《安全性操作》PPT課件.ppt

SQL Server權(quán)限管理策略 用戶權(quán)限管理,SQL Server權(quán)限管理,SQL Server權(quán)限管理策略,安全帳戶認(rèn)證 訪問許可確認(rèn),安全帳戶認(rèn)證,安全帳戶認(rèn)證是用來確認(rèn)登錄SQL Server的用戶的登錄帳號和密碼的正確性，由此來驗(yàn)證其是否具有連接SQL Server的權(quán)限。,SQL Server 2000提供了兩種確認(rèn)用戶的認(rèn)證模式： （一）Windows NT認(rèn)證模式。 （二）混合認(rèn)證模式。,（一）Windows NT認(rèn)證模式,SQL Server數(shù)據(jù)庫系統(tǒng)通常運(yùn)行在Windows NT操作系統(tǒng)(具備管理登錄、驗(yàn)證用戶合法性的能力)。 在這種模式下，用戶只需要通過Windows NT的認(rèn)證，就可以連接到SQL Server，而SQL Server本身不需要管理一套登錄數(shù)據(jù)。,（二）混合認(rèn)證模式,混合認(rèn)證模式允許用戶使用Windows NT安全性或SQL Server安全性連接到SQL Server，這就意味著用戶可以使用他的帳號登錄到Windows NT，或者使用他的登錄名登錄到SQL Server系統(tǒng)。NT的用戶既可以使用NT認(rèn)證，也可以使用SQL Server認(rèn)證。,利用企業(yè)管理器進(jìn)行認(rèn)證模式的設(shè)置,其主要過程如下： 1. 打開企業(yè)管理器，用右鍵單擊要設(shè)置認(rèn)證模式的服務(wù)器，從快捷菜單中選擇“屬性（properties）”選項(xiàng)，則出現(xiàn)SQL Server屬性對話框。 2. 在SQL Server屬性對話框中選擇安全性選項(xiàng)。,利用企業(yè)管理器進(jìn)行認(rèn)證模式的設(shè)置,3. 在安全性選項(xiàng)欄中，身份驗(yàn)證中可以選擇要設(shè)置的認(rèn)證模式，同時(shí)審核級別中還可以選擇跟蹤記錄用戶登錄時(shí)的哪種信息，例如登錄成功或登錄失敗的信息等。 4. 在啟動服務(wù)帳戶中設(shè)置當(dāng)啟動并運(yùn)行SQL Server時(shí)默認(rèn)的登錄者中哪一位用戶。,訪問許可確認(rèn),但是通過認(rèn)證階段并不代表用戶能夠訪問SQL Server中的數(shù)據(jù)，同時(shí)他還必須通過許可確認(rèn)。用戶只有在具有訪問數(shù)據(jù)庫的權(quán)限之后，才能夠?qū)Ψ?wù)器上的數(shù)據(jù)庫進(jìn)行權(quán)限許可下的各種操作，這種用戶訪問數(shù)據(jù)庫權(quán)限的設(shè)置是通過用戶帳號來實(shí)現(xiàn)的。,6.2 用戶權(quán)限管理,6.2.1 服務(wù)器登錄帳號和用戶帳號管理 6.2.2 許可（權(quán)限）管理 6.2.3 角色管理,服務(wù)器登錄帳號和用戶帳號管理,1. SQL Server服務(wù)器登錄管理 SQL Server有三個(gè)默認(rèn)的用戶登錄帳號：即sa、administratorsbuiltin和guest。 2. 用戶帳號管理,1.利用企業(yè)管理器創(chuàng)建、管理SQL Server登錄帳號,其具體執(zhí)行步驟如下： （）打開企業(yè)管理器，單擊需要登錄的服務(wù)器左邊的“+”號，然后展開安全性文件夾。 （）用右鍵單擊登錄（login）圖標(biāo)，從快捷菜單中選擇新建登錄（new login）選項(xiàng)，則出現(xiàn)SQL Server登錄屬性新建登錄對話框，如圖2所示。,1.利用企業(yè)管理器創(chuàng)建、管理SQL Server登錄帳號,（3）在名稱編輯框中輸入登錄名，在身份驗(yàn)證選項(xiàng)欄中選擇新建的用戶帳號是Windows NT認(rèn)證模式，還是SQL Server認(rèn)證模式。 （）選擇服務(wù)器角色頁框，如圖3所示。在服務(wù)器角色列表框中，列出了系統(tǒng)的固定服務(wù)器角色。,（）選擇數(shù)據(jù)庫訪問頁框，如圖4所示。上面的列表框列出了該帳號可以訪問的數(shù)據(jù)庫，單擊數(shù)據(jù)庫左邊的復(fù)選框，表示該用戶可以訪問相應(yīng)的數(shù)據(jù)庫以及該帳號在數(shù)據(jù)庫中的用戶名。 （）設(shè)置完成后，單擊“確定”按鈕即可完成登錄帳號的創(chuàng)建。,圖2 新建登錄帳號對話框,圖3 服務(wù)器角色對話框,圖4 數(shù)據(jù)庫訪問對話框,使用SQL Server的創(chuàng)建登錄向?qū)Чぞ邉?chuàng)建登錄帳號。,其具體操作過程如下： 圖5 -圖11,圖5 歡迎使用創(chuàng)建登錄向?qū)υ捒?圖6 選擇身份驗(yàn)證模式對話框,圖7 選擇對用戶帳號的安全性設(shè)置對話框,圖8 輸入登錄信息對話框,圖9 選擇安全性角色對話框,圖10 選擇允許登錄帳號訪問的數(shù)據(jù)庫對話框,圖11 完成創(chuàng)建登錄向?qū)υ捒?2.用戶帳號管理,在數(shù)據(jù)庫中，一個(gè)用戶或工作組取得合法的登錄帳號，只表明該帳號通過了Windows NT認(rèn)證或者SQL Server認(rèn)證，但不能表明其可以對數(shù)據(jù)庫數(shù)據(jù)和數(shù)據(jù)庫對象進(jìn)行某種或者某些操作，只有當(dāng)他同時(shí)擁有了用戶帳號后，才能夠訪問數(shù)據(jù)庫。,利用企業(yè)管理器可以授予SQL Server登錄訪問數(shù)據(jù)庫的許可權(quán)限。使用它可創(chuàng)建一個(gè)新數(shù)據(jù)庫用戶帳號 。,許可（權(quán)限）管理,許可用來指定授權(quán)用戶可以使用的數(shù)據(jù)庫對象和這些授權(quán)用戶可以對這些數(shù)據(jù)庫對象執(zhí)行的操作。用戶在登錄到SQL Server之后，其用戶帳號所歸屬的NT組或角色所被賦予的許可（權(quán)限）決定了該用戶能夠?qū)δ男?shù)據(jù)庫對象執(zhí)行哪種操作以及能夠訪問、修改哪些數(shù)據(jù)。在每個(gè)數(shù)據(jù)庫中用戶的許可獨(dú)立于用戶帳號和用戶在數(shù)據(jù)庫中的角色，每個(gè)數(shù)據(jù)庫都有自己獨(dú)立的許可系統(tǒng)，在SQL Server中包括三種類型的許可：即對象許可、語句許可和預(yù)定義許可。,三種許可類型,1、對象許可 表示對特定的數(shù)據(jù)庫對象，即表、視圖、字段和存儲過程的操作許可，它決定了能對表、視圖等數(shù)據(jù)庫對象執(zhí)行哪些操作。,2、語句許可 表示對數(shù)據(jù)庫的操作許可，也就是說，創(chuàng)建數(shù)據(jù)庫或者創(chuàng)建數(shù)據(jù)庫中的其它內(nèi)容所需要的許可類型稱為語句許可。,三種許可類型,3、預(yù)定義許可 是指系統(tǒng)安裝以后有些用戶和角色不必授權(quán)就有的許可。,可用于語句許可的Transaction_SQL 語句及其含義如下：,Create database：創(chuàng)建數(shù)據(jù)庫 Create table：創(chuàng)建表 Create view：創(chuàng)建視圖 Create rule：創(chuàng)建規(guī)則 Create default：創(chuàng)建缺省 Create procedure：創(chuàng)建存儲過程 Create index：創(chuàng)建索引 Backup database：備份數(shù)據(jù)庫 Backup log：備份事務(wù)日志,許可的管理,1. 使用SQL Server 企業(yè)管理器管理許可 SQL Server 可通過兩種途徑：即面向單一用戶和面向數(shù)據(jù)庫對象的許可設(shè)置，來實(shí)現(xiàn)對語句許可和對象許可的管理，從而實(shí)現(xiàn)對用戶許可的設(shè)定。,Transaction_SQL 語句使用grant、revoke和deny三種命令來實(shí)現(xiàn)管理權(quán)限。,2. 使用Transaction_SQL 語句,Grant語句其語法形式如下：,（）對語句的許可 Grant all|statement,n to security_account,n,Grant語句其語法形式如下：,（）對對象的許可 grant all priviledges|permission,n （column,n） on table|view |on table|view （column,n） |on stored_procedure|extended_procedure to security_account,n as group|role,Deny語句其語法形式如下：,（）否定語句的許可 deny all|statement,n to security_account ,n,Deny語句其語法形式如下：,（）否定對象的許可 deny all priviledges|permission,n （column,n） on table|view |on table|view （column,n） |on stored_procedure|extended_procedure to security_account,n,Revoke語句其語法形式如下：,（）收回語句的許可 revoke all|statement,n from security_account ,n,Revoke語句其語法形式如下：,（）收回對象的許可 revoke grant option for all priviledges|permission,n （column,n） on table|view |on stored_procedure|extended_procedure from security_account,n as group|role,角色管理,利用角色，SQL Server管理者可以將某些用戶設(shè)置為某一角色，這樣只對角色進(jìn)行權(quán)限設(shè)置便可以實(shí)現(xiàn)對所有用戶權(quán)限的設(shè)置，大大減少了管理員的工作量。 SQL Server提供了用戶通常管理工作的預(yù)定義服務(wù)器角色和數(shù)據(jù)庫角色。,1、服務(wù)器角色,服務(wù)器角色是指根據(jù)SQL Server的管理任務(wù)，以及這些任務(wù)相對的重要性等級來把具有SQL Server管理職能的用戶劃分為不同的用戶組，每一組所具有的管理SQL Server的權(quán)限都是SQL Server內(nèi)置的，即不能對其進(jìn)行添加、修改和刪除，只能向其中加入用戶或者其他角色。,七種常用的固定服務(wù)器角色,系統(tǒng)管理員：擁有SQL Server所有的權(quán)限許可。 服務(wù)器管理員：管理SQL Server服務(wù)器端的設(shè)置。 磁盤管理員：管理磁盤文件。 進(jìn)程管理員：管理SQL Server系統(tǒng)進(jìn)程。 安全管理員：管理和審核SQL Server系統(tǒng)登錄。 安裝管理員：增加、刪除連接服務(wù)器，建立數(shù)據(jù)庫復(fù)制以及管理擴(kuò)展存儲過程。 數(shù)據(jù)庫創(chuàng)建者：創(chuàng)建數(shù)據(jù)庫，并對數(shù)據(jù)庫進(jìn)行修改。,2、數(shù)據(jù)庫角色,數(shù)據(jù)庫角色是為某一用戶或某一組用戶授予不同級別的管理或訪問數(shù)據(jù)庫以及數(shù)據(jù)庫對象的權(quán)限，這些權(quán)限是數(shù)據(jù)庫專有的，并且還可以使一個(gè)用戶具有屬于同一數(shù)據(jù)庫的多個(gè)角色。 SQL Server提供了兩種類型的數(shù)據(jù)庫角色：即固定的數(shù)據(jù)庫角色和用戶自定義的數(shù)據(jù)庫角色。,（）固定的數(shù)據(jù)庫角色,public：維護(hù)全部默認(rèn)許可。 db_owner：數(shù)據(jù)庫的所有者，可以對所擁有的數(shù)據(jù)庫執(zhí)行任何操作。 db_accessadmin：可以增加或者刪除數(shù)據(jù)庫用戶、工作組和角色。 db_addladmin：可以增加、刪除和修改數(shù)據(jù)庫中的任何對象。 db_securityadmin：執(zhí)行語句許可和對象許可。 db_backupoperator：可以備份和恢復(fù)數(shù)據(jù)庫。,db_datareader：能且僅能對數(shù)據(jù)庫中的任何表執(zhí)行select操作，從而讀取所有表的信息。 db_datawriter：能夠增加、修改和刪除表中的數(shù)據(jù)，但不能進(jìn)行select操作。 db_denydatareader：不能讀取數(shù)據(jù)庫中任何表中的數(shù)據(jù)。 db_denydatawriter：不能對數(shù)據(jù)庫中的任何表執(zhí)行增加、修改和刪除數(shù)據(jù)操作。,（）用戶自定義角色,創(chuàng)建用戶定義的數(shù)據(jù)庫角色就是創(chuàng)建一組用戶，這些用戶具有相同的一組許可。如果一組用戶需要執(zhí)行在SQL Server中指定的一組操作并且不存在對應(yīng)的Windows NT組，或者沒有管理Windows NT用戶帳號的許可，就可以在數(shù)據(jù)庫中建立一個(gè)用戶自定義的數(shù)據(jù)庫角色。,用戶自定義的數(shù)據(jù)庫角色有兩種類型：即標(biāo)準(zhǔn)角色和應(yīng)用程序角色。,標(biāo)準(zhǔn)角色通過對用戶權(quán)限等級的認(rèn)定而將用戶劃分為不用的用戶組，使用戶總是相對于一個(gè)或多個(gè)角色，從而實(shí)現(xiàn)管理的安全性。,標(biāo)準(zhǔn)角色和應(yīng)用程序角色,應(yīng)用程序角色是一種比較特殊的角色。當(dāng)我們打算讓某些用戶只能通過特定的應(yīng)用程序間接地存取數(shù)據(jù)庫中的數(shù)據(jù)而不是直接地存取數(shù)據(jù)庫數(shù)據(jù)時(shí)，就應(yīng)該考慮使用應(yīng)用程序角色。當(dāng)某一用戶使用了應(yīng)用程序角色時(shí)，他便放棄了已被賦予的所有數(shù)據(jù)庫專有權(quán)限，他所擁有的只是應(yīng)用程序角色被設(shè)置的角色。,管理角色的方式,1. 使用企業(yè)管理器管理角色 2. 使用存儲過程管理角色,1. 使用企業(yè)管理器管理角色,（）管理服務(wù)器角色 打開企業(yè)管理器，展開指定的服務(wù)器，單擊安全性文件夾，然后單擊服務(wù)器角色圖標(biāo)，選擇需要的選項(xiàng)，根據(jù)提示操作。,（）管理數(shù)據(jù)庫角色 在企業(yè)管理器中，展開指定的服務(wù)器以及指定的數(shù)據(jù)庫，然后用右鍵單擊角色圖標(biāo)，從快捷菜單中選擇新建數(shù)據(jù)庫角色選項(xiàng)，則出現(xiàn)數(shù)據(jù)庫角色屬性新建角色對話框，根據(jù)提示即可新建角色。,2. 使用存儲過程管理角色,（）管理服務(wù)器角色 在SQL Server中，管理服務(wù)器角色的存儲過程主要有兩個(gè)： sp_addsrvrolemember sp_dropsrvrolemember,系統(tǒng)存儲過程sp_addsrvrolemember可以將某一登錄帳號加入到服務(wù)器角色中，使其成為該服務(wù)器角色的成員。,其語法形式如下： sp_addsrvrolemember login，role,系統(tǒng)存儲過程sp_dropsrvrolemember可以將某一登錄者從某一服務(wù)器角色中刪除，當(dāng)該成員從服務(wù)器角色中被刪除后，便不再具有該服務(wù)器角色所設(shè)置的權(quán)限。,其語法形式如下： sp_dropsrvrolemember loginame=login，rolename=role,sp_addrole：用來創(chuàng)建一個(gè)新的數(shù)據(jù)庫角色 sp_addrole role，owner sp_droprole：用于刪除一個(gè)數(shù)據(jù)庫角色 sp_drop