SQL-Server-2008角色與權限管理

數(shù)據(jù)庫根底與應用-----SQLServer2008第9章SQLServer2008的平安機制創(chuàng)立登錄賬戶創(chuàng)立數(shù)據(jù)庫用戶角色本章主要內容SQLServer2008的平安機制概述1234權限5哈爾濱師范大學恒星學院平安性是所有數(shù)據(jù)庫管理系統(tǒng)的一個重要特征。理解平安性問題是理解數(shù)據(jù)庫管理系統(tǒng)平安性機制的前提。1.第一個平安性問題：當用戶登錄數(shù)據(jù)庫系統(tǒng)時，如何確保只有合法的用戶才能登錄到系統(tǒng)中？這是一個最根本的平安性問題，也是數(shù)據(jù)庫管理系統(tǒng)提供的根本功能。在MicrosoftSQLServer2008系統(tǒng)中，通過身份驗證模式和主體解決這個問題。一.SQLServer2008的平安機制概述哈爾濱師范大學恒星學院1〕身份驗證模式MicrosoftSQLServer2008系統(tǒng)提供了兩種身份驗證模式：Windows身份驗證模式和混合模式。Windows身份驗證模式：在該模式中，用戶通過Windows用戶賬戶連接SQLServer時，使用Windows操作系統(tǒng)中的賬戶名和密碼?；旌夏Ｊ剑涸诨旌夏Ｊ街校斂蛻舳诉B接到效勞器時，既可能采取Windows身份驗證，也可能采取SQLServer身份驗證。哈爾濱師范大學恒星學院查看與更改身份驗證模式哈爾濱師范大學恒星學院2〕主體主體是可以請求系統(tǒng)資源的個體或組合過程。例如，數(shù)據(jù)庫用戶是一種主體，可以按照自己的權限在數(shù)據(jù)庫中執(zhí)行操作和使用相應的數(shù)據(jù)。MicrosoftSQLServer2008系統(tǒng)有多種不同的主體，不同主體之間的關系是典型的層次結構關系，位于不同層次上的主體其在系統(tǒng)中影響的范圍也不同。位于層次比較高的主體，其作用范圍比較大；位于層次比較低的主體，其作用范圍比較小。哈爾濱師范大學恒星學院2.第二個平安性問題：當用戶登錄到系統(tǒng)中，他可以執(zhí)行哪些操作、使用哪些對象和資源？在MicrosoftSQLServer2008系統(tǒng)中，通過平安對象和權限設置來解決這個問題。主體和平安對象的結構示意圖哈爾濱師范大學恒星學院3.第三個平安性問題：數(shù)據(jù)庫中的對象由誰所有？如果是由用戶所有，那么當用戶被刪除時，其所擁有的對象怎么辦，難道數(shù)據(jù)庫對象可以成為沒有所有者的“孤兒”嗎？在MicrosoftSQLServer2008系統(tǒng)中，這個問題是通過用戶和架構別離來解決的。數(shù)據(jù)庫對象、架構和用戶之間的關系示意圖哈爾濱師范大學恒星學院平安機制的5個等級：客戶機平安機制網(wǎng)絡傳輸?shù)钠桨矙C制實例級別平安機制數(shù)據(jù)庫級別平安機制對象級別平安機制哈爾濱師范大學恒星學院二.創(chuàng)立登錄賬戶1.創(chuàng)立Windows登錄賬戶哈爾濱師范大學恒星學院三.創(chuàng)立數(shù)據(jù)庫用戶哈爾濱師范大學恒星學院2.創(chuàng)立SQLServer登錄賬戶哈爾濱師范大學恒星學院3.啟用、禁用和解鎖登錄要啟用、禁用或解鎖一個登錄的操作步驟:(1)啟動MicrosoftSQLServerManagementStudio，在“對象資源管理器”視圖中，連接到適當?shù)男谄?，然后向下瀏覽至“平安性”文件夾。(2)展開“平安性”文件夾和“登錄名”文件夾以列出當前的登錄。右擊一個登錄，然后從快捷菜單中選擇“屬性”以查看此登錄的屬性。這樣會翻開“登錄屬性”對話框。哈爾濱師范大學恒星學院(3)在“登錄屬性”對話框左側列表中選擇“狀態(tài)”選項，翻開“狀態(tài)”頁面哈爾濱師范大學恒星學院(4)然后可以進行以下操作：要啟動登錄，在“登錄”選項區(qū)下選擇“啟用”單項選擇按鈕。要禁用登錄，在“登錄”選項區(qū)下選擇“禁用”單項選擇按鈕。要解鎖登錄，去除“登錄已鎖定”復選框。(5)最后單擊“確定”按鈕，完成操作。哈爾濱師范大學恒星學院4.修改登錄具體操作步驟如下：〔1〕翻開“登錄屬性”對話框哈爾濱師范大學恒星學院〔2〕單擊“登錄屬性”對話框左側的“用戶映射”選項，可以為當前用戶添加一個連接數(shù)據(jù)庫“msdb”哈爾濱師范大學恒星學院5.刪除登錄1)在MicrosoftSQLServerManagementStudio中刪除登錄賬戶啟動MicrosoftSQLServerManagementStudio，然后訪問適當?shù)男谄鳌Ｔ谛谄鞯摹捌桨残浴蔽募A中展開“登錄名”文件夾。右擊想要刪除的登錄，然后從快捷菜單中選擇“刪除”，要開“刪除對象”對話框，2)使用Transact-SQL語句刪除登錄賬戶命令格式如下：DROPLOGINlogin_name【例9.1】刪除已經(jīng)創(chuàng)立好的“stu2”賬戶。DROPLOGINstu2哈爾濱師范大學恒星學院三.創(chuàng)立數(shù)據(jù)庫用戶1.通過設置“用戶映射”指明數(shù)據(jù)庫用戶哈爾濱師范大學恒星學院2.創(chuàng)立數(shù)據(jù)庫用戶哈爾濱師范大學恒星學院四.角色1.固定效勞器角色固定效勞器角色是效勞器級別的主體，它們的作用范圍是整個效勞器。固定效勞器角色已經(jīng)具備了執(zhí)行指定操作的權限，可以把其他登錄名作為成員添加到固定效勞器角色中，這樣該登錄名可以繼承固定效勞器角色的權限。固定效勞器角色的特點在MicrosoftSQLServer系統(tǒng)中，可以把登錄名添加到固定效勞器角色中，使登錄名作為固定效勞器角色的成員繼承固定效勞器角色的權限。對于登錄名來說，可以選擇其是否成為某個固定效勞器角色的成員哈爾濱師范大學恒星學院效勞器角色哈爾濱師范大學恒星學院按照從最低級別的角色〔bulkadmin〕到最高級別的角色〔sysadmin〕的順序進行描述：Bulkadmin：這個效勞器角色的成員可以運行BULKINSERT語句。這條語句允許從文本文件中將數(shù)據(jù)導入到SQLServer2008數(shù)據(jù)庫中，為需要執(zhí)行大容量插入到數(shù)據(jù)庫的域賬戶而設計。Dbcreator：這個效勞器角色的成員可以創(chuàng)立、更改、刪除和復原任何數(shù)據(jù)庫。這不僅是適合助理DBA的角色，也可能是適合開發(fā)人員的角色。Diskadmin：這個效勞器角色用于管理磁盤文件，比方鏡像數(shù)據(jù)庫和添加備份設備。它適合助理DBA。Processadmin：SQLServer2008能夠多任務化，也就是說可以通過執(zhí)行多個進程做多個事件。例如，SQLServer2008可以生成一個進程用于向高速緩存寫數(shù)據(jù)，同時生成另一個進程用于從高速緩存中讀取數(shù)據(jù)。這個角色的成員可以結束〔在SQLServer2008中稱為刪除〕進程。哈爾濱師范大學恒星學院Securityadmin：這個效勞器角色的成員將管理登錄名及其屬性。他們可以授權、拒絕和撤銷效勞器級權限。也可以授權、拒絕和撤銷數(shù)據(jù)庫級權限。另外，它們可以重置SQLServer2008登錄名的密碼。Serveradmin：這個效勞器角色的成員可以更改效勞器范圍的配置選項和關閉效勞器。例如SQLServer2008可以使用多大內存或監(jiān)視通過網(wǎng)絡發(fā)送多少信息，或者關閉效勞器，這個角色可以減輕管理員的一些管理負擔。Setupadmin：為需要管理鏈接效勞器和控制啟動的存儲過程的用戶而設計。這個角色的成員能添加到setupadmin，能增加、刪除和配置鏈接效勞器，并能控制啟動過程。Sysadmin：這個效勞器角色的成員有權在SQLServer2008中執(zhí)行任何任務。Public:有兩大特點，第一，初始狀態(tài)時沒有權限；第二，所有的數(shù)據(jù)庫用戶都是它的成員。哈爾濱師范大學恒星學院使用操作平臺管理效勞器角色〔1〕查看效勞器角色的屬性①啟動MicrosoftSQLServerManagementStudio，在“對象資源管理器”中依次展開“平安性|效勞器角色”節(jié)點哈爾濱師范大學恒星學院②選擇其中的一個效勞器，在其上單擊右鍵，在彈出的快捷菜單中選擇“屬性”選項。例如選擇sysadmin這個效勞器并右擊，在快捷菜單中單擊“屬性”選項，翻開如下圖“效勞器角色屬性”對話框，在該對話框中就可以查看sysadmin這個效勞器角色的屬性了。哈爾濱師范大學恒星學院〔2〕添加效勞器角色的角色成員①為效勞器角色添加“角色成員”，可以在效勞器角色的“效勞器角色屬性”對話框中單擊“添加”按鈕。②單擊“瀏覽”按鈕，彈出“查找對象”對話框，單擊要添加的登錄名左邊的復選框，單擊“確定”按鈕即可將選中的角色成員添加進來。哈爾濱師范大學恒星學院〔3〕刪除效勞器角色的角色成員要刪除一個已經(jīng)存在的角色成員，只需要選中該角色成員并在其上單擊鼠標右鍵，然后在彈出的快捷菜單中選擇“刪除”選項，即可刪除效勞器角色。哈爾濱師范大學恒星學院2.數(shù)據(jù)庫角色三種類型的數(shù)據(jù)庫角色:固定數(shù)據(jù)庫角色：微軟提供的作為系統(tǒng)一局部的角色；用戶定義的標準數(shù)據(jù)庫角色：你自己定義的角色，將Windows用戶以一組自定義的權限分組；應用程序角色：用來授予應用程序專門的權限，而非授予用戶組或者單獨用戶。哈爾濱師范大學恒星學院1〕固定數(shù)據(jù)庫角色微軟提供了9個內置的角色，以便于在數(shù)據(jù)庫級別授予用戶特殊的權限集合db_owner:該角色的用戶可以在數(shù)據(jù)庫中執(zhí)行任何操作。db_accessadmin:該角色的成員可以從數(shù)據(jù)庫中增加或者刪除用戶。db_backupopperator:該角色的成員允許備份數(shù)據(jù)庫。db_datareader:該角色的成員允許從任何表讀取任何數(shù)據(jù)。db_datawriter:該角色的成員允許往任何表寫入數(shù)據(jù)。db_ddladmin：該角色的成員允許在數(shù)據(jù)庫中增加、修改或者刪除任何對象〔即可以執(zhí)行任何DDL語句〕。哈爾濱師范大學恒星學院db_denydatareader:該角色的成員被拒絕查看數(shù)據(jù)庫中的任何數(shù)據(jù)，但是他們仍然可以通過存儲過程來查看。db_denydatawriter:像db_denydatareader角色，該角色的成員被拒絕修改數(shù)據(jù)庫中的任何數(shù)據(jù)，但是他們仍然可以通過存儲過程來修改。db_securityadmin:該角色的成員可以更改數(shù)據(jù)庫中的權限和角色。public：在SQLServer2008中每個數(shù)據(jù)庫用戶都屬于public數(shù)據(jù)庫角色。當尚未對某個用戶授予或者拒絕對平安對象的特定權限時，這該用戶將據(jù)稱授予該平安對象的public角色的權限，這個數(shù)據(jù)庫角色不能被刪除哈爾濱師范大學恒星學院2〕用戶自定義數(shù)據(jù)庫角色哈爾濱師范大學恒星學院3〕應用程序角色應用程序角色允許用戶為特定的應用程序創(chuàng)立密碼保護的角色。哈爾濱師范大學恒星學院1.常用的權限安全對象常用權限數(shù)據(jù)庫CREATEDATABASE、CREATEDEFAULT、CREATEFUNCTION、CREATEPROCEDURE、CREATEVIEW、CREATETABLE、CREATERULE、BACKUPDATABASE、BACKUPLOG表SELECT、DELETE、INSERT、UPDATE、REFERENCES表值函數(shù)SELECT、DELETE、INSERT、UPDATE、REFERENCES視圖SELECT、DELETE、INSERT、UPDATE、REFERENCES存儲過程EXECUTE、SYNONYM標量函數(shù)EXECUTE、REFERENCES五.權限哈爾濱師范大學恒星學院9.6.4操作權限權限分為3種狀態(tài)：授予、拒絕、撤銷，可以使用如下的語句來修改權限的狀態(tài)。授予權限〔GRANT〕：授予權限以執(zhí)行相關的操作。通過角色，所有該角色的成員繼承此權限。撤銷權限〔REVOKE〕：撤銷授予的權限，但不會顯示阻止用戶或角色執(zhí)行操作。用戶或角色仍然能繼承其他角色的GRANT權限。拒絕權限〔DENY〕：顯式拒絕執(zhí)行操作的權限，并阻止用戶或角色繼承權限，該語句優(yōu)先于其他授予的權限。哈爾濱師范大學恒星學院1.授予權限

本語法格式：GRANT{ALL|statement[,..n]}TOsecurity_account[,..n]哈爾濱師范大學恒星學院相關參數(shù)據(jù)說明如下：ALL：表示希望給該類型的對象授予所有可用的權限。不推薦使用此選項，保存些選項僅用于向后兼容。授予ALL參數(shù)相當于授予以下權限：如果平安對象為數(shù)據(jù)庫，那么ALL表示CREATEDATABASE、CREATEDEFAULT、CREATEFUNCTION、CREATEPROCEDURE、CREATEVIEW、CREATETABLE、CREATERULE等權限。如果平安對象為標量函數(shù)，那么ALL表示EXECUTE和REFERENCES。如果平安對象為表值函數(shù)，那么ALL表示SELECT、DELETE、INSERT、UPDATE、REFERENCES。如果平安對象為存儲過程，那么ALL表示EXECUTE、SYNONYM。哈爾濱師范大學恒星學院如果平安對象為表，那么ALL表示SELECT、DELETE、INSERT、UPDATE、REFERENCES。如果平安對象為視圖，那么ALL表示SELECT、DELETE、INSERT、UPDATE、REFERENCES。Statement:表示可以授予權限的命令，例如，CREATEDATABASE。security_account:表示定義被授予權限的用戶單位。security_account可以是SQLServer的數(shù)據(jù)庫用戶，可以是SQLServer的角色，也可以是Windows的用戶或工作組哈爾濱師范大學恒星學院【例9.2】使用GRANT命令授予角色“students_mag”對”students”數(shù)據(jù)庫中“stu”表的DELETE、INSERT、UPDATE權限。

USEstudentsGoGRANTDELETE,INSERT,UPDATEONstuTOstudents_magGO哈爾濱師范大學恒星學院2.撤銷權限語法格式：REVOKE{ALL|statement[,..n]}FROMsecurity_account[,..n]【例9.3】使用REVOKE語句撤銷“students_mag”角色對“stu”表所擁有的DELETE、INSERT、UPDATE權限。USEstudentsGoREVOKEDELETE,INSERT,UPDATEONstuFROMstudents_magCASCADE哈爾濱師范大學恒星學院3.拒絕權限根本語法：DENY{ALL|statement[,..n]}TOsecurity_account[,..n]【