《安全性操作》PPT課件.ppt

SQL Server權(quán)限管理策略 用戶權(quán)限管理,SQL Server權(quán)限管理,SQL Server權(quán)限管理策略,安全帳戶認(rèn)證 訪問(wèn)許可確認(rèn),安全帳戶認(rèn)證,安全帳戶認(rèn)證是用來(lái)確認(rèn)登錄SQL Server的用戶的登錄帳號(hào)和密碼的正確性，由此來(lái)驗(yàn)證其是否具有連接SQL Server的權(quán)限。,SQL Server 2000提供了兩種確認(rèn)用戶的認(rèn)證模式： （一）Windows NT認(rèn)證模式。 （二）混合認(rèn)證模式。,（一）Windows NT認(rèn)證模式,SQL Server數(shù)據(jù)庫(kù)系統(tǒng)通常運(yùn)行在Windows NT操作系統(tǒng)(具備管理登錄、驗(yàn)證用戶合法性的能力)。 在這種模式下，用戶只需要通過(guò)Windows NT的認(rèn)證，就可以連接到SQL Server，而SQL Server本身不需要管理一套登錄數(shù)據(jù)。,（二）混合認(rèn)證模式,混合認(rèn)證模式允許用戶使用Windows NT安全性或SQL Server安全性連接到SQL Server，這就意味著用戶可以使用他的帳號(hào)登錄到Windows NT，或者使用他的登錄名登錄到SQL Server系統(tǒng)。NT的用戶既可以使用NT認(rèn)證，也可以使用SQL Server認(rèn)證。,利用企業(yè)管理器進(jìn)行認(rèn)證模式的設(shè)置,其主要過(guò)程如下： 1. 打開(kāi)企業(yè)管理器，用右鍵單擊要設(shè)置認(rèn)證模式的服務(wù)器，從快捷菜單中選擇“屬性（properties）”選項(xiàng)，則出現(xiàn)SQL Server屬性對(duì)話框。 2. 在SQL Server屬性對(duì)話框中選擇安全性選項(xiàng)。,利用企業(yè)管理器進(jìn)行認(rèn)證模式的設(shè)置,3. 在安全性選項(xiàng)欄中，身份驗(yàn)證中可以選擇要設(shè)置的認(rèn)證模式，同時(shí)審核級(jí)別中還可以選擇跟蹤記錄用戶登錄時(shí)的哪種信息，例如登錄成功或登錄失敗的信息等。 4. 在啟動(dòng)服務(wù)帳戶中設(shè)置當(dāng)啟動(dòng)并運(yùn)行SQL Server時(shí)默認(rèn)的登錄者中哪一位用戶。,訪問(wèn)許可確認(rèn),但是通過(guò)認(rèn)證階段并不代表用戶能夠訪問(wèn)SQL Server中的數(shù)據(jù)，同時(shí)他還必須通過(guò)許可確認(rèn)。用戶只有在具有訪問(wèn)數(shù)據(jù)庫(kù)的權(quán)限之后，才能夠?qū)Ψ?wù)器上的數(shù)據(jù)庫(kù)進(jìn)行權(quán)限許可下的各種操作，這種用戶訪問(wèn)數(shù)據(jù)庫(kù)權(quán)限的設(shè)置是通過(guò)用戶帳號(hào)來(lái)實(shí)現(xiàn)的。,6.2 用戶權(quán)限管理,6.2.1 服務(wù)器登錄帳號(hào)和用戶帳號(hào)管理 6.2.2 許可（權(quán)限）管理 6.2.3 角色管理,服務(wù)器登錄帳號(hào)和用戶帳號(hào)管理,1. SQL Server服務(wù)器登錄管理 SQL Server有三個(gè)默認(rèn)的用戶登錄帳號(hào)：即sa、administratorsbuiltin和guest。 2. 用戶帳號(hào)管理,1.利用企業(yè)管理器創(chuàng)建、管理SQL Server登錄帳號(hào),其具體執(zhí)行步驟如下： （）打開(kāi)企業(yè)管理器，單擊需要登錄的服務(wù)器左邊的“+”號(hào)，然后展開(kāi)安全性文件夾。 （）用右鍵單擊登錄（login）圖標(biāo)，從快捷菜單中選擇新建登錄（new login）選項(xiàng)，則出現(xiàn)SQL Server登錄屬性新建登錄對(duì)話框，如圖2所示。,1.利用企業(yè)管理器創(chuàng)建、管理SQL Server登錄帳號(hào),（3）在名稱編輯框中輸入登錄名，在身份驗(yàn)證選項(xiàng)欄中選擇新建的用戶帳號(hào)是Windows NT認(rèn)證模式，還是SQL Server認(rèn)證模式。 （）選擇服務(wù)器角色頁(yè)框，如圖3所示。在服務(wù)器角色列表框中，列出了系統(tǒng)的固定服務(wù)器角色。,（）選擇數(shù)據(jù)庫(kù)訪問(wèn)頁(yè)框，如圖4所示。上面的列表框列出了該帳號(hào)可以訪問(wèn)的數(shù)據(jù)庫(kù)，單擊數(shù)據(jù)庫(kù)左邊的復(fù)選框，表示該用戶可以訪問(wèn)相應(yīng)的數(shù)據(jù)庫(kù)以及該帳號(hào)在數(shù)據(jù)庫(kù)中的用戶名。 （）設(shè)置完成后，單擊“確定”按鈕即可完成登錄帳號(hào)的創(chuàng)建。,圖2 新建登錄帳號(hào)對(duì)話框,圖3 服務(wù)器角色對(duì)話框,圖4 數(shù)據(jù)庫(kù)訪問(wèn)對(duì)話框,使用SQL Server的創(chuàng)建登錄向?qū)Чぞ邉?chuàng)建登錄帳號(hào)。,其具體操作過(guò)程如下： 圖5 -圖11,圖5 歡迎使用創(chuàng)建登錄向?qū)?duì)話框,圖6 選擇身份驗(yàn)證模式對(duì)話框,圖7 選擇對(duì)用戶帳號(hào)的安全性設(shè)置對(duì)話框,圖8 輸入登錄信息對(duì)話框,圖9 選擇安全性角色對(duì)話框,圖10 選擇允許登錄帳號(hào)訪問(wèn)的數(shù)據(jù)庫(kù)對(duì)話框,圖11 完成創(chuàng)建登錄向?qū)?duì)話框,2.用戶帳號(hào)管理,在數(shù)據(jù)庫(kù)中，一個(gè)用戶或工作組取得合法的登錄帳號(hào)，只表明該帳號(hào)通過(guò)了Windows NT認(rèn)證或者SQL Server認(rèn)證，但不能表明其可以對(duì)數(shù)據(jù)庫(kù)數(shù)據(jù)和數(shù)據(jù)庫(kù)對(duì)象進(jìn)行某種或者某些操作，只有當(dāng)他同時(shí)擁有了用戶帳號(hào)后，才能夠訪問(wèn)數(shù)據(jù)庫(kù)。,利用企業(yè)管理器可以授予SQL Server登錄訪問(wèn)數(shù)據(jù)庫(kù)的許可權(quán)限。使用它可創(chuàng)建一個(gè)新數(shù)據(jù)庫(kù)用戶帳號(hào) 。,許可（權(quán)限）管理,許可用來(lái)指定授權(quán)用戶可以使用的數(shù)據(jù)庫(kù)對(duì)象和這些授權(quán)用戶可以對(duì)這些數(shù)據(jù)庫(kù)對(duì)象執(zhí)行的操作。用戶在登錄到SQL Server之后，其用戶帳號(hào)所歸屬的NT組或角色所被賦予的許可（權(quán)限）決定了該用戶能夠?qū)δ男?shù)據(jù)庫(kù)對(duì)象執(zhí)行哪種操作以及能夠訪問(wèn)、修改哪些數(shù)據(jù)。在每個(gè)數(shù)據(jù)庫(kù)中用戶的許可獨(dú)立于用戶帳號(hào)和用戶在數(shù)據(jù)庫(kù)中的角色，每個(gè)數(shù)據(jù)庫(kù)都有自己獨(dú)立的許可系統(tǒng)，在SQL Server中包括三種類型的許可：即對(duì)象許可、語(yǔ)句許可和預(yù)定義許可。,三種許可類型,1、對(duì)象許可 表示對(duì)特定的數(shù)據(jù)庫(kù)對(duì)象，即表、視圖、字段和存儲(chǔ)過(guò)程的操作許可，它決定了能對(duì)表、視圖等數(shù)據(jù)庫(kù)對(duì)象執(zhí)行哪些操作。,2、語(yǔ)句許可 表示對(duì)數(shù)據(jù)庫(kù)的操作許可，也就是說(shuō)，創(chuàng)建數(shù)據(jù)庫(kù)或者創(chuàng)建數(shù)據(jù)庫(kù)中的其它內(nèi)容所需要的許可類型稱為語(yǔ)句許可。,三種許可類型,3、預(yù)定義許可 是指系統(tǒng)安裝以后有些用戶和角色不必授權(quán)就有的許可。,可用于語(yǔ)句許可的Transaction_SQL 語(yǔ)句及其含義如下：,Create database：創(chuàng)建數(shù)據(jù)庫(kù) Create table：創(chuàng)建表 Create view：創(chuàng)建視圖 Create rule：創(chuàng)建規(guī)則 Create default：創(chuàng)建缺省 Create procedure：創(chuàng)建存儲(chǔ)過(guò)程 Create index：創(chuàng)建索引 Backup database：備份數(shù)據(jù)庫(kù) Backup log：備份事務(wù)日志,許可的管理,1. 使用SQL Server 企業(yè)管理器管理許可 SQL Server 可通過(guò)兩種途徑：即面向單一用戶和面向數(shù)據(jù)庫(kù)對(duì)象的許可設(shè)置，來(lái)實(shí)現(xiàn)對(duì)語(yǔ)句許可和對(duì)象許可的管理，從而實(shí)現(xiàn)對(duì)用戶許可的設(shè)定。,Transaction_SQL 語(yǔ)句使用grant、revoke和deny三種命令來(lái)實(shí)現(xiàn)管理權(quán)限。,2. 使用Transaction_SQL 語(yǔ)句,Grant語(yǔ)句其語(yǔ)法形式如下：,（）對(duì)語(yǔ)句的許可 Grant all|statement,n to security_account,n,Grant語(yǔ)句其語(yǔ)法形式如下：,（）對(duì)對(duì)象的許可 grant all priviledges|permission,n （column,n） on table|view |on table|view （column,n） |on stored_procedure|extended_procedure to security_account,n as group|role,Deny語(yǔ)句其語(yǔ)法形式如下：,（）否定語(yǔ)句的許可 deny all|statement,n to security_account ,n,Deny語(yǔ)句其語(yǔ)法形式如下：,（）否定對(duì)象的許可 deny all priviledges|permission,n （column,n） on table|view |on table|view （column,n） |on stored_procedure|extended_procedure to security_account,n,Revoke語(yǔ)句其語(yǔ)法形式如下：,（）收回語(yǔ)句的許可 revoke all|statement,n from security_account ,n,Revoke語(yǔ)句其語(yǔ)法形式如下：,（）收回對(duì)象的許可 revoke grant option for all priviledges|permission,n （column,n） on table|view |on stored_procedure|extended_procedure from security_account,n as group|role,角色管理,利用角色，SQL Server管理者可以將某些用戶設(shè)置為某一角色，這樣只對(duì)角色進(jìn)行權(quán)限設(shè)置便可以實(shí)現(xiàn)對(duì)所有用戶權(quán)限的設(shè)置，大大減少了管理員的工作量。 SQL Server提供了用戶通常管理工作的預(yù)定義服務(wù)器角色和數(shù)據(jù)庫(kù)角色。,1、服務(wù)器角色,服務(wù)器角色是指根據(jù)SQL Server的管理任務(wù)，以及這些任務(wù)相對(duì)的重要性等級(jí)來(lái)把具有SQL Server管理職能的用戶劃分為不同的用戶組，每一組所具有的管理SQL Server的權(quán)限都是SQL Server內(nèi)置的，即不能對(duì)其進(jìn)行添加、修改和刪除，只能向其中加入用戶或者其他角色。,七種常用的固定服務(wù)器角色,系統(tǒng)管理員：擁有SQL Server所有的權(quán)限許可。 服務(wù)器管理員：管理SQL Server服務(wù)器端的設(shè)置。 磁盤管理員：管理磁盤文件。 進(jìn)程管理員：管理SQL Server系統(tǒng)進(jìn)程。 安全管理員：管理和審核SQL Server系統(tǒng)登錄。 安裝管理員：增加、刪除連接服務(wù)器，建立數(shù)據(jù)庫(kù)復(fù)制以及管理擴(kuò)展存儲(chǔ)過(guò)程。 數(shù)據(jù)庫(kù)創(chuàng)建者：創(chuàng)建數(shù)據(jù)庫(kù)，并對(duì)數(shù)據(jù)庫(kù)進(jìn)行修改。,2、數(shù)據(jù)庫(kù)角色,數(shù)據(jù)庫(kù)角色是為某一用戶或某一組用戶授予不同級(jí)別的管理或訪問(wèn)數(shù)據(jù)庫(kù)以及數(shù)據(jù)庫(kù)對(duì)象的權(quán)限，這些權(quán)限是數(shù)據(jù)庫(kù)專有的，并且還可以使一個(gè)用戶具有屬于同一數(shù)據(jù)庫(kù)的多個(gè)角色。 SQL Server提供了兩種類型的數(shù)據(jù)庫(kù)角色：即固定的數(shù)據(jù)庫(kù)角色和用戶自定義的數(shù)據(jù)庫(kù)角色。,（）固定的數(shù)據(jù)庫(kù)角色,public：維護(hù)全部默認(rèn)許可。 db_owner：數(shù)據(jù)庫(kù)的所有者，可以對(duì)所擁有的數(shù)據(jù)庫(kù)執(zhí)行任何操作。 db_accessadmin：可以增加或者刪除數(shù)據(jù)庫(kù)用戶、工作組和角色。 db_addladmin：可以增加、刪除和修改數(shù)據(jù)庫(kù)中的任何對(duì)象。 db_securityadmin：執(zhí)行語(yǔ)句許可和對(duì)象許可。 db_backupoperator：可以備份和恢復(fù)數(shù)據(jù)庫(kù)。,db_datareader：能且僅能對(duì)數(shù)據(jù)庫(kù)中的任何表執(zhí)行select操作，從而讀取所有表的信息。 db_datawriter：能夠增加、修改和刪除表中的數(shù)據(jù)，但不能進(jìn)行select操作。 db_denydatareader：不能讀取數(shù)據(jù)庫(kù)中任何表中的數(shù)據(jù)。 db_denydatawriter：不能對(duì)數(shù)據(jù)庫(kù)中的任何表執(zhí)行增加、修改和刪除數(shù)據(jù)操作。,（）用戶自定義角色,創(chuàng)建用戶定義的數(shù)據(jù)庫(kù)角色就是創(chuàng)建一組用戶，這些用戶具有相同的一組許可。如果一組用戶需要執(zhí)行在SQL Server中指定的一組操作并且不存在對(duì)應(yīng)的Windows NT組，或者沒(méi)有管理Windows NT用戶帳號(hào)的許可，就可以在數(shù)據(jù)庫(kù)中建立一個(gè)用戶自定義的數(shù)據(jù)庫(kù)角色。,用戶自定義的數(shù)據(jù)庫(kù)角色有兩種類型：即標(biāo)準(zhǔn)角色和應(yīng)用程序角色。,標(biāo)準(zhǔn)角色通過(guò)對(duì)用戶權(quán)限等級(jí)的認(rèn)定而將用戶劃分為不用的用戶組，使用戶總是相對(duì)于一個(gè)或多個(gè)角色，從而實(shí)現(xiàn)管理的安全性。,標(biāo)準(zhǔn)角色和應(yīng)用程序角色,應(yīng)用程序角色是一種比較特殊的角色。當(dāng)我們打算讓某些用戶只能通過(guò)特定的應(yīng)用程序間接地存取數(shù)據(jù)庫(kù)中的數(shù)據(jù)而不是直接地存取數(shù)據(jù)庫(kù)數(shù)據(jù)時(shí)，就應(yīng)該考慮使用應(yīng)用程序角色。當(dāng)某一用戶使用了應(yīng)用程序角色時(shí)，他便放棄了已被賦予的所有數(shù)據(jù)庫(kù)專有權(quán)限，他所擁有的只是應(yīng)用程序角色被設(shè)置的角色。,管理角色的方式,1. 使用企業(yè)管理器管理角色 2. 使用存儲(chǔ)過(guò)程管理角色,1. 使用企業(yè)管理器管理角色,（）管理服務(wù)器角色 打開(kāi)企業(yè)管理器，展開(kāi)指定的服務(wù)器，單擊安全性文件夾，然后單擊服務(wù)器角色圖標(biāo)，選擇需要的選項(xiàng)，根據(jù)提示操作。,（）管理數(shù)據(jù)庫(kù)角色 在企業(yè)管理器中，展開(kāi)指定的服務(wù)器以及指定的數(shù)據(jù)庫(kù)，然后用右鍵單擊角色圖標(biāo)，從快捷菜單中選擇新建數(shù)據(jù)庫(kù)角色選項(xiàng)，則出現(xiàn)數(shù)據(jù)庫(kù)角色屬性新建角色對(duì)話框，根據(jù)提示即可新建角色。,2. 使用存儲(chǔ)過(guò)程管理角色,（）管理服務(wù)器角色 在SQL Server中，管理服務(wù)器角色的存儲(chǔ)過(guò)程主要有兩個(gè)： sp_addsrvrolemember sp_dropsrvrolemember,系統(tǒng)存儲(chǔ)過(guò)程sp_addsrvrolemember可以將某一登錄帳號(hào)加入到服務(wù)器角色中，使其成為該服務(wù)器角色的成員。,其語(yǔ)法形式如下： sp_addsrvrolemember login，role,系統(tǒng)存儲(chǔ)過(guò)程sp_dropsrvrolemember可以將某一登錄者從某一服務(wù)器角色中刪除，當(dāng)該成員從服務(wù)器角色中被刪除后，便不再具有該服務(wù)器角色所設(shè)置的權(quán)限。,其語(yǔ)法形式如下： sp_dropsrvrolemember loginame=login，rolename=role,sp_addrole：用來(lái)創(chuàng)建一個(gè)新的數(shù)據(jù)庫(kù)角色 sp_addrole role，owner sp_droprole：用于刪除一個(gè)數(shù)據(jù)庫(kù)角色 sp_drop