Comment créer un déclencheur Oracle qui accorde des autorisations

Question

Je veux faire quelque chose qui est conceptuellement simple mais qui semble beaucoup plus complexe en réalité.

Fondamentalement, chaque fois qu'une nouvelle table est créée pour un couple d'utilisateurs dans notre base de données, je veux accorder des autorisations de sélection à un rôle. Fondamentalement ceci:

grant select on TABLENAME to READROLE;

Jusqu'à présent, mon déclencheur ressemble à ceci:

CREATE OR REPLACE TRIGGER osmm_grant_on_creation

CREATE APRÈS ON OSMM.SCHEMA

BEGIN

//grant goes here 

FIN

Le problème est, je ne peux pas comprendre comment joindre les deux ensemble en obtenant le nom de la nouvelle table et son référencement par le déclenchement de la subvention. Des suggestions? Merci.

Answer 1

Il est probablement plus complexe que vous pensez même. L'instruction GRANT est DDL, ce qui signifie qu'elle émet des validations implicites, ce qui signifie que vous ne pouvez pas la placer directement dans un trigger. Votre déclencheur doit soumettre un travail qui s'est déroulé dans une session distincte après que la transaction de déclenchement a été validée, ce qui ferait effectivement l'attribution. Et cela signifie que vous devez utiliser l'ancien package pour planifier le travail, car le DBMS_SCHEDULER plus moderne commet implicitement.

Étant donné que vous ne devez pas créer de tables à la volée dans Oracle en premier lieu, l'emplacement approprié pour ce type de subvention est dans les scripts de construction que vous exécutez pour créer la table en premier lieu. S'appuyer sur des déclencheurs pour faire des choses comme des subventions a tendance à rendre plus difficile la réalisation de builds correctement car exécuter exactement le même script dans deux environnements différents peut générer deux résultats différents à cause des différences dans le trigger.

Si vous êtes déterminé à aller dans cette voie, cependant, vous voudrez probablement quelque chose comme

Une procédure qui accorde le privilège

CREATE OR REPLACE PROCEDURE grant_select_to_readrole(p_table_name IN VARCHAR2) 
AS 
BEGIN 
    EXECUTE IMMEDIATE 'grant select on ' || p_table_name || ' to readrole'; 
END; 

Et un déclencheur qui soumet un travail qui appelle cette procédure

CREATE OR REPLACE TRIGGER osmm_grant_on_creation 
    AFTER CREATE ON OSMM.SCHEMA 
AS 
    l_jobno PLS_INTEGER; 
BEGIN 
    dbms_job.submit(l_jobno, 
        'BEGIN grant_select_to_readrole(''' || ora_dict_obj_name || '''); END;', 
        sysdate + interval '10' second); 
END; 

Si vous deviez essayer d'émettre dans le déclencheur DDL au niveau du schéma lui-même, vous obtiendrez une erreur

SQL> ed 
Wrote file afiedt.buf 

    1 create or replace trigger after_create_on_scott 
    2 after create on schema 
    3 declare 
    4 begin 
    5 execute immediate 'grant select on scott.emp to hr'; 
    6* end; 
SQL>/

Trigger created. 

SQL> create table foo(col1 number); 
create table foo(col1 number) 
* 
ERROR at line 1: 
ORA-00604: error occurred at recursive SQL level 1 
ORA-30511: invalid DDL operation in system triggers 
ORA-06512: at line 3 

Answer 2

vous avez besoin probabply faire quelque chose comme:

CREATE OR REPLACE TRIGGER osmm_grant_on_creation 

AFTER CREATE ON OSMM.SCHEMA 
DECLARE 
new_obj_name varchar2(30); 
BEGIN 
SELECT ora_dict_obj_name 
INTO new_obj_name 
FROM dual 
WHERE ora_dict_obj_type = 'TABLE'; 

execute immediate 'grant select on ' || new_obj_name || ' to READROLE'; 
END 

mais je ne peux pas vérifier si cela fonctionne