我们有一台运行 IBM i OS v6r1 的 IBM System i。在这个系统上，我创建了一些数据库视图。我想要做的是让特定用户组仅访问这些视图，而不访问视图所在库中的其他内容。这可能吗？我有一个用户组，它对我的视图所在的库中的所有表和视图只有只读权限，并且当用户属于此用户组时才能访问。我尝试复制用户组，然后分配权限以仅包含我创建的视图，但访问被拒绝。用户或用户组是否也必须对视图来源的表具有权限才能访问该视图？
答案1
是的。仅仅授予使用视图的权限是不够的。用户还必须拥有对基础表的权限。
允许受限用户访问的一种方法是采用权限。为了举例说明，我们假设以下内容：
用户 RESTRICTED 无权访问任何表。所有库要么是 AUT(*EXCLUDE) - 要么是用户 RESTRICTED 对所有库具有 *EXCLUDE 权限。USER PERMITTED 可以访问（或拥有）表和库。库 DATA 拥有表。库 PROGRAMS 拥有程序和存储过程。
让 PERMITTED 在库 PROGRAMS 中创建一个 RPG 存储过程。确保该程序已指定 USRPRF(*OWNER)。这意味着当程序运行时，它将使用所有者的权限 (PERMITTED)，而不是执行它的配置文件的权限 (RESTRICTED)。
授予用户对 RPG 程序对象的 PERMITTED *USE 权限 - 或 - 通过 SQL 授予 GRANT 权限。此外，授予用户 RESTRICTED *USE 对库 PROGRAMS 的访问权限。这将允许 RESTRICTED 执行存储过程/程序。
请注意，用户 RESTRICTED 无权访问 DATA 中的表，并且您希望保持这种状态。
现在让用户 RESTRICTED 使用 SQL 来调用存储过程。她有权执行该程序，因为她对库 PROGRAMS 以及已编译的程序对象具有 *USE 权限。存储过程在所有者 PERMITTED 的权限下运行，并且由于 PERMITTED 对库 DATA 及其中的表具有完全访问权限，因此存储过程可以访问/更新这些表。RESTRICTED 尝试使用的任何原始 SQL 都将因权限不足而失败 - 她唯一能做的就是调用为她创建的存储过程。
如果您的程序与数据存储在同一个库中，则需要向库授予 RESTRICTED *USE 权限，并明确限制她（通过 *EXCLUDE）访问该库中的所有表。创建一个仅包含存储过程的 RESTRICTED 库并授权她访问该库可能更容易。这可以使持续维护更容易，因为您不必记住一直限制她访问 DATA 中新创建的表。