DB2 三大安全機制權威指南：認證、授權、特權與五級權限體系

前言

DB2 安全體系建立在 **認證 → 授權 → 特權** 三層防線之上。本文系統梳理五大權限級別 (SYSADM/SYSCTRL/SYSMAINT/DBADM/LOAD)、認證類型、授權命令與實戰配置範例，助您構建最小權限原則的生產環境安全基線。

第一防線：認證

驗證「你是誰」。DB2 支援多種認證類型，由資料庫管理器配置參數 AUTHENTICATION 控制：

配置實戰

# 查看當前認證模式
db2 get dbm cfg | grep -i authentication

# 修改為 SERVER_ENCRYPT（需重啟實例）
db2 update dbm cfg using authentication server_encrypt
db2stop force
db2start

# 閘道器目錄登錄指定認證
db2 catalog database myhostdb at node nd1 authentication dcs
db2 terminate

第二防線：授權——五大權限級別

權限控制「你能做什麼管理操作」，分為**實例級** (3 種) 與**資料庫級** (2 種)：

實例級權限 (僅授予群組，透過 DBM CFG)

注意：修改 DBM CFG 後必須 db2stop; db2start 生效；若當前用戶不在目標群組，重啟後將無法再停啟實例——請預先加入群組或保留備用 SYSADM 帳號。

資料庫級權限 (授予用戶/群組，透過 GRANT)

第三防線：特權——對象級精細控制

特權控制「你能對哪個對象做什麼」，主要分類：

• 表/視圖：SELECT、INSERT、UPDATE、DELETE、ALTER、INDEX、REFERENCES、CONTROL
• Schema：CREATEIN、DROPIN、ALTERIN
• 套件/例程：BIND、EXECUTE
• 表空間：USE

# 典型最小權限授予模式
db2 grant select on table hr.employees to role analyst_role;
db2 grant insert, update(salary) on table hr.employees to user payroll_app;
db2 grant execute on procedure hr.adjust_salary to user mgr_app;

權限驗證與審計

# 當前會話擁有的權限與特權
db2 get authorizations

# 系統目錄查詢特定用戶/群組特權
select * from syscat.tabauth where grantee = 'TST1';
select * from syscat.dbauth where grantee = 'GRP1';

安全基線配置清單

1. 認證：全庫 AUTHENTICATION=SERVER_ENCRYPT，禁用 CLIENT。
2. 最小權限：應用帳號僅獲 DBADM/LOAD + 所需表級 DML 特權，嚴禁 SYSADM/SYSCTRL。
3. 角色化：建立業務角色 (analyst_role, etl_role, app_rw_role)，授予角色而非直授用戶。
4. 審計：啟用 db2audit 記錄 SECMAINT、OBJMAINT、EXECUTE 類事件，定期導出分析。
5. 密碼策略：配合 OS/Kerberos 強制複雜度、過期、鎖定策略；DB2 層面可用 db2 connect ... new password 強制輪換。

總結

DB2 安全 = **認證確認身份 + 授權界定管理能力 + 特權鎖定數據訪問**。掌握五大權限邊界、善用角色與審計，即可構建符合合規與最小權限的防禦體系。