最近遇到sys用户创建其他用户的物化视图时报错,下面记录一下问题及整个处理过程:
通过确认上述语句中的子查询语句执行情况,有返回结果集,说明sys用户访问正常,相关表及dblink访问正常,表是存在的。那么该报错可能是该物化视图owner用户的权限问题。
步骤1:授予用户在子查询中涉及的第1个表的select权限:
grant select on ucr.td_m_tab to gzuser;
步骤2:授予子查询中涉及的第2个dblink的权限:
经过查询该dblink,发现其owner是PUBLIC,所以没关系,不用另外授权。这样处理后,接着再执行重建物化视图时,又报另外的(ORA-01031:权限不足)错误:
首先,我们是用sys用户来创建其他用户下的物化视图的,报错权限不足应该指的是物化视图的OWNER权限有问题。通过核实,OWNER确实少了好些权限,下面进一步授权给其OWNER:
grant create materialized view to GCENTER;
grant create any materialized view to GCENTER;
grant global query rewrite to GCENTER;
grant on commit refresh to GCENTER;
grant create view to GCENTER;
授权后,再次创建物化视图,仍然报错如下:
到这一步,还是提示权限不足。这里比较关键的是还需要单独授予OWNER"CREATE TABLE"的权限。一开始忽略了这点,以为每个用户创建时都默认有CONNECT和RESOURCE角色,应该会有最基本的create table的权限。
--增加创建表权限给物化视图的OWNER:
grant create table to GCENTER;
至此,物化视图创建成功。
最后: 这个小case的关键是, 创建其他用户的物化视图时,要考虑创建用户的权限、其物化视图OWNER的相关权限,尤其是create table的权限需要直接授予物化视图的OWNER! 也就是说,创建其他用户下的物化视图时,不仅需要这个用户拥有CREATE TABLE权限,而且要求这个权限不能是通过角色获得,必须直接授权。
从这个要求可以推测,当建立其他用户下的物化视图,多半是通过存储过程实现的,因为这个授权的要求很显然是符合存储过程授权规则。
至于SYS用户为什么不需要目标用户直接授权CREATE TABLE,根据Tom的描述,SYS用户是特殊的,普通的规则在SYS身上并不适用。