如何阻止用户对 Db2 中的表执行选择查询？

Question

我有一个数据库“SAMPLE”，我需要在其中阻止用户“DB2ADMIN”执行

SELECT * FROM SYSIBMADM.DBMCFG

我已经试过了

REVOKE SELECT ON TABLE SYSIBMADM.DBMCFG FROM USER DB2ADMIN

我收到错误 SQL0556N 和消息“DB2ADMIN 不持有此特权”，这意味着它不应该首先工作。

当我使用该帐户登录并执行上述查询时，我仍然能够获得选择查询结果。有人可以建议一种方法来做到这一点。

Answer 1

查看administrative view (not table) SYIDBMADM.DBMCFG 的文档。它声明如下：

需要以下授权之一：

• DBMCFG 管理视图上的 SELECT 权限
• DBMCFG 管理视图的 CONTROL 权限
• DATAACCESS 权限
• DBADM 权限
• SQLADM 权限

因此，该用户可能没有 SELECT 权限，但可能具有 DBADM 权限。给定用户名，我可能猜对了就是这种情况。撤销该用户的 DBADM 权限并再次测试。

如果这没有帮助，请尝试了解有关该用户（ID）的更多信息。使用过程AUTH_LIST_GROUPS_FOR_AUTHID、AUTH_LIST_AUTHORITIES_FOR_AUTHID和PRIVILEGES获取安全相关信息。

Answer 2

以下查询为您提供有关为什么您的DB2ADMIN 用户在SYSIBMADM.DBMCFG 视图上拥有SELECT 或CONTROL 权限（如果有）的信息。

SELECT  
  P.PRIVILEGE, U.AUTHID, U.AUTHIDTYPE
FROM SYSIBMADM.PRIVILEGES P
CROSS JOIN (VALUES 'DB2ADMIN') A (AUTHID)
JOIN TABLE 
(
SELECT GROUP, 'G' FROM table(AUTH_LIST_GROUPS_FOR_AUTHID(A.AUTHID))
  UNION ALL
select ROLENAME, 'R' from table(AUTH_LIST_ROLES_FOR_AUTHID(A.AUTHID, 'U'))
  UNION ALL
SELECT * FROM TABLE(VALUES ('PUBLIC', 'G'), (A.AUTHID, 'U')) T (AUTHID, AUTHIDTYPE)
) U (AUTHID, AUTHIDTYPE) ON U.AUTHID=P.AUTHID AND U.AUTHIDTYPE=P.AUTHIDTYPE
WHERE P.OBJECTSCHEMA = 'SYSIBMADM' AND P.OBJECTNAME = 'DBMCFG' 
AND P.PRIVILEGE IN ('SELECT', 'CONTROL');

以下查询为您提供有关为什么您的DB2ADMIN 用户具有足以从此视图中选择的 DATAACCESS、DBADM、SQLADM、SECADM 或 ACCESSCTRL 权限之一（如果有）的信息。 更新
请注意，SYSIBMADM.DBMCFG 的 Authorization list 不正确。它是系统目录视图之一，具有SECADM 或ACCESSCTRL 数据库权限的用户可以访问此视图。因此，我们需要另外检查这两个用户权限。

SELECT 
  P.GRANTEE, P.GRANTEETYPE
, P.DATAACCESSAUTH, P.DBADMAUTH, P.SQLADMAUTH, P.SECURITYADMAUTH, P.ACCESSCTRLAUTH
FROM SYSCAT.DBAUTH P
CROSS JOIN (VALUES 'DB2ADMIN') A (AUTHID)
JOIN TABLE 
(
SELECT GROUP, 'G' FROM table(AUTH_LIST_GROUPS_FOR_AUTHID(A.AUTHID))
  UNION ALL
select ROLENAME, 'R' from table(AUTH_LIST_ROLES_FOR_AUTHID(A.AUTHID, 'U'))
  UNION ALL
SELECT * FROM TABLE(VALUES ('PUBLIC', 'G'), (A.AUTHID, 'U')) T (AUTHID, AUTHIDTYPE)
) U (AUTHID, AUTHIDTYPE) ON U.AUTHID=P.GRANTEE AND U.AUTHIDTYPE=P.GRANTEETYPE
WHERE 'Y' IN (P.DATAACCESSAUTH, P.DBADMAUTH, P.SQLADMAUTH, P.SECURITYADMAUTH, P.ACCESSCTRLAUTH);