限制DBA级别的用户在任意表空间上建表

通常情况下，数据库中的用户都授予了connect,resource,dba三个角色。有了这些权限的用户，操作时很方便，但随意性很强。将对象建立到USERS表空间下是经常的事情。我想到一种从技术上的限制方法。步骤如下：

第一步，新建用户和权限处理

SQL> conn / as sysdba
Connected.
SQL> create user usr_xx identified by usr_xx default tablespace tbs_yy;

User created.

SQL> grant connect,resource,dba to usr_xx;

Grant succeeded.

SQL> revoke unlimited tablespace from usr_xx;

Revoke succeeded.

关键点，取消unlimited tablespace 系统权限。取消之后，新建用户在任何表空间上都没有quota了。
因此，客观上限制了用户在任意表空间上建立对象的行为。

第二步，测试效果

SQL> conn usr_xx/usr_xx
Connected.
SQL> create table t_yy(a date,b number,c varchar2(10));
create table t_yy(a date,b number,c varchar2(10))
*
ERROR at line 1:
ORA-01950: no privileges on tablespace 'TBS_YY'

在默认表空间上也无法建表了。

第三步，授予表空间的QUOTA

SQL> conn / as sysdba
Connected.
SQL> alter user usr_xx quota unlimited on tbs_yy;

User altered.

SQL> conn usr_xx/usr_xx
Connected.
SQL> create table t_yy(a date,b number,c varchar2(10));

Table created.

在默认表空间上可以建表了。我们再测试其他表空间上建表操作。

SQL> create table t_yy_users(a date,b number,c varchar2(10)) tablespace users;
create table t_yy_users(a date,b number,c varchar2(10)) tablespace users
*
ERROR at line 1:
ORA-01950: no privileges on tablespace 'USERS'

结果证实，在其他表空空间上是不能建立的。