数据库安全是当今最重要的问题。您的数据库可能允许顾客通过互联网购买产品，它也可能包含用来预测业务趋势的历史数据;无论是哪种情况，公司都需要可靠的数据库安全计划。

　　数据库安全计划应该定义：

• 　　允许谁访问实例和/或数据库
• 　　在哪里以及如何检验用户的密码
• 　　用户被授予的权限级别
• 　　允许用户运行的命令
• 　　允许用户读取和/或修改的数据
• 　　允许用户创建、修改和/或删除的数据库对象

　　DB2 安全机制

　　DB2 中有三种主要的安全机制，可以帮助 DBA 实现数据库安全计划：身份验证(authentication)、授权(authorization) 和特权(privilege)。

　　身份验证是用户在尝试访问 DB2 实例或数据库时遇到的第一种安全特性。DB2 身份验证与底层操作系统的安全特性紧密协作来检验用户 ID 和密码。DB2 还可以利用 Kerberos 这样的安全协议对用户进行身份验证。

　　授权决定用户和/或用户组可以执行的操作以及他们可以访问的数据对象。用户执行高级数据库和实例管理操作的能力由指派给他们的权限决定。在 DB2 中有 5 种不同的权限级别：SYSADM、SYSCTRL、SYSMAINT、DBADM 和 LOAD。

　　特权的粒度比授权要细，可以分配给用户和/或用户组。特权定义用户可以创建或删除的对象。它们还定义用户可以用来访问对象(比如表、视图、索引和包)的命令。DB2 9 中新增的一个概念是基于标签的访问控制(LBAC)，它允许以更细的粒度控制谁有权访问单独的行和/或列。

　　要为本教程的下一节做好准备，需要在 DB2 实例中创建一个数据库。确保 %DB2INSTANCE% 变量仍然设置为 DB2，然后使用命令 db2sampl drive 创建示例数据库，这里的 drive 是希望创建示例数据库的驱动器的名称。对于本教程中的示例，将在 D: 驱动器上创建示例数据库：

　　D:\SQLLIB\BIN> db2sampl d:

　　客户机、服务器、网关和主机

　　在考虑整个数据库环境的安全性时，理解术语客户机、服务器、网关 和主机 是相当重要的。数据库环境常常由几台不同的机器组成;必须在所有潜在的数据访问点上保护数据库。在处理 DB2 身份验证时客户机、服务器、网关和主机的概念尤其重要。

　　下图说明了基本的客户机 - 服务器 - 主机配置。

　　

　　数据库服务器 是数据库实际所在的机器(在分区的数据库系统上可能是多台机器)。DB2 数据库客户机 是对服务器上的数据库执行查询的机器。这些客户机可以是本地的(驻留在与数据库服务器相同的物理机器上)，也可以是远程的(驻留在单独的机器上)。

　　如果数据库驻留在运行 AS/400(iSeries)或 OS/390(zSeries)的大型机上，它就称为主机 或主机服务器。网关 是一台运行 DB2 Connect 产品的机器。DB2 客户机可以通过网关连接驻留在主机上的 DB2 数据库。网关也称为 DB2 Connect 服务器。安装了 Enterprise Server Edition 产品的系统也内置了 DB2 Connect 功能。