1、第九章 管理安全性,本章主要內(nèi)容,理解SQL Sever 的安全機(jī)制 了解登錄和用戶的概念 掌握權(quán)限管理策略 掌握角色管理策略,9.1 SQL Server 的安全性機(jī)制,在介紹安全管理之前，首先看一下SQL Server 是如何保證數(shù)據(jù)庫安全性的，即了解SQL Server 安全機(jī)制,9.1.1安全性問題,理解安全性問題是理解數(shù)據(jù)庫管理系統(tǒng)安全性機(jī)制的前提。下面結(jié)合Microsoft SQL Server 2008 R2系統(tǒng)的安全特征，分析安全性問題和安全性機(jī)制之間的關(guān)系。 第一個安全性問題是：當(dāng)用戶登錄數(shù)據(jù)庫系統(tǒng)時，如何確保只有合法的用戶才能登錄到系統(tǒng)中呢？這是一個最基本的安全性問題，也是

2、數(shù)據(jù)庫管理系統(tǒng)提供的基本功能。在Microsoft SQL Server 2008 R2系統(tǒng)中，這個問題是通過身份驗(yàn)證模式和主體解決的。 身份驗(yàn)證模式是Microsoft SQL Server 2008 R2系統(tǒng)驗(yàn)證客戶端和服務(wù)器之間連接的方式。Microsoft SQL Server 2008 R2系統(tǒng)提供了兩種身份驗(yàn)證模式，Windows身份驗(yàn)證模式和混合模式,安全身份驗(yàn)證 兩種確認(rèn)用戶的驗(yàn)證模式。 Windows驗(yàn)證模式：利用了Windows本身具備的管理登錄、驗(yàn)證用戶合法性的能力，允許SQL Server用戶登錄時使用Windows的用戶名和口令。 混合驗(yàn)證模式：混合驗(yàn)證模式接受Win

3、dows授權(quán)用戶和SQL授權(quán)用戶。如果不是Windows操作系統(tǒng)的用戶也希望使用SQL Server，那么應(yīng)該選擇混合驗(yàn)證模式。 SQL Server推薦使用Windows驗(yàn)證模式,第二個安全性問題是：當(dāng)用戶登錄到系統(tǒng)中，可以執(zhí)行哪些操作，使用哪些對象和資源呢？這也是一個非常基本的安全問題，在Microsoft SQL Server 2008 R2系統(tǒng)中，這個問題是通過安全對象和權(quán)限設(shè)置來實(shí)現(xiàn)的,第三個安全性問題是：數(shù)據(jù)庫中的對象由誰所有？如果由用戶所有，那么當(dāng)用戶被刪除時，其所擁有的對象怎么辦呢？數(shù)據(jù)庫對象可以成為沒有所有者的孤兒嗎？在Microsoft SQL Server 2008 R2

4、系統(tǒng)中，這個問題是通過用戶和架構(gòu)分離來解決的。在該系統(tǒng)中，用戶并不擁有數(shù)據(jù)庫對象，架構(gòu)可以擁有數(shù)據(jù)庫對象。用戶通過架構(gòu)來使用數(shù)據(jù)庫對象。這種機(jī)制使得刪除用戶時不必修改數(shù)據(jù)庫對象的所有者，提高了數(shù)據(jù)庫對象的可管理性。數(shù)據(jù)庫對象、架構(gòu)和用戶之間的這種關(guān)系如圖9-1所示,圖9-1數(shù)據(jù)庫對象、架構(gòu)和用戶之間的關(guān)系,1. 操作系統(tǒng)級的安全性 2. SQL Server 級的安全性 3. 數(shù)據(jù)庫級的安全性,9.1.2 安全性機(jī)制,SQL Server的安全性管理可分為3個等級,用戶連接到SQL Server 賬戶都稱SQL Server 的登錄。用戶可以防止數(shù)據(jù)庫被未授權(quán)的用戶故意或無意地修改。SQL S

5、erver為每一用戶分配了唯一的用戶名和密碼。同時，可以為不同賬號授予不同的安全級別。數(shù)據(jù)庫用戶是數(shù)據(jù)庫級的主體，是登錄名在數(shù)據(jù)庫中的映射，是在數(shù)據(jù)庫中執(zhí)行操作和活動的執(zhí)行者,9.2 管理登錄和用戶,9.2.1創(chuàng)建登錄名,登錄屬于服務(wù)器級的安全策略，要連接到數(shù)據(jù)庫，首先要存在一個合法的登錄。在Microsoft SQL Server 2008 R2系統(tǒng)中，許多操作都既可以通過Transact-SQL語句完成，也可以通過Microsoft SQL Server Management Studio工具來完成。下面主要介紹如何使用Microsoft SQL Server Management Stu

6、dio工具創(chuàng)建登錄名。 在SSMS中創(chuàng)建登錄的步驟如下,1）打開SSMS并連接到目標(biāo)服務(wù)器，在【對象資源管理器】窗口中，單擊“安全性”節(jié)點(diǎn)前的“”號，展開安全節(jié)點(diǎn)。在“登錄名”上單擊鼠標(biāo)右鍵，彈出快捷菜單，從中選擇“新建登錄（N）”命令，如圖9-2所示,圖9-2 利用對象資源管理器創(chuàng)建登錄,2）出現(xiàn)【登錄名】對話框，單擊需要創(chuàng)建的登錄模式前的單選按鈕，選定驗(yàn)證方式。如圖9-3所示，并完成“登錄名”、“密碼”、“確認(rèn)密碼”和其他參數(shù)的設(shè)置,圖9-3 登錄名對話框,3）選擇“選擇頁”中的“服務(wù)器角色”項(xiàng)，出現(xiàn)服務(wù)器角色設(shè)定頁面，如圖9-4所示，用戶可以為此用戶添加服務(wù)器角色,圖9-4登錄名對話框的

7、服務(wù)器角色頁面,4）選擇【登錄名】對話框中的“用戶映射”項(xiàng)，進(jìn)入映射設(shè)置頁面，可以為這個新建的登錄添加映射到此登錄名的用戶，并添加數(shù)據(jù)庫角色，從而使該用戶獲得數(shù)據(jù)庫的相應(yīng)角色對應(yīng)的數(shù)據(jù)庫權(quán)限。如圖9-5所示,圖9-5 登錄名對話框的用戶映射頁面,9.2.2創(chuàng)建用戶,使用 Microsoft SQL Server Management Studio創(chuàng)建用戶的具體步驟如下,1）打開SSMS并連接到目標(biāo)服務(wù)器，在【對象資源管理器】窗口中，單擊“數(shù)據(jù)庫”節(jié)點(diǎn)前的“”號，展開數(shù)據(jù)庫節(jié)點(diǎn)。單擊要創(chuàng)建用戶的目標(biāo)數(shù)據(jù)節(jié)點(diǎn)前的“”號，展開目標(biāo)數(shù)據(jù)庫節(jié)點(diǎn)Northwind。單擊“安全性”節(jié)點(diǎn)前的“”號，展開“安全

8、性”節(jié)點(diǎn)。在“用戶”上單擊鼠標(biāo)右鍵，彈出快捷菜單，從中選擇“新建用戶（N）”命令，如圖9-6所示,圖 9-6利用對象資源管理器創(chuàng)建用戶,2）出現(xiàn)【數(shù)據(jù)庫用戶新建】對話框，在“常規(guī)”頁面中，填寫“用戶名”，選擇“登錄名”和“默認(rèn)架構(gòu)”名稱。添加此用戶擁有的架構(gòu)，添加此用戶的數(shù)據(jù)庫角色。如圖9-7所示,圖9-7 新建數(shù)據(jù)庫用戶,3）在【數(shù)據(jù)庫用戶新建】對話框的“選擇頁”中選擇“安全對象”，進(jìn)入權(quán)限設(shè)置頁面（即“安全對象”頁面），如圖9-8所示。“安全對象頁面”主要用于設(shè)置數(shù)據(jù)庫用戶擁有的能夠訪問的數(shù)據(jù)庫對象以及相應(yīng)的訪問權(quán)限。單擊“添加”按鈕為該用戶添加數(shù)據(jù)庫對象，并為添加的對象添加顯示權(quán)限,圖

9、9-8 數(shù)據(jù)庫用戶-新建對話框中的安全對象頁面,最后，單擊【數(shù)據(jù)庫用戶新建】對話框底部的“確定”，完成用戶創(chuàng)建,9.2.3設(shè)置登錄驗(yàn)證模式,如果連接來自一個不安全的系統(tǒng)，我們可以使用身份驗(yàn)證，SQL Server 將驗(yàn)證登錄的身份，即通過用戶提供的登錄名和與預(yù)先存儲在數(shù)據(jù)庫中的登錄名和密碼進(jìn)行比較來完成身份驗(yàn)證。 下面介紹如何在Microsoft SQL Server Management Studio工具中設(shè)置身份驗(yàn)證模式,1）打開SSMS并連接到目標(biāo)服務(wù)器，在【資源管理器】窗口中，在目標(biāo)服務(wù)器上單擊鼠標(biāo)右鍵，彈出快捷菜單，從中選擇“屬性”命令，如圖9-9所示,圖 9-9利用對象資源管理器設(shè)

10、置身份驗(yàn)證模式,2）出現(xiàn)【服務(wù)器屬性】窗口，選擇【選擇頁】中的“安全性”選項(xiàng)，進(jìn)入安全性設(shè)置頁面，如圖9-10所示,圖9-10 服務(wù)器屬性窗口的安全性頁面,3）在“服務(wù)器身份驗(yàn)證”選項(xiàng)級中選擇驗(yàn)證模式前的單選按鈕，選中需要的驗(yàn)證模式。用戶還可以在“登錄審核”選項(xiàng)級中設(shè)置需要的審核方式，如圖9-11所示,圖9-11 服務(wù)器屬性,審核方式取決于安全性要求，這四種審核級別的含義如下。 “無”：不使用登錄審核。 “僅限失敗的登錄”：記錄所有的失敗登錄。 “僅限成功的登錄”：記錄所有的成功登錄。 “失敗和成功的登錄”：記錄所有的登錄,最后單擊“確定”按鈕，完成登錄驗(yàn)證模式的設(shè)置,9.3. 角色管理 角色

11、用來簡化將很多權(quán)限分配給用戶這一復(fù)雜任務(wù)的管理。角色允許用戶分組接受同樣的數(shù)據(jù)庫權(quán)限，而不用單獨(dú)給每一個用戶分配這些權(quán)限。用戶可以使用系統(tǒng)自帶的角色，也可以創(chuàng)建一個代表一組用戶使用的權(quán)限角色，然后把這個角色分配給這個工作組的用戶。 一般而言，角色是為特定的工作組或者任務(wù)分類而設(shè)置的，用戶可以根據(jù)自己所執(zhí)行的任務(wù)成為一個或多個角色的成員。當(dāng)然用戶可以不必是任何角色的成員，也可以為用戶分配個人權(quán)限,在SQL Server安裝時，數(shù)據(jù)庫級別上也有一些預(yù)定義的角色，在創(chuàng)建每個數(shù)據(jù)庫時都會添加這些角色到新創(chuàng)建的數(shù)據(jù)庫中，每個角色對應(yīng)著相應(yīng)的權(quán)限。這些數(shù)據(jù)庫角色用于授權(quán)給數(shù)據(jù)庫用戶，擁有某種或某些角色的用

12、戶會獲得相應(yīng)角色對應(yīng)的權(quán)限,9.3.1管理數(shù)據(jù)庫角色,在Microsoft SQL Server Management Studio中創(chuàng)建新的數(shù)據(jù)庫角色操作的具體步驟如下,1）展開要添加新角色的目標(biāo)數(shù)據(jù)庫，單擊目標(biāo)數(shù)據(jù)庫節(jié)點(diǎn)下的“安全性”節(jié)點(diǎn)前的“+”號，展開此節(jié)點(diǎn)。然后在“角色”節(jié)點(diǎn)上單擊右鍵，彈出快捷菜單，選擇快捷菜單中的“新建”下“ 新建數(shù)據(jù)庫角色”命令，出現(xiàn)“數(shù)據(jù)庫角色-新建”對話框，如圖9-12所示,圖9-12數(shù)據(jù)庫角色-新建對話框,2）在“常規(guī)”選擇頁地“角色名稱”框中輸入新角色的名稱。若不指定“所有者”，則創(chuàng)建此角色的用戶是其所有者。 （3）單擊“添加”按鈕，選擇數(shù)據(jù)庫用戶或者角

13、色為此角色的成員。 （4）單擊“確定”按鈕，完成操作,在SQL Server安裝時就創(chuàng)建了在服務(wù)器級別上應(yīng)用的大量預(yù)定義的角色，每個角色對應(yīng)著相應(yīng)的管理權(quán)限。Microsoft SQL Server 2008 R2系統(tǒng)提供了9個固定服務(wù)器角色，這些角色及其功能如表9-2所示,9.3.2固定服務(wù)器角色,表9-2 固定服務(wù)器角色,通過給用戶分配固定服務(wù)器角色，可以使用戶具有執(zhí)行管理任務(wù)的角色權(quán)限。固定服務(wù)器角色的維護(hù)比單個權(quán)限維護(hù)更容易些，但是固定服務(wù)器角色不能修改,在SSMS中，可以按以下步驟為用戶分配固定服務(wù)器角色，從而使該用戶獲取相應(yīng)的權(quán)限,1）在【對象資源管理器】中，單擊服務(wù)器前的“+”號

14、，展開服務(wù)器節(jié)點(diǎn)。單擊“安全性”節(jié)點(diǎn)前的“+”號，展開安全性節(jié)點(diǎn)。這時在次節(jié)點(diǎn)下面可以看到固定服務(wù)器角色，如圖9-13所示，在要給用戶添加的目標(biāo)角色上單擊鼠標(biāo)右鍵，彈出快捷菜單，從中選擇“屬性（R）”命令,圖 9-13 利用對象資源管理器為用戶分配固定服務(wù)器角色,2）出現(xiàn)【服務(wù)器角色屬性】對話框，如圖9-14所示， 單擊“添加（A）”按鈕,圖 9-14 服務(wù)器角色屬性對話框,3）出現(xiàn)【選擇登陸名】對話框，如圖9-15所示，單擊“瀏覽（B）”按鈕,圖 9-15 選擇登錄名對話框,4）出現(xiàn)“查找對象”對話框，在該對話框中，選擇目標(biāo)用戶前的復(fù)選框，選中其用戶，如圖9-27所示，最后單擊“確定”按鈕,

15、圖9-15 查找對象對話框,5）回到【選擇登陸名】對話框，可以看到選中的目標(biāo)用戶已包含在對話框中，確定無誤后，如圖9-16所示，單擊“確定”按鈕,圖9-16選擇登錄名對話框,6）回到【服務(wù)器角色屬性】對話框，如圖9-17所示。確定添加的用戶無誤后，單擊“確定”按鈕，完成為用戶分配角色的操作,圖9-17 服務(wù)器角色屬性對話框,9.4 管理權(quán)限,9.4.1 數(shù)據(jù)庫的兩類權(quán)限 預(yù)先定義的權(quán)限和預(yù)先未定義的權(quán)限； 針對所有對象的權(quán)限和針對特殊對象的權(quán)限。 針對所有對象的權(quán)限表示這種權(quán)限可以針對SQL Server系統(tǒng)中所有的對象：CONTROL權(quán)限是所有對象都有的權(quán)限。 針對特殊對象的權(quán)限：是指某些權(quán)

16、限只能在指定的對象上起作用，例如INSERT可以是表的權(quán)限，但是不能是存儲過程的權(quán)限；而EXECUTE可以是存儲過程的權(quán)限，但是不能是表的權(quán)限,ALTER ANY權(quán)限與ALTER權(quán)限是不同的。ALTER權(quán)限需要指定具體的安全對象，但是ALTER ANY權(quán)限則是與特定安全對象類型相關(guān)的權(quán)限，不針對某個具體的安全對象。例如，如果某個用戶擁有ALTER ANY LOGIN權(quán)限，那么表示其可以執(zhí)行創(chuàng)建、更改、刪除SQL Server實(shí)例中任何登錄名的權(quán)限。如果該用戶擁有ALTER ANY SCHEMA權(quán)限，那么可以執(zhí)行創(chuàng)建、更改、刪除數(shù)據(jù)庫中任何架構(gòu)的權(quán)限,CONTROL權(quán)限為被授權(quán)者授予類似所有權(quán)的

17、功能，被授權(quán)者擁有對安全對象所定義的所有權(quán)限。在SQL Server系統(tǒng)中，由于安全模型是分層的，因此CONTROL權(quán)限在特定范圍內(nèi)隱含著對該范圍內(nèi)的所有安全對象的CONTROL權(quán)限。例如，如果ABCSERVERBobbie登錄名擁有對某個數(shù)據(jù)庫的CONTROL權(quán)限，那么該登錄名就會擁有對該數(shù)據(jù)庫的所有權(quán)限、所有架構(gòu)的所有權(quán)限、架構(gòu)內(nèi)所有對象的所有權(quán)限等,ALTER權(quán)限為被授權(quán)者授予更改特定安全對象的屬性的權(quán)限，實(shí)際上這些權(quán)限可以包括該對象除所有權(quán)之外的權(quán)限。實(shí)際上，當(dāng)授予對某個范圍內(nèi)的ALTER權(quán)限時，也授予了更改、刪除或創(chuàng)建該范圍內(nèi)包含的任何安全對象的權(quán)限。例如，如果Tomson_HRM用

18、戶擁有了對companyGManager架構(gòu)的ALTER權(quán)限，那么該用戶擁有在該架構(gòu)內(nèi)創(chuàng)建、更改、刪除對象的權(quán)限,數(shù)據(jù)庫對象是授予用戶以允許他們訪問數(shù)據(jù)庫中對象的一類權(quán)限，對象權(quán)限對于使用SQL語句訪問表或者視圖是必須的。 在Microsoft SQL Server Management中給用戶添加對象權(quán)限的具體步驟如下,9.4.2 權(quán)限 管理操作,圖9-18利用對象資源管理器為用戶添加對象權(quán)限,1）依次單擊【對象資源管理器】窗口中樹型節(jié)點(diǎn)前的“”號，直到展開目標(biāo)數(shù)據(jù)庫的“用戶”節(jié)點(diǎn)為止，如圖9-18所示。在“用戶”節(jié)點(diǎn)下面的目標(biāo)用戶上單擊鼠標(biāo)右鍵，彈出快捷菜單，從中選擇“屬性（R）”命令,2

19、）出現(xiàn)【數(shù)據(jù)庫用戶】對話框，選擇“選擇頁”窗口中的“安全對象”項(xiàng)，進(jìn)入權(quán)限設(shè)置頁面，單擊“添加（A）”按鈕,圖9-19數(shù)據(jù)庫用戶對話框,3）出現(xiàn)【添加對象】對話框，如圖9-20所示，單擊要添加的對象類別前的單選按鈕，添加權(quán)限的對象類別，然后單擊“確定”按鈕,圖9-20添加對象對話框,4）出現(xiàn)【選擇對象】對話框，如圖9-21所示，從中單擊“對象類型”按鈕,圖9-21選擇對象對話框,5）出現(xiàn)【選擇對象類型】對話框，依次選擇需要添加權(quán)限的對象類型前的復(fù)選框，選中其對象，如圖9-22所示。最后單擊“確定”按鈕,圖9-22選擇對象類型對話框,6）回到【選擇對象】對話框，此時在該對話框中出現(xiàn)了剛才選擇的對

20、象類型，如圖9-23所示，單擊該對話框中的“瀏覽（B）”按鈕,圖9-23選擇對象對話框,7）出現(xiàn)【查找對象】對話框，依次選擇要添加權(quán)限的對象前的復(fù)選框，選中其對象，如圖9-24所示。最后單擊“確定”按鈕,圖9-24查找對象對話框,8）又回到【選擇對象】對話框，并且已包含了選擇的對象，如圖9-25所示。確定無誤后，單擊該對話框中的“確定”按鈕，完成對象選擇操作,圖9-25選擇對象對話框,9）又回到【數(shù)據(jù)庫用戶】對話框窗口，此窗口中已包含用戶添加的對象，依次選擇每一個對象，并在下面的該對象的“顯示權(quán)限”窗口中根據(jù)需要選擇“授予/拒絕”列的復(fù)選框，添加或禁止對該（表）對象的相應(yīng)訪問權(quán)限。設(shè)置完每一個對象的訪問權(quán)限后，單擊“確定”按鈕，完成給用戶添加數(shù)據(jù)庫對象權(quán)限所有操作，如圖所示,圖9-26數(shù)據(jù)庫用戶對話框,1、打開Microsoft SQL Server Management Studio，展開安全性文件夾，選擇登錄名選型，并右鍵點(diǎn)擊，打開創(chuàng)建登錄賬號窗口，創(chuàng)建一個新的登錄賬號Gues