設定Derby的安全環境-基本知識

1. Derby的屬性有三種方式可以設置，依照生效的優先權，由高至低排列如下：

1.1. 透過應用程式設定，或者透過jvm command-line設定的系統範圍(system-wide)設置
1.2. 資料庫範圍(database-wide)設置
1.3. 透過derby.properties設定的系統範圍(system-wide)設置

亦即應用程式和jvm command-line中設定的系統範圍設置會覆蓋掉資料庫範圍設置和derby.properties設定的系統範圍設置，資料庫範圍設置會覆蓋掉derby.properties設定的系統範圍設置。
附註：透過應用程式進行的系統範圍設置只會在embedded configuration的情況下才會生效，例如是由應用程式啟動Derby的情況，或是由應用伺服器(Application Server)使用embedded configuration啟動Derby，應用伺服器裡的應用程式可以設定系統範圍設置。

2. 如果要禁止應用程式或和jvm command-line的系統範圍設置覆蓋資料庫範圍設置，要設定以下的屬性：

derby.database.propertiesOnly=true

3. Derby預設是沒有啟動安全機制的，必須需要額外的設定才會啟動，要使用以下的屬性設定：

derby.connection.requireAuthentication=true

4. Derby把安全機制分為兩大部分：認證(authentication)和授權(authorization)。認證是指使用者必須通過帳號和密碼的驗證，才准許登入系統，但是不一定會有存取資料庫的權限。

5. Derby沒有內建的管理員帳號，由於啟動安全機制後，關閉系統必須有帳號和密碼的驗證，所以在啟動安全機制前，至少要先建立一個系統範圍使用者，否則就無法正常地關閉系統。

6. 如果要禁止應用程式的系統範圍設置覆蓋資料庫範圍設置(derby.database.propertiesOnly=true)，至少要先建立一組對該資料庫有完整存取權限(read-write)的帳號和密碼，否則就無法存取該資料庫。

7. Derby存放帳號的方式有三種：

7.1. External directory service: LDAP directory service:

derby.authentication.provider=LDAP
derby.authentication.server=[LDAP name]:[port number]

7.2. User-defined class:

derby.authentication.provider=[className that implements org.apache.derby.authentication.UserAuthenticator]

7.3. Built-in Derby users:

derby.authentication.provider=BUILTIN

8. 使用者的定義，可以用系統範圍設置來定義系統範圍的使用者，也可以用資料庫範圍設置來定義單一資料庫的使用者。