第四章安全性管理

1、劉根萍數(shù)據(jù)庫(kù)管理系統(tǒng)中存儲(chǔ)了大量的業(yè)務(wù)數(shù)據(jù)，這些數(shù)據(jù)都是企業(yè)的核心商業(yè)機(jī)密或者極為重要的資料。安全性安全性是數(shù)據(jù)庫(kù)管理系統(tǒng)的一個(gè)重要特征。 對(duì)于一個(gè)網(wǎng)絡(luò)數(shù)據(jù)庫(kù)管理系統(tǒng)，安全是很重要的。第四章第四章 安全性管理安全性管理劉根萍劉根萍劉根萍本章內(nèi)容本章內(nèi)容安全機(jī)制服務(wù)器級(jí)的安全管理數(shù)據(jù)庫(kù)級(jí)的安全管理權(quán)限管理劉根萍數(shù)數(shù)據(jù)據(jù)庫(kù)庫(kù)的的基基本本概概念念學(xué)習(xí)目標(biāo)學(xué)習(xí)目標(biāo)v認(rèn)知目標(biāo)： 了解安全模式 、身份驗(yàn)證、權(quán)限驗(yàn)證、登錄帳戶 、服務(wù)器角色 、數(shù)據(jù)庫(kù)角色等概念 v能力目標(biāo): 掌握登錄帳戶、數(shù)據(jù)庫(kù)用戶、數(shù)據(jù)庫(kù)角色的創(chuàng)建(重點(diǎn)) 掌握數(shù)據(jù)庫(kù)中權(quán)限設(shè)置管理的方法 (難點(diǎn))劉根萍引言引言p第一個(gè)安全問(wèn)題：當(dāng)用戶登錄

2、到數(shù)據(jù)庫(kù)系統(tǒng)時(shí)，如何確保只有合法的用戶才能登錄登錄到系統(tǒng)中呢？通過(guò)身份驗(yàn)證模式和主身份驗(yàn)證模式和主體體解決的。p第二個(gè)安全問(wèn)題：當(dāng)用戶登錄到系統(tǒng)中，他可以執(zhí)行哪些操作操作、使用哪些對(duì)象和資源呢？通過(guò)安全對(duì)象和權(quán)限設(shè)置安全對(duì)象和權(quán)限設(shè)置來(lái)實(shí)現(xiàn)的。p第三個(gè)安全問(wèn)題：數(shù)據(jù)庫(kù)的對(duì)象由誰(shuí)所有所有？劉根萍Sql server中提供了一整套保護(hù)數(shù)據(jù)安全的機(jī)制，包括：登錄名、角色、架構(gòu)、用戶、權(quán)限等登錄名、角色、架構(gòu)、用戶、權(quán)限等可以有效地實(shí)現(xiàn)對(duì)系統(tǒng)訪問(wèn)和數(shù)據(jù)訪問(wèn)的控制一、安全機(jī)制一、安全機(jī)制 劉根萍主體主體主體可以請(qǐng)求系統(tǒng)資源的個(gè)體、組合過(guò)程。例如：p數(shù)據(jù)庫(kù)用戶數(shù)據(jù)庫(kù)用戶：他可以按照自己的權(quán)限在數(shù)據(jù)庫(kù)中執(zhí)行

3、操作和使用相應(yīng)的數(shù)據(jù)。p操作系統(tǒng)賬戶操作系統(tǒng)賬戶psql serversql server登錄名登錄名劉根萍安全對(duì)象安全對(duì)象SQL Server系統(tǒng)管理者可通過(guò)權(quán)限保護(hù)分層實(shí)體集合，這些實(shí)體被稱為安全對(duì)象安全對(duì)象。安全對(duì)象是SQL Server系統(tǒng)控制對(duì)其進(jìn)行訪問(wèn)的資源訪問(wèn)的資源。SQL Server系統(tǒng)通過(guò)驗(yàn)證主體是否已經(jīng)獲得適當(dāng)?shù)臋?quán)限來(lái)控制主體對(duì)安全對(duì)象的各種操作。劉根萍 主體和安全對(duì)象的結(jié)構(gòu)示意圖主體和安全對(duì)象的結(jié)構(gòu)示意圖 劉根萍數(shù)據(jù)庫(kù)對(duì)象、架構(gòu)和用戶關(guān)系示意圖數(shù)據(jù)庫(kù)對(duì)象、架構(gòu)和用戶關(guān)系示意圖 劉根萍一、安全機(jī)制一、安全機(jī)制 劉根萍一、安全機(jī)制一、安全機(jī)制 每個(gè)網(wǎng)絡(luò)用戶在訪問(wèn)SQL Se

4、rver數(shù)據(jù)庫(kù)之前，都必須經(jīng)過(guò)兩級(jí)安全驗(yàn)證： 身份驗(yàn)證：驗(yàn)證用戶是否擁有服務(wù)器級(jí)的“連接權(quán)”，即是否允許訪問(wèn)SQL Server服務(wù)器。 權(quán)限驗(yàn)證：驗(yàn)證用戶是否擁有數(shù)據(jù)庫(kù)級(jí)的“訪問(wèn)權(quán)”，即是否可以在數(shù)據(jù)庫(kù)上執(zhí)行操作。劉根萍二、服務(wù)器級(jí)的安全管理二、服務(wù)器級(jí)的安全管理pWindows身份驗(yàn)證 使用Windows操作系統(tǒng)本身提供的安全機(jī)制驗(yàn)證用戶的身份。只要用戶能夠通過(guò)Windows的用戶帳戶驗(yàn)證，就可連接到SQL Server，又稱為“信任連接”模式。 pSQL Server驗(yàn)證 使用SQL Server驗(yàn)證時(shí)，必須提供連接到SQL Server上登錄帳號(hào)和口令(該帳號(hào)和口令由系統(tǒng)管理員事先創(chuàng)建

5、并存儲(chǔ)在SQL Server中)。 使用該模式：一是為了和7.0版以前的SQL Server相兼容；二是如果SQL Server安裝在Windows 98下，必須使用該模式。1. 身份驗(yàn)證身份驗(yàn)證 (1)兩種模式兩種模式劉根萍劉根萍任務(wù)任務(wù)1：將本地服務(wù)器的身份驗(yàn)證模式設(shè)置為 “混合模式” 右擊“本地服務(wù)器”“屬性” “安全性” 任務(wù)任務(wù)2：用“windows”身份驗(yàn)證連接到本地服務(wù)器上。 右擊“本地服務(wù)器”“編輯SQL Server注冊(cè)屬性” 展開(kāi)“本地服務(wù)器”即連接(因“windows”身份是信任連接)任務(wù)任務(wù)3：用“SQL Server”身份驗(yàn)證連接到本地服務(wù)器上。 修改登錄帳號(hào)“sa”

6、的密碼。 展開(kāi)“本地服務(wù)器”中的“安全性”單擊“登錄” 右擊“sa” “屬性” 修改密碼 設(shè)置“使用SQL Server 身份驗(yàn)證”。 右擊“本地服務(wù)器”“編輯SQL Server注冊(cè)屬性” 勾選“使用SQL Server 身份驗(yàn)證” 輸入“登錄名”和“密碼” 說(shuō)明：說(shuō)明：sa是一個(gè)超級(jí)登錄帳號(hào)，具有操作服務(wù)器的一切權(quán)限。動(dòng)手操作動(dòng)手操作1：設(shè)置身份驗(yàn)證模式：設(shè)置身份驗(yàn)證模式劉根萍p 含義：登錄者用來(lái)連接SQL server的帳號(hào)。p 兩種類型： windows身份驗(yàn)證時(shí)的登錄帳號(hào)(即用戶帳號(hào))。 形式為“域(或計(jì)算機(jī))名用戶(或組)” 系統(tǒng)內(nèi)建的本地組,采用“BUILTIN Administ

7、rators”形式 SQL server身份驗(yàn)證時(shí)，由系統(tǒng)管理員創(chuàng)建的登錄帳號(hào)和密碼。 sa是一個(gè)內(nèi)置的SQL Server超級(jí)登錄帳號(hào)，該賬戶擁有最高的管理權(quán)限，具有操作服務(wù)器的一切權(quán)限。二、服務(wù)器級(jí)的安全管理二、服務(wù)器級(jí)的安全管理2. 登錄帳號(hào)登錄帳號(hào)劉根萍劉根萍任務(wù)任務(wù)1：將windows中的某個(gè)組或用戶設(shè)置為登錄帳號(hào)；創(chuàng)建個(gè)“SQL Server”登錄帳號(hào)，登錄名為st1和st2。方法：雙擊“服務(wù)器” 安全性右擊“登錄” “新建登錄” 創(chuàng)建“windows”登錄帳號(hào)。 單擊“名稱”旁的“瀏覽”按鈕 選擇要加入的組或用戶 創(chuàng)建“SQL Server”登錄帳號(hào)。 在“名稱”框中輸入“st1

8、” 選擇“SQL Server身份驗(yàn)證” 輸入密碼動(dòng)手操作動(dòng)手操作2：登錄帳號(hào)的使用：登錄帳號(hào)的使用劉根萍任務(wù)任務(wù)2：使用st1登錄帳號(hào)連接到SQL Server服務(wù)器，請(qǐng) 問(wèn)能否查看xsgl庫(kù)中的數(shù)據(jù)?為什么？ 說(shuō)明：普通登錄帳號(hào)必須賦予了服務(wù)器角色后,才會(huì)具有服務(wù)器范圍內(nèi)的操作權(quán)限。任務(wù)任務(wù)3：查看各登錄帳號(hào)的服務(wù)器角色。 右擊“登錄帳號(hào)” “屬性” 動(dòng)手操作動(dòng)手操作2：登錄帳號(hào)的使用：登錄帳號(hào)的使用劉根萍p 含義： 系統(tǒng)定義的具有不同權(quán)限的組，其組成員是登錄帳號(hào)。 服務(wù)器角色不能增加或刪除，只能對(duì)其中的成員進(jìn)行修改。p 常用的服務(wù)器角色二、服務(wù)器級(jí)的安全管理二、服務(wù)器級(jí)的安全管理3. 服

9、務(wù)器角色服務(wù)器角色劉根萍服務(wù)器角色服務(wù)器角色劉根萍服務(wù)器角色服務(wù)器角色劉根萍任務(wù)任務(wù)1：了解各服務(wù)器角色中的成員及權(quán)限。 雙擊“服務(wù)器” “安全性” “服務(wù)器角色” 任務(wù)任務(wù)2：將登錄帳號(hào)st1賦予“database creators”的服務(wù)器角色，使其具有可創(chuàng)建和更改數(shù)據(jù)庫(kù)的權(quán)限。 在“服務(wù)器角色”窗口中，右擊“database creators”角色“屬性” 單擊“添加” 選擇成員 請(qǐng)思考：使用st1登錄帳號(hào)連接到SQL Server服務(wù)器，請(qǐng)問(wèn)能否查看xsgl庫(kù)中的表對(duì)象?為什么？說(shuō)明：說(shuō)明：盡管普通登錄帳號(hào)已賦予了服務(wù)器角色(sysadmin除外 )，但仍沒(méi)有使用其它數(shù)據(jù)庫(kù)對(duì)象(表/視

10、圖/存儲(chǔ)過(guò)程等)的權(quán)限。因?yàn)镾QL Server是以數(shù)據(jù)庫(kù)用戶名來(lái)訪問(wèn)數(shù)據(jù)庫(kù)的。動(dòng)手操作動(dòng)手操作3：服務(wù)器角色的使用：服務(wù)器角色的使用劉根萍任務(wù)任務(wù)3：將登錄帳號(hào)st2賦予“sysadmin”的服務(wù)器角色，使其具 有對(duì)系統(tǒng)的所有操作權(quán)。 說(shuō)明：若將登錄帳號(hào)st2加入到sysadmin服務(wù)器角色中，以該帳號(hào)登錄的用戶就擁有了對(duì)系統(tǒng)的所有操作權(quán)。任務(wù)任務(wù)4：分別以st1和st2登錄SQL Server服務(wù)器，查看xsgl庫(kù)中 的各對(duì)象，請(qǐng)思考哪個(gè)登錄帳號(hào)的權(quán)限大？任務(wù)任務(wù)5：因某種原因，要取消登錄帳號(hào)為st2所擁有的對(duì)服務(wù) 器的所有操作權(quán)，但仍能登錄SQL Server服務(wù)器，如 何設(shè)置？ 在“服

11、務(wù)器角色”窗口中，右擊“sysadmin”角色“屬性” 選擇成員單擊“刪除” 動(dòng)手操作動(dòng)手操作3：服務(wù)器角色的使用：服務(wù)器角色的使用劉根萍v含義： 如果要使登錄帳號(hào)具有訪問(wèn)數(shù)據(jù)庫(kù)的權(quán)力，必須將登錄帳號(hào)映射為數(shù)據(jù)庫(kù)用戶名。所以，每一個(gè)登錄帳號(hào)必須對(duì)應(yīng)一個(gè)數(shù)據(jù)庫(kù)用戶名稱。 登錄帳號(hào)sa（或windows帳號(hào)）對(duì)應(yīng)的數(shù)據(jù)庫(kù)用戶名為dbo，dbo用戶擁有操作數(shù)據(jù)庫(kù)的所有權(quán)限（權(quán)限最高）。 凡具有sysadmin服務(wù)器角色的登錄帳號(hào)，自動(dòng)映射為dbo。 其它登錄帳號(hào)在某庫(kù)中沒(méi)有對(duì)應(yīng)的用戶名稱時(shí)，就映射到guest用戶帳號(hào)上，若沒(méi)有g(shù)uest(如xsgl庫(kù))，則不能查看到該數(shù)據(jù)庫(kù)對(duì)象。三、數(shù)據(jù)庫(kù)級(jí)的安全管

12、理三、數(shù)據(jù)庫(kù)級(jí)的安全管理1. 數(shù)據(jù)庫(kù)用戶簡(jiǎn)介數(shù)據(jù)庫(kù)用戶簡(jiǎn)介劉根萍v含義： 如果要使登錄帳號(hào)具有訪問(wèn)數(shù)據(jù)庫(kù)的權(quán)力，必須將登錄帳號(hào)映射為數(shù)據(jù)庫(kù)用戶名。v登錄帳號(hào)和數(shù)據(jù)庫(kù)用戶的區(qū)別：SQL Server數(shù)據(jù)庫(kù)DB1DB2DB3數(shù)據(jù)庫(kù)用戶名（提供數(shù)據(jù)庫(kù)訪問(wèn)）登錄帳號(hào)（提供SQL server訪問(wèn)）用戶三、數(shù)據(jù)庫(kù)級(jí)的安全管理三、數(shù)據(jù)庫(kù)級(jí)的安全管理1. 數(shù)據(jù)庫(kù)用戶簡(jiǎn)介數(shù)據(jù)庫(kù)用戶簡(jiǎn)介劉根萍v內(nèi)置的用戶名稱：dbo和guest 登錄帳號(hào)sa（或windows帳號(hào)）對(duì)應(yīng)的數(shù)據(jù)庫(kù)用戶名為dbo，dbo用戶擁有操作數(shù)據(jù)庫(kù)的最高權(quán)限。凡具有sysadmin服務(wù)器角色的登錄帳號(hào)，自動(dòng)映射為dbo。 其它登錄帳號(hào)在某庫(kù)中

13、沒(méi)有對(duì)應(yīng)的用戶名時(shí)，就映射到guest用戶帳號(hào)上（對(duì)數(shù)據(jù)庫(kù)的訪問(wèn)權(quán)限最低）。若沒(méi)有g(shù)uest(如xsgl庫(kù))，則不能查看到該數(shù)據(jù)庫(kù)對(duì)象。 例如: 在xsgl庫(kù)中，登錄帳號(hào)st1既沒(méi)有映射相應(yīng)的用戶名，又沒(méi)有g(shù)uest，所以，st1不能查看到該庫(kù)中對(duì)象的信息。三、數(shù)據(jù)庫(kù)級(jí)的安全管理三、數(shù)據(jù)庫(kù)級(jí)的安全管理1. 數(shù)據(jù)庫(kù)用戶簡(jiǎn)介數(shù)據(jù)庫(kù)用戶簡(jiǎn)介劉根萍任務(wù)任務(wù)1：將登錄帳號(hào)st1映射為xsgl庫(kù)中的一個(gè)名為“u1”的用戶帳號(hào)，使“u1”能訪問(wèn)該庫(kù)。 右擊xsgl庫(kù)中的“用戶” “新建數(shù)據(jù)庫(kù)用戶”任務(wù)任務(wù)2：將登錄帳號(hào)st1同時(shí)映射為xsgl、users庫(kù)中的一個(gè)用戶帳號(hào)。 雙擊 “服務(wù)器” “安全性” “

14、登錄” 在“登錄”窗口，雙擊“st1”登錄帳號(hào) 單擊“數(shù)據(jù)庫(kù)訪問(wèn)”標(biāo)簽勾選所要訪問(wèn)的數(shù)據(jù)庫(kù)動(dòng)手操作動(dòng)手操作4：數(shù)據(jù)庫(kù)用戶的創(chuàng)建：數(shù)據(jù)庫(kù)用戶的創(chuàng)建劉根萍v修改數(shù)據(jù)庫(kù)用戶 主要是修改為此用戶所設(shè)置的用戶權(quán)限（修改所屬的數(shù)據(jù)庫(kù)角色）。v刪除數(shù)據(jù)庫(kù)用戶 刪除一個(gè)登錄帳號(hào)在當(dāng)前數(shù)據(jù)庫(kù)的映射，使該登錄帳號(hào)失去訪問(wèn)數(shù)據(jù)庫(kù)的權(quán)限。方法1：與創(chuàng)建類似，只是取消數(shù)據(jù)的選定。方法2：在指定數(shù)據(jù)庫(kù)的“用戶”窗口中，右擊要?jiǎng)h除的用戶名單擊“刪除”三、數(shù)據(jù)庫(kù)級(jí)的安全管理三、數(shù)據(jù)庫(kù)級(jí)的安全管理2. 管理數(shù)據(jù)庫(kù)用戶管理數(shù)據(jù)庫(kù)用戶劉根萍v定義： 是在數(shù)據(jù)庫(kù)級(jí)別上定義的用戶權(quán)限組，存在于每個(gè)數(shù)據(jù)庫(kù)中。其成員是用戶帳號(hào)。v類型：

15、固定數(shù)據(jù)庫(kù)角色 自建數(shù)據(jù)庫(kù)角色三、數(shù)據(jù)庫(kù)級(jí)的安全管理三、數(shù)據(jù)庫(kù)級(jí)的安全管理3. 數(shù)據(jù)庫(kù)角色數(shù)據(jù)庫(kù)角色劉根萍任務(wù)任務(wù)1：將xsgl庫(kù)的所有者權(quán)限賦給st1用戶。 在“登錄”窗口，雙擊“st1”登錄帳號(hào) 單擊“用戶映射”標(biāo)簽勾選xsgl數(shù)據(jù)庫(kù)“，默認(rèn)架構(gòu)設(shè)置為 db_owner”任務(wù)任務(wù)2：創(chuàng)建一個(gè)名為“zdy”的數(shù)據(jù)庫(kù)角色，使該角色具有如下的權(quán)限：可查詢CustomersInfo表、可查詢和修改CustomersInfo表、可查詢和插入ProductsInfo表，但不能進(jìn)行刪除的權(quán)限。 右擊xsgl庫(kù)的“角色” “新建數(shù)據(jù)庫(kù)角色” 輸入名稱“zdy” “確定” 雙擊“zdy” 單擊“安全對(duì)象”按

16、鈕設(shè)置權(quán)限動(dòng)手操作動(dòng)手操作5：數(shù)據(jù)庫(kù)角色的創(chuàng)建：數(shù)據(jù)庫(kù)角色的創(chuàng)建劉根萍數(shù)據(jù)庫(kù)級(jí)別角色數(shù)據(jù)庫(kù)級(jí)別角色劉根萍數(shù)據(jù)庫(kù)級(jí)別角色數(shù)據(jù)庫(kù)級(jí)別角色劉根萍數(shù)據(jù)庫(kù)級(jí)別角色數(shù)據(jù)庫(kù)級(jí)別角色劉根萍數(shù)據(jù)庫(kù)級(jí)別角色數(shù)據(jù)庫(kù)級(jí)別角色劉根萍v權(quán)限的作用： 用來(lái)控制用戶如何訪問(wèn)數(shù)據(jù)庫(kù)對(duì)象。v權(quán)限的分類： 對(duì)象權(quán)限：是指用戶對(duì)數(shù)據(jù)庫(kù)中的表、視圖、存儲(chǔ)過(guò)程等對(duì)象的操作權(quán)限。 語(yǔ)句權(quán)限：是指執(zhí)行數(shù)據(jù)定義語(yǔ)句的權(quán)限。 隱含權(quán)限：是指系統(tǒng)預(yù)定義的服務(wù)器角色、數(shù)據(jù)庫(kù)擁有者和數(shù)據(jù)庫(kù)對(duì)象擁有者所擁有的權(quán)限。該權(quán)限不能明確地賦予和撤銷。四、權(quán)限管理四、權(quán)限管理1. 權(quán)限的分類權(quán)限的分類劉根萍v用戶或角色的權(quán)限有三種形式： 授予權(quán)限： 能執(zhí)行相應(yīng)操

17、作 拒絕權(quán)限 ： 不能執(zhí)行相應(yīng)操作 剝奪權(quán)限 ： 不允許執(zhí)行相應(yīng)操作，但可以通過(guò)加入角色來(lái)獲得許可權(quán)。四、權(quán)限管理四、權(quán)限管理2. 權(quán)限管理的內(nèi)容權(quán)限管理的內(nèi)容劉根萍任務(wù)任務(wù)1：管理數(shù)據(jù)庫(kù)用戶的語(yǔ)句權(quán)限。要求：xsgl庫(kù)中的用戶u1只能查看CategoriesInfo表中的數(shù)據(jù)，不能做任何更改和刪除，應(yīng)如何設(shè)置？ 單擊xsgl庫(kù)中的“用戶” 右擊“u1”用戶“屬性” “安全對(duì)象” 添加安全對(duì)象，并設(shè)置CategoriesInfo表上的操作權(quán)限任務(wù)任務(wù)2：管理數(shù)據(jù)庫(kù)角色的語(yǔ)句權(quán)限。要求：xsgl庫(kù)中的所有用戶只能查看OrdersInfo表中的數(shù)據(jù)，不能做任何更改和刪除，應(yīng)如何設(shè)置？ 右擊xsgl

18、庫(kù)中的“角色” “新建自定義角色”(aa) 常規(guī)中添加角色成員選擇用戶 安全對(duì)象中添加安全對(duì)象，設(shè)置在OrdersInfo表上的操作權(quán)限動(dòng)手操作動(dòng)手操作6：管理權(quán)限：管理權(quán)限劉根萍任務(wù)任務(wù)3：管理數(shù)據(jù)庫(kù)對(duì)象的權(quán)限。對(duì)于xsgl庫(kù)中的OrdersDetailsInfo表，希望所有用戶都不能刪除、修改和插入記錄，且不能訪問(wèn)“地址”字段 右擊OrdersDetailsInfo表“屬性” “權(quán)限” 設(shè)置權(quán)限 單擊“列” 按鈕設(shè)置列權(quán)限動(dòng)手操作動(dòng)手操作6：管理權(quán)限：管理權(quán)限劉根萍五、數(shù)據(jù)庫(kù)備份和恢復(fù)五、數(shù)據(jù)庫(kù)備份和恢復(fù)v備份設(shè)備v備份策略 完全備份 差異備份 事務(wù)日志備份 文件或文件組備份劉根萍任務(wù)任務(wù)1：將xsgl庫(kù)備份到E盤(pán)的“數(shù)據(jù)庫(kù)備份”文件夾中，并命名為“銷售管理庫(kù)備份”。任務(wù)任務(wù)2：對(duì)xsgl庫(kù)中的對(duì)象進(jìn)行任意的修改或刪除。任務(wù)任務(wù)3：恢復(fù)數(shù)據(jù)庫(kù)，并xsgl已還原。動(dòng)手操作動(dòng)手操作7：數(shù)據(jù)庫(kù)備份和恢復(fù)：數(shù)