JPH04321143A - データベースオブジェクトのユーザアクセス特権を判定するための方法およびそのシステム - Google Patents

データベースオブジェクトのユーザアクセス特権を判定するための方法およびそのシステム

Info

Publication number
JPH04321143A
JPH04321143A JP4017406A JP1740692A JPH04321143A JP H04321143 A JPH04321143 A JP H04321143A JP 4017406 A JP4017406 A JP 4017406A JP 1740692 A JP1740692 A JP 1740692A JP H04321143 A JPH04321143 A JP H04321143A
Authority
JP
Japan
Prior art keywords
access
user
access privileges
program code
database
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP4017406A
Other languages
English (en)
Other versions
JP2634117B2 (ja
Inventor
Richard D Hoffman
リチャード、デール、ホフマン
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
International Business Machines Corp
Original Assignee
International Business Machines Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by International Business Machines Corp filed Critical International Business Machines Corp
Publication of JPH04321143A publication Critical patent/JPH04321143A/ja
Application granted granted Critical
Publication of JP2634117B2 publication Critical patent/JP2634117B2/ja
Anticipated expiration legal-status Critical
Expired - Lifetime legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G06F21/6227—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database where protection concerns the structure of data, e.g. records, types, queries
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2141—Access rights, e.g. capability lists, access control lists, access tables, access matrices

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Computer Hardware Design (AREA)
  • Health & Medical Sciences (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Databases & Information Systems (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】
【０００１】
【産業上の利用分野】本発明は、データベースのオブジ
ェクトに関してデータベースユーザによって現在保持さ
れているアクセス特権を判定するための方法に関する。 より詳しくは、本発明は、そのような特権を自動的に判
定し、かつ、（１）ユーザがアクセス特権を有するオブ
ジェクトの名称、（２）ユーザがアクセス特権を有する
各オブジェクトへのアクセスの型の識別、（３）ユーザ
がそれを通じてアクセス特権を有する関係するアクセス
グループの識別、および、（４）そのような特権が他の
ユーザに拡張できるかどうかに関する識別を表示するた
めの、製品に依存しない方法に関する。
【０００２】
【従来の技術およびその課題】現在、データベースユー
ザにとって、自己がアクセス特権を有するそのオブジェ
クトを判定することは極めて困難である。所与のユーザ
は、例えばデータベースオブジェクトを作成することに
よりデータベースオブジェクトに「直接アクセス」を、
または、当該オブジェクトにアクセスできるグループま
たはクラスの構成員となることによりデータベースオブ
ジェクトに対する「間接アクセス」を有することができ
る。この分類の特殊な例として、データベースユーザが
、一般にアクセス可能であるようなデータベースオブジ
ェクトにいつでもアクセスできる場合がある。
【０００３】本明細書で使用する場合、「アクセス特権
」は、データベースオブジェクトに対するいずれかの型
のアクセスを意味するものとする。こうしたアクセスは
、例示であって限定するものではないが、オブジェクト
を見る、テーブルの数を変更するなどによりオブジェク
トを修正する、オブジェクトの構造を変更するなどによ
りオブジェクトを変更する、オブジェクトの全部または
一部を削除する、といった能力を含むとしてよい。アク
セス特権の正式な型は、各種データベース管理システム
で標準化されており、当業者には公知である。
【０００４】用語「直接アクセス」は、ユーザがグルー
プまたはクラスに関係せずに有する型のアクセス特権を
含むものとする。こうした特権は、通常、アクセスされ
るオブジェクトの所有者または特別に特権を付与された
管理者により、ユーザに対して直接許可される。
【０００５】用語「間接アクセス」は、直接ではないす
べての型のアクセスを含む。パブリックアクセスは、規
定されたグループまたはクラスの構成員によるアクセス
であるような「間接アクセス」である。例えば、企業の
人事課は、その企業の部外者がアクセスできない一定の
データベースオブジェクト（秘密の人事ファイルなど）
へのアクセスが許可されていよう。人事課に転入し、後
に転出するような企業雇用者は、その在職中このグルー
プの構成員であり、従ってその人事ファイルに一時的に
アクセスできる。
【０００６】従って、グループは、一定のデータベース
オブジェクトに対する規定のアクセス特権を備えた「疑
似エンティティ」である。これらのグループは、あたか
も実際のユーザであるかのようにデータベースで扱われ
る。
【０００７】所与のデータベースユーザは、１組織内の
複数のグループの構成員としてよい。例えば、人事取締
役は、その企業内の上位の経営陣グループの構成員と同
様、人事グループの構成員としてよい。従って、データ
ベースユーザが、データベース内のアクセスのために自
己が属するすべてのグループに気づかない、または、は
っきり知らないことは稀ではない。そのグルーピング自
体はデータベースの外部で通常に格納されるので、ユー
ザは、すべての想定されるグループに関する情報および
各グループのアクセス特権にアクセスしなくてもよい。
【０００８】従って、ユーザが自己がアクセス特権を有
するデータベースオブジェクトの全部を判定することは
極めて困難である。所与のユーザは、恐らく、自己が作
成し所有するデータベースオブジェクトは知っているで
あろうが、それらのオブジェクトが膨大になったり、相
当以前に作成された場合、たぶん知らないかもしれない
。ユーザはまた、自己が１以上のグループの構成員であ
ることは知っているであろうが、自己が属するグループ
のすべては知らないであろうし、そうしたすべてのグル
ープのアクセス特権を述べることはできないであろう。
【０００９】従って、現在、ユーザは、自己がアクセス
特権を有するオブジェクトのすべてを、それらのオブジ
ェクトの特権の型とともに判定し、表示させることは、
それが不可能でない場合、困難であることを認めるであ
ろう。
【００１０】実際には、自己のアクセス特権を判定する
ためにユーザによって要求される情報のすべては、シス
テムのいずれかにおいて入手可能である。しかし、この
情報を得るには、ユーザは、データベースそれ自体に対
してだけでなく、システムカタログに対しても多数の照
会を行わなければならない。セキュリティグループ構成
員の効力などの必要な情報の一部は、セキュリティコー
ドがなければ通常は入手できない。
【００１１】本明細書では、定義を要する多数の付加的
な用語が使用される。これらの定義を以下に説明する。
【００１２】データベース「オブジェクト」は、特定の
方法で構成されたデータベース内のデータの集合である
。例えば、このデータの集合は、「テーブル」または「
ビュー」とすることができる。
【００１３】「テーブル」は、行および列で構成された
データの集合である。
【００１４】「ビュー」は、ユーザがアクセスできるオ
ブジェクトの論理的部分集合である。例えば、テーブル
のビューは、そのテーブルの１以外の全部の行を含むこ
とができる。
【００１５】「コレクション」は、データベース内のオ
ブジェクトの集合である。これらのオブジェクトは、例
えば、共通の主題に関係することができる。
【００１６】「パッケージ」は、データベースを背景に
して走行できる予備処理されたコマンドの集合である。
【００１７】「索引」は、オブジェクト内の基礎をなす
オブジェクトである。テーブルの索引はそのテーブルの
一部を形成する。
【００１８】「スナップショット」は、時間的に特定の
時点のテーブルまたはビューの複写である。例えば、ス
ナップショットは、日に一度だけテーブルから行うこと
ができるが、現在テーブルは連続的に変化している。
【００１９】「ｒｄｂ」は、「関係型データベース」の
頭文字語である。
【００２０】「別名」は、データベースのオブジェクト
の略称である。例えば、テーブルの公式名を「２７３４
．５」とすることができるが、これはユーザが覚えるの
は困難である。従って、ユーザは「ｍｙｔａｂ」といっ
た別名をそのテーブルに付けることができる。
【００２１】現在、ＯＳ／２照会マネージャ（ＱＭ）は
、アクセス特権判定がＡＳＰ−１の時間枠でテーブルお
よびビューについて利用可能であることを要求する。 これを行うために、ＱＭは、テーブルのメニューをデー
タベースユーザに提示し、ユーザはそこから選択できる
。ＩＢＭの共通ユーザアクセス（ＣＵＡ）仕様は、これ
らのメニューがユーザがアクセス可能なテーブルだけを
表示することを要する。このガイドラインは、業界およ
び国際規格から導き出されたものであり、最近の人間工
学研究に対する回答である。現在、ＱＭは、ＯＳ／２で
作用する特殊関数呼出しからこの情報を取得する。
【００２２】
【課題を解決するための手段】本発明の第１の目的は、
データベースのオブジェクトに関してデータベースユー
ザによって現在保持されているアクセス特権を判定する
ための方法を提供することである。
【００２３】本発明の第２の目的は、「製品に依存しな
い」、すなわち、いずれのデータベース管理プログラム
製品にも移植できるような、上述の形式の方法を提供す
ることである。
【００２４】本発明の第３の目的は、ユーザがアクセス
特権を持たないそうしたテーブルの識別に対するユーザ
によるアクセスを防止する前述の形式の方法を提供する
ことである。
【００２５】本発明の第４の目的は、多数のデータベー
スプログラム製品とともに用いるための非手続き言語で
実施される前述の形式の方法を提供することである。
【００２６】上述の目的および、後述の説明によって明
らかになるであろう他の目的は、本発明に従って、以下
の段階を含む方法によって達成される。
【００２７】（ａ）所与のユーザがアクセス特権を有す
るオブジェクトの判定を要求する。
【００２８】（ｂ）ユーザが直接アクセス特権を有する
オブジェクトを自動的に判定する。
【００２９】（ｃ）ユーザが間接アクセス特権を有する
オブジェクトを、以下の段階によって自動的に判定する
。
【００３０】（１）ユーザが属する全部のアクセスグル
ープを自動的に判定する。
【００３１】（２）段階（１）で判定されたアクセスグ
ループがアクセス特権を有するオブジェクトを自動的に
判定する。
【００３２】データベースの特定の単一オブジェクトに
関してアクセス特権を判定するために、類似の方法が利
用できる。この場合、その方法は以下の段階を含む。
【００３３】（ａ）ユーザがその所与のオブジェクトに
対するアクセス特権を有するかどうかの判定を要求する
。
【００３４】（ｂ）そのユーザがそのオブジェクトに対
する直接アクセスを有するかどうかを自動的に判定する
。
【００３５】（ｃ）そのユーザがそのオブジェクトに対
する間接アクセスを有するかどうかを、以下の段階によ
って自動的に判定する。
【００３６】（１）ユーザが属する全部のアクセスグル
ープを自動的に判定する。
【００３７】（２）段階（１）で判定されたアクセスグ
ループの１以上がそのオブジェクトに対するアクセス特
権を有するかどうかを自動的に判定する。
【００３８】こうして得られたアクセス特権情報は、（
例えばモニタまたは印刷のいずれかによって）ユーザに
表示するか、または、他のいずれかの方法によって直接
使用することができる。例えば、アクセス特権を表示す
るのではなく、これらの特権を認証機構として使用し、
ユーザに、自己が指定したオブジェクトへの直接アクセ
スを付与することが可能である。あるいはまた、その情
報を、そのユーザの特権の直接表示を必要としない統計
その他の目的のために使用することができる。
【００３９】従来、同種のアクセス特権情報を取得する
には、ユーザは、自己が属するグループを判定してから
、それらのグループがどのオブジェクトにアクセスでき
るかを判定する必要があった。この第２の段階は、アク
セスの型とともに、そのデータベースの各オブジェクト
に対してアクセスできるすべての人間およびグループの
リストを含むカタログで照会する必要があった。そうし
たカタログは、各グループの人間のリストは含まないの
で、グループ管理ユーティリティ（データベース外部の
）に対する照会によってこの事実を個別に判定しなけれ
ばならなかった。
【００４０】本発明は、このプロセスを自動化し、ユー
ザがカタログを見ることによりデータベースの全オブジ
ェクトのリストを見させなくすることを保証する。
【００４１】本発明の一つの特長に従えば、この方法は
また、公衆がアクセス特権を有するオブジェクトを自動
的に判定し、それによりユーザが直接および間接アクセ
スを行えるオブジェクトのリスト中にそうしたオブジェ
クトを含めることができる。
【００４２】本発明の他の特長に従えば、ユーザのアク
セス特権の判定を要求する段階は、以下の段階を含むこ
とができる。
【００４３】（１）アクセス特権を記述するためにコマ
ンドを発行する （２）記述されるオブジェクトの型を述べる（３）記述
されるオブジェクトの名称を述べる（４）アクセス特権
情報を受け取る制御ブロックの名称を述べる あるオブジェクトに対するアクセス特権があるアクセス
グループによって許可されると、その各アクセスグルー
プは好ましくはそのオブジェクトとともに表示される。
【００４４】本発明の他の特長に従えば、ユーザがアク
セス特権を有する各オブジェクトへのアクセスの型は、
各オブジェクトとともに表示される。アクセスのそうし
た型は、例えば、「選択」、「挿入」、「更新」、「削
除」、「ドロップ」、「変更」、「索引」および「参照
」アクセスを含むことができる。これらのアクセスの型
は、当技術分野で十分に定義され認識されている。
【００４５】本発明のさらに好ましい特長に従えば、ユ
ーザがアクセス特権を有する各オブジェクトについて、
そのアクセス特権が他のユーザに拡張できるかどうかを
判定する段階が含まれる。この情報は、ユーザの選択に
より、表示または他の方法でユーザによって使用するこ
とができる。
【００４６】本発明の他の特長に従えば、この方法は、
構造化照会言語（ＳＱＬ）などの非手続き言語で実施さ
れる。あるいはまた、この方法は、アプリケーションプ
ログラミングインタフェース（ＡＰＩ）で実施してもよ
い。ＳＱＬの使用は、この方法をいずれのデータベース
管理製品に移植させることが可能になる。
【００４７】上述の方法および特長は、コンピュータシ
ステムで走行するように設計された適切なプログラムコ
ードによって実施される。このようなプログラムコード
およびコンピュータシステムは、本発明の範囲に含まれ
るものとする。
【００４８】本発明の好ましい実施例を添付図面によっ
て以下に説明する。
【００４９】
【実施例】本発明の好ましい実施例を図１〜５によって
説明する。
【００５０】図１は、本発明の概略的なコンピュータハ
ードウエア環境を示す。本発明は、単一のパーソナルコ
ンピュータ、情報を交換するために一体に接続された２
以上のパーソナルコンピュータ、または、図１に示すよ
うに、ＩＢＭ　　３７０システムなどのホストコンピュ
ータおよび相互に一体に接続された２以上のパーソナル
コンピュータで実施することができる。図１は、大型デ
ィスク記憶ファイル１２とともに動作するホストコンピ
ュータ１０を例示する。ホストコンピュータ１０には、
それぞれ、データおよび制御情報を搬送する多数の回線
１８および２０によって第１のパーソナルコンピュータ
１４および第２のパーソナルコンピュータ１６が接続さ
れている。これらの２のパーソナルコンピュータもデー
タおよび制御情報回線２２によって相互に接続されてい
る。
【００５１】本発明のデータベース環境は、図２に例示
した形態をとることができる。この場合、ＰＳ／２（登
録商標）パーソナルコンピュータは、関係型テーブル構
造およびデータの交換を可能にする統合交換フォーマッ
ト（ＩＸＦ）データ交換ソフトウエアのＯＳ／２拡張版
（登録商標）データベースマネージャ適応機能とともに
動作する。文字データは、ＩＢＭのＡＳＣＩＩコードペ
ージ４３７などの特定のコードページ環境で１以上のデ
ータベースに格納される。数値および日付／時間データ
は、基本オペレーティングシステムおよび／またはハー
ドウエアが支援するフォーマットで内部的に格納される
。
【００５２】詳しくは、このデータベースマネージャは
、全部のデータがテーブルのコレクションとしてビュー
される関係型データベースモデルを支援するデータベー
ス管理システム（ハードウエアおよびソフトウエア）で
ある。データベースマネージャは、「データベースサー
ビス」と称する関係型コマンドプロセッサ、データを見
つけるための汎用照会システム、他のコンピュータシス
テムとのデータ交換のためのシステム、ならびに、個々
の関係型データベースのバックアップ、復元および保守
のためのシステムを付与する。
【００５３】データベースサービスは、データベースマ
ネージャの関係型コマンドプロセッサである。これは、
記憶アクセス用システム、構造化照会言語（ＳＱＬ）命
令文処理、データベース管理、ロック管理、並行性制御
、ライトアヘッドロギング、回復サービス、行レベルロ
ッキング細分性、また、アプリケーション、システムお
よび記録媒体の障害事象におけるデータ回復、ならびに
、機密保護制御を含む多数の機能にサービスする。デー
タベースマネージャおよびデータベースサービスの両者
ともＰＳ／２コンピュータ用の公知のアプリケーション
であり、詳述する必要はない。
【００５４】図３は、個別のオブジェクト２３および２
４および、オブジェクトのグループまたはコレクション
２５、２６および２７を含む通常のデータベースを示す
。例えば、オブジェクト２３は索引２８が付けられてい
るが、オブジェクト２４は索引を持っていない。コレク
ション２５〜２７はそれぞれ、多数のオブジェクト２９
、３０および３１を含む。
【００５５】所与のオブジェクトに対するアクセスの各
種の型は、図４に例示するユーザの全集合によって得ら
れる。データベースオブジェクトに対するアクセスは、
ユーザ３２、３３および３４によって図示されたように
直接アクセス、または、グループ３６および３８ならび
にそれぞれの構成員ユーザ４０および４２によって図示
されたように間接アクセスとすることができる。あるい
はまた、オブジェクトに対するパブリックアクセスをパ
ブリックアクセス「グループ」４６を通じて全ユーザ４
４に付与することができる。
【００５６】図５は、プログラミング命令「ＤＥＳＣＲ
ＩＢＥ　　ＰＲＩＶＩＬＥＧＥＳ」をコンピュータ内で
実行できる方法を示す流れ図である。このアルゴリズム
では、初期化時に、データベースが以下の情報にアクセ
スすることを前提とする。
【００５７】（１）現アプリケーションを走行している
ユーザのログイン識別 （２）ユーザが属するグループＧ１，Ｇ２，．．，Ｇｊ
，．．，ＧＮ（０＜＝Ｎ） データベースプロセッサは、＜オブジェクトセット＞に
関する命令「ＤＥＳＣＲＩＢＥ　　ＰＲＩＶＩＬＥＧＥ
Ｓ」を受け取ると、＜オブジェクトセット＞をオブジェ
クトＢ１，Ｂ２，．．，Ｂｉ，．．，ＢＭ（０＜Ｍ）の
リストにパーズする（ブロック５１）。その後、プログ
ラムは、ヘッダを初期化し（ブロック５２）、各オブジ
ェクトＢｉをうまく見つけるためにループに入る（ブロ
ック５３）。ループでは、特権マスクが初期化され（ブ
ロック５４）、現在オブジェクトＢｉに対してユーザに
よって保持されている特権に対応するフラグが設定され
る（ブロック５５）。
【００５８】プログラムは次に、ユーザが属するグルー
プＧｊのそれぞれを検討するためにループに入る（ブロ
ック５６）。各グループについて、現在オブジェクトＢ
ｉに対して特定のグループによって保持されている特権
に対応するフラグが設定される（ブロック５７）。すべ
てのグループが検討されると（ブロック５９）、現在オ
ブジェクトＢｉに対して公衆によって保持されている特
権に対応するフラグが設定される（ブロック６０）。す
べてのオブジェクトが検討されると（ブロック６０）、
設定されたフラグによって定義された情報がアプリケー
ションプログラムに送られる（ブロック６１）。このデ
ータは、希望に応じて、アプリケーションプログラムに
よって表示させたり、または分析させたりすることがで
きる。ＳＱＬでの実施本発明の構造化照会言語（ＳＱＬ
）での特定の実施例を以下に説明する。ＳＱＬは、多く
のデータベース製品により使用できる公知の非手続き言
語である。
【００５９】ＳＱＬでのＤＥＳＣＲＩＢＥ　　ＰＲＩＶ
ＩＬＥＧＥＳ命令文は、現在のデータベースの例（すな
わち、ＣＵＲＲＥＮＴ　　ＳＥＲＶＥＲ特殊レジスタに
リスト化されているデータベースの例）で、その命令文
の実行者によって現在保持されている特権に関する情報
を入手する。
【００６０】以下使用される用語「一次許可識別」は、
特殊レジスタ「ＵＳＥＲ」の値を意味するものとする。 「二次許可識別」は、データ操作言語が実行される時に
特権を判定する際に一次許可識別に加えて使用される許
可識別である。「活性許可識別」は、命令文を実行する
ユーザの許可識別である。これは、ＳＱＬＩＤ特殊レジ
スタ（それを支援する製品の場合）の値またはＵＳＥＲ
の値のいずれかである。「命令文の許可識別」は、上述
のいずれにも当てはまらず、ＤＥＳＣＲＩＢＥＰＲＩＶ
ＩＬＥＧＥＳ命令文がそれに拘束されていた許可識別を
いう。最後に、「コレクション識別」は、３部分から成
るオブジェクト名の中央部分として使用される識別子で
ある。
【００６１】ＤＥＳＣＲＩＢＥ　　ＰＲＩＶＩＬＥＧＥ
Ｓ命令文は、アプリケーションプログラムで埋め込まれ
るだけである。これは動的に作成できない実行文である
。 命令文の許可識別によって保持された特権は、管理権限
を含まなければならない。
【００６２】ＤＥＳＣＲＩＢＥ　　ＰＲＩＶＩＬＥＧＥ
Ｓ命令文は、以下の形態をとる。
【表１】 この命令文における「ＯＮ」は、記述されるオブジェク
トの型を識別する。オプションには、好ましくは、以下
を含む。
【００６３】（１）ＣＯＬＬＥＣＴＩＯＮ：コレクショ
ンに関する特権が記述される。
【００６４】（２）ＩＮＤＥＸ：索引に関する特権が記
述される。
【００６５】（３）ＰＡＣＫＡＧＥ：パッケージに関す
る特権が記述される。
【００６６】（４）ＴＡＢＬＥ：テーブル、ビューおよ
びスナップショットに関する特権が記述される。
【００６７】ＤＥＳＣＲＩＢＥ　　ＰＲＩＶＩＬＥＧＥ
Ｓ命令文において、「ホスト変数」は、特権が記述され
るオブジェクトを識別する。ホスト変数の値は、以下の
表１に示す形式を有し、ホスト変数内で左寄せされてお
り、区切り識別子内での空白を除き、空白をまったく含
まない文字列である。名称の長さが変数の長さより小さ
い場合、名称の最終文字の後に空白が続く。デフォール
ト値は「＊」である。表の用語「ｒｄｂ」は、「関係型
データベース」を意味する。
【００６８】ホスト変数は、文字列変数を宣言するため
の規則のもとでの呼出しプログラムで記述される。イン
ジケータ変数は指定する必要がない。
【表２】 各形式において、ｒｄｂ名が指定された場合、それは現
在のデータベース例の名称（すなわち、ＣＵＲＲＥＮＴ
　　ＳＥＲＶＥＲの値）である。ｒｄｂ名が指定されな
い場合、それは現在のデータベース例の名称としてみな
される。
【００６９】コレクション識別が指定されず、オブジェ
クトの型がＣＯＬＬＥＣＴＩＯＮではない場合、コレク
ション識別は、ＣＵＲＲＥＮＴ　　ＣＯＬＬＥＣＴＩＯ
Ｎの実行時間値（支援されている場合）、または、他の
場合にはＵＳＥＲの実行時間値としてみなされる。
【００７０】「ＩＮＴＯ」は、ＳＱＬ特権領域（ＳＱＬ
ＰＡ）を名づける。ＤＥＳＣＲＩＢＥ　　ＰＲＩＶＩＬ
ＥＧＥＳ命令文が実行される場合、後述の表２〜４に従
ってＳＱＬＰＡのフィールドに値が割り当てられる。
【００７１】テーブルのフィールドを識別するために使
用される名称は、これらのフィールドを指示するために
プログラムで使用される名称である必要はない。しかし
、それらは、プログラム言語「Ｃ」ではそれらの名称が
小文字となる点を除き、ＩＮＣＬＵＤＥ　　ＳＱＬＰＡ
によって作成される構造で使用されている名称であろう
。
【表３】
【表４】
【表５】 特権の判定は、活性許可識別に直接付与されたＧＲＡＮ
ＴＳにだけ依存するものではない。一次および二次許可
識別のＧＲＡＮＴＳ、ＧＲＡＮＴＳ　　ＰＵＢＬＩＣ、
活性許可識別によって保持されている管理権限が考慮さ
れる。その決定は機能による。すなわち、ユーザ実行の
場合、ＤＥＳＣＲＩＢＥ　　ＰＲＩＶＩＬＥＧＥＳ命令
文はその特権によって限定された機能を現在的に実行で
きる。すべての関連する特殊レジスタの値が与えられて
いれば、ユーザは特権を持っているとみなされる。例え
ば、活性許可識別がオブジェクトの所有者である場合、
全フラグは通常、「Ｇ」に設定される。
【００７２】ＧＲＡＮＴオプションを持たないＯＳ／２
においても、ユーザがオブジェクトの所有者である場合
、機能上、ユーザはそのオブジェクトに対する許可特権
を有する。
【００７３】ＤＥＳＣＲＩＢＥ　　ＰＲＩＶＩＬＥＧＥ
Ｓのさらに別の使用例として、コレクションに対するＣ
ＲＥＡＴＥおよびＤＲＯＰ＿ＯＢＪＥＣＴ特権を検討し
よう。
【００７４】（１）ＤＢ２およびＳＱＬ／ＤＳにおいて
、これらの特権は両者とも、そのコレクションのコレク
ション識別が活性許可識別と同一でない限り、または、
それらのバイトを「Ｙ」に設定させることになるＤＢ２
でのＳＹＳＡＤＭまたはＤＢＡＤＭ権限またはＳＱＬ／
ＤＳでのＤＢＡ権限をユーザが有していない限り、「Ｎ
」に設定される。
【００７５】（２）ＯＳ／２では、これらの特権は常に
「Ｙ」である。
【００７６】（３）ＯＳ／４００では、これらの特権は
、そのコレクションに対するユーザの特権に応じて変化
する。
【００７７】ＤＥＳＣＲＩＢＥ　　ＰＲＩＶＩＬＥＧＥ
Ｓ命令文を実行するユーザがオブジェクトに対していず
れの特権も持たない場合、そのオブジェクトはＳＱＬＰ
Ａにリスト化されない。単一オブジェクトだけが指定さ
れ、ユーザがこのオブジェクトに対する特権をまったく
持たない場合、エラーが返される。
【００７８】ＳＱＬＰＡＮによって示されたＳＱＬＰＡ
Ｒブロックの数だけが返される。しかし、ＳＱＬＰＡＤ
は常に、返されることができたはずのＳＱＬＰＡＲブロ
ックの総数を示すように設定される。
【００７９】ＳＱＬＰＡＮがゼロに設定されている場合
、ＳＱＬＰＡＲブロックをまったく持たないＳＱＬＰＡ
が返される。これは、ＳＱＬＰＡＤが設定されるので、
ＳＱＬＰＡに必要な空間量を事前に決定するためにアプ
リケーションにより使用することができる。しかし、特
権の計算が２度行われる必要があるので、これは高価な
プロセスとなり、勧められない。アプリケーションプロ
グラマは、代わりに、ＳＱＬＰＡＮについて合理的な値
を選択し、必要な場合にのみＤＥＳＣＲＩＢＥＰＲＩＶ
ＩＬＥＧＥＳコマンドを再付託するように努めるべきで
ある。
【００８０】ＤＥＳＣＲＩＢＥ　　ＰＲＩＶＩＬＥＧＥ
Ｓ命令文には以下の例外が適用される。
【００８１】（１）ホスト変数の内容が有効形式のいず
れかに一致しない場合、ＳＱＬＳＴＡＴＥ　　３５５０
２（「名称無効文字」）が返される。
【００８２】（２）ｒｄｂ名が局所データベース例の名
称に一致しない場合、ＳＱＬＳＴＡＴＥ　　５６０２３
（「遠隔オブジェクトの無効参照」）が返される。
【００８３】（３）ＳＱＬＰＡＮが負数を指定したかま
たは完全にアドレス指定できない場合、ＳＱＬＳＴＡＴ
Ｅ　　５１００１（「無効呼出しパラメータリスト／制
御ブロック」）が返される。
【００８４】（４）単一のオブジェクトが指定され、そ
のオブジェクトが存在しない場合、または、特定のコレ
クション識別が指定され、そのコレクションが存在しな
い場合、ＳＱＬＳＴＡＴＥ　　５２００４（「未定義オ
ブジェクト／制約条件名」）が返される。
【００８５】（５）単一のオブジェクトが指定され、Ｄ
ＥＳＣＲＩＢＥ　　ＰＲＩＶＩＬＥＧＥＳ命令文を実行
するユーザがそのオブジェクトに対する特権を持たない
場合、ＳＱＬＳＴＡＴＥ　　５９００１（「許可識別が
指定オブジェクトの指定動作を実行するための特権を持
たない」）が返される。 実施例 例えば、遠隔のデータベースに、ＲＡＢＢＩＴの識別子
のもとで３のテーブルが存在し、それぞれの名称をＦＬ
ＯＰＳＹ，ＭＯＰＳＹおよびＣＯＴＴＯＮＴＡＬＬとす
る。また、ＶＥＧＥＴＡＢＬＥ＿ＧＡＲＤＥＮと称する
ビューもある。
【００８６】ユーザＰＥＴＥＲはＦＬＯＰＳＹの所有者
であり、ＰＥＴＥＲはＭＯＰＳＹへのＳＥＬＥＣＴアク
セスを許可されている。ＰＥＴＥＲはＶＥＧＥＴＡＢＬ
Ｅ＿ＧＡＲＤＥＮに直接アクセスすることはできないが
、ＶＥＧＥＴＡＢＬＥ＿ＧＡＲＤＥＮにＵＰＤＡＴＥお
よびＤＥＬＥＴＥアクセスができるＢＡＤ＿ＢＵＮＮＩ
ＥＳと称するグループに属している。
【００８７】ＰＥＴＥＲは、ＢＡＤ＿ＢＵＮＮＩＥＳ全
体の選択言語であるＣ言語で以下のプログラムをコード
化した。
【００８８】本発明は上述したように、データベースの
オブジェクトに関してデータベースユーザによって現在
保持されているアクセス特権を判定するための方法であ
って、（ａ）所与のユーザがアクセス特権を有するオブ
ジェクトの判定を要求する段階と、（ｂ）そのユーザが
直接アクセス特権を有するオブジェクトを自動的に判定
する段階と、（ｃ）そのユーザが間接アクセス特権を有
するオブジェクトを、（１）そのユーザが属する全部の
アクセスグループを自動的に判定する段階と、（２）段
階（１）で判定された前記アクセスグループがアクセス
特権を有するオブジェクトを自動的に判定する段階によ
って、自動的に判定する段階とを含んでいる。ここで、
さらに、前記ユーザがアクセス特権を有するオブジェク
トを表示させる段階と、前記アクセスグループがアクセ
ス特権を有するオブジェクトとともにその関係アクセス
グループを表示する段階とを含んでいてもよい。本発明
は、アクセス特権を判定する方法であって、さらに（ｄ
）前記ユーザがアクセス特権を有する各オブジェクトへ
のアクセスの型を判定する段階と、（ｅ）各自のオブジ
ェクトとともに前記アクセスの型を表示させる段階とを
含んでいてもよい。さらに、前記アクセスの型が、選択
、挿入、更新、削除、ドロップ、変更、索引および参照
のうちの１以上を含んでいてもよい。あるいは本発明の
方法は、さらに、（ｆ）前記ユーザがアクセス特権を有
する各オブジェクトのアクセス特権が他のユーザに拡張
できるかどうかを判定する段階と、（ｇ）前記ユーザが
アクセス特権を有する各オブジェクトのアクセス特権が
他のユーザに拡張できるかどうかを表示させる段階とを
含んでいてもよい。ここで、前記方法が、多数のデータ
ベース製品によって使用するための非手続きコンピュー
タ言語で実施される場合に、前記非手続き言語が構造化
照会言語（ＳＱＬ）であってもよい。本発明のアクセス
特権を判定する方法であって、前記要求段階が、（１）
アクセス特権を記述するためにコマンドを発行する段階
と、（２）記述されるオブジェクトの型を述べる段階と
、（３）記述されるオブジェクトの名称を述べる段階と
、（４）アクセス特権情報を受け取る制御ブロックの名
称を述べる段階とを含み、前記要求段階が、アクセス特
権が要求されるオブジェクトの型を指定する段階を含ん
でいてもよい。また、本発明のデータベースの所与のオ
ブジェクトに関してデータベースユーザによって現在保
持されているアクセス特権を判定するための方法は、（
ａ）そのユーザがその所与のオブジェクトに対してアク
セス特権を有するかの判定を要求する段階と、（ｂ）そ
のユーザがそのオブジェクトに対して直接アクセス特権
を有するかを自動的に判定する段階と、（ｃ）そのユー
ザがそのオブジェクトに対して間接アクセス特権を有す
るかを、（１）そのユーザが属する全部のアクセスグル
ープを自動的に判定する段階と、（２）段階（１）で判
定されたアクセスグループの１以上がそのオブジェクト
に対してアクセス特権を有するかを自動的に判定する段
階によって、自動的に判定する段階とを含んでいてもよ
い。そして、そのアクセス特権を判定するための方法は
、さらに、（ｄ）ユーザがそのオブジェクトに対して有
するアクセス特権の型を判定する段階と、（ｅ）前記ア
クセスの型を表示させる段階とを含み、前記アクセスの
型が、選択、挿入、更新、削除、ドロップ、変更、索引
および参照のうちの１以上を含む方法であってもよい。 前記方法は、多数のデータベース製品によって使用する
ための非手続きコンピュータ言語で実施される場合、前
記非手続き言語が構造化照会言語（ＳＱＬ）であっても
よい。また本発明は、データベースのオブジェクトに関
してデータベースユーザによって現在保持されているア
クセス特権を判定するためのデータベースおよび装置を
含むコンピュータシステムであって、（ａ）所与のユー
ザがアクセス特権を有するオブジェクトの判定を要求す
るための第１の手段と、（ｂ）そのユーザが直接アクセ
ス特権を有するオブジェクトを自動的に判定するための
第２の手段と、（ｃ）そのユーザが間接アクセス特権を
有するオブジェクトを、（１）そのユーザが属する全部
のアクセスグループを自動的に判定するための第４の手
段と、（２）第４の手段により判定された前記アクセス
グループがアクセス特権を有するオブジェクトを自動的
に判定する第５の手段とによって、自動的に判定するた
めの第３の手段との組合せを含むことを特徴とするコン
ピュータシステムであってもよい。このシステムは、さ
らに、前記ユーザがアクセス特権を有するオブジェクト
を表示させるための手段と、前記アクセスグループがア
クセス特権を有するオブジェクトとともにその関係アク
セスグループを表示するための手段を含んでいてもよい
。さらに、このシステムは、（ｄ）前記ユーザがアクセ
ス特権を有する各オブジェクトへのアクセスの型を判定
するための手段と、（ｅ）各自のオブジェクトとともに
前記アクセスの型を表示させるための手段とを含んでい
てもよい。また前記アクセスの型が、選択、挿入、更新
、削除、ドロップ、変更、索引および参照のうちの１以
上を含んだシステムであってもよい。 このシステムにおいて、前記第１、第２および第３の手
段が、多数のデータベース製品によって使用するための
非手続きコンピュータ言語を実行することを特徴とする
場合は、前記非手続き言語が構造化照会言語（ＳＱＬ）
であってもよい。ここで、前記第１の手段が、（１）ア
クセス特権を記述するためにコマンドを発行するための
手段と、（２）記述されるオブジェクトの型を述べるた
めの手段と、（３）記述されるオブジェクトの名称を述
べるための手段と、（４）アクセス特権情報を受け取る
制御ブロックの名称を述べるための手段を含む場合、前
記第１の手段が、アクセス特権が要求されるオブジェク
トの型を指定するための手段を含むシステムであっても
よい。また、本発明はデータベースの所与のオブジェク
トに関してデータベースユーザによって現在保持されて
いるアクセス特権を判定するためのコンピュータシステ
ムであって、（ａ）そのユーザがその所与のオブジェク
トに対してアクセス特権を有するかの判定を要求するた
めの第１の手段と、（ｂ）そのユーザがそのオブジェク
トに対して直接アクセス特権を有するかを自動的に判定
するための第２の手段と、（ｃ）そのユーザがそのオブ
ジェクトに対して間接アクセス特権を有するかを、（１
）そのユーザが属する全部のアクセスグループを自動的
に判定するための第４の手段と、（２）前記第４の手段
によって判定されたアクセスグループの１以上がそのオ
ブジェクトに対してアクセス特権を有するかを自動的に
判定するための第５の手段とによって、自動的に判定す
るための第３の手段との組合せを含むことを特徴とする
システムであってもよい。このシステムは、さらに、（
ｄ）ユーザがそのオブジェクトに対して有するアクセス
特権の型を判定するための手段と、（ｅ）前記アクセス
の型を表示させるための手段とを含み、前記アクセスの
型が、選択、挿入、更新、削除、ドロップ、変更、索引
および参照のうちの１以上を含んでいてもよい。また、
このような本発明のシステムは、前記第１、第２および
第３の手段が、多数のデータベース製品によって使用す
るための非手続きコンピュータ言語を実行する場合、前
記非手続き言語が構造化照会言語（ＳＱＬ）であっても
よい。また、本発明はデータベースの所与のオブジェク
トに関してデータベースユーザによって現在保持されて
いるアクセス特権を判定するための製品であって、（ａ
）その所与のユーザがアクセス特権を有するオブジェク
トの判定を要求するための第１のプログラムコード手段
と、（ｂ）そのユーザが直接アクセス特権を有するオブ
ジェクトを自動的に判定するための第２のプログラムコ
ード手段と、（ｃ）そのユーザが間接アクセス特権を有
するオブジェクトを、（１）そのユーザが属する全部の
アクセスグループを自動的に判定するための第４のプロ
グラムコード手段と、（２）前記第４のプログラムコー
ド手段により判定された前記アクセスグループがアクセ
ス特権を有するオブジェクトを自動的に判定するための
第５のプログラムコード手段とによって、自動的に判定
するための第３のプログラムコード手段との組合せを含
むことを特徴とする製品であってもよい。本発明の製品
は、さらに、前記ユーザがアクセス特権を有するオブジ
ェクトを表示させるためのプログラムコード手段と、前
記アクセスグループがアクセス特権を有するオブジェク
トとともにその関係アクセスグループを表示するための
プログラムコード手段とを含んでいてもよい。さらに、
本発明の製品は、（ｄ）前記ユーザがアクセス特権を有
する各オブジェクトに対するアクセスの型を判定するた
めのプログラムコード手段と、（ｅ）前記アクセスの型
を各自のオブジェクトとともに表示させるためのプログ
ラムコード手段とを含んでいてもよく、さらに、前記ア
クセスの型が、選択、挿入、更新、削除、ドロップ、変
更、索引および参照のうちの１以上を含むものであって
もよい。ここで、前記第１、第２および第３のプログラ
ムコード手段が、多数のデータベース製品によって使用
するための非手続きコンピュータ言語を形成する場合は
、前記非手続き言語が構造化照会言語（ＳＱＬ）であっ
てもよい。また本発明の製品は、前記第１のプログラム
コード手段が、（１）アクセス特権を記述するためにコ
マンドを発行するためのプログラムコード手段と、（２
）その所与のオブジェクトの型を述べるためのプログラ
ムコード手段と、（３）そのオブジェクトの名称を述べ
るためのプログラムコード手段と、（４）アクセス特権
情報を受け取る制御ブロックの名称を述べるためのプロ
グラムコード手段とを含み、前記第１のプログラムコー
ド手段が、アクセス特権が要求されるオブジェクトの型
を指定するための手段を含んでいてもよい。また、本発
明の製品は、データベースの所与のオブジェクトに関し
てデータベースユーザによって現在保持されているアク
セス特権を判定するための製品であって、（ａ）そのユ
ーザがその所与のオブジェクトに対してアクセス特権を
有するかの判定を要求するための第１のプログラムコー
ド手段と、（ｂ）そのユーザがそのオブジェクトに対し
て直接アクセス特権を有するかを自動的に判定するため
の第２のプログラムコード手段と、（ｃ）そのユーザが
そのオブジェクトに対して間接アクセス特権を有するか
を、（１）そのユーザが属する全部のアクセスグループ
を自動的に判定するための第４のプログラムコード手段
と、（２）前記第４のプログラムコード手段により判定
されたアクセスグループの１異常がそのオブジェクトに
対してアクセス特権を有するかを自動的に判定するため
の第３のプログラムコード手段と、（ｄ）ユーザがその
オブジェクトに対して有するアクセス特権の型を判定す
るためのプログラムコード手段と、（ｅ）前記アクセス
の型を表示させるためのプログラムコード手段とを含み
、前記アクセスの型が、選択、挿入、更新、削除、ドロ
ップ、変更、索引および参照のうちの１以上を含んでい
てもよい。前記第１、第２および第３のプログラムコー
ド手段が、多数のデータベース製品によって使用するた
めの非手続きコンピュータ言語を実行する場合は、前記
非手続き言語が構造化照会言語（ＳＱＬ）であってもよ
い。
【図面の簡単な説明】
【図１】ホストコンピュータおよび２つのパーソナルコ
ンピュータを含む小型コンピュータシステムを示すブロ
ック図。
【図２】データベースマネージャおよび２つの個別デー
タベースを支援するオペレーティングシステムを用いた
パーソナルコンピュータシステムのブロック図。
【図３】データベースに含まれる多数のオブジェクトを
例示する説明図。
【図４】データベースへのユーザアクセスを例示する説
明図。
【図５】本発明に従った方法を実施するためのアルゴリ
ズムの流れ図。
【符号の説明】
１０　　ホストコンピュータ １２　　ディスク記憶装置 １４　　第１のパーソナルコンピュータ１６　　第２の
パーソナルコンピュータ１８，２０　　回線 ２２　　データおよび制御情報回線 ２３，２４，２９〜３１　　オブジェクト２５〜２７　
　コレクション ２８　　索引 ３２〜３４　　ユーザ ３６，３８，４６　　グループ ４０，４２　　構成員ユーザ ４４　　全ユーザ

Claims (54)

    【特許請求の範囲】
  1. 【請求項１】データベースのオブジェクトに関してデー
    タベースユーザによって現在保持されているアクセス特
    権を判定するための方法であって、（ａ）所与のユーザ
    がアクセス特権を有するオブジェクトの判定を要求する
    段階と、（ｂ）そのユーザが直接アクセス特権を有する
    オブジェクトを自動的に判定する段階と、（ｃ）そのユ
    ーザが間接アクセス特権を有するオブジェクトを、（１
    ）そのユーザが属する全部のアクセスグループを自動的
    に判定する段階と、（２）段階（１）で判定された前記
    アクセスグループがアクセス特権を有するオブジェクト
    を自動的に判定する段階によって、自動的に判定する段
    階とを含むことを特徴とする方法。
  2. 【請求項２】請求項１記載の方法であって、段階（ｃ）
    がさらに、公衆がアクセス特権を有するオブジェクトを
    自動的に判定する段階を含むことを特徴とする方法。
  3. 【請求項３】請求項１記載の方法であって、さらに、前
    記ユーザがアクセス特権を有するオブジェクトを表示さ
    せる段階を含むことを特徴とする方法。
  4. 【請求項４】請求項１記載の方法であって、前記要求段
    階が、（１）アクセス特権を記述するためにコマンドを
    発行する段階と、（２）記述されるオブジェクトの型を
    述べる段階と、（３）記述されるオブジェクトの名称を
    述べる段階と、（４）アクセス特権情報を受け取る制御
    ブロックの名称を述べる段階とを含むことを特徴とする
    方法。
  5. 【請求項５】請求項１記載の方法であって、さらに、（
    ｄ）前記ユーザがアクセス特権を有する各オブジェクト
    へのアクセスの型を判定する段階と、（ｅ）各自のオブ
    ジェクトとともに前記アクセスの型を表示させる段階と
    を含むことを特徴とする方法。
  6. 【請求項６】請求項１記載の方法であって、前記方法が
    、多数のデータベース製品によって使用するための非手
    続きコンピュータ言語で実施されることを特徴とする方
    法。
  7. 【請求項７】請求項１記載の方法であって、前記方法が
    、特定のデータベース製品によって使用するためのアプ
    リケーションプログラム言語で実施されることを特徴と
    する方法。
  8. 【請求項８】請求項１記載の方法であって、前記オブジ
    ェクトが、コレクション、索引、パッケージおよびテー
    ブルを含むことを特徴とする方法。
  9. 【請求項９】請求項１記載の方法であって、前記オブジ
    ェクト型が、コレクション、索引、パッケージおよびテ
    ーブルの１以上を含むことを特徴とする方法。
  10. 【請求項１０】データベースの所与のオブジェクトに関
    してデータベースユーザによって現在保持されているア
    クセス特権を判定するための方法であって、（ａ）その
    ユーザがその所与のオブジェクトに対してアクセス特権
    を有するかの判定を要求する段階と、（ｂ）そのユーザ
    がそのオブジェクトに対して直接アクセス特権を有する
    かを自動的に判定する段階と、（ｃ）そのユーザがその
    オブジェクトに対して間接アクセス特権を有するかを、
    （１）そのユーザが属する全部のアクセスグループを自
    動的に判定する段階と、（２）段階（１）で判定された
    アクセスグループの１以上がそのオブジェクトに対して
    アクセス特権を有するかを自動的に判定する段階によっ
    て、自動的に判定する段階とを含むことを特徴とする方
    法。
  11. 【請求項１１】請求項１０記載の方法であって、段階（
    ｃ）がさらに、公衆がそのオブジェクトに対してアクセ
    ス特権を有するかを自動的に判定する段階を含むことを
    特徴とする方法。
  12. 【請求項１２】請求項１０記載の方法であって、さらに
    、それを通じてユーザがそのオブジェクトに対してアク
    セス特権を有する各アクセスグループまたは複数のアク
    セスグループを表示させる段階を含むことを特徴とする
    方法。
  13. 【請求項１３】請求項１０記載の方法であって、前記要
    求段階が、（１）アクセス特権を記述するためにコマン
    ドを発行する段階と、（２）その所与のオブジェクトの
    型を述べる段階と、（３）そのオブジェクトの名称を述
    べる段階と、（４）アクセス特権情報を受け取る制御ブ
    ロックの名称を述べる段階とを含むことを特徴とする方
    法。
  14. 【請求項１４】請求項１０記載の方法であって、さらに
    、（ｄ）ユーザがそのオブジェクトに対して有するアク
    セス特権の型を判定する段階と、（ｅ）前記アクセスの
    型を表示させる段階とを含むことを特徴とする方法。
  15. 【請求項１５】請求項１０記載の方法であって、さらに
    、（ｆ）そのオブジェクトのアクセス特権が他のユーザ
    に拡張できるかどうかを判定する段階と、（ｇ）そのオ
    ブジェクトのアクセス特権が他のユーザに拡張できるか
    どうかを表示させる段階とを含むことを特徴とする方法
    。
  16. 【請求項１６】請求項１０記載の方法であって、前記方
    法が、多数のデータベース製品によって使用するための
    非手続きコンピュータ言語で実施されることを特徴とす
    る方法。
  17. 【請求項１７】請求項１０記載の方法であって、前記方
    法が、特定のデータベース製品によって使用するための
    アプリケーションプログラム言語で実施されることを特
    徴とする方法。
  18. 【請求項１８】請求項１０記載の方法であって、前記オ
    ブジェクトが、コレクション、索引、パッケージおよび
    テーブルのいずれかを含むことを特徴とする方法。
  19. 【請求項１９】データベースのオブジェクトに関してデ
    ータベースユーザによって現在保持されているアクセス
    特権を判定するためのデータベースおよび装置を含むコ
    ンピュータシステムであって、（ａ）所与のユーザがア
    クセス特権を有するオブジェクトの判定を要求するため
    の第１の手段と、（ｂ）そのユーザが直接アクセス特権
    を有するオブジェクトを自動的に判定するための第２の
    手段と、（ｃ）そのユーザが間接アクセス特権を有する
    オブジェクトを、（１）そのユーザが属する全部のアク
    セスグループを自動的に判定するための第４の手段と、
    （２）第４の手段により判定された前記アクセスグルー
    プがアクセス特権を有するオブジェクトを自動的に判定
    する第５の手段とによって、自動的に判定するための第
    ３の手段との組合せを含むことを特徴とするコンピュー
    タシステム。
  20. 【請求項２０】請求項１９記載のシステムであって、前
    記第３の手段がさらに、公衆がアクセス特権を有するオ
    ブジェクトを自動的に判定するための手段を含むことを
    特徴とするシステム。
  21. 【請求項２１】請求項１９記載のシステムであって、さ
    らに、前記ユーザがアクセス特権を有するオブジェクト
    を表示させるための手段を含むことを特徴とするシステ
    ム。
  22. 【請求項２２】請求項１９記載のシステムであって、前
    記第１の手段が、（１）アクセス特権を記述するために
    コマンドを発行するための手段と、（２）記述されるオ
    ブジェクトの型を述べるための手段と、（３）記述され
    るオブジェクトの名称を述べるための手段と、（４）ア
    クセス特権情報を受け取る制御ブロックの名称を述べる
    ための手段を含むことを特徴とするシステム。
  23. 【請求項２３】請求項１９記載のシステムであって、さ
    らに、（ｆ）前記ユーザがアクセス特権を有する各オブ
    ジェクトのアクセス特権が他のユーザに拡張できるかど
    うかを判定するための手段と、（ｇ）前記ユーザがアク
    セス特権を有する各オブジェクトのアクセス特権が他の
    ユーザに拡張できるかどうかを表示させるための手段と
    を含むことを特徴とするシステム。
  24. 【請求項２４】請求項１９記載のシステムであって、前
    記第１、第２および第３の手段が、多数のデータベース
    製品によって使用するための非手続きコンピュータ言語
    を実行することを特徴とするシステム。
  25. 【請求項２５】請求項１９記載のシステムであって、前
    記システムが、特定のデータベース製品によって使用す
    るためのアプリケーションプログラミングインタフェー
    スを形成することを特徴とするシステム。
  26. 【請求項２６】請求項１９記載のシステムであって、前
    記オブジェクトが、コレクション、索引、パッケージお
    よびテーブルを含むことを特徴とするシステム。
  27. 【請求項２７】請求項１９記載のシステムであって、前
    記オブジェクト型が、コレクション、索引、パッケージ
    およびテーブルの１以上を含むことを特徴とするシステ
    ム。
  28. 【請求項２８】データベースの所与のオブジェクトに関
    してデータベースユーザによって現在保持されているア
    クセス特権を判定するためのコンピュータシステムであ
    って、（ａ）そのユーザがその所与のオブジェクトに対
    してアクセス特権を有するかの判定を要求するための第
    １の手段と、（ｂ）そのユーザがそのオブジェクトに対
    して直接アクセス特権を有するかを自動的に判定するた
    めの第２の手段と、（ｃ）そのユーザがそのオブジェク
    トに対して間接アクセス特権を有するかを、（１）その
    ユーザが属する全部のアクセスグループを自動的に判定
    するための第４の手段と、（２）前記第４の手段によっ
    て判定されたアクセスグループの１以上がそのオブジェ
    クトに対してアクセス特権を有するかを自動的に判定す
    るための第５の手段とによって、自動的に判定するため
    の第３の手段との組合せを含むことを特徴とするシステ
    ム。
  29. 【請求項２９】請求項２８記載のシステムであって、前
    記第３の手段がさらに、公衆がそのオブジェクトに対し
    てアクセス特権を有するかを自動的に判定するための手
    段を含むことを特徴とするシステム。
  30. 【請求項３０】請求項２８記載のシステムであって、さ
    らに、それを通じてユーザがそのオブジェクトに対して
    アクセス特権を有する各アクセスグループまたは複数の
    アクセスグループを表示させるための手段を含むことを
    特徴とするシステム。
  31. 【請求項３１】請求項２８記載のシステムであって、前
    記第１の手段が、（１）アクセス特権を記述するために
    コマンドを発行するための手段と、（２）その所与のオ
    ブジェクトの型を述べるための手段と、（３）そのオブ
    ジェクトの名称を述べるための手段と、（４）アクセス
    特権情報を受け取る制御ブロックの名称を述べるための
    手段とを含むことを特徴とするシステム。
  32. 【請求項３２】請求項２８記載のシステムであって、さ
    らに、（ｄ）ユーザがそのオブジェクトに対して有する
    アクセス特権の型を判定するための手段と、（ｅ）前記
    アクセスの型を表示させるための手段とを含むことを特
    徴とするシステム。
  33. 【請求項３３】請求項２８記載のシステムであって、さ
    らに、（ｆ）そのオブジェクトのアクセス特権が他のユ
    ーザに拡張できるかどうかを判定するための手段と、（
    ｇ）そのオブジェクトのアクセス特権が他のユーザに拡
    張できるかどうかを表示させるための手段とを含むこと
    を特徴とするシステム。
  34. 【請求項３４】請求項２８記載のシステムであって、前
    記第１、第２および第３の手段が、多数のデータベース
    製品によって使用するための非手続きコンピュータ言語
    を実行することを特徴とするシステム。
  35. 【請求項３５】請求項２８記載のシステムであって、前
    記システムが、特定のデータベース製品によって使用す
    るためのアプリケーションプログラミングインタフェー
    スを形成することを特徴とするシステム。
  36. 【請求項３６】請求項２８記載のシステムであって、所
    与のオブジェクトが、コレクション、索引、パッケージ
    およびテーブルのいずれかを含むことを特徴とするシス
    テム。
  37. 【請求項３７】データベースの所与のオブジェクトに関
    してデータベースユーザによって現在保持されているア
    クセス特権を判定するための製品であって、（ａ）その
    所与のユーザがアクセス特権を有するオブジェクトの判
    定を要求するための第１のプログラムコード手段と、（
    ｂ）そのユーザが直接アクセス特権を有するオブジェク
    トを自動的に判定するための第２のプログラムコード手
    段と、（ｃ）そのユーザが間接アクセス特権を有するオ
    ブジェクトを、（１）そのユーザが属する全部のアクセ
    スグループを自動的に判定するための第４のプログラム
    コード手段と、（２）前記第４のプログラムコード手段
    により判定された前記アクセスグループがアクセス特権
    を有するオブジェクトを自動的に判定するための第５の
    プログラムコード手段とによって、自動的に判定するた
    めの第３のプログラムコード手段との組合せを含むこと
    を特徴とする製品。
  38. 【請求項３８】請求項３７記載の製品であって、前記第
    ３のプログラムコード手段がさらに、公衆がアクセス特
    権を有するオブジェクトを自動的に判定するためのプロ
    グラムコード手段を含むことを特徴とする製品。
  39. 【請求項３９】請求項３７記載の製品であって、さらに
    、前記ユーザがアクセス特権を有するオブジェクトを表
    示させるためのプログラムコード手段を含むことを特徴
    とする製品。
  40. 【請求項４０】請求項３７記載の製品であって、前記第
    １のプログラムコード手段が、（１）アクセス特権を記
    述するためにコマンドを発行するためのプログラムコー
    ド手段と、（２）その所与のオブジェクトの型を述べる
    ためのプログラムコード手段と、（３）そのオブジェク
    トの名称を述べるためのプログラムコード手段と、（４
    ）アクセス特権情報を受け取る制御ブロックの名称を述
    べるためのプログラムコード手段とを含むことを特徴と
    する製品。
  41. 【請求項４１】請求項３７記載の製品であって、さらに
    、（ｆ）前記ユーザがアクセス特権を有する各オブジェ
    クトのアクセス特権が他のユーザに拡張できるかどうか
    を判定するためのプログラムコード手段と、（ｇ）前記
    ユーザがアクセス特権を有する各オブジェクトのアクセ
    ス特権が他のユーザに拡張できるかどうかを表示させる
    ためのプログラムコード手段とを含むことを特徴とする
    製品。
  42. 【請求項４２】請求項３７記載の製品であって、前記第
    １、第２および第３のプログラムコード手段が、多数の
    データベース製品によって使用するための非手続きコン
    ピュータ言語を形成することを特徴とする製品。
  43. 【請求項４３】請求項３７記載の製品であって、前記製
    品が、特定のデータベース製品によって使用するための
    アプリケーションプログラミングインタフェースを形成
    することを特徴とする製品。
  44. 【請求項４４】請求項３７記載の製品であって、前記オ
    ブジェクトが、コレクション、索引、パッケージおよび
    テーブルを含むことを特徴とする製品。
  45. 【請求項４５】請求項３７記載の製品であって、前記オ
    ブジェクト型が、コレクション、索引、パッケージおよ
    びテーブルの１以上を含むことを特徴とする製品。
  46. 【請求項４６】データベースの所与のオブジェクトに関
    してデータベースユーザによって現在保持されているア
    クセス特権を判定するための製品であって、（ａ）その
    ユーザがその所与のオブジェクトに対してアクセス特権
    を有するかの判定を要求するための第１のプログラムコ
    ード手段と、（ｂ）そのユーザがそのオブジェクトに対
    して直接アクセス特権を有するかを自動的に判定するた
    めの第２のプログラムコード手段と、（ｃ）そのユーザ
    がそのオブジェクトに対して間接アクセス特権を有する
    かを、（１）そのユーザが属する全部のアクセスグルー
    プを自動的に判定するための第４のプログラムコード手
    段と、（２）前記第４のプログラムコード手段により判
    定されたアクセスグループの１以上がそのオブジェクト
    に対してアクセス特権を有するかを自動的に判定するた
    めの第５のプログラムコード手段とによって、自動的に
    判定するための第３のプログラムコード手段との組合せ
    を含むことを特徴とする製品。
  47. 【請求項４７】請求項４６記載の製品であって、前記第
    ３のプログラムコード手段がさらに、公衆がそのオブジ
    ェクトに対してアクセス特権を有するかを自動的に判定
    するための手段を含むことを特徴とする製品。
  48. 【請求項４８】請求項４６記載の製品であって、さらに
    、それを通じてユーザがそのオブジェクトに対してアク
    セス特権を有する各アクセスグループまたは複数のアク
    セスグループを表示させるためのプログラムコード手段
    を含むことを特徴とする製品。
  49. 【請求項４９】請求項４６記載の製品であって、前記第
    １のプログラムコード手段が、（１）アクセス特権を記
    述するためにコマンドを発行するためのプログラムコー
    ド手段と、（２）その所与のオブジェクトの型を述べる
    ためのプログラムコード手段と、（３）そのオブジェク
    トの名称を述べるためのプログラムコード手段と、（４
    ）アクセス特権情報を受け取る制御ブロックの名称を述
    べるためのプログラムコード手段とを含むことを特徴と
    する製品。
  50. 【請求項５０】請求項４６記載の製品であって、さらに
    、（ｄ）ユーザがそのオブジェクトに対して有するアク
    セス特権の型を判定するためのプログラムコード手段と
    、（ｅ）前記アクセスの型を表示させるためのプログラ
    ムコード手段とを含むことを特徴とする製品。
  51. 【請求項５１】請求項４６記載の製品であって、さらに
    、（ｆ）そのオブジェクトのアクセス特権が他のユーザ
    に拡張できるかどうかを判定するためのプログラムコー
    ド手段と、（ｇ）そのオブジェクトのアクセス特権が他
    のユーザに拡張できるかどうかを表示させるためのプロ
    グラムコード手段とを含むことを特徴とする製品。
  52. 【請求項５２】請求項４６記載の製品であって、前記第
    １、第２および第３のプログラムコード手段が、多数の
    データベース製品によって使用するための非手続きコン
    ピュータ言語を実行することを特徴とする製品。
  53. 【請求項５３】請求項４６記載の製品であって、前記製
    品が、特定のデータベース製品によって使用するための
    アプリケーションプログラミングインタフェースを形成
    することを特徴とする製品。
  54. 【請求項５４】請求項４６記載の製品であって、所与の
    オブジェクトが、コレクション、索引、パッケージおよ
    びテーブルのいずれかを含むことを特徴とする製品。
JP4017406A 1991-03-28 1992-02-03 データベースオブジェクトのユーザアクセス特権を判定するための方法およびそのシステム Expired - Lifetime JP2634117B2 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US07/678,572 US5261102A (en) 1991-03-28 1991-03-28 System for determining direct and indirect user access privileges to data base objects
US678572 1991-03-28

Publications (2)

Publication Number Publication Date
JPH04321143A true JPH04321143A (ja) 1992-11-11
JP2634117B2 JP2634117B2 (ja) 1997-07-23

Family

ID=24723360

Family Applications (1)

Application Number Title Priority Date Filing Date
JP4017406A Expired - Lifetime JP2634117B2 (ja) 1991-03-28 1992-02-03 データベースオブジェクトのユーザアクセス特権を判定するための方法およびそのシステム

Country Status (2)

Country Link
US (1) US5261102A (ja)
JP (1) JP2634117B2 (ja)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH08329138A (ja) * 1995-06-02 1996-12-13 Toshiba Corp エンジニアリング支援システム
US7257580B2 (en) 2004-02-24 2007-08-14 International Business Machines Corporation Method, system, and program for restricting modifications to allocations of computational resources
US11899668B2 (en) 2013-08-12 2024-02-13 International Business Machines Corporation Database management apparatus, database control method and program

Families Citing this family (61)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5404518A (en) * 1991-12-19 1995-04-04 Answer Computer, Inc. System for building a user-determined database of solution documents from queries that fail within it and from the search steps that do provide a solution
US5485605A (en) * 1992-05-01 1996-01-16 International Business Machines Corp. Method of and apparatus for providing a group query
US5581749A (en) * 1992-12-21 1996-12-03 Thedow Chemical Company System and method for maintaining codes among distributed databases using a global database
US5559883A (en) * 1993-08-19 1996-09-24 Chipcom Corporation Method and apparatus for secure data packet bus communication
US5410693A (en) * 1994-01-26 1995-04-25 Wall Data Incorporated Method and apparatus for accessing a database
US5604490A (en) * 1994-09-09 1997-02-18 International Business Machines Corporation Method and system for providing a user access to multiple secured subsystems
US7478050B1 (en) * 1995-02-23 2009-01-13 Fujitsu Limited System for managing resources used among groups
US5742759A (en) * 1995-08-18 1998-04-21 Sun Microsystems, Inc. Method and system for facilitating access control to system resources in a distributed computer system
US5778367A (en) * 1995-12-14 1998-07-07 Network Engineering Software, Inc. Automated on-line information service and directory, particularly for the world wide web
WO1997024687A1 (en) * 1995-12-29 1997-07-10 Tele-Communications, Inc. Method and apparatus for hierarchical control of a distributed processing network
US5966715A (en) * 1995-12-29 1999-10-12 Csg Systems, Inc. Application and database security and integrity system and method
US5819251A (en) * 1996-02-06 1998-10-06 Oracle Corporation System and apparatus for storage retrieval and analysis of relational and non-relational data
US5784564A (en) * 1996-05-03 1998-07-21 High Technology Solutions, Inc. Closed browser for computer and computer network
US5903720A (en) * 1996-12-13 1999-05-11 Novell, Inc. Object system capable of using different object authorization systems
US5748890A (en) * 1996-12-23 1998-05-05 U S West, Inc. Method and system for authenticating and auditing access by a user to non-natively secured applications
US5878415A (en) * 1997-03-20 1999-03-02 Novell, Inc. Controlling access to objects in a hierarchical database
JPH117420A (ja) * 1997-04-22 1999-01-12 Sharp Corp データ受信装置
US6990458B2 (en) 1997-08-28 2006-01-24 Csg Systems, Inc. System and method for computer-aided technician dispatch and communication
US6047377A (en) * 1997-12-11 2000-04-04 Sun Microsystems, Inc. Typed, parameterized, and extensible access control permissions
US6792540B1 (en) * 1998-05-28 2004-09-14 Oracle International Corporation Data replication security
US7162689B2 (en) 1998-05-28 2007-01-09 Oracle International Corporation Schema evolution in replication
US6453353B1 (en) * 1998-07-10 2002-09-17 Entrust, Inc. Role-based navigation of information resources
US6182142B1 (en) * 1998-07-10 2001-01-30 Encommerce, Inc. Distributed access management of information resources
JP4410324B2 (ja) * 1998-10-16 2010-02-03 富士通株式会社 資格管理方法および装置
US6311205B1 (en) 1998-10-19 2001-10-30 International Business Machines Corporation Persistent user groups on servers managed by central servers
US6269406B1 (en) 1998-10-19 2001-07-31 International Business Machines Corporation User group synchronization to manage capabilities in heterogeneous networks
US6442695B1 (en) 1998-12-03 2002-08-27 International Business Machines Corporation Establishment of user home directories in a heterogeneous network environment
US6615257B2 (en) * 1998-12-18 2003-09-02 Cisco Technology, Inc. Secure multi-user cable modem configuration editor and viewer
US6415193B1 (en) * 1999-07-08 2002-07-02 Fabcentric, Inc. Recipe editor for editing and creating process recipes with parameter-level semiconductor-manufacturing equipment
NL1015093C2 (nl) * 2000-05-02 2001-11-05 Blue Polar B V Systeem voor het opslaan, verwerken en presenteren van gegevens.
US9038170B2 (en) * 2000-07-10 2015-05-19 Oracle International Corporation Logging access system events
US8661539B2 (en) * 2000-07-10 2014-02-25 Oracle International Corporation Intrusion threat detection
US7185364B2 (en) * 2001-03-21 2007-02-27 Oracle International Corporation Access system interface
US7904454B2 (en) 2001-07-16 2011-03-08 International Business Machines Corporation Database access security
US6928554B2 (en) * 2002-10-31 2005-08-09 International Business Machines Corporation Method of query return data analysis for early warning indicators of possible security exposures
CA2425046C (en) * 2003-04-08 2009-10-06 Ibm Canada Limited - Ibm Canada Limitee Method and system for caching database query statements
US7237201B2 (en) 2003-05-20 2007-06-26 Aol Llc Geographic location notification based on identity linking
US7237119B2 (en) * 2003-06-30 2007-06-26 At&T Intellectual Property, Inc. Method, system and computer program for managing user authorization levels
US8095511B2 (en) 2003-06-30 2012-01-10 Microsoft Corporation Database data recovery system and method
US20050144299A1 (en) * 2003-12-04 2005-06-30 Blevins Delmar E. System and method for supporting XA 2-phase commit protocols with a loosely coupled clustered database server
US7711750B1 (en) 2004-02-11 2010-05-04 Microsoft Corporation Systems and methods that specify row level database security
US7661141B2 (en) * 2004-02-11 2010-02-09 Microsoft Corporation Systems and methods that optimize row level database security
US7644086B2 (en) * 2005-03-29 2010-01-05 Sas Institute Inc. Computer-implemented authorization systems and methods using associations
US8326877B2 (en) * 2005-05-04 2012-12-04 Microsoft Corporation Region-based security
US7627569B2 (en) * 2005-06-30 2009-12-01 Google Inc. Document access control
US8321387B2 (en) * 2005-07-28 2012-11-27 International Business Machines Corporation Restricting access to sensitive data
US7970788B2 (en) 2005-08-02 2011-06-28 International Business Machines Corporation Selective local database access restriction
US8001019B2 (en) * 2005-10-24 2011-08-16 The Boeing Company Managing access to and updating warehouse data
US7962513B1 (en) 2005-10-31 2011-06-14 Crossroads Systems, Inc. System and method for defining and implementing policies in a database system
US7933923B2 (en) 2005-11-04 2011-04-26 International Business Machines Corporation Tracking and reconciling database commands
US8045958B2 (en) 2005-11-21 2011-10-25 Research In Motion Limited System and method for application program operation on a wireless device
EP1826944B1 (en) 2006-02-27 2009-05-13 Research In Motion Limited Method of customizing a standardized IT policy
US8931055B2 (en) * 2006-08-31 2015-01-06 Accenture Global Services Gmbh Enterprise entitlement framework
US8141100B2 (en) 2006-12-20 2012-03-20 International Business Machines Corporation Identifying attribute propagation for multi-tier processing
US8495367B2 (en) 2007-02-22 2013-07-23 International Business Machines Corporation Nondestructive interception of secure data in transit
US7831621B1 (en) 2007-09-27 2010-11-09 Crossroads Systems, Inc. System and method for summarizing and reporting impact of database statements
US8261326B2 (en) 2008-04-25 2012-09-04 International Business Machines Corporation Network intrusion blocking security overlay
US8555378B2 (en) * 2009-03-11 2013-10-08 Sas Institute Inc. Authorization caching in a multithreaded object server
US8321460B2 (en) * 2009-06-11 2012-11-27 Oracle International Corporation Populating a cache system based on privileges
US8689324B2 (en) 2012-04-04 2014-04-01 Sas Institute, Inc. Techniques to explain authorization origins for protected resource objects in a resource object domain
US9558078B2 (en) 2014-10-28 2017-01-31 Microsoft Technology Licensing, Llc Point in time database restore from storage snapshots

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US4249241A (en) * 1978-10-23 1981-02-03 International Business Machines Corporation Object access serialization apparatus for a data processing system
US4325120A (en) * 1978-12-21 1982-04-13 Intel Corporation Data processing system
US4956769A (en) * 1988-05-16 1990-09-11 Sysmith, Inc. Occurence and value based security system for computer databases

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH08329138A (ja) * 1995-06-02 1996-12-13 Toshiba Corp エンジニアリング支援システム
US7257580B2 (en) 2004-02-24 2007-08-14 International Business Machines Corporation Method, system, and program for restricting modifications to allocations of computational resources
US11899668B2 (en) 2013-08-12 2024-02-13 International Business Machines Corporation Database management apparatus, database control method and program

Also Published As

Publication number Publication date
US5261102A (en) 1993-11-09
JP2634117B2 (ja) 1997-07-23

Similar Documents

Publication Publication Date Title
JP2634117B2 (ja) データベースオブジェクトのユーザアクセス特権を判定するための方法およびそのシステム
US10108813B2 (en) Query conditions-based security
JP4571746B2 (ja) アプリケーション機能に対するアクセスを選択的に規定するためのシステムおよび方法
US6587854B1 (en) Virtually partitioning user data in a database system
US6781607B1 (en) Method and system for dynamically determining the appropriate information and/or user interface for presentation to differing users
US7650644B2 (en) Object-based access control
US6487552B1 (en) Database fine-grained access control
US8166070B2 (en) Techniques for sharing persistently stored query results between multiple users
US6578037B1 (en) Partitioned access control to a database
US6289344B1 (en) Context-sensitive authorization in an RDBMS
US7308704B2 (en) Data structure for access control
US7346617B2 (en) Multi-table access control
US7873631B2 (en) Abstractly mapped physical data fields
US6268850B1 (en) User interface for the specification of lock groups
US20050044396A1 (en) Managing access control information
US7281003B2 (en) Database fine-grained access control
JP2003505766A (ja) クエリー最適化プラン用インデックスに対する変化の効果を観察するためのデータベースシステム
US20090077012A1 (en) Displaying relevant abstract database elements
US7991788B2 (en) Abstract data model filters
US7185357B1 (en) Method and mechanism for implementing synonym-based access control
US20020188774A1 (en) Virtualizing external data as native data
US20020188727A1 (en) Method for processing external data for access and manipulation through a host operating environment
EP1008068A1 (en) User interface for the specification of index groups over classes
Tseng The implementation of group authorization in a relational database system: revoking