ref-14882 (SQL Server 2000), страница 11

Таблица. Фиксированные роли сервера

Встроенная Назначение

роль сервера______________________________________________

Sysadmin Может выполнять любые действия в SQL Server
Serveradmin Выполняет конфигурирование и выключение сервера

Setupadmin Управляет связанными серверами и процедурами, автоматически
запускающимися при старте SQL Server

Securityadmin Управляет учетными записями и правами на создание базы данных, также может читать журнал ошибок

Processadmin Управляет процессами, запущенными в SQL Server

Dbcreator Может создавать и модифицировать базы данных

Diskadmin Управляет файлами SQL Server

Bulkadmin Эта роль не существовала в SQL Server 7.0. Члены роли Bulkadmin могут

(Bulk Insert вставлять данные с использованием средств массивного копирования,

administrators) не имея непосредственного доступа к таблицам____________________

Роли баз данных

Роли базы данных (database role) позволяют объединять пользователей в одну административную единицу и работать с ней как с обычным пользователем. Можно назначить права доступа к объектам базы данных для конкретной роли, при этом вы автоматически наделяете всех членов этой роли одинаковыми пра­вами. Вместо того чтобы предоставлять доступ каждому конкретному пользова­телю, а впоследствии постоянно следить за изменениями, можно просто вклю­чить пользователя в нужную роль. Если сотрудник переходит в другой отдел, нужно просто удалить его из одной роли и добавить в другую. Создайте необ­ходимое количество ролей, которые охватывали бы все многообразие действий с базой данных. Позже, при изменении функций членов одной из ролей, доста­точно изменить права доступа для этой роли, а не устанавливать новые права для каждого пользователя.

В роль базы данных можно включать: О пользователей SQL Server; О роли SQL Server

О пользователей Windows NT; '

О группы Windows NT, которым предварительно предоставлен доступ к нуж­ной базе данных.

Средства Enterprise Manager позволяют добавлять в роль базы данных толь­ко пользователей базы данных (user). Используйте хранимую процедуру sp_addrolemember, чтобы задействовать все возможности SQL Server 2000:

sp_addrolemember [@ro1ename =] 'role', [@membername =] 'security_account'

Здесь параметры означают следующее: О role— название роли SQL Server в текущей базе данных;

О security_account — имя того объекта системы безопасности, который необ­ходимо включить в роль. В качестве такого объекта могут выступать как учет­ные записи SQL Server, так и пользователи и группы Windows NT, которым предоставлен доступ к серверу баз данных.

При создании базы данных для нее определяются стандартные роли базы данных, которые, так же как и стандартные роли сервера, не могут быть измене­ны или удалены. Стандартные роли баз данных (fixed database role) и их права приведены в табл.

Таблица. Фиксированные роли баз данных

Встроенная роль Назначение

баз данных_______________________________________________

db__owner Имеет все права в базе данных
db_accessadmin Может добавлять или удалять пользователей

db_securityadmin Управляет всеми разрешениями, объектами, ролями и

членами ролей

db_ddladmin Может выполнять любые команды DDL, кроме GRANT, DENY

и REVOKE

db_backupoperator Может выполнять команды DBCC, CHECKPOINT и BACKUP
db_datareader Может просматривать любые данные в любой таблице БД
db_datawriter Может модифицировать любые данные в любой таблице БД
db_denydatareader Запрещается просматривать данные в любой таблице
dbjjenydatawriter_________Запрещается модифицировать данные в любой таблице_____

Кроме указанных выше ролей существует еще одна — public. Эта роль име­ет специальное назначение, поскольку ее членами являются все пользователи, имеющие доступ к базе данных. Нельзя явно установить членов этой роли, по­тому что все пользователи и так автоматически являются ее членами. Исполь­зуйте эту роль для предоставления минимального доступа пользователям, для которых права доступа к объектам не определены явно. Если в базе данных разрешен пользователь guest, то установленный для publ i с доступ будут иметь все пользователи, получившие доступ к SQL Server. Роль public имеется во всех базах данных, включая системные базы данных master, tempdb, msdb, model, И не может быть удалена.

Группы Windows NT могут быть использованы аналогично ролям SQL Server. Можно создать одну учетную запись (login) для группы Windows NT и включать соответствующих пользователей вместо роли в группу Windows NT. Выбор метода администрирования зависит от вас.

Роли приложения

Система безопасности SQL Server реализована на самом низком уровне — уров­не базы данных. Это наилучший, наиболее действенный метод контроля дея­тельности пользователей независимо от приложений, используемых ими для подключения к SQL Server. Тем не менее встречаются ситуации, когда необхо­дим постоянный набор прав для доступа к базе данных из приложения. Особен­но это касается работы с большими базами данных, имеющими множество слож­ных взаимосвязанных таблиц с тысячами или миллионами записей. Чаще всего для работы с такими базами данных создаются специальные приложения.

Кроме того, вы можете захотеть, чтобы пользователи получали доступ к базе данных только с помощью определенного приложения, не давая возможности напрямую обращаться к данным. Например, мобильные пользователи могут ис­пользовать специальную клиентскую программу, посредством которой они опе­рируют данными, устанавливая связь с сервером через незащищенные глобальные коммуникации.

SQL Server решает перечисленные проблемы путем использования роли при­ложения, создаваемой на уровне базы данных. Отличия между стандартными ролями и ролью приложения фундаментальны. Роль приложения не имеет чле­нов. Пользователи SQL Server или Windows NT не могут быть добавлены в эту роль. Роль активизируется, когда приложение устанавливает соединение. Пользо­ватель, работающий в это время с приложением, не является членом роли — только его приложение использует установленное соединение.

Перед использованием роли приложения необходимо сначала создать ее. При создании роли укажите ее имя и пароль для доступа. Создание роли средствами Transact-SQL выполняется с помощью следующей системной хранимой процедуры:

sp_addappro1e [ @rolename = ] 'role' . [ (^password = ] 'password'

Первый параметр определяет имя, которое будет иметь создаваемая роль при­ложения, второй — пароль, который будет использоваться для активизации роли.

Создание роли приложения средствами Enterprise Manager выполняется с помощью окна Database Role Properties — New Role (свойства ролей баз данных — новая роль), которое также используется для создания обычных пользовательских ролей. Чтобы создаваемая роль являлась ролью прило­жения, достаточно установить переключатель Application role (роль приложения) и ввести пароль. Работа с указанным окном будет рассмотрена в одном из следующих разделов этой главы.

Приложение может быть спроектировано так, чтобы пользователь, работаю­щий с ним, должен был вводить пароль для активизации роли приложения. Однако чаще всего пароль вводится самим приложением незаметно для пользо­вателя. Дополнительно, для обеспечения максимальной безопасности, пароль может быть зашифрован перед своей отправкой к SQL Server по сети.

В процессе подключения приложение должно активизировать роль, передав пароль, ассоциированный с данной ролью. Для этого приложение использует следующую хранимую процедуру.

sp_setapprole [(ЭгоТепате =] 'role', [^password =] (Encrypt N 'password'} | 'password' [.[^encrypt =] 'encrypt_style']

Рассмотрим параметры подробнее: О role— имя роли приложения, которое определено в базе данных;

О password— пароль, который приложение должно передать серверу для ак­тивизации роли приложения;

О encrypt_styl e — применяемая схема шифрования паролей. Данный параметр может иметь два значения: попе (шифрование не применяется) и odbc (шиф­рование с применением функции ODBC encrypt).

Когда роль приложения активизируется, все права доступа, установленные в пределах сеанса для пользователя, групп или ролей, теряются до окончания рабо­ты приложения. Соединение получает права, установленные для роли приложения в базе данных, в которой эта роль существует. Временное «забывание» прав досту­па, присвоенных установившему соединение пользователю, требуется для устране­ния конфликтов доступа. В противном случае, если пользователю запрещено чтение данных, а приложению необходимо считать данные, доступ был бы отклонен, так как запрещение доступа имеет преимущества над предоставлением доступа.

Поскольку роль приложения имеет права только в той базе данных, в которой она создана, а все разрешения для учетных записей, групп и ролей, к которым принадлежит пользователь, теряются, то доступ к другим базам данных возможен только под гостевым именем guest. Следовательно, если имя guest в базе данных не существует, то соединение не сможет получить доступ к данным. Если же имя guest не удалено из базы данных, соединение сможет получить доступ к объектам базы только в том случае, если разрешения явно выданы для пользователя guest. Перед установлением соединения с использованием роли приложения пользо­вателю сначала нужно получить доступ к SQL Server. Для этого допустимы оба режима аутентификации пользователей.

Если приложение спроектировано для выполнения различных задач с использо­ванием разных прав доступа, необходимо создать отдельную роль для каждой вы­полняемой задачи. Приложение должно само позаботиться о переключении ролей.

Защита данных

Как бы хорошо ни была спланирована система безопасности SQL Server 2000, остается возможность копирования файлов с данными и просмотра их на другом компьютере. Кроме того, с использованием специальных устройств данные могут быть перехвачены при передаче их по сети. Необходимо продумать средства физи­ческой защиты данных. Учтите, что данные в файлах базы данных хранятся в от­крытой форме, то есть их можно просмотреть в текстовом редакторе. Конечно, они не будут структурированы, но все же часть информации можно будет прочитать.

Шифрование данных

Шифрование — это метод, используемый SQL Server для изменения данных до нечитабельной формы. Шифрование гарантирует, что ценная конфиденциаль­ная информация не будет просмотрена кем бы то ни было. Вы можете скопиро­вать данные, но ничего не сможете с ними сделать. Для просмотра данных авто-ризированными пользователями используется дешифрование. . SQL Server позволяет шифровать следующие данные:

• любые данные, передаваемые между сервером и клиентом по сети;

• пароли учетных записей SQL Server или ролей приложения;

• код, использованный для создания объектов базы данных (хранимых процедур,

представлений, триггеров и т. д.).

Пароли учетных записей и ролей приложения всегда сохраняются в систем­ных таблицах SQL Server в зашифрованной форме. Это предохраняет их от просмотра любым пользователем, включая администратора. Кроме того, пароль роли приложения может быть зашифрован перед отправкой его на сервер.

Если код триггера, представления или хранимой процедуры содержит дан­ные или алгоритм, которые необходимо сохранить в тайне, используйте шифро­вание этих объектов.

Шифрование данных при передаче их по сети гарантирует, что никакое при­ложение или устройство не сможет их прочитать, даже если и перехватит. Шиф­рованное соединение позволяет также предотвратить перехват паролей пользователей.

Если вы хотите шифровать данные при передаче их по сети, необходимо использовать сетевую библиотеку Multiprotocol Net-Library.

Ограничение доступа к файлам SQL Server

В своей работе SQL Server создает и использует множество файлов — базы дан­ных, журналы ошибок, резервные копии, файлы для экспорта и импорта данных и многое другое. Службы SQL Server на уровне операционной системы выполня­ются в виде процессов. Для нормальной работы SQL Server необходимо, чтобы эти процессы имели полный доступ ко всем указанным выше файлам на уровне файловой системы. Для этого на уровне операционной системы требуется предо­ставить соответствующие права учетным записям, которые используются для за­пуска SQL Server. Лучше всего управлять правами доступа непосредственно на

уровне файлов и папок. Для этого сервер должен работать под управлением опе­рационной системы Windows NT и иметь файловую систему NTFS.

Если сервер стартует как служба, необходимо предоставить полные права доступа учетным записям, используемым для запуска служб. Если же старт SQL Server выполняется из командной строки или на компьютере под управлением Windows 98, то сервер будет иметь права доступа учетной записи пользователя, выполнившего запуск. Если для запуска сервера используется учетная запись локальной системы, то доступ должен предоставляться пользователю SYSTEM.

С целью ограничения возможностей неавторизированного доступа для фай­лов SQL Server необходимо установить запрет на чтение, удаление, модифика­цию и исполнение всем пользователям, кроме непосредственно SQL Server.

Права доступа

Когда пользователи подключаются к SQL Server, действия, которые они могут выполнять, определяются правами (разрешениями), выданными их учетной за­писи, группе или роли, в которой они состоят.

Права в SQL Server можно разделить на три категории: О права на доступ к объектам баз данных; О права на выполнения команд Transact-SQL; О неявные права (разрешения).

После создания пользователь не имеет никаких прав доступа, кроме тех, ко­торые разрешены для специальной роли базы данных public. Права, предос­тавленные этой роли, доступны для всех пользователей в базе данных.

Права пользователю выдаются администратором либо владельцами баз дан­ных или конкретных объектов баз данных. Для предоставления пользователю определенного набора прав можно использовать роли. Создав несколько ролей и предоставив им необходимые права доступа, администратор базы данных мо­жет просто включать пользователей в соответствующие роли. Пользователь ав­томатически получает все права доступа, определенные для роли. Стандартные роли базы данных уже имеют определенный набор прав. Например, члены роли db_datareader могут просматривать любые данные в любой таблице.

Важно быть осторожным с предоставлением разрешений на доступ к данным. Необходимо внимательно контролировать права доступа, выдаваемые пользова­телю как непосредственно, так и через членство в группах Windows NT и ролях SQL Server. Особенно это касается больших систем безопасности с тысячами пользователей и десятками групп. Вы должны быть уверены, что существую­щая система безопасности дает возможность пользователю выполнять любые необходимые действия, но ограничивает доступ к информации, которая не тре­буется ему для выполнения своих обязанностей.

Используйте все возможности SQL Server, контролируя права доступа не только на уровне таблиц, но и на уровне столбцов. Указывая права доступа к конкретно­му столбцу, вы можете более гибко управлять системой безопасности.

Аналогичные рекомендации касаются разрешений на выполнение команд Transact-SQL. Можно спроектировать базу данных таким образом, что выпол­нять конкретные действия — создание таблиц, представлений, правил, резерв­ных копий и т. д. — будут строго определенные пользователи.

Права на доступ к объектам баз данных

Работа с данными и выполнение хранимых процедур требуют наличия класса доступа, называемого правами на доступ к объектам баз данных. Под объектами подразумеваются таблицы, столбцы таблиц, представления, хранимые процеду­ры. Права на доступ к объектам баз данных контролируют возможность выпол­нения пользователями, например, команд SELECT, INSERT, UPDATE и DELETE для таблиц и представлений. Таким образом, если пользователю необходимо доба­вить новые данные в таблицу, ему следует предоставить право INSERT (вставка записей в таблицу). Предоставление же пользователю права EXECUTE разрешает ему выполнение каких-либо хранимых процедур.

Для различных объектов применяются разные наборы прав доступа к ним: О SELECT, INSERT, UPDATE, DELETE, REFERENCES- эти права могут быть приме­нены для таблицы или представления;

О SELECT и UPDATE — эти права могут быть применены к конкретному столбцу таблицы или представления;

О EXECUTE— это право применяется только к хранимым процедурам и функ­циям. Ниже приводится более подробное описание каждого из этих прав.