第十一講設計數(shù)據(jù)庫的安全性(2)

1、第第11章章 設計數(shù)據(jù)庫的安全性設計數(shù)據(jù)庫的安全性上節(jié)回顧上節(jié)回顧服務器角色SQL Server 登錄賬戶Windows登錄賬戶數(shù)據(jù)庫用戶數(shù)據(jù)庫角色SQL Server數(shù)據(jù)庫數(shù)據(jù)庫Windows服務器架構數(shù)據(jù)庫安全對象權限主體主體服務器練練 習習登錄賬戶UserstuMaryNorthwind用戶賬戶DboGuestuserNewDB用戶賬戶Dbouser請分析各登錄賬戶對兩個數(shù)據(jù)庫的訪問權限。注意:1、假設所有的登錄名與相應的數(shù)據(jù)庫用戶名相同。2、NewDB數(shù)據(jù)庫是登錄賬戶Mary所創(chuàng)建問題問題操作系統(tǒng)中創(chuàng)建好并能正常登錄的用戶，卻不能登操作系統(tǒng)中創(chuàng)建好并能正常登錄的用戶，卻不能登錄錄SQL

2、 Server服務器？請分析哪里出了問題？服務器？請分析哪里出了問題？剛創(chuàng)建的剛創(chuàng)建的SQL Server登錄賬戶登錄登錄賬戶登錄SQL Server服務服務器時，用戶名和密碼都輸入正確，卻不能登錄，為器時，用戶名和密碼都輸入正確，卻不能登錄，為什么？什么？要讓權限最小的登錄用戶可以創(chuàng)建自己的數(shù)據(jù)庫，要讓權限最小的登錄用戶可以創(chuàng)建自己的數(shù)據(jù)庫，應該怎么辦？應該怎么辦？要讓權限最小的登錄用戶在要讓權限最小的登錄用戶在Test數(shù)據(jù)庫中可以創(chuàng)建數(shù)據(jù)庫中可以創(chuàng)建自己的數(shù)據(jù)表，應該怎么辦？自己的數(shù)據(jù)表，應該怎么辦？案例案例Adventure公司各個部門都有自己的業(yè)務范圍，數(shù)據(jù)公司各個部門都有自己的業(yè)務范

3、圍，數(shù)據(jù)庫管理員（庫管理員（DBA）要為他們設置不同的使用權限）要為他們設置不同的使用權限銷售部對Sales架構表內數(shù)據(jù)可以查看，經理有增刪改的權限，銷售員只有添加的權限產品部對Production架構表內數(shù)據(jù)可以查看，經理有增刪改的權限，技術員只有修改的權限董事長辦公室對數(shù)據(jù)庫內所有數(shù)據(jù)有查看權限數(shù)據(jù)管理部經理管理登錄名和數(shù)據(jù)庫用戶角色的分配，操作員只完成數(shù)據(jù)庫備份11.5 管理數(shù)據(jù)庫用戶管理數(shù)據(jù)庫用戶4、自定義數(shù)據(jù)庫角色、自定義數(shù)據(jù)庫角色不需要對大量的數(shù)據(jù)庫用戶單獨分配權限，可以分不需要對大量的數(shù)據(jù)庫用戶單獨分配權限，可以分組管理，自定義數(shù)據(jù)庫角色就是對數(shù)據(jù)庫用戶的權組管理，自定義數(shù)據(jù)庫角

4、色就是對數(shù)據(jù)庫用戶的權限分組限分組可以定義新的數(shù)據(jù)庫角色，并添加到固定數(shù)據(jù)庫角可以定義新的數(shù)據(jù)庫角色，并添加到固定數(shù)據(jù)庫角色授予更多的權限色授予更多的權限除了除了Public角色，其它數(shù)據(jù)庫角色的權限不允許更改角色，其它數(shù)據(jù)庫角色的權限不允許更改11.6 管理權限管理權限權限在用戶和角色的基礎上，給予不同類型對象權限在用戶和角色的基礎上，給予不同類型對象的權限。的權限。權限的狀態(tài)權限的狀態(tài)GRANTDENYREVOKE權限的類型權限的類型 INSERT DELETE UPDATE SELECT1、權限的作用域、權限的作用域架構作用域架構作用域架構(Schema)：是形成單個命名空間的數(shù)據(jù)庫實體

5、的集合。我們可以將架構看成一個存放數(shù)據(jù)庫中對象的一個容器。 角色或用戶都可對應一個默認架構數(shù)據(jù)庫對象作用域數(shù)據(jù)庫對象作用域表視圖存儲過程2、數(shù)據(jù)庫對象權限設置、數(shù)據(jù)庫對象權限設置兩種途徑兩種途徑將某一對象權限授予給用戶和角色為一個用戶或角色分配安全對象SQL命令命令GRANT / DENY / REVOKE 權限 ON 對象名/架構 : 架構名 TO 主體3、用戶權限的繼承、用戶權限的繼承用戶是否具有對數(shù)據(jù)庫存取的權利，要看其權限設用戶是否具有對數(shù)據(jù)庫存取的權利，要看其權限設置而定，但是它還要受所屬角色的權限的限制。置而定，但是它還要受所屬角色的權限的限制。只要下面兩個條件成立，則用戶有執(zhí)行權限：只要下面兩個條件成立，則用戶有執(zhí)行權限：已直接將權限授予用戶或用戶所屬的角色用戶的權限沒有被直接拒絕或者用戶所屬的角色之一沒有被拒絕該權限。允許的權限繼承允許的權限繼承selectInsertPublic的權限Role1的權限User1的權限User1的最終權限拒