权限类型说明
-
实例级权限
SYSADM：超级管理员（通过dbm cfg配置）SYSCTRL：实例控制（启停/备份）SYSMAINT：维护权限（备份/恢复）
配置命令：db2 update dbm cfg using SYSADM_GROUP db2admgrp # 将组赋予SYSADM
-
数据库级权限
DBADM：数据库完全控制权CREATETAB：创建表权限CONNECT：连接数据库权限
-
对象级权限
- 表/视图：
SELECT,INSERT,UPDATE,DELETE,ALTER - 存储过程：
EXECUTE - 包：
BIND,RUN
- 表/视图：
权限赋予操作步骤
场景1：授予数据库级权限
-- 授予用户user1 DBADM权限 GRANT DBADM ON DATABASE TO USER user1; -- 授予组dbgrp创建表和连接权限 GRANT CREATETAB, CONNECT ON DATABASE TO GROUP dbgrp;
场景2：授予表级权限
-- 授予user1对表orders的增删改查权限 GRANT SELECT, INSERT, UPDATE, DELETE ON TABLE orders TO USER user1; -- 授予组sales对客户表的只读权限 GRANT SELECT ON TABLE customers TO GROUP sales;
场景3：存储过程权限
GRANT EXECUTE ON PROCEDURE sales_report TO USER auditor;
场景4：通过角色批量授权（DB2 10.5+）
CREATE ROLE report_role; GRANT SELECT ON sales_data, customer_list TO ROLE report_role; GRANT report_role TO USER analyst1, USER analyst2;
权限验证方法
-
检查授予的权限
SELECT * FROM SYSCAT.DBAUTH WHERE GRANTEE = 'USER1'; -- 数据库权限 SELECT * FROM SYSCAT.TABAUTH WHERE GRANTEE = 'SALES'; -- 表权限
-
当前用户权限查看
SELECT * FROM TABLE(AUTH_LIST_AUTHORITIES_FOR_AUTHID('USER1', 'U'))
安全最佳实践
-
最小权限原则
- 避免直接授予
DBADM或SYSADM，优先使用对象级权限。
- 避免直接授予
-
组与角色管理
通过组（OS组）或角色分配权限，减少直接用户授权。
-
定期审计
-- 检查所有授予的权限 SELECT GRANTOR, GRANTEE, TABNAME, PRIVILEGE FROM SYSCAT.TABAUTH WHERE GRANTEETYPE = 'U';
-
权限回收示例
REVOKE UPDATE ON TABLE orders FROM USER user1;
常见问题解决
- 权限不生效？
执行db2 flush privilege刷新权限缓存。 - 授权时报错”SQL0552N”？
当前用户缺少GRANT权限，需用更高级账号操作。 - Linux组映射失败？
确保DB2实例参数AUTHENTICATION=SERVER并重启实例。
引用说明：
本文操作基于DB2 11.5官方文档（IBM Knowledge Center），安全规范参考《DB2 Security Best Practices》，命令行操作需通过DB2命令行处理器（CLP）执行，用户需具备实例所有者或SYSADM权限。
环境要求：Red Hat/CentOS 7+ 或 Ubuntu 18.04+，DB2 v10.1及以上版本。
通过精细化权限控制,可显著提升数据库安全性，建议结合企业安全策略定期审查权限分配，关键操作前备份数据库配置。
原创文章，发布者：酷番叔，转转请注明出处：https://cloud.kd.cn/ask/9128.html
