Droit CREATE DATABASE LINK du rôle CONNECT [Résolu]

scheu · 14/02/2008, 16h45

Bonjour

Pour des contraintes de sécurité, je souhaiterais que les utilisateur d'une base ayant le rôle CONNECT ne puissent pas créer de database link. Or, le privilège CREATE DATABASE LINK fait partie du rôle CONNECT (je suis en 9i). Comment leur enlever ce droit ? Est-ce envisageable de modifier le rôle CONNECT pour lui supprimer le privilège DATABASE LINK (bien que ce n'est pas conseillé de modifier les rôles système existants) ? Ou vaut-il mieux leur enlever le rôle CONNECT et ne leur mette que les autres privilèges attribués au rôle CONNECT (create session, ...)

Merci de vos conseils

orafrance · 14/02/2008, 16h50

bah oui, change CONNECT

scheu · 14/02/2008, 16h51

Je voulais juste m'en assurer, des fois que changer les rôles système ne serait pas conseillés
...

Merci

Michel SALAIS · 15/02/2008, 00h49

Il est préférable à mon sens de leur donner un autre rôle qui ne contiendrait pas le privilège et de laisser le rôle CONNECT tel quel ...

LeoAnderson · 15/02/2008, 07h51

+1
il faut laisser les rôles définis par défaut inchangés mais ne pas les attribuer.
A la place, on créé les rôles "maisons" qui ne contiennent que ce qui va bien, et juste ce dont on a besoin.

Une seule exception tout de même pour le "rôle" PUBLIC auquel il est vivement conseillé de faire des REVOKE...

orafrance · 15/02/2008, 10h17

Quand même, ça me parait pour le moins dangereux de laisser un privilège aussi important au simple CONNECT

LeoAnderson · 15/02/2008, 10h36

Citation:

Envoyé par orafrance

Quand même, ça me parait pour le moins dangereux de laisser un privilège aussi important au simple CONNECT

et qui c'est qui conseillait de changer connect ?

orafrance · 15/02/2008, 11h07

Moi

Citation:

Or, le privilège CREATE DATABASE LINK fait partie du rôle CONNECT (je suis en 9i).

c'est pourquoi je conseille de modifier CONNECT qui visiblement contient une faille de sécurité potentielle

LeoAnderson · 15/02/2008, 11h26

la faille c'est surtout d'attribuer CONNECT.....

orafrance · 15/02/2008, 11h28

on peut le voir comme ça aussi en effet

scheu · 15/02/2008, 12h10

Citation:

Envoyé par LeoAnderson

la faille c'est surtout d'attribuer CONNECT.....

Ca c'est vrai je m'en rends compte tous les jours

Merci de vos réponses en tout cas

LeoAnderson · 15/02/2008, 13h21

Citation:

Envoyé par scheu

Ca c'est vrai je m'en rends compte tous les jours

Merci de vos réponses en tout cas

ce n'était pas une vanne !

C'est une vraie faille d'attribuer le rôle CONNECT.
Il faut attribuer le rôle MON-CONNECT qui a les privilèges CREATE SESSION et ALTER SESSION par exemple.
mais en aucun cas n'attribuer les rôles standards.

scheu · 15/02/2008, 13h23

Citation:

Envoyé par LeoAnderson

ce n'était pas une vanne !

C'est une vraie faille d'attribuer le rôle CONNECT.
Il faut attribuer le rôle MON-CONNECT qui a les privilèges CREATE SESSION et ALTER SESSION par exemple.
mais en aucun cas n'attribuer les rôles standards.

Je n'ai pas pris ça comme une vanne, je suis tout à fait d'accord avec toi sur le principe

kore62 · 23/02/2008, 19h26

Si je peux me permettre, perso je suis d'avis de lui filer le create session... Esquivez d'attribuer le role connect... D'ailleurs je trouve que les rôles par défaut ne sont pas trés bien définis.... m'enfin ca n'engage que moi...

C'est comme lorsqu'on file le grant ressource (si j'ai bonne mémoire) à un user et qu'il se voit alors attribué automatiquement le privilege unlimited tablespace pour son schema.. une abération.. le user peut alors ecrire sur n'importe quel tablespace... c'est pas frais.

Mieux vaut lui virer et lui mettre le "quota unlimited tablespace "sur son tablespace par defaut...

M'enfin pour revenir à nos moutons, NON au grant CONNECT... un grand OUUUIII au grant CREATE SESSION (meilleur controle et sutout plus de sécurité)

pat29 · 27/02/2008, 09h48

Il y a d'ailleurs des choses bizarres dans rôles :
avec CONNECT on peut notamment créer des tables, des vues
avec RESOURCE on peut créer des procédures, des triggers
mais même en ayant ces 2 rôles on ne peut pas créer de MATERIALIZED VIEW ...

14/02/2008, 16h45	#1
scheu Membre Expert Inscription : juin 2007 Messages : 1 497 Détails du profil Informations forums : Inscription : juin 2007 Messages : 1 497 Points : 1 483 Points : 1 483	Droit CREATE DATABASE LINK du rôle CONNECT Bonjour Pour des contraintes de sécurité, je souhaiterais que les utilisateur d'une base ayant le rôle CONNECT ne puissent pas créer de database link. Or, le privilège CREATE DATABASE LINK fait partie du rôle CONNECT (je suis en 9i). Comment leur enlever ce droit ? Est-ce envisageable de modifier le rôle CONNECT pour lui supprimer le privilège DATABASE LINK (bien que ce n'est pas conseillé de modifier les rôles système existants) ? Ou vaut-il mieux leur enlever le rôle CONNECT et ne leur mette que les autres privilèges attribués au rôle CONNECT (create session, ...) Merci de vos conseils
	00

14/02/2008, 16h50	#2
orafrance Rédacteur/Modérateur Inscription : janvier 2004 Messages : 15 861 Détails du profil Informations personnelles : Âge : 35 Informations forums : Inscription : janvier 2004 Messages : 15 861 Points : 16 212 Points : 16 212	bah oui, change CONNECT __________________ Règles et liens du forum Oracle Guide Oracle Pense-bête du DBA Oracle : Exemple
	00

15/02/2008, 00h49	#4
Michel SALAIS Membre éprouvé Inscription : décembre 2007 Messages : 354 Détails du profil Informations personnelles : Localisation : France Informations forums : Inscription : décembre 2007 Messages : 354 Points : 408 Points : 408	Il est préférable à mon sens de leur donner un autre rôle qui ne contiendrait pas le privilège et de laisser le rôle CONNECT tel quel ... __________________ Consultant et formateur Oracle
	00

15/02/2008, 10h17	#6
orafrance Rédacteur/Modérateur Inscription : janvier 2004 Messages : 15 861 Détails du profil Informations personnelles : Âge : 35 Informations forums : Inscription : janvier 2004 Messages : 15 861 Points : 16 212 Points : 16 212	Quand même, ça me parait pour le moins dangereux de laisser un privilège aussi important au simple CONNECT __________________ Règles et liens du forum Oracle Guide Oracle Pense-bête du DBA Oracle : Exemple
	00

15/02/2008, 11h28	#10
orafrance Rédacteur/Modérateur Inscription : janvier 2004 Messages : 15 861 Détails du profil Informations personnelles : Âge : 35 Informations forums : Inscription : janvier 2004 Messages : 15 861 Points : 16 212 Points : 16 212	on peut le voir comme ça aussi en effet __________________ Règles et liens du forum Oracle Guide Oracle Pense-bête du DBA Oracle : Exemple
	00

14/02/2008, 16h51	#3
scheu Membre Expert Inscription : juin 2007 Messages : 1 497 Détails du profil Informations forums : Inscription : juin 2007 Messages : 1 497 Points : 1 483 Points : 1 483	Je voulais juste m'en assurer, des fois que changer les rôles système ne serait pas conseillés ... Merci
	00

15/02/2008, 07h51	#5
LeoAnderson Expert Confirmé Inscription : septembre 2004 Messages : 2 942 Détails du profil Informations forums : Inscription : septembre 2004 Messages : 2 942 Points : 2 972 Points : 2 972	+1 il faut laisser les rôles définis par défaut inchangés mais ne pas les attribuer. A la place, on créé les rôles "maisons" qui ne contiennent que ce qui va bien, et juste ce dont on a besoin. Une seule exception tout de même pour le "rôle" PUBLIC auquel il est vivement conseillé de faire des REVOKE...
	00

15/02/2008, 11h26	#9
LeoAnderson Expert Confirmé Inscription : septembre 2004 Messages : 2 942 Détails du profil Informations forums : Inscription : septembre 2004 Messages : 2 942 Points : 2 972 Points : 2 972	la faille c'est surtout d'attribuer CONNECT.....
	00

23/02/2008, 19h26	#14
kore62 Membre actif Inscription : août 2007 Messages : 224 Détails du profil Informations personnelles : Âge : 29 Informations forums : Inscription : août 2007 Messages : 224 Points : 165 Points : 165	Si je peux me permettre, perso je suis d'avis de lui filer le create session... Esquivez d'attribuer le role connect... D'ailleurs je trouve que les rôles par défaut ne sont pas trés bien définis.... m'enfin ca n'engage que moi... C'est comme lorsqu'on file le grant ressource (si j'ai bonne mémoire) à un user et qu'il se voit alors attribué automatiquement le privilege unlimited tablespace pour son schema.. une abération.. le user peut alors ecrire sur n'importe quel tablespace... c'est pas frais. Mieux vaut lui virer et lui mettre le "quota unlimited tablespace "sur son tablespace par defaut... M'enfin pour revenir à nos moutons, NON au grant CONNECT... un grand OUUUIII au grant CREATE SESSION (meilleur controle et sutout plus de sécurité)
	00

27/02/2008, 09h48	#15
pat29 Membre du Club Inscription : décembre 2006 Messages : 119 Détails du profil Informations forums : Inscription : décembre 2006 Messages : 119 Points : 61 Points : 61	Il y a d'ailleurs des choses bizarres dans rôles : avec CONNECT on peut notamment créer des tables, des vues avec RESOURCE on peut créer des procédures, des triggers mais même en ayant ces 2 rôles on ne peut pas créer de MATERIALIZED VIEW ... __________________ La différence entre la théorie et la pratique, c'est qu'en théorie il n'y a pas de différence entre la théorie et la pratique. En pratique, si.
	00

Outils de la discussion
Afficher une version imprimable Envoyer un lien vers cette page par email