第五章數(shù)據(jù)庫安全管理ppt課件

1、第第5 5章數(shù)據(jù)庫安全管理章數(shù)據(jù)庫安全管理5.1 sql server 2000 5.1 sql server 2000 安全構(gòu)架安全構(gòu)架5.2 sql server5.2 sql server的身份驗證模式的身份驗證模式5.3 5.3 管理登錄賬號管理登錄賬號5.4 5.4 管理數(shù)據(jù)庫用戶管理數(shù)據(jù)庫用戶5.5 5.5 管理權(quán)限管理權(quán)限5.6 5.6 管理角色管理角色5.1 sql server 2000 5.1 sql server 2000 安全構(gòu)架安全構(gòu)架 數(shù)據(jù)的安全性數(shù)據(jù)的安全性：保護數(shù)據(jù)以防止不合法：保護數(shù)據(jù)以防止不合法的使用而造成數(shù)據(jù)的泄密和破壞。的使用而造成數(shù)據(jù)的泄密和破壞。5.

2、1.15.1.1安全性機制安全性機制sql server 2000 的安全性管理是建立在身份驗證和權(quán)限驗證兩種機制上。身份驗證身份驗證用來確定登錄sql server的用戶的登錄帳號和密碼是否正確，以此來驗證其是否具有連接sql server的權(quán)限。5.1sql server 2000 5.1sql server 2000 安全構(gòu)架安全構(gòu)架權(quán)限驗證權(quán)限驗證有了連接sql server的權(quán)限，不等于能訪問數(shù)據(jù)庫，還必須獲得訪問數(shù)據(jù)庫的權(quán)限，才能對數(shù)據(jù)庫進行操作。權(quán)限驗證用來獲得訪問數(shù)據(jù)庫和數(shù)據(jù)庫對象如表、視圖、存儲過程等的權(quán)限。5.1sql server 2000 5.1sql server 2

3、000 安全構(gòu)架安全構(gòu)架5.1.5.1.相關(guān)概念相關(guān)概念sql server 2000 使用身份驗證，數(shù)據(jù)庫用戶管理，權(quán)限管理,角色管理來保護數(shù)據(jù)庫中的數(shù)據(jù)。 5.1sql server 2000 5.1sql server 2000 安全構(gòu)架安全構(gòu)架sql server sql server 登錄賬號登錄賬號設(shè)置登錄賬號，用戶通過登錄賬號名和密碼可以登錄到sql server服務(wù)器上。特別注意：錄賬號本身并不能讓用戶訪問服務(wù)器中的數(shù)據(jù)庫，要訪問特定的數(shù)據(jù)流庫，還必須具有用戶帳號。5.1sql server 2000 5.1sql server 2000 安全構(gòu)架安全構(gòu)架數(shù)據(jù)庫用戶數(shù)據(jù)庫用戶

4、用戶要想擁有訪問某個數(shù)據(jù)庫的權(quán)力，就必須在這個數(shù)據(jù)庫上創(chuàng)建一個數(shù)據(jù)庫用戶，并將登錄賬號和這個數(shù)據(jù)庫用戶相關(guān)聯(lián)。5.1sql server 2000 5.1sql server 2000 安全構(gòu)架安全構(gòu)架權(quán)限權(quán)限 一個登錄者通過數(shù)據(jù)庫用戶關(guān)聯(lián)到某一個數(shù)據(jù)庫上，還需要為它加上一些限制，來控制它對數(shù)據(jù)庫的訪問級別，這就是權(quán)限。 5.1sql server 2000 5.1sql server 2000 安全構(gòu)架安全構(gòu)架角色角色角色是sql server 2000版本引進的新概念，是為了方便權(quán)限管理而設(shè)置的一種管理單位。如果打算使一組登錄賬戶或數(shù)據(jù)庫用戶在數(shù)據(jù)庫服務(wù)器或數(shù)據(jù)庫對象上具有相同的權(quán)限，則可

5、以通過角色實現(xiàn)。 5.2 sql server5.2 sql server的身份驗證模式的身份驗證模式 5.2.1windows 5.2.1windows 身份驗證模式身份驗證模式sql server數(shù)據(jù)庫系統(tǒng)通常運行在windows 2000 server / nt服務(wù)器平臺上。在windows 驗證模式下， sql server2000檢測當前使用windows 2000 server / nt的用戶帳號，并在系統(tǒng)注冊表中查找該用戶，以確定該帳號是否有權(quán)登錄。 正是利用了這一用戶安全性和帳號管理的機制，允許sql server也可以使用windows的用戶名和口令來驗證身份。5.2 sql

6、 server5.2 sql server的身份驗證模式的身份驗證模式 5.2.1windows 5.2.1windows 身份驗證模式身份驗證模式優(yōu)點：l數(shù)據(jù)庫管理員的工作可以集中管理數(shù)據(jù)庫上面，而不是管理用戶帳號，對用戶帳號的管理可以交給windows nt/2000去完成。lwindows nt/2000有著更強的用戶帳號管理工具，可以設(shè)置帳號鎖定、密碼期限等。5.2 sql server5.2 sql server的身份驗證模式的身份驗證模式 5.2.25.2.2混合身份驗證模式混合身份驗證模式(windows 身份驗證和sql server身份驗證)sql server身份驗證：在此

7、種驗證方式下，即使用戶已經(jīng)登錄操作系統(tǒng)，也必須輸入有效的sql server專用登錄名與密碼方可連入sql server 2000 數(shù)據(jù)庫實例?；旌向炞C模式允許用戶連接服務(wù)器,可采用sql server身份驗證模式或windows身份驗證模式。優(yōu)點：創(chuàng)建了windows nt/2000之外的另一個安全層次。5.2 sql server5.2 sql server的身份驗證模式的身份驗證模式 5.2.35.2.3兩種驗證模式的切換兩種驗證模式的切換修改服務(wù)器的身份驗證模式修改服務(wù)器的身份驗證模式5.2sql server5.2sql server的身份驗證模式的身份驗證模式 5.2sql ser

8、ver5.2sql server的身份驗證模式的身份驗證模式 修改客戶端的身份驗證模式修改客戶端的身份驗證模式需要在注冊的服務(wù)器的注冊屬性中修改。5.2sql server5.2sql server的身份驗證模式的身份驗證模式 5.35.3管理登錄賬號管理登錄賬號5.3.5.3.默認登錄賬號默認登錄賬號lbuiltin/administratorsbuiltin/administrators默認的windows身份認證的登錄帳號，凡是屬于windows 2000 server中administrators組的賬號都允許登錄sql server2000。lsa sa：超級管理員賬號：超級管理員賬

9、號默認的sql server2000身份認證的登錄帳號，又稱為超級管理員帳號，允許sql server的系統(tǒng)管理員登錄，該帳號的口令在安裝sql server2000時指定。 這兩個默認登錄帳號都擁有對sql server2000服務(wù)器的系統(tǒng)管理權(quán)限。5.35.3管理登錄賬號管理登錄賬號5.3.5.3.添加登錄賬號添加登錄賬號設(shè)置設(shè)置 sql server sql server 登錄賬戶登錄賬戶5.35.3管理登錄賬號管理登錄賬號三、管理登錄賬號三、管理登錄賬號5.35.3管理登錄賬號管理登錄賬號5.3.35.3.3修改登錄賬號修改登錄賬號5.35.3管理登錄賬號管理登錄賬號5.35.3管理登

10、錄賬號管理登錄賬號5.3.45.3.4刪除登錄賬號刪除登錄賬號5.35.3管理登錄賬號管理登錄賬號5.45.4管理數(shù)據(jù)庫用戶管理數(shù)據(jù)庫用戶 登錄帳號(login name)只負責在用戶連接數(shù)據(jù)庫實例時的驗證，登錄帳號本身不能讓用戶訪問服務(wù)器中的數(shù)據(jù)庫。要訪問數(shù)據(jù)庫，用戶還必須在數(shù)據(jù)庫中擁有和其登錄服務(wù)器時所用的登錄名相關(guān)聯(lián)的用戶帳號(user name)，也稱為數(shù)據(jù)庫用戶。5.45.4管理數(shù)據(jù)庫用戶管理數(shù)據(jù)庫用戶 5.4.15.4.1查看數(shù)據(jù)庫用戶查看數(shù)據(jù)庫用戶lsql server2000為每個數(shù)據(jù)庫自動創(chuàng)建dbo帳號，該帳號和所有屬于sysadmin服務(wù)器角色的登錄帳號(如sa)相關(guān)聯(lián)，并

11、且dbo對所屬的數(shù)據(jù)庫擁有完全的權(quán)限。l系統(tǒng)還為默認數(shù)據(jù)庫創(chuàng)建guest帳號，任何一個登錄帳號當在數(shù)據(jù)庫中沒有用戶帳號與之關(guān)聯(lián)時，均可通過數(shù)據(jù)庫中的guest帳號訪問數(shù)據(jù)庫，用戶新建的數(shù)據(jù)庫中則沒有g(shù)uest帳號。5.45.4管理數(shù)據(jù)庫用戶管理數(shù)據(jù)庫用戶 5.4.25.4.2創(chuàng)建數(shù)據(jù)庫用戶創(chuàng)建數(shù)據(jù)庫用戶 一個登錄名在一個數(shù)據(jù)庫中只能與一個用戶名相關(guān)聯(lián)。5.45.4管理數(shù)據(jù)庫用戶管理數(shù)據(jù)庫用戶 5.4.35.4.3刪除數(shù)據(jù)庫用戶刪除數(shù)據(jù)庫用戶 5.55.5管理權(quán)限管理權(quán)限5.5.15.5.1管理登錄帳號的權(quán)限管理登錄帳號的權(quán)限登錄賬號登錄賬號沒有對數(shù)據(jù)庫操作的權(quán)限，但是有對服務(wù)器操作的權(quán)限。我們

12、可以通過賦予它服務(wù)器角色使它具有相應(yīng)的管理權(quán)限。五、管理權(quán)限五、管理權(quán)限五、管理權(quán)限五、管理權(quán)限五、管理權(quán)限五、管理權(quán)限服務(wù)器角色表服務(wù)器角色表system administrator可以在sql server 2000中執(zhí)行任何活動server administrator可以設(shè)置服務(wù)器范圍的配置選項，關(guān)閉服務(wù)器setup administrator可以管理鏈接服務(wù)器和啟動過程securityadministrator可以管理登錄和創(chuàng)建數(shù)據(jù)庫的權(quán)限，還可以讀取錯誤日志和更新密碼五、管理權(quán)限五、管理權(quán)限服務(wù)器角色表（續(xù)）服務(wù)器角色表（續(xù)）processadministrator可以管理在sql

13、server 2000中執(zhí)行的進程database administrator可以創(chuàng)建、更改和刪除數(shù)據(jù)庫disk administrator可以管理磁盤文件bulkadministrator可以執(zhí)行bulk insert(大容量插入)語句五、管理權(quán)限五、管理權(quán)限可 設(shè) 置 登錄 帳 號 可以 訪 問 的數(shù) 據(jù) 庫 ，以讓sql server2000自動在自動在這 些 數(shù) 據(jù)這 些 數(shù) 據(jù)庫 中 建 立庫 中 建 立與 登 錄 帳與 登 錄 帳號 相 關(guān) 聯(lián)號 相 關(guān) 聯(lián)的 用 戶 帳的 用 戶 帳號號。（5.6節(jié)）5.55.5管理權(quán)限管理權(quán)限5.5.25.5.2管理數(shù)據(jù)庫用戶帳號的權(quán)限管理數(shù)據(jù)

14、庫用戶帳號的權(quán)限 設(shè)置用戶帳號數(shù)據(jù)庫操作權(quán)限（也稱語句權(quán)限）設(shè)置用戶帳號數(shù)據(jù)庫操作權(quán)限（也稱語句權(quán)限）對用戶賬號用戶賬號設(shè)置語句權(quán)限是限制用戶賬號對整個數(shù)據(jù)庫的操作權(quán)限，是創(chuàng)建數(shù)據(jù)庫或者數(shù)據(jù)庫中的數(shù)據(jù)對象（表、視圖或存儲過程等）所涉及的權(quán)限。5.55.5管理權(quán)限管理權(quán)限5.5.25.5.2管理數(shù)據(jù)庫用戶帳號的權(quán)限管理數(shù)據(jù)庫用戶帳號的權(quán)限l數(shù)據(jù)庫用戶帳號權(quán)限的三個層次數(shù)據(jù)庫用戶帳號權(quán)限的三個層次（1）創(chuàng)建數(shù)據(jù)庫對象及進行數(shù)據(jù)庫備份的權(quán)限（創(chuàng)）創(chuàng)建數(shù)據(jù)庫對象及進行數(shù)據(jù)庫備份的權(quán)限（創(chuàng)建表、視圖、存儲過程，備份日志文件等）建表、視圖、存儲過程，備份日志文件等）（2）對數(shù)據(jù)庫表的操作權(quán)限及執(zhí)行存儲過程

15、的權(quán)限）對數(shù)據(jù)庫表的操作權(quán)限及執(zhí)行存儲過程的權(quán)限（select,insert,update,delete,execute）（3）對數(shù)據(jù)庫中指定列的操作權(quán)限（對數(shù)據(jù)庫中指定列的操作權(quán)限（select、update）5.55.5管理權(quán)限管理權(quán)限三種權(quán)限三種權(quán)限允許權(quán)限（允許權(quán)限（grantgrant）: :表示用戶或角色能夠執(zhí)表示用戶或角色能夠執(zhí)行某項操作。行某項操作。 拒絕權(quán)限（拒絕權(quán)限（denydeny）: :表示用戶或角色不能執(zhí)行表示用戶或角色不能執(zhí)行某項操作，也稱禁止權(quán)限。某項操作，也稱禁止權(quán)限。 廢除權(quán)限（廢除權(quán)限（revokerevoke）: :表示廢除以前用戶或角表示廢除以前用戶或角

16、色所具有的允許權(quán)限或拒絕權(quán)限，但是當用戶色所具有的允許權(quán)限或拒絕權(quán)限，但是當用戶繼承其它角色時，用戶的權(quán)限是以其它角色的繼承其它角色時，用戶的權(quán)限是以其它角色的權(quán)限為準。權(quán)限為準。 5.55.5管理權(quán)限管理權(quán)限拒絕權(quán)限優(yōu)先：拒絕權(quán)限優(yōu)先：如果用戶本身設(shè)置了一定權(quán)限，而它又繼承了一定的角色，當它們的權(quán)限出現(xiàn)沖突時，以拒絕權(quán)限優(yōu)先。5.55.5管理權(quán)限管理權(quán)限設(shè)置用戶賬號數(shù)據(jù)庫對象的操作權(quán)限（對象權(quán)設(shè)置用戶賬號數(shù)據(jù)庫對象的操作權(quán)限（對象權(quán)限）限）5.55.5管理權(quán)限管理權(quán)限五、管理權(quán)限五、管理權(quán)限五、管理權(quán)限五、管理權(quán)限db_owner數(shù)據(jù)庫所有者，可執(zhí)行數(shù)據(jù)庫的所有管理操作db_accessad

17、min數(shù)據(jù)庫訪問管理者，具有添加、刪除數(shù)據(jù)庫使用者、數(shù)據(jù)庫角色和組的權(quán)限db_securityadmin數(shù)據(jù)庫安全管理員，可管理數(shù)據(jù)庫中的權(quán)限，如設(shè)置數(shù)據(jù)庫表的增、刪、修改和查詢等存取權(quán)限db_ddadmin數(shù)據(jù)庫ddl管理員，可增加、修改或刪除數(shù)據(jù)庫中的對象db_backupoperator 數(shù)據(jù)庫備份操作員，具有執(zhí)行數(shù)據(jù)庫備份的權(quán)限數(shù)據(jù)庫用戶角色表數(shù)據(jù)庫用戶角色表五、管理權(quán)限五、管理權(quán)限db_datareader數(shù)據(jù)庫數(shù)據(jù)讀取者db_datawriter數(shù)據(jù)庫數(shù)據(jù)寫入者，具有對表進行增、刪、修改的權(quán)限db_denydatareader 數(shù)據(jù)庫拒絕數(shù)據(jù)讀取者，不能讀取數(shù)據(jù)庫中任何表的內(nèi)容db

18、_denydatawriter數(shù)據(jù)庫拒絕數(shù)據(jù)寫入者，不能對任何表進行增、刪、修改操作public一個特殊的數(shù)據(jù)庫角色，每個數(shù)據(jù)庫用戶都是public角色的成員，通常將一些公共的權(quán)限賦給public角色數(shù)據(jù)庫用戶角色表數(shù)據(jù)庫用戶角色表( (續(xù)續(xù)) )五、管理權(quán)限五、管理權(quán)限五、管理權(quán)限五、管理權(quán)限五、管理權(quán)限五、管理權(quán)限當列的權(quán)限和表的權(quán)限設(shè)置沖突時，當列的權(quán)限和表的權(quán)限設(shè)置沖突時，以最小粒度的以最小粒度的列的設(shè)置為準列的設(shè)置為準。5.65.6管理角色管理角色5.6.15.6.1服務(wù)器角色服務(wù)器角色是用來管理和維護sql server2000服務(wù)器的，服務(wù)器角色服務(wù)器角色擁有的管理權(quán)限是固定的，用戶不能修改，也不能新增和刪除服務(wù)器角色。只能查看服務(wù)器角色。五、管理權(quán)限五、管