核心交易系统数据库应用程序绑定账号权限收缩方案

核心交易系统数据库应用程序绑定账号权限收缩方案

一、核心交易系统数据库现存问题
核心系统由于历史遗留问题导致应用账号权限分配过大，目前应用人员具备核心数据库的所有权限，存在数据库管理审计复杂及安全隐患，需要进行调整及优化。
二、整改优化后的目标
确保核心系统的可控、安全、稳定以及DBA对核心系统具备精细化的管理能力
三、实施步骤
1.登录核心数据库服务器
2.使用root账号添加如下账号：
mkuser db2bpkg
#备机需要添加该账号且账号密码遵循相应规范
3.登录核心系统数据库服务器,使用db2inst1账号进行授权：
db2 connect to cbusdb
db2 grant connect on database to user db2bpkg
#授予账号connect权限
db2 grant bindadd on database to user db2bpkg
#授予账号创建包权限
db2 grant dataaccess on database to user db2bpkg
#授予账号数据访问权限，因程序包即SQL需要操作数据的权限
#最小化授权保证新建账号只有DML权限，不再具备DDL权限
db2 grant createin,alterin on schema db2inst1 to user db2bpkg
#授予账号在db2inst1模式下修改、创建程序包的权限
4.业务验证
1.发版验证期间业务验证,登录cics应用服务器；
2.使用cbus账号并切到bnd程序路径下
cd /cbus/cboddb/bnd
3.使用新建账号db2bpkg执行应用程序的绑定任务
db2 connect to cbusdb user db2bpkg using db2bpkg
db2 bind a.bnd action replace qualifier db2inst1
四、应急措施
1.用新建账号绑定的应用程序包CICS无法正常访问，使用db2inst1账号重新绑定应用程序即可
五、回退操作步骤
1.访问核心数据库服务器，并使用db2inst1账号执行如下操作
db2 connect to cbusdb
db2 revoke connect on database from user db2bpkg
db2 revoke bindadd on database from user db2
db2 revoke dataaccess on database to user db2bpkg
db2 revoke createin,alterin on schema db2inst1 to user db2bpkg
2.使用root账号删除新建账号db2bpkg
userdel -r db2bpkg
#在备机重复以上操作