DB2 9 核心認證指南（第二部分）：全方位掌握資料庫安全架構

前言：安全防禦的三道防線

資料庫安全不僅是設定密碼，而是系統性工程。DB2 提供身份驗證、授權、特權三層防護：

• 身份驗證：確認「你是誰」（用戶 ID/密碼、Kerberos、外掛模組）
• 授權：決定「你能做什麼管理操作」（SYSADM、DBADM 等權限層級）
• 特權：控制「你能存取哪些物件」（SELECT、INSERT、CONTROL 等細粒度權限）

本文依 730 認證大綱，從架構到實操，完整解析 DB2 9 安全體系。

環境角色釐清：Client、Server、Gateway、Host

分散式環境下，四角色分工明確：

關鍵：認證發生位置取決於架構——Client-Server 模式在 Server 驗證；Client-Gateway-Host 模式在 Host 驗證，Gateway 僅轉發。

身份驗證機制深度解析

驗證觸發時機

執行 ATTACH（連接實例）或 CONNECT（連接資料庫）時，DB2 呼叫底層 OS 安全功能驗證帳密。

九大驗證類型（AUTHENTICATION 參數）

V9.1 新增：SRVCON_AUTH 可單獨設定「資料庫連線」驗證類型，區別於實例級 AUTHENTICATION。例：實例用 SERVER_ENCRYPT，資料庫連線強制 KERBEROS。

Server/Gateway/Client 端設定指令

# Server 端（DBM CFG）
db2 update dbm cfg using authentication server_encrypt
db2stop && db2start

# Gateway 端（編目資料庫時指定）
db2 catalog database myhostdb at node nd1 authentication SERVER
db2 terminate

# Client 端（編目時需與 Server 一致）
db2 catalog database sample at node nd1 authentication SERVER

處理不可信 Client（TRUST_ALLCLNTS、TRUST_CLNTAUTH）

當 Server 設 AUTHENTICATION=CLIENT 時，預期 Client 自行驗證。但 Win98/ME 等無本地安全機制的「不可信 Client」需特殊處理：

• TRUST_ALLCLNTS=YES：信任所有 Client 自行驗證
• TRUST_CLNTAUTH=SERVER：不可信 Client 提供帳密時，改由 Server 驗證

決策矩陣極大（含 DRDAONLY 選項），實務上建議統一用 SERVER_ENCRYPT 避免複雜度。

安全外掛架構與 Kerberos 實作

外掛架構優勢

• 標準 GSS-API 介面，支援第三方身分管理（LDAP、AD、自製系統）
• V8.2 引入，V9.1 增強；範例碼在 samples/security/plugins
• 可 FENCED 模式執行（崩潰不影響實例），開發期建議開啟

Kerberos 部署五大前提

1. Client/Server 同屬可信網域
2. 正確設定 Principal（Kerberos 帳號）
3. 建立 Server keytab，實例擁有者可讀
4. 所有機器時鐘同步（誤差 < 5 分鐘）
5. 安裝 Kerberos 客戶端套件

啟用步驟

# Client 端指定外掛
db2 update dbm cfg using clnt_krb_plugin IBMkrb5
db2 terminate

# 選填：編目時指定 Target Principal，省略首次尋找步驟
db2 catalog db sample at node testnd authentication KERBEROS \
  target principal gmilne/gmilne02.torolab.ibm.com@TOROLAB.IBM.COM

# Server 端：全啟用 Kerberos
db2 update dbm cfg using authentication KERBEROS
# 或僅資料庫連線用 Kerberos
db2 update dbm cfg using srvcon_auth KERBEROS
db2stop && db2start

授權體系：五大權限層級

實操範例：授予 DBADM 與 LOAD

# 建庫者自動得 DBADM
db2 create database test

# SYSADM 授予他人 DBADM
db2 connect to sample
db2 grant dbadm on database to user tst1
db2 grant dbadm on database to group db2grp1

# LOAD 需搭配表級特權
db2 grant load on database to user tst1
db2 grant insert on table sales to user tst1   # LOAD INSERT 需要
db2 grant delete on table sales to group grp1  # LOAD REPLACE 需要

特權體系：從資料庫級到物件級

八大資料庫級特權

• CREATETAB、BINDADD、CONNECT、CREATE_NOT_FENCED
• IMPLICIT_SCHEMA、LOAD、QUIESCE_CONNECT、CREATE_EXTERNAL_ROUTINE

物件級特權速查表

系統編目檢視：SYSCAT.TABAUTH、SYSCAT.COLAUTH、SYSCAT.INDEXAUTH 等。

三種特權授予途徑

1. 顯式 GRANT/REVOKE：GRANT SELECT ON TABLE gmilne.org TO USER test1
2. 隱式授予：執行特定 DDL 時自動獲得（如 CREATE TABLE 得該表 CONTROL）
3. 間接特權（套件）：擁有套件 EXECUTE 即可間接執行套件內靜態 SQL，無需底表直接特權

注意：REVOKE ALL ON TABLE ... FROM GROUP 不影響成員被直接授予的特權。

亮點新功能：基於標籤的存取控制

DB2 9 引入 LBAC（Label-Based Access Control），實現列/行級安全，取代傳統「建視圖+撤銷基表權限」的繁瑣做法。

核心概念

• 安全標籤組件：定義階層（TREE）、集合（SET）或陣列（ARRAY）
• 安全政策：綁定一或多個組件，指定規則集（DB2LBACRULES）
• 安全標籤：政策下的具體標籤值（如 HR_EXECUTIVE、MANAGE_D11_E21）
• 免授權用戶：SECADM 權限管理 LBAC 設定

完整實作範例：人資薪資保密

場景：三角色——執行官 Jane（全權）、經理 Joe（D11/E21 部門全權）、組長 Frank（A00 唯讀）。

-- 1. 建立樹狀標籤組件
CREATE SECURITY LABEL COMPONENT J_DEPT
  TREE ('HR_EXECUTIVE' ROOT,
        'MAN_D11_E21' UNDER 'HR_EXECUTIVE',
        'A00' UNDER 'HR_EXECUTIVE',
        'D11' UNDER 'MAN_D11_E21',
        'E21' UNDER 'MAN_D11_E21', ...);

-- 2. 定義政策
CREATE SECURITY POLICY J_DEPT_POLICY
  COMPONENTS J_DEPT
  WITH DB2LBACRULES
  RESTRICT NOT AUTHORIZED WRITE SECURITY LABEL;

-- 3. 建立標籤
CREATE SECURITY LABEL J_DEPT_POLICY.EXECUTIVE COMPONENT J_DEPT 'HR_EXECUTIVE';
CREATE SECURITY LABEL J_DEPT_POLICY.MANAGE_D11_E21 COMPONENT J_DEPT 'MAN_D11_E21';
CREATE SECURITY LABEL J_DEPT_POLICY.A00 COMPONENT J_DEPT 'A00';
...

-- 4. 授予用戶標籤與存取權
GRANT SECURITY LABEL J_DEPT_POLICY.A00 TO USER Frank FOR READ ACCESS;
GRANT SECURITY LABEL J_DEPT_POLICY.MANAGE_D11_E21 TO USER Joe FOR ALL ACCESS;
GRANT SECURITY LABEL J_DEPT_POLICY.EXECUTIVE TO USER Jane FOR ALL ACCESS;

-- 5. 修改 EMP 表加入標籤欄並套用政策
ALTER TABLE EMP ADD COLUMN DEPT_TAG DB2SECURITYLABEL;
ALTER TABLE EMP ADD SECURITY POLICY J_DEPT_POLICY;

-- 6. 依部門回填標籤
UPDATE EMP SET DEPT_TAG = SECLABEL_BY_NAME('J_DEPT_POLICY','A00') WHERE WORKDEPT='A00';
UPDATE EMP SET DEPT_TAG = SECLABEL_BY_NAME('J_DEPT_POLICY','D11') WHERE WORKDEPT='D11';
...

驗證效果

• Jane（EXECUTIVE）：全表可讀寫，42 筆資料皆可見
• Joe（MANAGE_D11_E21）：僅見 D11、E21 部門 17 筆，查詢其他部門回 0 筆
• Frank（A00 READ ONLY）：僅見 A00 部門 5 筆，嘗試 UPDATE 報 SQL20402N 無 LBAC 憑證

完美滿足「執行官全權、經理部門全權、組長唯讀」業務需求，且無需維護視圖。

總結：認證必考重點清單

• 四角色架構與認證發生位置
• 九種 AUTHENTICATION 類型差異、SRVCON_AUTH 分離設定
• TRUST_ALLCLNTS/TRUST_CLNTAUTH 處理不可信 Client 邏輯
• 五大權限（SYSADM/CTL/MAINT、DBADM、LOAD）授予對象、指令、能力邊界
• 資料庫級 vs 物件級特權、隱式/間接特權機制
• LBAC 三步驟：組件→政策→標籤→授予→套用表→回填資料
• SECADM 專屬管理 LBAC，PUBLIC 群組預設特權

掌握這套「驗證→授權→特權→標籤」四層防護體系，即可建構符合合規與最小權限原則的 DB2 安全環境。

1. 上一篇文章： DB2 9 核心認證指南（第六部分）：深度解析數據並發性與一致性控制
2. 下一篇文章： IBM InfoSphere MDM Server 事務授權實戰：基於 LDAP 的細粒度存取控制

DB2 教學

IBM DB2 Content Manager 多租戶架構下的數據隔離實戰指南

IBM DB2 Content Manager 憑藉卓越的內

從 EJB 2 CMP 遷移至 pureQuery：IBM InfoSphere MDM Server 持久層現代化實戰 (上)

背景：MDM Server 持久層面臨的技術債 2007 年

JDBC 編程核心：PreparedStatement 參數綁定與批處理優化

JDBC 編程核心：PreparedStatement 參數

DB2 Restore 還原實戰：TSM 備份查詢、時間點還原與 Rollforward 全流程

前置條件 已配置 TSM（Tivoli Storage M