DB2 資料庫權限管理全解析：資料庫/物件權限、顯式/隱式/間接授權、LBAC 行列級安全

DB2 權限體系分為資料庫級與物件級，支援顯式 GRANT/REVOKE、隱式自動授權、間接套件授權，v9 新增 LBAC (Label-Based Access Control) 行列級安全。

權限分類

系統編目視圖：SYSCAT.TABAUTH, COLAUTH, INDEXAUTH, SCHEMAAUTH, ROUTINEAUTH, PACKAGEAUTH

顯式授權 (GRANT/REVOKE)

-- 範例：授予 test1 查詢 gmilne.org
GRANT SELECT ON TABLE gmilne.org TO USER test1

-- 授予群組插入權限
GRANT INSERT ON TABLE gmilne.org TO GROUP db2grp1

-- 授予所有用戶結構描述 DROPIN
GRANT DROPIN ON SCHEMA gmilne TO ALL

-- 撤銷
REVOKE SELECT ON TABLE gmilne.org FROM USER test1
REVOKE INSERT ON TABLE gmilne.org FROM GROUP db2grp1
REVOKE DROPIN ON SCHEMA gmilne FROM ALL

注意：從群組撤銷不影響直接授予個別用戶的相同權限。

隱式授權 (自動隨物件建立)

刪除物件時隱式權限自動撤銷；顯式撤銷高層權限**不**自動撤銷隱式權限。

間接授權 (套件執行)

• 套件包含靜態 SQL，用戶僅需套件 EXECUTE 權限即可執行
• 間接獲得套件內所有靜態 SQL 所需的物件權限
• 例：套件含 SELECT * FROM org、INSERT INTO test，用戶獲 org SELECT、test INSERT

LBAC 行列級存取控制 (DB2 9 新增)

傳統做法：建立視圖限制存取。LBAC 提供原生行/列級安全策略。

實作範例：人資/經理/組長三層權限

1. 建立安全標籤元件 (TREE 型)：

   CREATE SECURITY LABEL COMPONENT J_DEPT
     TREE ('HR_EXECUTIVE' ROOT,
       'MAN_D11_E21' UNDER 'HR_EXECUTIVE',
       'A00' UNDER 'HR_EXECUTIVE', ...,
       'D11' UNDER 'MAN_D11_E21',
       'E21' UNDER 'MAN_D11_E21')

2. 定義安全策略：

   CREATE SECURITY POLICY J_DEPT_POLICY
     COMPONENTS J_DEPT
     WITH DB2LBACRULES
     RESTRICT NOT AUTHORIZED WRITE SECURITY LABEL

3. 建立安全標籤並授予用戶：

   CREATE SECURITY LABEL J_DEPT_POLICY.EXECUTIVE COMPONENT J_DEPT 'HR_EXECUTIVE'
   GRANT SECURITY LABEL J_DEPT_POLICY.EXECUTIVE TO USER Jane FOR ALL ACCESS
   GRANT SECURITY LABEL J_DEPT_POLICY.MANAGE_D11_E21 TO USER Joe FOR ALL ACCESS
   GRANT SECURITY LABEL J_DEPT_POLICY.A00 TO USER Frank FOR READ ACCESS

4. 修改表加入標籤欄並綁定策略：

   ALTER TABLE EMP ADD COLUMN DEPT_TAG DB2SECURITYLABEL
   ADD SECURITY POLICY J_DEPT_POLICY

5. 更新各部門標籤值：用 SECLABEL_BY_NAME 依 WORKDEPT 設定

驗證結果

Frank 嘗試 UPDATE 會報 SQL20402N 無 LBAC 憑證。

管理建議

• 定期稽核 SYSCAT.*AUTH 視圖
• 善用群組簡化授權管理
• LBAC 取代視圖實現細粒度安全
• 文件化權限矩陣，納入合規審計