Гость
Войти | Профиль | Очистить
Целевая тема:
Создать новую тему:
Автор:
Действия ...
Форумы / Informix [игнор отключен] [закрыт для гостей] / Дать права пользователю ниже, чем у PUBLIC / 21 сообщений из 21, страница 1 из 1
02.11.2009, 14:47
    #36286045
c10wn
c10wn
Гость
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Дать права пользователю ниже, чем у PUBLIC
Добрый день.

Имеется информикс 9,1 и 11

есть куча (>100) юзеров.
необходимо для одного из них урезать гранты до онли-селект.

т.к. в PUBLIC стоят гранты инсерт, делет, апдейт и селект, то для этого юзера Revoke не дает нужного рез-та.

т.к. с информиксом не работал глубоко, не знаю куда копать и возможно ли это,

подскажите что делать, пожалуйста.
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
02.11.2009, 16:12
    #36286335
GVF112GVF
GVF112GVF
Гость
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Дать права пользователю ниже, чем у PUBLIC
c10wn,

М-да, тяжелый случай ...

Как вариант,
Вы можете создать с отдельную роль (CREATE ROLE xxx ) - отменить для нее все public-права на требуемые ресурсы
и предоставить только необходимые для объектов БД.

Далее,
выполнить проверку USERID для пользователя в хранимой процедуре sysdbopen() ...

используя новую таблицу syssesappinfo в базе данных sysmaster, вы сможете просматривать информацию о сеансах клиентов Data Server. В этой таблице показаны ID сеанса клиента, имя приложения для сеанса и значение сеанса, соответственно, в столбцах sesapp_sid, sesapp_name и sesapp_value.

Для указанного пользователя, выполнить SET ROLE xxx .... и т.д.

С уважением,
Вадим.
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
02.11.2009, 16:27
    #36286395
Leonid Belov
Leonid Belov
Гость
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Дать права пользователю ниже, чем у PUBLIC
c10wn,

К сожалению, в Informix нет привилегий типа deny, так что право что-то делать либо есть
(напрямую, через роль или через public), либо не выдавалось.

Не давайте права public... По возможности - никогда
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
02.11.2009, 17:00
    #36286504
c10wn
c10wn
Гость
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Дать права пользователю ниже, чем у PUBLIC
Leonid Belov,
я бы и не давал никогда. на существующей уже лет пять системе надо все это провернуть.

Вадим,
пермишены паблика перекрывают пермишены роли.

руки бы оторвал тому, кто в паблик натолкал столько пермишенов....
что мешало создать какую-нибудь псевдопаблик роль, чтобы потом не мучались другие...
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
02.11.2009, 17:11
    #36286540
GVF112GVF
GVF112GVF
Гость
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Дать права пользователю ниже, чем у PUBLIC
c10wn,

Все правильно ... :)

Администратор БД, должен предоставить CONNECT для пользователей базы данных,
удалить все "public" права, создать список требуемых ролей, предоставить для GRANT на объекты для указанной роли .... далее, включить роль для пользователя .... что поделать ... издержки проектирования и методологии ...

С уважением,
Вадим.
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
02.11.2009, 17:15
    #36286554
Журавлев Денис
Журавлев Денис
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Дать права пользователю ниже, чем у PUBLIC
дефолтную роль в 9,1 не назначить.
Поэтому пишем селект который выдаст права те-же самые, которые есть у паблика, всем юзерам, кроме того единственного, напрямую без роли. Отбираем права у паблика. Даем право селект тому единственному.
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
02.11.2009, 17:16
    #36286562
Тан
Тан
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Дать права пользователю ниже, чем у PUBLIC
c10wnя бы и не давал никогда. на существующей уже лет пять системе надо все это провернуть.

есть такая программа OnManager, умеет делать для роли save as
создаст вам псевдопаблик роль за два клика

http://myinformix.narod.ru/
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
02.11.2009, 17:32
    #36286620
c10wn
c10wn
Гость
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Дать права пользователю ниже, чем у PUBLIC
Танc10wnя бы и не давал никогда. на существующей уже лет пять системе надо все это провернуть.

есть такая программа OnManager, умеет делать для роли save as
создаст вам псевдопаблик роль за два клика

http://myinformix.narod.ru/

большое человеческое спасибо!!!
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
02.11.2009, 17:36
    #36286648
c10wn
c10wn
Гость
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Дать права пользователю ниже, чем у PUBLIC
Журавлев Денисдефолтную роль в 9,1 не назначить.
Поэтому пишем селект который выдаст права те-же самые, которые есть у паблика, всем юзерам, кроме того единственного, напрямую без роли. Отбираем права у паблика. Даем право селект тому единственному.
вот на этом варианте я и остановился.
стряпаю эти самые селекты.

ЗЫ: ужасен информикс, сказать нечего... =)
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
02.11.2009, 17:40
    #36286665
Журавлев Денис
Журавлев Денис
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Дать права пользователю ниже, чем у PUBLIC
c10wnЗЫ: ужасен информикс, сказать нечего... =)в других субд в этой ситуации будет тоже самое, кроме наверное mysql где вообще все не как в ansi
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
02.11.2009, 17:45
    #36286681
c10wn
c10wn
Гость
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Дать права пользователю ниже, чем у PUBLIC
столкнулся тут с проблемой (во всяком случае для меня).

есть >300 таблиц и >100 юзеров.
следовательно, SQL-запросов будет 300*100 = 30 000

т.к. каждому юзеру надо будет навешать грантов для всех таблиц.

нету менее извратного способа?
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
02.11.2009, 17:49
    #36286706
Журавлев Денис
Журавлев Денис
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Дать права пользователю ниже, чем у PUBLIC
c10wn
нету менее извратного способа?программу можете изменить? в версии 9.1 надо сказать set role myrole после коннекта.
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
02.11.2009, 17:51
    #36286711
c10wn
c10wn
Гость
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Дать права пользователю ниже, чем у PUBLIC
Журавлев Денис]программу можете изменить? в версии 9.1 надо сказать set role myrole после коннекта.
к сожалению, нет.

экземпляров сто этой программы по всей стране.
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
02.11.2009, 17:54
    #36286720
Журавлев Денис
Журавлев Денис
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Дать права пользователю ниже, чем у PUBLIC
c10wnЖуравлев Денис]программу можете изменить? в версии 9.1 надо сказать set role myrole после коннекта.
к сожалению, нет.

экземпляров сто этой программы по всей стране.ну тогда выполняйте 30 000 запросов. Вообще не проблема, вон в сапе 100 тыс таблиц и ничего, работает.
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
02.11.2009, 18:08
    #36286767
c10wn
c10wn
Гость
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Дать права пользователю ниже, чем у PUBLIC
контрольный вопрос.

public-права надо урезать для каждой таблицы, или достаточно просто вырезать пермишены для public и это отобразится везде?
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
02.11.2009, 18:18
    #36286792
Журавлев Денис
Журавлев Денис
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Дать права пользователю ниже, чем у PUBLIC
c10wnконтрольный вопрос.

public-права надо урезать для каждой таблицы, или достаточно просто вырезать пермишены для public и это отобразится везде?
как везде
revoke all from tab1;
revoke all from tab2;
....
revoke all from tabn;
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
02.11.2009, 18:20
    #36286801
c10wn
c10wn
Гость
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Дать права пользователю ниже, чем у PUBLIC
Журавлев Денис,

сенкс.
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
03.11.2009, 11:35
    #36287759
c10wn
c10wn
Гость
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Дать права пользователю ниже, чем у PUBLIC
мужики и мадамы, все оказалось намного проще =)

каждый юзер подефолту создавался как ДБА.

гыгы.... их криворукость сыграла нам на руку....

я своему юзеру ставлю КОННЕКТ. и удаляю из паблика все, кроме селекта, пермишены на таблицы.
и вуаля -- юзеры как апдейтили, делетили так и будут. а мой рид-онли!

Всем спасибо за внимание.
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
03.11.2009, 11:54
    #36287823
Журавлев Денис
Журавлев Денис
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Дать права пользователю ниже, чем у PUBLIC
c10wnкаждый юзер подефолту создавался как ДБА.
слов нет, одни междометия.
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
03.11.2009, 13:48
    #36288281
c10wn
c10wn
Гость
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Дать права пользователю ниже, чем у PUBLIC
Журавлев Денисc10wnкаждый юзер подефолту создавался как ДБА.
слов нет, одни междометия.
в другом случае эта ситуация вызвала бы такую же реакцию у меня.
Но в этом случае мне надо было, ниразу неюзавшему информикс (жабий хибернейт не в счет), разрулить ситуацию, описанную в первом посте топика.

я и разрулил =)
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
03.11.2009, 13:50
    #36288291
c10wn
c10wn
Гость
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Дать права пользователю ниже, чем у PUBLIC
c10wnя и разрулил =)
не без вашей помощи, уважаемые гуру.
за что вам огромное человеческое спасибо.
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
Форумы / Informix [игнор отключен] [закрыт для гостей] / Дать права пользователю ниже, чем у PUBLIC / 21 сообщений из 21, страница 1 из 1
Найденые пользователи ...
Разблокировать пользователей ...
Читали тему (0):
Читали форум (0):
Пользователи онлайн (0):
Польз. соглашение
созд. / загр.: 477ms
Закрыть
start [/forum/topic.php?fid=44&mobile=1&tid=1607705]:
 0ms
get settings:
 10ms
get forum list:
 15ms
check forum access:
 4ms
check topic access:
 4ms
track hit:
 52ms
get topic data:
 10ms
get forum data:
 3ms
get page messages:
 52ms
get tp. blocked users:
 2ms
others: 325ms
total:  477ms
x
x
Закрыть


Просмотр
0 / 0
Close
Debug Console [Select Text]