核心交易系統數據庫應用程序綁定賬號權限收縮方案
一、核心交易系統數據庫現存問題
核心系統由於歷史遺留問題導致應用賬號權限分配過大，目前應用人員具備核心數據庫的所有權限，存在數據庫管理審計復雜及安全隱患，需要進行調整及優化。
二、整改優化後的目標
確保核心系統的可控、安全、穩定以及DBA對核心系統具備精細化的管理能力
三、實施步驟
1.登錄核心數據庫服務器
2.使用root賬號添加如下賬號：
mkuser db2bpkg
#備機需要添加該賬號且賬號密碼遵循相應規范
3.登錄核心系統數據庫服務器,使用db2inst1賬號進行授權：
db2 connect to cbusdb
db2 grant connect on database to user db2bpkg
#授予賬號connect權限
db2 grant bindadd on database to user db2bpkg
#授予賬號創建包權限
db2 grant dataaccess on database to user db2bpkg
#授予賬號數據訪問權限，因程序包即SQL需要操作數據的權限
#最小化授權保證新建賬號只有DML權限，不再具備DDL權限
db2 grant createin,alterin on schema db2inst1 to user db2bpkg
#授予賬號在db2inst1模式下修改、創建程序包的權限
4.業務驗證
1.發版驗證期間業務驗證,登錄cics應用服務器；
2.使用cbus賬號並切到bnd程序路徑下
cd /cbus/cboddb/bnd
3.使用新建賬號db2bpkg執行應用程序的綁定任務
db2 connect to cbusdb user db2bpkg using db2bpkg
db2 bind a.bnd action replace qualifier db2inst1
四、應急措施
1.用新建賬號綁定的應用程序包CICS無法正常訪問，使用db2inst1賬號重新綁定應用程序即可
五、回退操作步驟
1.訪問核心數據庫服務器，並使用db2inst1賬號執行如下操作
db2 connect to cbusdb
db2 revoke connect on database from user db2bpkg
db2 revoke bindadd on database from user db2
db2 revoke dataaccess on database to user db2bpkg
db2 revoke createin,alterin on schema db2inst1 to user db2bpkg
2.使用root賬號刪除新建賬號db2bpkg
userdel -r db2bpkg
#在備機重復以上操作
