SQLServer 角色與權(quán)限管理

SQLServer角色與權(quán)限管理安全性是所有數(shù)據(jù)庫(kù)管理系統(tǒng)的一個(gè)重要特征。理解安全性問(wèn)題是理解數(shù)據(jù)庫(kù)管理系統(tǒng)安全性機(jī)制的前提。第一個(gè)安全性問(wèn)題：當(dāng)用戶登錄數(shù)據(jù)庫(kù)系統(tǒng)時(shí)，如何確保只有合法的用戶才能登錄到系統(tǒng)中？這是一個(gè)最基本的安全性問(wèn)題，也是數(shù)據(jù)庫(kù)管理系統(tǒng)提供的基本功能。在MicrosoftSQLServer2008系統(tǒng)中，通過(guò)身份驗(yàn)證模式和主體解決這個(gè)問(wèn)題。1）身份驗(yàn)證模式MicrosoftSQLServer2008系統(tǒng)提供了兩種身份驗(yàn)證模式：Windows身份驗(yàn)證模式和混合模式。Windows身份驗(yàn)證模式：在該模式中，用戶通過(guò)Windows用戶賬戶連接SQLServer時(shí)，使用Windows操作系統(tǒng)中的賬戶名和密碼。混合模式：在混合模式中，當(dāng)客戶端連接到服務(wù)器時(shí)，既可能采取Windows身份驗(yàn)證，也可能采取SQLServer身份驗(yàn)證。主體是可以請(qǐng)求系統(tǒng)資源的個(gè)體或組合過(guò)程。例如，數(shù)據(jù)庫(kù)用戶是一種主體，可以按照自己的權(quán)限在數(shù)據(jù)庫(kù)中執(zhí)行操作和使用相應(yīng)的數(shù)據(jù)。2）主體主體是可以請(qǐng)求系統(tǒng)資源的個(gè)體或組合過(guò)程。例如，數(shù)據(jù)庫(kù)用戶是一種主體，可以按照自己的權(quán)限在數(shù)據(jù)庫(kù)中執(zhí)行操作和使用相應(yīng)的數(shù)據(jù)。MicrosoftSQLServer2008系統(tǒng)有多種不同的主體，不同主體之間的關(guān)系是典型的層次結(jié)構(gòu)關(guān)系，位于不同層次上的主體其在系統(tǒng)中影響的范圍也不同。位于層次比較高的主體其作用范圍比較大；位于層次比較低的主體，其作用范圍比較小。

在MicrosoftSQLServer2008系統(tǒng)中，通過(guò)安全對(duì)象和權(quán)限設(shè)置來(lái)解決這個(gè)問(wèn)題。3.第三個(gè)安全性問(wèn)題：數(shù)據(jù)庫(kù)中的對(duì)象由誰(shuí)所有？如果是由用戶所有，那么當(dāng)用戶被刪除時(shí)其所擁有的對(duì)象怎么辦，難道數(shù)據(jù)庫(kù)對(duì)象可以成為沒(méi)有所有者的“孤兒”嗎？在MicrosoftSQLServer2008系統(tǒng)中，這個(gè)問(wèn)題是通過(guò)用戶和架構(gòu)分離來(lái)解決的。安全機(jī)制的5個(gè)等級(jí)客戶機(jī)安全機(jī)制網(wǎng)絡(luò)傳輸?shù)陌踩珯C(jī)制實(shí)例級(jí)別安全機(jī)制數(shù)據(jù)庫(kù)級(jí)別安全機(jī)制對(duì)象級(jí)別安全機(jī)制

ft■*fSQLServeIft■*fSQLServeISQISuva20()s:s?四.角色1.固定服務(wù)器角色v固定服務(wù)器角色是服務(wù)器級(jí)別的主體，它們的作用范圍是整個(gè)服務(wù)器。v固定服務(wù)器角色已經(jīng)具備了執(zhí)行指定操作的權(quán)限，可以把其他登錄名作為成員添加到固定服務(wù)器角色中，這樣該登錄名可以繼承固定服務(wù)器角色的權(quán)限。固定服務(wù)器角色的特點(diǎn)v在MicrosoftSQLServer系統(tǒng)中，可以把登錄名添加到固定服務(wù)器角色中，使登錄名作為固定服務(wù)器角色的成員繼承固定服務(wù)器角色的權(quán)限。v對(duì)于登錄名來(lái)說(shuō)，可以選擇其是否成為某個(gè)固定服務(wù)器角色的成員按照從最低級(jí)別的角色(bulkadmin)到最高級(jí)別的角色(sysadmin)的順序進(jìn)行描述：Bulkadmin:這個(gè)服務(wù)器角色的成員可以運(yùn)行BULKINSERT語(yǔ)句。這條語(yǔ)句允許從文本文件中將數(shù)據(jù)導(dǎo)入到SQLServer2008數(shù)據(jù)庫(kù)中，為需要執(zhí)行大容量插入到數(shù)據(jù)庫(kù)的域賬戶而設(shè)計(jì)。Dbcreator：這個(gè)服務(wù)器角色的成員可以創(chuàng)建、更改、刪除和還原任何數(shù)據(jù)庫(kù)。這不僅是適合助理DBA的角色，也可能是適合開(kāi)發(fā)人員的角色。Diskadmin:這個(gè)服務(wù)器角色用于管理磁盤(pán)文件，比如鏡像數(shù)據(jù)庫(kù)和添加備份設(shè)備。它適合助理DBA。Processadmin：SQLServer2008能夠多任務(wù)化，也就是說(shuō)可以通過(guò)執(zhí)行多個(gè)進(jìn)程做多個(gè)事件。例如，SQLServer2008可以生成一個(gè)進(jìn)程用于向高速緩存寫(xiě)數(shù)據(jù)，同時(shí)生成另一個(gè)進(jìn)程用于從高速緩存中讀取數(shù)據(jù)。這個(gè)角色的成員可以結(jié)束（在SQLServer2008中稱為刪除）進(jìn)程。Securityadmin:這個(gè)服務(wù)器角色的成員將管理登錄名及其屬性。他們可以授權(quán)、拒絕和撤銷(xiāo)服務(wù)器級(jí)權(quán)限。也可以授權(quán)、拒絕和撤銷(xiāo)數(shù)據(jù)庫(kù)級(jí)權(quán)限。另外，它們可以重置SQLServer2008登錄名的密碼。Serveradmin:這個(gè)服務(wù)器角色的成員可以更改服務(wù)器范圍的配置選項(xiàng)和關(guān)閉服務(wù)器。例如SQLServer2008可以使用多大內(nèi)存或監(jiān)視通過(guò)網(wǎng)絡(luò)發(fā)送多少信息，或者關(guān)閉服務(wù)器，這個(gè)角色可以減輕管理員的一些管理負(fù)擔(dān)。Setupadmin：為需要管理鏈接服務(wù)器和控制啟動(dòng)的存儲(chǔ)過(guò)程的用戶而設(shè)計(jì)。這個(gè)角色的成員能添加到setupadmin，能增加、刪除和配置鏈接服務(wù)器，并能控制啟動(dòng)過(guò)程。Sysadmin:這個(gè)服務(wù)器角色的成員有權(quán)在SQLServer2008中執(zhí)行任何任務(wù)。Public:有兩大特點(diǎn)，第一，初始狀態(tài)時(shí)沒(méi)有權(quán)限；第二，所有的數(shù)據(jù)庫(kù)用戶都是它的成員。數(shù)據(jù)庫(kù)角色三種類(lèi)型的數(shù)據(jù)庫(kù)角色:固定數(shù)據(jù)庫(kù)角色:微軟提供的作為系統(tǒng)一部分的角色；用戶定義的標(biāo)準(zhǔn)數(shù)據(jù)庫(kù)角色:你自己定義的角色，將Windows用戶以一組自定義的權(quán)限分組；應(yīng)用程序角色:用來(lái)授予應(yīng)用程序?qū)ｉT(mén)的權(quán)限，而非授予用戶組或者單獨(dú)用戶。1） 固定數(shù)據(jù)庫(kù)角色微軟提供了9個(gè)內(nèi)置的角色，以便于在數(shù)據(jù)庫(kù)級(jí)別授予用戶特殊的權(quán)限集合db_owner:該角色的用戶可以在數(shù)據(jù)庫(kù)中執(zhí)行任何操作。db_accessadmin:該角色的成員可以從數(shù)據(jù)庫(kù)中增加或者刪除用戶。db_backupopperator:該角色的成員允許備份數(shù)據(jù)庫(kù)。db_datareader:該角色的成員允許從任何表讀取任何數(shù)據(jù)。db_datawriter:該角色的成員允許往任何表寫(xiě)入數(shù)據(jù)。db_ddladmin:該角色的成員允許在數(shù)據(jù)庫(kù)中增加、修改或者刪除任何對(duì)象（即可以執(zhí)行任何DDL語(yǔ)句）。db_denydatareader:該角色的成員被拒絕查看數(shù)據(jù)庫(kù)中的任何數(shù)據(jù)，但是他們?nèi)匀豢梢酝ㄟ^(guò)存儲(chǔ)過(guò)程來(lái)查看。db_denydatawriter:像db_denydatareader角色，該角色的成員被拒絕修改數(shù)據(jù)庫(kù)中的任何數(shù)據(jù)，但是他們?nèi)匀豢梢酝ㄟ^(guò)存儲(chǔ)過(guò)程來(lái)修改。db_securityadmin:該角色的成員可以更改數(shù)據(jù)庫(kù)中的權(quán)限和角色。public:在SQLServer2008中每個(gè)數(shù)據(jù)庫(kù)用戶都屬于public數(shù)據(jù)庫(kù)角色。當(dāng)尚未對(duì)某個(gè)用戶授予或者拒絕對(duì)安全對(duì)象的特定權(quán)限時(shí)，這該用戶將據(jù)稱授予該安全對(duì)象的public角色的權(quán)限，這個(gè)數(shù)據(jù)庫(kù)角色不能被刪除2） 用戶自定義數(shù)據(jù)庫(kù)角色3） 應(yīng)用程序角色應(yīng)用程序角色允許用戶為特定的應(yīng)用程序創(chuàng)建密碼保護(hù)的角色。五.權(quán)限1.常用的權(quán)限安對(duì)全象常用權(quán)限數(shù)據(jù)CREATEDATABASE、CREATEDEFAULT、CREATEFUNCTION、CREATEPROCEDURE、庫(kù)CREATEVIEW、CREATETABLE、CREATERULE、BACKUPDATABASE、BACKUPLOGSELECT、DELETE、INSERT、UPDATE、REFERENCES表值函數(shù)SELECT、DELETE、SELECT、DELETE、INSERT、UPDATE、REFERENCES表值函數(shù)SELECT、DELETE、INSERT、UPDATE、REFERENCES視圖SELECT、DELETE、INSERT、UPDATE、REFERENCES存儲(chǔ)過(guò)程EXECUTE、SYNONYM標(biāo)量函數(shù)EXECUTE、REFERENCES9.6.4操作權(quán)限權(quán)限分為3種狀態(tài)：授予、拒絕、撤銷(xiāo)，可以使用如下的語(yǔ)句來(lái)修改權(quán)限的狀態(tài)。授予權(quán)限（GRANT）:授予權(quán)限以執(zhí)行相關(guān)的操作。通過(guò)角色，所有該角色的成員繼承此權(quán)限。撤銷(xiāo)權(quán)限（REVOKE）:撤銷(xiāo)授予的權(quán)限，但不會(huì)顯示阻止用戶或角色執(zhí)行操作。用戶或角色仍然能繼承其他角色的GRANT權(quán)限。拒絕權(quán)限（DENY）:顯式拒絕執(zhí)行操作的權(quán)限，并阻止用戶或角色繼承權(quán)限，該語(yǔ)句優(yōu)先于其他授予的權(quán)限。1.授予權(quán)限本語(yǔ)法格式:GRANT{ALL|statement[,..n]}TOsecurity_account[,..n]ALL：表示希望給該類(lèi)型的對(duì)象授予所有可用的權(quán)限。不推薦使用此選項(xiàng)，保留些選項(xiàng)僅用于向后兼容。授予ALL參數(shù)相當(dāng)于授予以下權(quán)限：如果安全對(duì)象為數(shù)據(jù)庫(kù)，則ALL表示CREATEDATABASE、CREATEDEFAULT、CREATEFUNCTION、CREATEPROCEDURE、CREATEVIEW、CREATETABLE、CREATERULE等權(quán)限。如果安全對(duì)象為標(biāo)量函數(shù)，則ALL表示EXECUTE和REFERENCES。如果安全對(duì)象為表值函數(shù)，則ALL表示SELECT、DELETE、INSERT、UPDATE、REFERENCES0如果安全對(duì)象為存儲(chǔ)過(guò)程，則ALL表示EXECUTE.SYNONYM。如果安全對(duì)象為表，則ALL表示SELECT、DELETE、INSERT、UPDATE、REFERENCESo如果安全對(duì)象為視圖，則/