第22章 安全管理.doc

第5章 安全管理教學(xué)目標(biāo)l 理解Microsoft SQL Server 2005系統(tǒng)的安全管理的基本概念和體系結(jié)構(gòu)l 理解登錄名的概念和掌握登錄名的管理方法l 理解固定服務(wù)器角色的特點及其與登錄名之間的關(guān)系l 理解和掌握登錄名、用戶、架構(gòu)的管理和操作l 理解和掌握執(zhí)行有關(guān)權(quán)限授予、收回、否認(rèn)等管理操作。教學(xué)難點和重點l 理解Microsoft SQL Server 2005系統(tǒng)的安全管理的基本概念和體系結(jié)構(gòu)，這是學(xué)習(xí)、理解和掌握安全管理的基礎(chǔ)；理解登錄名的概念和掌握登錄名的管理方法，這是有效使用SQL Server系統(tǒng)的基本技術(shù)；理解固定服務(wù)器角色的特點及其與登錄名之間的關(guān)系，可以提高管理SQL Server系統(tǒng)的效率；理解和掌握登錄名、用戶、架構(gòu)的管理和操作；理解和掌握數(shù)據(jù)庫角色和應(yīng)用程序角色的特點和操作；理解和掌握執(zhí)行有關(guān)權(quán)限授予、收回、否認(rèn)等管理操作。教學(xué)過程l 安全管理概述l 登錄名管理l 固定服務(wù)器角色l 數(shù)據(jù)庫用戶管理l 架構(gòu)管理l 數(shù)據(jù)庫角色l 應(yīng)用程序角色管理l 權(quán)限管理l 使用SQL Server Management Studio工具l 上機(jī)實驗5.0 安全管理概述Sqlserver的身份驗證有兩種模式：Windows身份驗證：直接利用操作系統(tǒng)的用戶作為登錄名?；旌仙矸蒡炞C：能使用windows登錄或者sqlserver的身份驗證登錄?！纠浚盒薷膶嵗矸蒡炞C模式（1）右擊實例名，選擇屬性（2）修改屬性窗口的選項通過兩個示例，加深對身份驗證方式的理解5.1 安全管理概述帳戶管理SQLSERVER帳戶包含兩種：登錄者和數(shù)據(jù)庫用戶。登錄者是面向整個SQLSERVER管理系統(tǒng)的，某位用戶必須使用特定的登錄帳戶才能連接到SQLSERVER。但是連接上并不能說明具有訪問數(shù)據(jù)庫的權(quán)利。數(shù)據(jù)庫用戶是針對SQLSERVER管理系統(tǒng)中的某數(shù)據(jù)庫而言。當(dāng)某用戶通過合法登錄帳戶連接到SQLSERVER后，他還必須在所訪問的數(shù)據(jù)庫中創(chuàng)建數(shù)據(jù)庫用戶。將登錄帳戶理解為大門鑰匙，數(shù)據(jù)庫用戶理解為里面的小門鑰匙。通過下面實例理解登錄者和數(shù)據(jù)庫用戶的關(guān)系：5.2 登錄名管理 l 登錄名管理包括創(chuàng)建登錄名、設(shè)置密碼策略、查看登錄名信息、修改和刪除登錄名。創(chuàng)建登錄名 l 創(chuàng)建基于Windows登錄名的登錄名 （1）查看windows用戶名（2）映射windows用戶為sqlserver登錄名注意：登錄名必須為： 的形式【例】：創(chuàng)建windwos登錄名create login ies-pctest1from windows【例】：創(chuàng)建windwos登錄名，指定默認(rèn)數(shù)據(jù)庫create login ies-pctest2from windowswith default_database=xhdnxyl 創(chuàng)建SQL Server登錄名在ssms中創(chuàng)建登錄（1）右擊登錄名，點擊新建登錄名（2）填入相關(guān)信息【例】：創(chuàng)建登錄名testusser1create login testuser1with password=test,check_policy=off 不啟用windows密碼策略注：CHECK_POLICY = ON | OFF 僅適用于 SQL Server 登錄名。指定應(yīng)對此登錄名強(qiáng)制實施運行 SQL Server 的計算機(jī)的 Windows 密碼策略。默認(rèn)值為 ON。 【例】：創(chuàng)建登錄名testusser2，登錄時修改密碼create login testuser2with password=test must_change,check_expiration=on注：CHECK_EXPIRATION = ON | OFF 僅適用于 SQL Server 登錄名。指定是否對此登錄名強(qiáng)制實施密碼過期策略。默認(rèn)值為 OFF?！纠浚簞?chuàng)建登錄名testusser3，默認(rèn)數(shù)據(jù)庫為xhdnxycreate login testuser3with password=test ,default_database=xhdnxy注：DEFAULT_DATABASE = database 指定將指派給登錄名的默認(rèn)數(shù)據(jù)庫。如果未包括此選項，則默認(rèn)數(shù)據(jù)庫將設(shè)置為 master?！咀ⅰ砍薱reate login外，sp_addlogin也可以完成sqlserver登錄名的創(chuàng)建【例】為用戶 Victoria 創(chuàng)建 SQL Server 登錄，密碼為 B1r12-36，并且不指定默認(rèn)數(shù)據(jù)庫。sp_addloginVictoria, B1r12-36;【例】為用戶 Albert 創(chuàng)建 SQL Server 登錄，密碼為 B5432-3M6，默認(rèn)數(shù)據(jù)庫為 corporate。sp_addloginAlbert, B5432-3M6, corporate;sp_addlogin在以后的版本中將要刪除，不建議使用。查看登錄名信息 修改和刪除登錄名 l 登錄名創(chuàng)建之后，可以根據(jù)需要修改登錄名的名稱、密碼、密碼策略、默認(rèn)的數(shù)據(jù)庫等信息，可以禁用或啟用該登錄名，甚至可以刪除不需要的登錄名。右擊要修改的登錄名，選擇屬性【例】：禁用登錄名alter login testuser1 disable【例】：啟用已禁用的登錄alter login testuser1 enable【例】：修改登錄密碼擁有alter any login的用戶：alter login testuser1 with password=123普通用戶：（用新建的登錄名user1test登錄）alter login user1with password=test消息15151，級別16，狀態(tài)1，第1 行無法對登錄名user1 執(zhí)行更改，因為它不存在，或者您沒有所需的權(quán)限。alter login user1with password=testold_password=123【例】：修改登錄名稱alter login testuser1 with name=user1【例】：修改默認(rèn)數(shù)據(jù)庫alter login user1 with default_database=master刪除登錄名drop login 登錄名【例】：刪除登錄名user1drop login user15.2 固定服務(wù)器角色 以創(chuàng)建的登錄名登錄SQLSERVER.,體驗此用戶可能完成的操作。企圖訪問其他數(shù)據(jù)庫時，出現(xiàn)錯誤：或者：use newsgo消息916，級別14，狀態(tài)1，第1 行服務(wù)器主體user1 無法在當(dāng)前安全上下文下訪問數(shù)據(jù)庫news。l 固定服務(wù)器角色也是服務(wù)器級別的主體，他們的作用范圍是整個服務(wù)器。固定服務(wù)器角色已經(jīng)具備了固定的權(quán)限，并且可以把登錄名作為成員添加到某個固定服務(wù)器角色中，以便登錄名繼承該固定服務(wù)器角色的權(quán)限。固定服務(wù)器角色的特點 l Microsoft SQL Server 2005系統(tǒng)提供了8個固定服務(wù)器角色，這些固定服務(wù)器角色的清單和功能描述如表5-1所示。固定服務(wù)器角色和登錄名 l 在Microsoft SQL Server 2005系統(tǒng)中，可以把登錄名添加到固定服務(wù)器角色中，使得登錄名作為固定服務(wù)器角色的成員并且繼承固定服務(wù)器角色的權(quán)限。也可以判斷指定的登錄名是否為某個固定服務(wù)器角色的成員?？梢允褂胹p_addsrvrolemember、sp_helpsrvrolemember、sp_dropsrvrolemember等存儲過程和IS_SRVROLEMEMBER函數(shù)來執(zhí)行有關(guān)固定服務(wù)器角色與登錄名之間關(guān)系的操作。（1） 給登錄者添加服務(wù)器角色右擊登錄名，選擇屬性，點擊服務(wù)器角色標(biāo)簽，選擇需要添加到登錄者的角色名?；蛘撸和ㄟ^代碼實現(xiàn)：【例】：給user1添加系統(tǒng)管理員角色sp_addsrvrolemember user1,sysadmin（2） 查看服務(wù)器角色的成員右擊服務(wù)器角色名-屬性代碼實現(xiàn)sp_helpsrvrolemember 服務(wù)器角色名【例】：查看服務(wù)器角色sysadmin的成員信息sp_helpsrvrolemember sysadmin（3） 刪除登錄者的服務(wù)器角色右擊登錄名-屬性-服務(wù)器角色，將相應(yīng)服務(wù)器角色前的復(fù)選鉤去掉?；蛘撸河覔舴?wù)器角色名-屬性，將相應(yīng)用戶從此角色中刪除代碼實現(xiàn)：sp_dropsrvrolemember 登錄名,角色名【例】：刪除user1的管理員角色。sp_dropsrvrolemember user1,sysadmin5.4 數(shù)據(jù)庫用戶管理 l 數(shù)據(jù)庫用戶是數(shù)據(jù)庫級的主體，是登錄名在數(shù)據(jù)庫中的映射，是在數(shù)據(jù)庫中執(zhí)行操作和活動的行動者。在Microsoft SQL Server 2005系統(tǒng)中，數(shù)據(jù)庫用戶不能直接擁有表、視圖等數(shù)據(jù)庫對象，而是通過架構(gòu)擁有這些對象。數(shù)據(jù)庫用戶管理包括創(chuàng)建用戶、查看用戶信息、修改用戶、刪除用戶等操作。 創(chuàng)建用戶 l 在指定的數(shù)據(jù)庫中，可以使用CREATE USER語句創(chuàng)建用戶。由于用戶是登錄名在數(shù)據(jù)庫中的映射，因此在創(chuàng)建用戶時需要指定登錄名。在數(shù)據(jù)庫中右擊選擇的數(shù)據(jù)庫-安全性-用戶，右擊用戶，選擇“新建用戶”選項l 【例】給sales數(shù)據(jù)庫創(chuàng)建用戶（同登錄名同名）use salesgocreate user user1go【例】給sales數(shù)據(jù)庫創(chuàng)建用戶use salesgocreate user pangzifor login user1修改和刪除用戶 l 可以使用ALTER USER語句修改用戶。l 修改用戶包括兩個方面，第一，可以修改用戶名；第二，可以修改用戶的默認(rèn)架構(gòu)。l 右擊所要修改的用戶-屬性【例】：修改用戶名alter user user1with name=users1刪除用戶drop user 用戶名【例】：刪除用戶drop user users15.5 架構(gòu)管理 l 架構(gòu)是形成單個命名空間的數(shù)據(jù)庫實體的集合。架構(gòu)是數(shù)據(jù)庫級的安全對象，也是Microsoft SQL Server 2005系統(tǒng)強(qiáng)調(diào)的新特點，是數(shù)據(jù)庫對象的容器。架構(gòu)管理包括創(chuàng)建架構(gòu)、查看架構(gòu)的信息、修改架構(gòu)以及刪除架構(gòu)。 創(chuàng)建架構(gòu) l 使用CREATE SCHEMA語句不僅可以創(chuàng)建架構(gòu)，還可以在創(chuàng)建架構(gòu)的同時創(chuàng)建該架構(gòu)所擁有的表、視圖，并且可以對這些對象設(shè)置權(quán)限。下面詳細(xì)講述如何創(chuàng)建架構(gòu)。（1） 點擊所要創(chuàng)建架構(gòu)的數(shù)據(jù)庫-安全性-架構(gòu)，右擊，點擊新建架構(gòu)（2）修改和刪除架構(gòu) l 修改架構(gòu)是將架構(gòu)中的對象轉(zhuǎn)移到其他架構(gòu)對象。可以使用ALTER SCHEMA語句完成對架構(gòu)的修改。如果要更改對象本身的結(jié)構(gòu)，應(yīng)該使用針對該對象的ALTER語句。5.6 數(shù)據(jù)庫角色 l 數(shù)據(jù)庫角色是數(shù)據(jù)庫級別的主體，也是數(shù)據(jù)庫用戶的集合。數(shù)據(jù)庫用戶可以作為數(shù)據(jù)庫角色的成員，并且繼承數(shù)據(jù)庫角色的權(quán)限。數(shù)據(jù)庫管理人員可以通過管理角色的權(quán)限來管理數(shù)據(jù)庫用戶的權(quán)限。Microsoft SQL Server 2005系統(tǒng)提供了一些固定的數(shù)據(jù)庫角色和public特殊角色。下面詳細(xì)講述數(shù)據(jù)庫角色的特點和管理方式。管理數(shù)據(jù)庫角色 l 管理數(shù)據(jù)庫角色包括創(chuàng)建數(shù)據(jù)庫角色、添加和刪除數(shù)據(jù)庫角色成員、查看數(shù)據(jù)庫角色信息、修改和刪除角色。l 可以使用CREATE ROLE語句創(chuàng)建角色。實際上，創(chuàng)建角色的過程就是指定角色名稱和指定該角色的所有者的過程。如果沒有明確地指定角色的所有者，則默認(rèn)當(dāng)前操作的用戶是該角色的所有者。固定數(shù)據(jù)庫角色 l 就像固定服務(wù)器角色一樣，固定數(shù)據(jù)庫角色也具有預(yù)先定義好的權(quán)限。使用固定數(shù)據(jù)庫角色可以大大簡化數(shù)據(jù)庫角色權(quán)限管理工作。l Microsoft SQL Server 2005系統(tǒng)提供了9個固定數(shù)據(jù)庫角色，這些固定數(shù)據(jù)庫角色清單和權(quán)限描述如表5-2所示。public角色 l 除了上一節(jié)介紹的固定數(shù)據(jù)庫角色之外，SQL Server系統(tǒng)安裝之后，還有一個特殊的角色，這就是public角色。public角色有兩大缺點，第一，初始狀態(tài)時沒有權(quán)限；第二，所有的數(shù)據(jù)庫用戶都是它的成員。5.7 應(yīng)用程序角色管理 l 應(yīng)用程序角色是一個數(shù)據(jù)庫主體，它使得應(yīng)用程序能夠用其自身的、類似用戶的權(quán)限來運行。在使用應(yīng)用程序時，可以只允許必須經(jīng)過特定應(yīng)用程序連接的用戶來訪問數(shù)據(jù)庫中的特定數(shù)據(jù)，如果不通過特定的應(yīng)用程序連接，將無法訪問這些特定數(shù)據(jù)，從而達(dá)到安全管理的目的。l 與數(shù)據(jù)庫角色相比，應(yīng)用程序角色有3個特點：第一，在默認(rèn)情況下該角色不包含任何成員；第二，在默認(rèn)情況下該角色是非活動的，必須經(jīng)過激活才能發(fā)揮作用；第三，該角色有密碼，只有擁有應(yīng)用程序角色正確密碼的用戶才能激活該角色。當(dāng)激活某個應(yīng)用程序角色之后，用戶會失去自己原有的權(quán)限，而擁有了應(yīng)用程序角色的權(quán)限。5.8 權(quán)限管理 l 權(quán)限是執(zhí)行操作、訪問數(shù)據(jù)的通行證。只有擁有了針對某種安全對象的指定權(quán)限，才能對該對象執(zhí)行相應(yīng)的操作。在Microsoft SQL Server 2005系統(tǒng)中，不同的對象有不同的權(quán)限。為了更好地理解權(quán)限管理的內(nèi)容，下面從權(quán)限的類型、常用對象的權(quán)限、授予權(quán)限、收回權(quán)限、否認(rèn)權(quán)限等幾個方面分別進(jìn)行介紹。權(quán)限的類型 l 預(yù)先定義的權(quán)限和預(yù)先未定義的權(quán)限 l 針對所有對象的權(quán)限和針對特殊對象的權(quán)限 常用對象的權(quán)限 l 上一節(jié)從權(quán)限的角度來看待對象，本節(jié)從對象的角度來看待權(quán)限。在使用GRANT語句、REVOKE語句、DENY語句執(zhí)行權(quán)限管理操作時，經(jīng)常使用ALL關(guān)鍵字表示指定安全對象的常用權(quán)限。不同的安全對象往往具有不同的權(quán)限。安全對象的常用權(quán)限如表5-3所示。授予權(quán)限 l 在Microsoft SQL Server 2005系統(tǒng)中，可以使用GRANT語句將安全對象的權(quán)限授予給指定的安全主體。這些可以使用GRANT語句授權(quán)的安全對象包括應(yīng)用程序角色、程序集、非對稱密鑰、證書、約定、數(shù)據(jù)庫、端點、全文目錄、函數(shù)、消息類型、對象、隊列、角色、路由、架構(gòu)、服務(wù)器、服務(wù)、存儲過程、對稱密鑰、系統(tǒng)對象、表、類型、用戶、視圖、XML架構(gòu)集合等。l GRANT語句的語法是比較復(fù)雜的，不同的安全對象有不同的權(quán)限，因此也有不同的授權(quán)方式。 收回權(quán)限 l 如果希望從某個安全主體處收回權(quán)限，可以使用REVOKE語句。REVOKE語句是與GRANT語句相對應(yīng)的，可以把通過GRANT語句授予給安全主體的權(quán)限收回。也就是說，使用REVOKE語句可以刪除通過GRANT語句授予給安全主體的權(quán)限。否認(rèn)權(quán)限 l 安全主體可以通過兩種方式獲得權(quán)限，第一種方式是直接使用GRANT語句為其授予權(quán)限，第二種方式是通過作為角色成員繼承角色的權(quán)限。使用REVOKE語句只能刪除安全主體通過第一種方式得到的權(quán)限，要想徹底刪除安全主體的指定權(quán)限必須使用DENY語句。DENY語句的語法形式與REVOKE語句非常類似。5.9 使用Microsoft SQL Server Management Studio工具 l 除了可以使用Transact-SQL語句執(zhí)行有關(guān)安全的操作之外，使用Microsoft SQL Server Management Studio圖形工具也可以完成許多有關(guān)安全管理的操作。下面，通過創(chuàng)建登錄名講述如何使用圖形工具執(zhí)行安全操作。5.10 上機(jī)實驗 l 練習(xí)創(chuàng)建登錄名賬戶、用戶賬戶和架構(gòu) l 練習(xí)使用GRANT語句、REVOKE語句和DENY語句 USE tempdbGO-創(chuàng)建兩個測試表CREATE TABLE tb1(id int,value int)INSERT tb1 VALUES(1,10)CREATE TABLE tb2(id int,value int)INSERT tb1 VALUES(1,10)GO-創(chuàng)建登錄CREATE LOGIN Liang WITH PASSWORD=;-創(chuàng)建用戶CREATE USER Liang FROM LOGIN Liang; -授予用戶對tb1有UPDATE某個列的權(quán)限，tb2只有SELECT權(quán)限GRANT UPDATE(value) ON tb1 TO LiangGRANT SELECT ON tb1 TO LiangGRANT SELECT ON tb2 TO LiangGO-模擬用戶Liang對tb1表進(jìn)行UPDATEEXECUTE AS USER=Liang UPDATE tb1 SET value=20 WHERE id=1 REVERTSELECT * FROM tb1/*id value- -1 20(1 行受影響)*/-模擬用戶Liang對tb2表進(jìn)行UPDATEEXECUTE AS USER=Liang UPDATE tb2 SET value=20 WHERE id=1 REVERT/*消息229，級別14，狀態(tài)5，第23 行拒絕了對對象tb2 (數(shù)據(jù)庫tempdb，架構(gòu)dbo)的UPDATE 權(quán)限。*/GO-刪除測試DROP TABLE tb1,tb2DROP USER LiangDROP LOGIN Liang-要控制對數(shù)據(jù)庫的權(quán)限, 可以參考下面的: - 防止訪問他不該訪問的數(shù)