第章安全管理

第9章安全管理安全認(rèn)證模式登錄管理數(shù)據(jù)庫(kù)用戶管理角色權(quán)限管理三個(gè)概念：登錄、用戶、角色登錄帳號(hào)：用來(lái)和SQLSERVER連接有了登錄號(hào)才能連接上SQLSERVER，才有使用SQLSERVER的入門資格，但登錄帳號(hào)沒(méi)有使用數(shù)據(jù)庫(kù)對(duì)象的權(quán)力數(shù)據(jù)庫(kù)用戶：簡(jiǎn)稱用戶，作為數(shù)據(jù)庫(kù)對(duì)象，SQLSERVER用它來(lái)設(shè)定數(shù)據(jù)庫(kù)存取的許可權(quán)。所以為了要存取SQLSERVER內(nèi)的某一數(shù)據(jù)庫(kù)的數(shù)據(jù)庫(kù)對(duì)象，每一登錄帳號(hào)必須對(duì)應(yīng)一個(gè)用戶名。角色：也稱為安全性角色，對(duì)數(shù)據(jù)具有相同的訪問(wèn)權(quán)限。包括系統(tǒng)內(nèi)建角色和自建角色二類角色，其中，系統(tǒng)內(nèi)建角色又分為服務(wù)器角色和數(shù)據(jù)庫(kù)角色，數(shù)據(jù)庫(kù)角色也是一個(gè)數(shù)據(jù)庫(kù)對(duì)象登錄、用戶的關(guān)系1、登錄帳號(hào)是用來(lái)連接SQLSERVER的，但登錄帳號(hào)沒(méi)有使用數(shù)據(jù)庫(kù)對(duì)象的權(quán)力，SQLSERVER是以用戶名來(lái)設(shè)定數(shù)據(jù)庫(kù)存取的許可權(quán)。所以，為了要存取SQLSERVER內(nèi)某一數(shù)據(jù)庫(kù)內(nèi)的數(shù)據(jù)庫(kù)對(duì)象，每一登錄帳號(hào)必須在該數(shù)據(jù)庫(kù)對(duì)應(yīng)一個(gè)用戶名2、用戶是數(shù)據(jù)庫(kù)對(duì)象，定義和修改時(shí)必須選擇對(duì)應(yīng)的數(shù)據(jù)庫(kù)，而登錄不是數(shù)據(jù)庫(kù)對(duì)象，它的定義和修改在SQLSERVER服務(wù)器下的安全性里進(jìn)行。3、用戶的定義必須指定對(duì)應(yīng)的登錄名，一個(gè)登錄名可以對(duì)應(yīng)多個(gè)用戶，但一個(gè)登錄名在一個(gè)數(shù)據(jù)庫(kù)內(nèi)只能有一個(gè)用戶。4、用戶名與數(shù)據(jù)庫(kù)相關(guān)。sales數(shù)據(jù)庫(kù)中的xyz用戶帳戶不同于inventory數(shù)據(jù)庫(kù)中的xyz用戶帳戶，即使這兩個(gè)帳戶有相同的用戶名。用戶名由db_owner固定數(shù)據(jù)庫(kù)角色成員定義。用戶、角色的關(guān)系1、角色在權(quán)限管理方面是一個(gè)強(qiáng)有力的工具，是具有相同權(quán)限的用戶的集合，角色分為系統(tǒng)內(nèi)建角色和自建角色，同時(shí)系統(tǒng)內(nèi)建角色分為服務(wù)器角色和數(shù)據(jù)庫(kù)角色，自建角色都是數(shù)據(jù)庫(kù)角色。2、服務(wù)器角色和登錄名相對(duì)應(yīng)；而數(shù)據(jù)庫(kù)角色是和用戶對(duì)應(yīng)的，數(shù)據(jù)庫(kù)角色和用戶都是數(shù)據(jù)庫(kù)對(duì)象，定義和刪除的時(shí)候必須選擇所屬的數(shù)據(jù)庫(kù)3、一個(gè)數(shù)據(jù)庫(kù)角色中可以有多個(gè)用戶，一個(gè)用戶也可以屬于多個(gè)數(shù)據(jù)庫(kù)角色SQLSERVER2000工作時(shí)，用戶需要經(jīng)過(guò)兩個(gè)安全性階段：身份驗(yàn)證、授權(quán)（權(quán)限驗(yàn)證）

9.1.1身份驗(yàn)證又叫認(rèn)證，是使用SQLSERVER2000的第一道管制關(guān)卡，用戶必須使用登錄帳號(hào)和密碼來(lái)登錄SQLSERVER，當(dāng)?shù)卿洺晒蟛艙碛惺褂肧QLSERVER的入門資格。但是，即使你通過(guò)了第一道認(rèn)證關(guān)卡并不表示你對(duì)SQLSERVER內(nèi)的數(shù)據(jù)有存取的權(quán)限。9.1安全認(rèn)證模式SQLSERVER2000可以通過(guò)兩種方式來(lái)進(jìn)行身份驗(yàn)證：Windows身份驗(yàn)證、SQLSERVER身份驗(yàn)證。

Windows身份驗(yàn)證：由Windows系統(tǒng)確認(rèn)用戶的登錄帳號(hào)和密碼，Windows系統(tǒng)的登錄帳號(hào)可以直接訪問(wèn)SQLSERVER系統(tǒng)，不必提供SQLSERVER的登錄帳號(hào)和密碼。

SQLSERVER身份驗(yàn)證：由Windows系統(tǒng)確認(rèn)用戶的登錄帳號(hào)和口令。相應(yīng)的，SQLSERVER2000可以在兩種安全模式（身份驗(yàn)證）下工作：Windows身份驗(yàn)證模式：用Windows用戶帳號(hào)進(jìn)行連接混合模式：用Windows身份驗(yàn)證或SQLSERVER身份驗(yàn)證與SQLSERVER實(shí)例連接。9.1.1身份驗(yàn)證9.1.2授權(quán)又叫權(quán)限驗(yàn)證，數(shù)據(jù)庫(kù)中的所有對(duì)象的存取權(quán)限還必須通過(guò)授權(quán)（即存取許可）的設(shè)定來(lái)決定該登錄者是否擁有某一對(duì)象的存取權(quán)限。9.2登錄管理登錄帳號(hào)是基于服務(wù)器使用的用戶名。為了訪問(wèn)SQLServer系統(tǒng)，用戶必須提供正確的登錄帳號(hào)。這些登錄帳號(hào)既可以是Windows登錄帳號(hào)，也可以是SQLServer登錄帳號(hào)。登錄帳號(hào)的信息是系統(tǒng)級(jí)信息，存儲(chǔ)在master數(shù)據(jù)庫(kù)中的syslogins系統(tǒng)表中。增加登錄帳號(hào)可以有兩種方法：使用企業(yè)管理器1、選擇要建立登錄的SQLSERVER服務(wù)器2、展開安全性，選擇登錄使用系統(tǒng)存儲(chǔ)過(guò)程1、SQLSERVER登錄(sp_AddLogin，sp_DropLogin)sp_addlogin

‘登陸名’，‘密碼’，‘默認(rèn)數(shù)據(jù)庫(kù)’2、WindowsNT用戶或組登錄(機(jī)器名\用戶或工作組名)(sp_GrantLogin、sp_DenyLogin、sp_RevokeLogin)格式：sp_GrantLogin‘機(jī)器名\用戶名’9.2.1創(chuàng)建登錄9.2.2查看、修改登錄查看、修改登錄帳號(hào)：使用企業(yè)管理器1、選擇要查看或修改的登錄的SQLSERVER服務(wù)器2、展開安全性，選擇登錄3、在詳細(xì)信息窗格中，右擊要查看的登錄，然后單擊屬性。9.2.3刪刪除登錄錄使用企業(yè)業(yè)管理器器1、選擇擇要?jiǎng)h除除登錄的的SQLSERVER服務(wù)務(wù)器2、展開開安全性性，選擇擇登錄3、在詳詳細(xì)信息息窗格中中，右擊擊要查看看的登錄錄，單擊擊刪除。。使用系統(tǒng)統(tǒng)存儲(chǔ)過(guò)過(guò)程1、SQLSERVER登錄(sp_dropLogin)sp_droplogin‘登陸名名’，‘‘密碼碼’，‘‘默認(rèn)數(shù)數(shù)據(jù)庫(kù)’’2、WindowsNT用戶或或組登錄(機(jī)機(jī)器名\用戶或工作組名)(sp_DenyLogin、、sp_RevokeLogin)格式：sp_revokeLogin‘機(jī)器名名\用戶戶名’9.3數(shù)據(jù)庫(kù)用用戶管理理用戶帳號(hào)號(hào)是基于于數(shù)據(jù)庫(kù)庫(kù)使用的的名稱，，與登錄錄帳號(hào)相相對(duì)應(yīng)，，登錄帳帳號(hào)屬數(shù)數(shù)據(jù)庫(kù)實(shí)實(shí)例范疇疇的概念念，用戶戶帳號(hào)屬屬于特定定數(shù)據(jù)庫(kù)庫(kù)范疇。。一個(gè)登登錄帳號(hào)號(hào)可以使使用一個(gè)個(gè)特定的的用戶帳帳號(hào)或一一個(gè)默認(rèn)認(rèn)的用戶戶帳號(hào)。。用戶帳戶戶是由SQLServer管理的的，所有有的用戶戶帳戶都都存放在在系統(tǒng)表表sysusers中中。9.3.1創(chuàng)創(chuàng)建用戶戶帳號(hào)創(chuàng)建數(shù)據(jù)據(jù)庫(kù)用戶戶帳號(hào)，，可以有有兩種方方法：使用企業(yè)業(yè)管理器器1、選擇擇要建立立用戶的的SQLSERVER服務(wù)務(wù)器2、展開開數(shù)據(jù)庫(kù)庫(kù)，選擇擇用戶使用系統(tǒng)統(tǒng)存儲(chǔ)過(guò)過(guò)程sp_AddUser‘登錄名名’，‘‘用戶名名’注：在管管理用戶戶的時(shí)候候必須選選擇對(duì)應(yīng)應(yīng)的數(shù)據(jù)據(jù)庫(kù)（use要建立用用戶的數(shù)數(shù)據(jù)庫(kù)名名）9.3.2刪刪除用戶戶帳號(hào)刪除數(shù)據(jù)據(jù)庫(kù)用戶戶帳號(hào)，，可以有有兩種方方法：使用企業(yè)業(yè)管理器器1、選擇擇要建立立用戶的的SQLSERVER服務(wù)務(wù)器2、展開開數(shù)據(jù)庫(kù)庫(kù)，選擇擇用戶使用系統(tǒng)統(tǒng)存儲(chǔ)過(guò)過(guò)程sp_DropUser‘用戶名名’注：在管管理用戶戶的時(shí)候候必須選選擇對(duì)應(yīng)應(yīng)的數(shù)據(jù)據(jù)庫(kù)（use要建立用用戶的數(shù)數(shù)據(jù)庫(kù)名名）9.4角色角色在權(quán)權(quán)限管理理方面是是一個(gè)強(qiáng)強(qiáng)有力的的工具，，如果用用戶具有有相同的的權(quán)限，，那么我我們可以以：1、先創(chuàng)創(chuàng)建一個(gè)個(gè)角色2、對(duì)這這個(gè)角色色賦予權(quán)權(quán)限3、將這這些用戶戶添加到到該角色色中（使使它們成成為角色色中的成成員）角色分為為系統(tǒng)內(nèi)內(nèi)建角色色和自建建角色，，同時(shí)系系統(tǒng)內(nèi)建建角色分分為服務(wù)務(wù)器角色色和數(shù)據(jù)據(jù)庫(kù)角色色（自建角色色都是數(shù)數(shù)據(jù)庫(kù)角角色）。1、服務(wù)務(wù)器角色色和登錄錄名相對(duì)對(duì)應(yīng)2、數(shù)據(jù)據(jù)庫(kù)角色色是和用用戶對(duì)應(yīng)應(yīng)的3、數(shù)據(jù)據(jù)庫(kù)角色色和用戶戶都是數(shù)數(shù)據(jù)庫(kù)對(duì)對(duì)象，定定義和刪刪除的時(shí)時(shí)候必須須選擇所所屬的數(shù)數(shù)據(jù)庫(kù)一、固定定服務(wù)器器角色二、向固固定服務(wù)務(wù)器角色添加加登錄向固定服服務(wù)器角角色添加加登錄成成員使用企業(yè)業(yè)管理器器1、選擇擇要建立立用戶的的SQLSERVER服務(wù)務(wù)器2、展開開安全性性，選擇擇服務(wù)器器角色，，添加登登錄三、固定定數(shù)據(jù)庫(kù)庫(kù)角色四、向固固定數(shù)據(jù)據(jù)庫(kù)角色添加加用戶向固定數(shù)數(shù)據(jù)庫(kù)角角色添加加用戶使用企業(yè)業(yè)管理器器1、選擇擇要建立立用戶的的SQLSERVER服務(wù)務(wù)器2、展開開數(shù)據(jù)庫(kù)庫(kù)，選擇擇角色所所在的數(shù)數(shù)據(jù)庫(kù)3、單擊擊角色，，添加用用戶使用系統(tǒng)統(tǒng)存儲(chǔ)過(guò)過(guò)程1、定義義、刪除除角色：：sp_AddRole、sp_DropRole2、修改改角色成成員：sp_droprolemember‘角色名名’sp_AddRoleMember‘角色名名’，‘‘用戶名名’注：在管管理數(shù)據(jù)據(jù)庫(kù)角色色的時(shí)候候必須選選擇對(duì)應(yīng)應(yīng)的數(shù)據(jù)據(jù)庫(kù)當(dāng)用戶連連接到SQLServer后，，他們可可以執(zhí)行行的活動(dòng)動(dòng)由授予予以下帳帳戶的權(quán)權(quán)限確定定：1、用戶戶的安全全帳戶。。2、用戶戶的安全全帳戶所所屬的WindowsNT或2000組組或角色色層次結(jié)結(jié)構(gòu)。用戶若要要進(jìn)行任任何涉及及更改數(shù)數(shù)據(jù)庫(kù)定定義或訪訪問(wèn)數(shù)據(jù)據(jù)的活動(dòng)動(dòng)，則必必須有相相應(yīng)的權(quán)權(quán)限。管理權(quán)限限包括授授予或廢廢除執(zhí)行行以下活活動(dòng)的用用戶權(quán)限限：1、處理理數(shù)據(jù)和和執(zhí)行過(guò)過(guò)程（對(duì)對(duì)象權(quán)限限）。2、創(chuàng)建建數(shù)據(jù)庫(kù)庫(kù)或數(shù)據(jù)據(jù)庫(kù)中的的項(xiàng)目（（語(yǔ)句權(quán)權(quán)限）。。3、利用用授予預(yù)預(yù)定義角角色的權(quán)權(quán)限（暗暗示性權(quán)權(quán)限）。。9.5權(quán)限管理理處理數(shù)據(jù)據(jù)或執(zhí)行行過(guò)程時(shí)時(shí)需要稱稱為對(duì)象象權(quán)限的的權(quán)限類類別：1、SELECT、INSERT、UPDATE和DELETE語(yǔ)句權(quán)限限，它們們可以應(yīng)應(yīng)用到整整個(gè)表或或視圖中中。2、SELECT和UPDATE語(yǔ)句權(quán)限限，它們們可以有有選擇性性地應(yīng)用用到表或或視圖中中的單個(gè)個(gè)列上。。3、SELECT權(quán)限，它它們可以以應(yīng)用到到用戶定定義函數(shù)數(shù)。4、INSERT和DELETE語(yǔ)句權(quán)限限，它們們會(huì)影響響整行，，因此只只可以應(yīng)應(yīng)用到表表或視圖圖中，而而不能應(yīng)應(yīng)用到單單個(gè)列上上。5、EXECUTE語(yǔ)句權(quán)限限，它們們可以影影響存儲(chǔ)儲(chǔ)過(guò)程和和函數(shù)。。注：對(duì)象象權(quán)限的的設(shè)置：：SQLSERVER服務(wù)器器\數(shù)據(jù)據(jù)庫(kù)\某某一特定定數(shù)據(jù)庫(kù)庫(kù)對(duì)象\所有任任務(wù)\管管理權(quán)限限一、對(duì)象象權(quán)限對(duì)象權(quán)限限的設(shè)置置使用企業(yè)業(yè)管理器器：SQLSERVER服服務(wù)器\數(shù)據(jù)庫(kù)庫(kù)\某一一特定數(shù)數(shù)據(jù)庫(kù)對(duì)對(duì)象\所所有任務(wù)務(wù)\管理理權(quán)限使用T-SQL語(yǔ)句：：GRANT對(duì)對(duì)象權(quán)限限ON數(shù)數(shù)據(jù)庫(kù)對(duì)對(duì)象TO用用戶或角角色一、對(duì)象象權(quán)限創(chuàng)建數(shù)據(jù)據(jù)庫(kù)或數(shù)數(shù)據(jù)庫(kù)中中的項(xiàng)（（如表或或存儲(chǔ)過(guò)過(guò)程）所所涉及的的活動(dòng)要要求另一一類稱為為語(yǔ)句權(quán)權(quán)限的權(quán)權(quán)限。例例如，如如果用戶戶必須能能夠在數(shù)數(shù)據(jù)庫(kù)中中創(chuàng)建表表，則應(yīng)應(yīng)該向該該用戶授授予CREATETABLE語(yǔ)語(yǔ)句權(quán)權(quán)限。語(yǔ)語(yǔ)句權(quán)限限（如CREATEDATABASE）適用用于語(yǔ)句句自身，，而不適適用于數(shù)數(shù)據(jù)庫(kù)中中定義的的特定對(duì)對(duì)象。語(yǔ)句權(quán)限有有：1、BACKUPDATABASE、BACKUPLOG2、CREATEDATABASE3、CREATEDEFAULT、、CREATERULE、CREATEFUNCTION4、CREATETABLE、CREATEVIEW、CREATEPROCEDURE二、語(yǔ)句權(quán)權(quán)限語(yǔ)句權(quán)限的的設(shè)置使用企業(yè)管管理器：SQLSERVER服務(wù)器器\數(shù)據(jù)庫(kù)庫(kù)\某一特特定數(shù)據(jù)庫(kù)庫(kù)\屬性\”權(quán)限““選項(xiàng)卡使用T-SQL語(yǔ)句句：GRANT語(yǔ)句權(quán)權(quán)限TO用戶戶或角色或WINOWSNT用戶或WINOWSNT工作組二、語(yǔ)句權(quán)權(quán)限暗示性權(quán)限限控制那些些只能由預(yù)預(yù)定義系統(tǒng)統(tǒng)角色的成成員或數(shù)據(jù)據(jù)庫(kù)對(duì)象所所有者執(zhí)行行的活動(dòng)。。例如，sysadmin固固定服務(wù)務(wù)器角色成成員自動(dòng)繼繼承在SQLServer安裝裝中進(jìn)行操操作或查看看的全部權(quán)權(quán)限。數(shù)據(jù)庫(kù)對(duì)象象所有者還還有暗示性性權(quán)限，可可以對(duì)所擁?yè)碛械膶?duì)象象執(zhí)行一切切活動(dòng)。例例如，擁有有表的用戶戶可以查看看、添加或或刪除數(shù)據(jù)據(jù)，更改表表定義，或或控制允許許其他用戶戶對(duì)表進(jìn)行行操作的權(quán)權(quán)限。三、暗示性性權(quán)限1、查看登錄信信息：sp_helplogins2、查看數(shù)據(jù)庫(kù)庫(kù)用戶信息息：sp_helpUser3、查看數(shù)據(jù)庫(kù)庫(kù)角色信息息：sp_helpRole4、查看角色成成員用戶信信息：sp_helpRoleMember‘‘角色名名‘附錄：各種種查看語(yǔ)句句9、靜夜四四無(wú)鄰，，荒居舊舊業(yè)貧。。。12月-2212月-22Tuesday,December20,202210、雨中黃黃葉樹，，燈下白白頭人。。。12:03:2112:03:2112:0312/20/202212:03:21PM11、以我獨(dú)沈沈久，愧君君相見頻。。。12月-2212:03:2112:03Dec-2220-Dec-2212、故人人江海海別，，幾度度隔山山川。。。12:03:2112:03:2112:03Tuesday,December20,202213、乍見見翻疑疑夢(mèng)，，相悲悲各問(wèn)問(wèn)年。。。12月月-2212月月-2212:03:2112:03:21December20,202214、他他鄉(xiāng)鄉(xiāng)生生白白發(fā)發(fā)，，舊舊國(guó)國(guó)見見青青山山。。。。20十十二二月月202212:03:21下下午午12:03:2112月月-2215、比不了得就就不比，得不不到的就不要要。。。十二月2212:03下下午12月-2212:03December20,202216、行動(dòng)出成成果，工作作出財(cái)富。。。2022/12/2012:03:2112:03:2120December202217、做做前前，，能能夠夠環(huán)環(huán)視視四四周周；；做做時(shí)時(shí)，，你你只只能能或或者者最最好好沿沿著著以以腳腳為為起起點(diǎn)點(diǎn)的的射射線線向向前前。。。。12:03:21下下午午12:03下下午午12:03:2112月月-229、沒(méi)有失敗敗，只有暫暫時(shí)停止成成功！。12月-2212月-22Tuesday,December20,202210、很多事情情努力了未未必有結(jié)果果，但是不不努力卻什什么改變也也沒(méi)有。。。12:03:2112:03:2112:0312/20/202212:03:21PM11、成功功就是是日復(fù)復(fù)一日日那一一點(diǎn)點(diǎn)點(diǎn)小小小努力力的積積累。。。12月月-2212:03:2112:03Dec-2220-Dec-2212、世世間間成成事事，，不不求求其其絕絕對(duì)對(duì)圓圓滿滿，，留留一一份份不不足足，，可可得得無(wú)無(wú)限限完完美美。。。。12:03:2112:03:2112:03Tuesday,December20,202213、不知香香積寺，，數(shù)里入入云峰。。。12月-2212月-2212:03:2112:03:21December20,202214、意意志志堅(jiān)堅(jiān)強(qiáng)強(qiáng)的的人人能能把把世世界界放放在在手手中中像像泥泥塊塊一一樣樣任任意意揉揉捏捏。。20十十二二月月202212:03:21下下午午12:03:2112月月-2215、楚楚塞塞三三湘湘接接，，荊荊門門九九派派通通。。。。。十二二月月2212:03下下午午12月月-2212:03December20,202216、少年十十五二十十時(shí)，步步行奪得得胡馬騎騎。。2022/12/2012:03:2112:03:2120December202217、空山山新雨雨后，，天氣氣晚來(lái)來(lái)秋。。。12:03:21下下午午12:03下下午12:03:2112月月-229、楊柳散和和風(fēng)，青山山澹吾慮。。。12月-2212月-22Tuesday,December20,202210、閱讀一切切好書如同同和過(guò)去最最杰出的人人談話。