адресами.
Само собой мониторинг делается не под юзером SYS.

И в общем не рекомендуется давать пользователям
прямые входы в базу, иначе
поопытней мальчик + простейшая программа и структура БД
на экране.

Круто мужики, бьем.

Вобще то имелось в виду, юзер SYS пишет grant select ....
для чтения некоторыми юзерами, а не наоборот.

И для примера

Присоединен к:
Oracle7 Server Release 7.3.3.0.0 - Production Release
With the distributed, replication and parallel query options
PL/SQL Release 2.3.3.0.0 - Production

SQL> SELECT SYS_CONTEXT('USERENV','IP_ADDRESS') FROM DUAL;
SELECT SYS_CONTEXT('USERENV','IP_ADDRESS')
*
ошибка в строке 1:
ORA-00904: invalid column name

А то не все работают под 9-м Ораклом.

Последний выстрел за Вами.

Можно начну снизу.

PL99 SergeyGorИ вобще то за информацию отвечает не администратор БД,
а за ответственное лицо подразделения.За информацию - ответственное лицо подразделения, а за доступ к ней - администратор БД.

У нас стандартная заявка на подключение к БД примерно в таком виде.

Прошу предоставить доступ к БД .....
того ..................... для чтения ............. подпись того
этого ................... для записи/чтения ... подпись этого
и т.д.

Подписи
руководитель подразделения кто просит
администратор домена кто просит

руководитель подразделения у кого просят
администратор домена у кого просят

представитесь СБ

А администратор БД вобще в структуре ИТ, и никакого отношения к этому
не имеет. Все права раздаются не grant -ми, а в удобном интерфейсе
раставлением крестиков для групп и команд, в подразделении кто предоставляет информацию.
Посмотрите как сделано в промышленных системах или приведите пример где
сделано не так. Пример окошечка могу прислать.

И мониторинг наверно должен быть не за таблицами,
а за функциональными операциями с информацией.


PL99 SergeyGorКогда за несколько сотен пользователей и 3 сотни таблиц и вьюшек,
то администратор конечно же ничего не решит.Система с такими параметрами весьма средняя.
Даже маленькая, но уже заложена масштабируемость, как по пользователям
так и контролем доступа к модулям, группам информации и операциям.


PL99 SergeyGorА роли кто нибудь пробовал подключать
в функциях,процедурах или пакетах?Динамический SQL поможет.

Рекомендую поискать в соответствующем форуме
Это сейчас администратор БД и делает.

PL99 SergeyGorА так в серьезных системах, наверно не только вход но и ответственные команды должны
подтверждаться паролем, ключом или глазом. Как в фильмах.А зачем?
Если пользователь вошел в систему, то он уже подтвердил свои полномочия в рамках предоставленных ему прав.

У нас еще до этого не дошло, но пытаются протащить электронную подпись,
думаем что примерно так и должно быть. Насчет глаза конечно шутка.

zuzu SergeyGorА администратор БД вобще в структуре ИТ, и никакого отношения к этому
не имеет. Все права раздаются не grant -ми, а в удобном интерфейсе
раставлением крестиков для групп и команд, в подразделении кто предоставляет информацию.
Посмотрите как сделано в промышленных системах или приведите пример где
сделано не так. Пример окошечка могу прислать.а никто и не говорит что эти гранты задает админы,
списки грантов создают из такого окна что ты написал,
а сами гранты юзер получает после коннекта.

Вобще то права пользователю даются не на таблицы,
а на функциональные команды с информацией,
порой затрагивающих изменения до десятка таблиц.
Меню системы и мониторинг, тоже строится исходя из
функциональных прав пользователя, что ни по каким грантам
на таблицы не сделаешь.

И пользователям при регистрации, подключают от 1 до 4-х ролей,
в зависимости от их прав.
Как создали 4 роли 5 лет назад, так они остались практически без изменений.
Назначение этих ролей, от грубых ошибок программистов.