ref-14882 (SQL Server 2000), страница 10
Описание файла
Документ из архива "SQL Server 2000", который расположен в категории "". Всё это находится в предмете "информатика" из , которые можно найти в файловом архиве . Не смотря на прямую связь этого архива с , его также можно найти и в других разделах. Архив можно найти в разделе "рефераты, доклады и презентации", в предмете "информатика, программирование" в общих файлах.
Онлайн просмотр документа "ref-14882"
Текст 10 страницы из документа "ref-14882"
Аутентификация SQL Server может применяться в следующих случаях: О для пользователей Novell NetWare, Unix и т. д.;
О при подключении к SQL Server 2000 через Интернет, когда регистрация в домене не выполняется;
О под управлением операционной системы Windows 98.
Учтите, что в этом случае администратор SQL Server 2000 сам должен периодически предупреждать пользователей о необходимости сменить пароль, чтобы обезопасить систему от несанкционированного доступа, поскольку в отличие от Windows NT, в SQL Server отсутствуют подобные средства системы безопасности.
В большинстве случаев учетная запись в SQL Server создается с целью предоставления доступа. Но бывают ситуации, когда необходимо запретить доступ пользователю или группе. Например, при наличии сложной системь! безопасности Windows NT доступ обычно предоставляется группе пользователей. Однако если в группе имеется человек, которому нельзя разрешать доступ к SQL Server, его необходимо убрать из этой группы. Но такой подход неудовлетворителен, если группа предназначена не только для объединения пользователей, имеющих доступ к SQL Server, но имеет еще и какие-то дополнительные функции. SQL Server разрешает создать учетную запись с целью запрещения доступа. Это гарантирует, что пользователь никаким образом не сможет установить соединение с сервером. Создав группу Windows NT и запретив ей доступ к SQL Server, вы можете включать в нее пользователей, которым необходимо отказать в доступе.
После установки SQL Server создаются две стандартные учетные записи: BUILTINXAdministrators и sa.
О BUILT INNAdministrators — это учетная запись Windows NT, обеспечивающая автоматический доступ всем членам группы Administrators к SQL Server. Учетная запись BUILTINNAdministrators по умолчанию является членом встроенной роли сервера sysadmin. Таким образом, системные администраторы получают полный доступ ко всем базам данных. В ситуации, когда функции системного администратора и администратора баз данных выполняют разные люди, скорее всего, следует исключить эту учетную запись из роли sysadmin, а возможно, и вообще удалить.
О s a — это специальная учетная запись SQL Server для администратора. По умолчанию она присвоена встроенной системной роли сервера sysadmin и не может быть изменена. Эта учетная запись сохранена в этой версии SQL Server для сохранения совместимости с приложениями, написанными для предыдущих версий. Хотя s а и имеет административные права, ее не рекомендуется использовать в SQL Server 2000. Вместо этого следует создать новых пользователей и включить их в административную группу sysadmin. Учетную запись s а оставьте на крайний случай, когда учетные записи администраторов окажутся недоступными либо вы забудете пароль.
В процессе установки SQL Server 2000 мастер установки предлагает ввести пароль для учетной записи sa, но он также может быть оставлен и пустым. В этом случае следует обязательно установить новый пароль сразу же после установки. В предыдущих версиях не было возможности устанавливать пароль учетной записи sa во время установки сервера, и этот пароль всегда был пустым.
Компоненты структуры безопасности
Фундаментом системы безопасности SQL Server 2000 являются учетные записи
(login), пользователи (user), роли (role) и группы (group). t
Пользователь, подключающийся к SQL Server, должен идентифицировать себя, используя учетную запись. После того как клиент успешно прошел аутентификацию, он получает доступ к SQL Server. Для получения доступа к любой базе данных учетная запись пользователя (login) отображается в пользователя данной базы данных (user). Объект «пользователь базы данных» применяется для предоставления доступа ко всем объектам базы данных: таблицам, представлениям, хранимым процедурам и т. д. В пользователя базы данных может отображаться:
О учетная запись Windows NT;
О группа Windows NT;
О учетная запись SQL Server.
Подобное отображение учетной записи необходимо для каждой базы данных, доступ к которой хочет получить пользователь. Отображения сохраняются в системной таблице sysusers, которая имеется в любой базе данных. Такой подход обеспечивает высокую степень безопасности, предохраняя от предоставления пользователям, получившим доступ к SQL Server, автоматического доступа ко всем базам данных и их объектам. Пользователи баз данных, в свою очередь, могут объединяться в группы и роли для упрощения управлением системой безопасности.
В ситуации, когда учетная запись не отображается в пользователя базы данных, клиент все же может получить доступ к базе данных под гостевым именем guest, если оно, разумеется, имеется в базе данных. Обычно пользователю guest предоставляется минимальный доступ только в режиме чтения. Но в некоторых ситуациях и этот доступ необходимо предотвратить.
Если в сети имеется небольшое количество пользователей, то достаточно легко предоставить доступ каждому пользователю персонально. Однако в больших сетях с сотнями пользователей подобный подход займет много времени. Гораздо более удобным и эффективным является подход, когда доступ к SQL Server 2000 предоставляется целым группам пользователей. Как раз такой подход возможен при аутентификации средствами Windows NT/2000, когда на уровне домена создается несколько групп, каждая из которых предназначена для решения специфических задач. На уровне SQL Server 2000 такой группе разрешается доступ к серверу, предоставляются необходимые права доступа к базам данных и их объектам. Достаточно включить учетную запись Windows NT в одну из групп, и пользователь получит все права доступа, предоставленные этой группе. Более того, одна и та же учетная запись может быть включена во множество групп Windows NT, что даст этой учетной записи возможность пользоваться правами доступа, предоставленными всем этим группам. Администратор SQL Server 2000 должен сам решить, как удобнее предоставлять доступ к серверу: персонально каждой учетной записи или группе в целом.
Пользователи
После того как пользователь прошел аутентификацию и получил идентификатор учетной записи (login ID), он считается зарегистрированным и ему предоставляется доступ к серверу. Для каждой базы данных, к объектам которой пользователю необходимо получить доступ, учетная запись пользователя (login) ассоциируется с пользователем (user) конкретной базы данных. Пользователи выступают в качестве специальных объектов SQL Server, при помощи которых определяются все разрешения доступа и владения объектами в базе данных.
Имя пользователя может использоваться для предоставления доступа как конкретному человеку, так и целой группе людей (в зависимости от типа учетной записи).
При создании базы данных определяются два стандартных пользователя: d b о и guest.
Если учетная запись (login) не связывается явно с пользователем (user), последнему предоставляется неявный доступ с использованием гостевого имени guest. То есть все учетные записи, получившие доступ к SQL Server 2000, автоматически отображаются в пользователей guest во всех базах данных. Если вы удалите из базы данных пользователя guest, то учетные записи, не имеющие явного отображения учетной записи в имя пользователя, не смогут получить доступа к базе данных. Тем не менее, guest не имеет автоматического доступа к объектам. Владелец объекта должен сам решать, разрешать пользователю guest этот доступ или нет. Обычно пользователю guest предоставляется минимальный доступ в режиме «только чтение».
Для обеспечения максимальной безопасности можно удалить пользователя guest из любой базы данных, кроме системных баз данных master и Tempdb. В первой из них guest используется для выполнения системных хранимых процедур обычными пользователями, тогда как во второй позволяет создавать любым пользователям временные объекты.
Владелец базы данных (DataBase Owner, DBO) — специальный пользователь, обладающий максимальными правами в базе данных. Любой член роли sysadmin автоматически отображается в пользователя dbo. Если пользователь, являющийся членом роли sys admin, создает какой-нибудь объект, то владельцем этого объекта назначается не данный пользователь, a dbo. Например, если Liliya, член административной группы, создает таблицу ТаЫ еА, то полное имя таблицы будет не Lil iya .ТаЫеА, a dbo.ТаЫ еА. В то же время, если Liliya, не будучи участником роли сервера sysadmin, состоит в роли владельца базы данных db_owner, то имя таблицы будет Li I i уа. ТаЫ еА.
Пользователя dbo нельзя удалить.
Для связывания учетной записи (login) с определенным именем пользователя (user) можно воспользоваться следующей хранимой процедурой:
sp_adduser [@loginame =] 'login' [,[@name_in_db =] 'user'] [.[@grpname =] 'role']
Ниже дается пояснение используемых в ней параметров:
О login— имя учетной записи, которую необходимо связать с именем пользователя базы данных;
О user — имя пользователя базы данных, с которым ассоциируется данная учетная запись (в базе данных заранее не должно существовать пользователя с указанным именем);
О role — этот параметр определяет роль, в которую данный пользователь будет включен (подробнее о ролях будет рассказано позже). Хранимая процедура sp_grantdbaccess позволяет отобразить учетную запись Windows NT в имя пользователя:
sp_grantdbaccess [@loginame =] 'login' [,[@name_in_db =] 'user']
Параметры означают следующее:
О login— имя учетной записи пользователя или группы пользователей Windows NT, которым необходимо предоставить доступ к базе данных. Имя должно снабжаться ссылкой на домен, в котором учетная запись определена. Указанной учетной записи не обязательно должен быть предоставлен персональный доступ к SQL Server. Вполне возможно, что соединение с сервером устанавливается вследствие членства в группе Windows NT, которая имеет доступ к серверу;
О user — имя пользователя базы данных, с которым ассоциируется данная учетная запись.
Пользователь, который создает объект в базе данных, например таблицу, хранимую процедуру или представление, становится владельцем объекта. Владелец объекта (database object owner) имеет все права доступа к созданному им объекту. Чтобы пользователь мог создать объект, владелец базы данных (dbo) должен предоставить пользователю соответствующие права. Полное имя создаваемого объекта включает в себя имя создавшего его пользователя. Если пользователь хочет обратиться к таблице, используя только ее имя и не указывая владельца, SQL Server применяет следующий алгоритм поиска.
1. Ищется таблица, созданная пользователем, выполняющим запрос.
2. Если таблица не найдена, то ищется таблица, созданная владельцем базы данных (dbo).
Допустим, пользователь Liss пытается обратиться к таблице Lil iya .TableA, просто используя имя Tab! еА. Поскольку таблица, созданная Li I iya, не соответствует ни первому, ни второму критерию поиска, то таблица ТаЫеА найдена не будет и пользователь получит сообщение об ошибке. Для получения доступа к таблице необходимо ввести имя, включающее владельца объекта, то есть Liliya.TableA.
Владелец объекта не имеет никакого специального пароля или особых прав доступа. Он неявно имеет полный доступ, но должен явно предоставить доступ другим пользователям.
SQL Server позволяет передавать права владения от одного пользователя другому. Чтобы удалить владельца объекта из базы данных, сначала необходимо удалить все объекты, которые он создал, или передать права на их владение другому пользователю. Для этого можно использовать хранимую процедуру sp_changeobjectowner, имеющую следующий синтаксис:
sp_changeobjectowner [ @objname = ] 'object' , [ (Pnewowner = ] 'owner'
Здесь с помощью первого параметра указывается имя объекта, а с помощью второго — имя пользователя, который станет новым владельцем указанного объекта.
Роли сервера
Роль — это мощный инструмент, добавленный в SQL Server 7.0, чтобы заменить группы, которые использовались в предыдущих версиях. Роль позволяет объединять пользователей, выполняющих одинаковые функции, для упрощения администрирования системы безопасности SQL Server.
В SQL Server реализовано два вида стандартных ролей: на уровне сервера и на уровне баз данных. При установке SQL Server 2000 создается 9 фиксированных ролей сервера и 9 фиксированных ролей базы данных. Эти роли вы не сможете удалить, кроме того, нельзя модифицировать права их доступа. Вы не сможете предоставить пользователю права, которые имеют фиксированные роли сервера, другим способом, кроме как включением его в нужную роль.
В предыдущих версиях SQL Server для администрирования сервера можно было использовать только учетную запись sa или ее аналог. Иначе говоря, вы могли дать либо все права, либо никаких. Теперь в SQL Server эта проблема решена путем добавления ролей сервера (server role), которые позволяют предоставить операторам сервера только те права, которые администратор посчитает возможным предоставить. Роли сервера не имеют отношения к администрированию баз данных. Можно включить любую учетную запись SQL Server (login) или учетную запись Windows NT в любую роль сервера.
Стандартные роли сервера (fixed server role) и их права приведены в табл.