DBA 實戰：創建用戶帳戶與精細權限分配全流程

實驗背景與目標

日常運維常使用實例管理員帳戶（SYSADM）執行所有命令，該帳戶擁有對所有工具、數據、對象的完全訪問權。為防止誤操作或惡意破壞導致數據損失，生產環境必須遵循最小權限原則：創建專用用戶/組，僅授予業務必需的權限集。本文通過一個完整實驗，演示如何在 Windows 環境下創建用戶、配置控制中心高級視圖、對表授予精細權限（SELECT/INSERT/UPDATE/DELETE），並驗證權限生效情況。

操作步驟詳解

第一階段：作業系統層面創建用戶

1. 打開「控制面板→管理工具→計算機管理」。
2. 左側展開「系統工具→本地用戶和組→用戶」，右鍵選「新建用戶」。
3. 填寫信息（見圖 1、2）：
   • 用戶名：customer
   • 全名：Customer1
   • 描述：A typical bookstore customer
   • 密碼/確認：ibmdb2admin
   • 取消勾選「用戶下次登錄時須修改密碼」
   • 點擊「創建」

第二階段：控制中心高級視圖與權限授予

4. 啟動控制中心，切換高級視圖：「工具→自定義控制中心→選擇高級→確定」（見圖 3）。



5. 左側對象樹展開：所有數據庫 → EXPRESS → Tables。
6. 右鍵 CUSTOMERS 表選「特權」，打開「表特權」對話框（見圖 4）。



7. 點「添加用戶」，選擇剛創建的 customer，確定（見圖 5）。



8. 授予權限：將 SELECT、INSERT、UPDATE、DELETE 下拉框全改為 Yes（見圖 6）。因特網客戶需查看/增刪改自身帳戶數據。不授予其他權限（如 ALTER、REFERENCES 等）。點確定保存。



9. 重複步驤 6-8 處理 BOOKS 與 SALES 表：
   • BOOKS：僅授 SELECT（客戶不應修改庫存）。
   • SALES：授 SELECT、INSERT（客戶可查看並下單，不可刪改銷售記錄，僅店員可改）。

第三階段：驗證權限生效

10. 用 customer 帳戶連接數據庫。
11. 嘗試 SELECT * FROM CUSTOMERS → 應成功。
12. 嘗試 DELETE FROM SALES WHERE ... 或 UPDATE SALES SET ... → 應報錯「權限不足」。

最佳實踐延伸

• 角色化管理：實際項目中用戶類型眾多（客服、分析師、ETL帳號等），建議創建用戶組（如 ROLE_CUSTOMER、ROLE_ANALYST），向組授權，再將用戶加入組，避免逐個用戶授權的維護地獄。
• 審計蹤跡：關鍵表啟用審計策略，記錄誰在何時做了什麼操作。
• 定期回收：離職/轉崗用戶及時回收權限或禁用帳號。
• 密碼策略：強制複雜度、定期輪換、鎖定策略。

總結

通過「OS建用戶 → CC高級視圖 → 表級精細授權 → 實測驗證」四步走，落地最小權限原則。核心口訣：業務需要什麼，給什麼；不需要的，堅決不給。 善用組/角色機制，讓權限管理可控、可審計、可維護。