скачать рефераты
  RSS    

Меню

Быстрый поиск

скачать рефераты

скачать рефератыРеферат: SQL Server 2000

Пользователь, подключающийся к SQL Server, должен идентифицировать себя, используя учетную запись. После того как клиент успешно прошел аутентификацию, он получает доступ к SQL Server. Для получения доступа к любой базе дан­ных учетная запись пользователя (login) отображается в пользователя данной базы данных (user). Объект «пользователь базы данных» применяется для предостав­ления доступа ко всем объектам базы данных: таблицам, представлениям, храни­мым процедурам и т. д. В пользователя базы данных может отображаться:

О учетная запись Windows NT;

О группа Windows NT;

О учетная запись SQL Server.

Подобное отображение учетной записи необходимо для каждой базы данных, доступ к которой хочет получить пользователь. Отображения сохраняются в сис­темной таблице sysusers, которая имеется в любой базе данных. Такой подход обеспечивает высокую степень безопасности, предохраняя от предоставления пользо­вателям, получившим доступ к SQL Server, автоматического доступа ко всем базам данных и их объектам. Пользователи баз данных, в свою очередь, могут объеди­няться в группы и роли для упрощения управлением системой безопасности.

В ситуации, когда учетная запись не отображается в пользователя базы дан­ных, клиент все же может получить доступ к базе данных под гостевым именем guest, если оно, разумеется, имеется в базе данных. Обычно пользователю guest предоставляется минимальный доступ только в режиме чтения. Но в некоторых ситуациях и этот доступ необходимо предотвратить.

     Если в сети имеется небольшое количество пользователей, то достаточно легко предоставить до­ступ каждому пользователю персонально. Однако в больших сетях с сотнями пользователей по­добный подход займет много времени. Гораздо более удобным и эффективным является подход, когда доступ к SQL Server 2000 предоставляется целым группам пользователей. Как раз такой под­ход возможен при аутентификации средствами Windows NT/2000, когда на уровне домена создает­ся несколько групп, каждая из которых предназначена для решения специфических задач. На уровне SQL Server 2000 такой группе разрешается доступ к серверу, предоставляются необходимые права доступа к базам данных и их объектам. Достаточно включить учетную запись Windows NT в одну из групп, и пользователь получит все права доступа, предоставленные этой группе. Более того, одна и та же учетная запись может быть включена во множество групп Windows NT, что даст этой учет­ной записи возможность пользоваться правами доступа, предоставленными всем этим группам. Администратор SQL Server 2000 должен сам решить, как удобнее предоставлять доступ к серверу: персонально каждой учетной записи или группе в целом.

Пользователи

После того как пользователь прошел аутентификацию и получил идентифика­тор учетной записи (login ID), он считается зарегистрированным и ему предо­ставляется доступ к серверу. Для каждой базы данных, к объектам которой пользователю необходимо получить доступ, учетная запись пользователя (login) ассоциируется с пользователем (user) конкретной базы данных. Пользователи выступают в качестве специальных объектов SQL Server, при помощи которых определяются все разрешения доступа и владения объектами в базе данных.

Имя пользователя может использоваться для предоставления доступа как конкретному человеку, так и целой группе людей (в зависимости от типа учетной записи).

При создании базы данных определяются два стандартных пользователя: d b о и guest.

Если учетная запись (login) не связывается явно с пользователем (user), по­следнему предоставляется неявный доступ с использованием гостевого имени guest. То есть все учетные записи, получившие доступ к SQL Server 2000, авто­матически отображаются в пользователей guest во всех базах данных. Если вы удалите из базы данных пользователя guest, то учетные записи, не имеющие явного отображения учетной записи в имя пользователя, не смогут получить доступа к базе данных. Тем не менее, guest не имеет автоматического доступа к объектам. Владелец объекта должен сам решать, разрешать пользователю guest этот доступ или нет. Обычно пользователю guest предоставляется минималь­ный доступ в режиме «только чтение».

Для обеспечения максимальной безопасности можно удалить пользователя guest из любой базы данных, кроме системных баз данных master и Tempdb. В первой из них guest используется для выполнения системных хранимых процедур обычными пользователями, тогда как во второй позво­ляет создавать любым пользователям временные объекты.

Владелец базы данных (DataBase Owner, DBO) — специальный пользователь, обладающий максимальными правами в базе данных. Любой член роли sysadmin автоматически отображается в пользователя dbo. Если пользователь, являющийся членом роли sys admin, создает какой-нибудь объект, то владельцем этого объекта назначается не данный пользователь, a dbo. Например, если Liliya, член адми­нистративной группы, создает таблицу ТаЫ еА, то полное имя таблицы будет не Lil iya .ТаЫеА, a dbo.ТаЫ еА. В то же время, если Liliya, не будучи участни­ком роли сервера sysadmin, состоит в роли владельца базы данных db_owner, то имя таблицы будет Li I i уа. ТаЫ еА.

Пользователя dbo нельзя удалить.

Для связывания учетной записи (login) с определенным именем пользовате­ля (user) можно воспользоваться следующей хранимой процедурой:

sp_adduser [@loginame =]  'login' [,[@name_in_db =] 'user'] [.[@grpname =] 'role']

Ниже дается пояснение используемых в ней параметров:

О login— имя учетной записи, которую необходимо связать с именем пользо­вателя базы данных;

О user — имя пользователя базы данных, с которым ассоциируется данная учет­ная запись (в базе данных заранее не должно существовать пользователя с указанным именем);

О role — этот параметр определяет роль, в которую данный пользователь бу­дет включен (подробнее о ролях будет рассказано позже). Хранимая процедура sp_grantdbaccess позволяет отобразить учетную за­пись Windows NT в имя пользователя:

sp_grantdbaccess [@loginame =]   'login' [,[@name_in_db =] 'user']

Параметры означают следующее:

О login— имя учетной записи пользователя или группы пользователей Windows NT, которым необходимо предоставить доступ к базе данных. Имя должно снабжаться ссылкой на домен, в котором учетная запись определена. Указанной учетной записи не обязательно должен быть предоставлен персо­нальный доступ к SQL Server. Вполне возможно, что соединение с сервером устанавливается вследствие членства в группе Windows NT, которая имеет доступ к серверу;

О user — имя пользователя базы данных, с которым ассоциируется данная учет­ная запись.

Пользователь, который создает объект в базе данных, например таблицу, хра­нимую процедуру или представление, становится владельцем объекта. Владелец объекта (database object owner) имеет все права доступа к созданному им объек­ту. Чтобы пользователь мог создать объект, владелец базы данных (dbo) дол­жен предоставить пользователю соответствующие права. Полное имя создаваемого объекта включает в себя имя создавшего его пользователя. Если пользователь хочет обратиться к таблице, используя только ее имя и не указывая владельца, SQL Server применяет следующий алгоритм поиска.

1.  Ищется таблица, созданная пользователем, выполняющим запрос.

2.  Если таблица не найдена, то ищется таблица, созданная владельцем базы дан­ных (dbo).

Допустим, пользователь Liss пытается обратиться к таблице Lil iya .TableA, просто используя имя Tab! еА. Поскольку таблица, созданная Li I iya, не соответ­ствует ни первому, ни второму критерию поиска, то таблица ТаЫеА найдена не будет и пользователь получит сообщение об ошибке. Для получения доступа к таблице необходимо ввести имя, включающее владельца объекта, то есть Liliya.TableA.

Владелец объекта не имеет никакого специального пароля или особых прав доступа. Он неявно имеет полный доступ, но должен явно предоставить доступ другим пользователям.

SQL Server позволяет передавать права владения от одного пользователя другому. Чтобы удалить владельца объекта из базы данных, сначала необходи­мо удалить все объекты, которые он создал, или передать права на их владение другому пользователю. Для этого можно использовать хранимую процедуру sp_changeobjectowner, имеющую следующий синтаксис:

sp_changeobjectowner      [  @objname =  ]   'object'   , [  (Pnewowner  =   ]   'owner'

Здесь с помощью первого параметра указывается имя объекта, а с помощью второго — имя пользователя, который станет новым владельцем указанного объекта.

Роли сервера

Роль — это мощный инструмент, добавленный в SQL Server 7.0, чтобы заменить группы, которые использовались в предыдущих версиях. Роль позволяет объе­динять пользователей, выполняющих одинаковые функции, для упрощения ад­министрирования системы безопасности SQL Server.

В SQL Server реализовано два вида стандартных ролей: на уровне сервера и на уровне баз данных. При установке SQL Server 2000 создается 9 фиксированных ролей сервера и 9 фиксированных ролей базы данных. Эти роли вы не сможете удалить, кроме того, нельзя модифицировать права их доступа. Вы не сможете предоставить пользователю права, которые имеют фиксированные роли сервера, другим способом, кроме как включением его в нужную роль.

В предыдущих версиях SQL Server для администрирования сервера можно было использовать только учетную запись sa или ее аналог. Иначе говоря, вы могли дать либо все права, либо никаких. Теперь в SQL Server эта проблема решена путем добавления ролей сервера (server role), которые позволяют пре­доставить операторам сервера только те права, которые администратор посчитает возможным предоставить. Роли сервера не имеют отношения к администриро­ванию баз данных. Можно включить любую учетную запись SQL Server (login) или учетную запись Windows NT в любую роль сервера.

Стандартные роли сервера (fixed server role) и их права приведены в табл.

Таблица. Фиксированные роли сервера

Встроенная         Назначение

роль сервера______________________________________________

Sysadmin            Может выполнять любые действия в SQL Server
Serveradmin           Выполняет конфигурирование и выключение сервера

Setupadmin          Управляет связанными серверами и процедурами, автоматически
запускающимися при старте SQL Server

Securityadmin        Управляет учетными записями и правами на создание базы данных, также может читать журнал ошибок

Processadmin       Управляет процессами, запущенными в SQL Server

Dbcreator            Может создавать и модифицировать базы данных

Diskadmin           Управляет файлами SQL Server

Bulkadmin          Эта роль не существовала в SQL Server 7.0. Члены роли Bulkadmin могут

(Bulk Insert         вставлять данные с использованием средств массивного копирования,

administrators)      не имея непосредственного доступа к таблицам____________________

Роли баз данных

Роли базы данных (database role) позволяют объединять пользователей в одну административную единицу и работать с ней как с обычным пользователем. Можно назначить права доступа к объектам базы данных для конкретной роли, при этом вы автоматически наделяете всех членов этой роли одинаковыми пра­вами. Вместо того чтобы предоставлять доступ каждому конкретному пользова­телю, а впоследствии постоянно следить за изменениями, можно просто вклю­чить пользователя в нужную роль. Если сотрудник переходит в другой отдел, нужно просто удалить его из одной роли и добавить в другую. Создайте необ­ходимое количество ролей, которые охватывали бы все многообразие действий с базой данных. Позже, при изменении функций членов одной из ролей, доста­точно изменить права доступа для этой роли, а не устанавливать новые права для каждого пользователя.

В роль базы данных можно включать: О пользователей SQL Server; О роли SQL  Server

О пользователей Windows NT;                                                                  '

О группы Windows NT, которым предварительно предоставлен доступ к нуж­ной базе данных.

Средства Enterprise Manager позволяют добавлять в роль базы данных толь­ко пользователей базы данных (user). Используйте хранимую процедуру sp_addrolemember, чтобы задействовать все возможности SQL Server 2000:

sp_addrolemember  [@ro1ename =]   'role', [@membername =] 'security_account'

Здесь параметры означают следующее: О role— название роли SQL Server в текущей базе данных;

О security_account — имя того объекта системы безопасности, который необ­ходимо включить в роль. В качестве такого объекта могут выступать как учет­ные записи SQL Server, так и пользователи и группы Windows NT, которым предоставлен доступ к серверу баз данных.

При создании базы данных для нее определяются стандартные роли базы данных, которые, так же как и стандартные роли сервера, не могут быть измене­ны или удалены. Стандартные роли баз данных (fixed database role) и их права приведены в табл.

Таблица. Фиксированные роли баз данных

Встроенная роль                     Назначение

баз данных_______________________________________________

db__owner                                Имеет все права в базе данных
db_accessadmin                            Может добавлять или удалять пользователей

db_securityadmin                         Управляет всеми разрешениями, объектами, ролями и

членами ролей

db_ddladmin                              Может выполнять любые команды DDL, кроме GRANT, DENY

и REVOKE

db_backupoperator                        Может выполнять команды DBCC, CHECKPOINT и BACKUP
db_datareader                                Может просматривать любые данные в любой таблице БД
db_datawriter                               Может модифицировать любые данные в любой таблице БД
db_denydatareader                       Запрещается просматривать данные в любой таблице
dbjjenydatawriter_________Запрещается модифицировать данные в любой таблице_____

Кроме указанных выше ролей существует еще одна — public. Эта роль име­ет специальное назначение, поскольку ее членами являются все пользователи, имеющие доступ к базе данных. Нельзя явно установить членов этой роли, по­тому что все пользователи и так автоматически являются ее членами. Исполь­зуйте эту роль для предоставления минимального доступа пользователям, для которых права доступа к объектам не определены явно. Если в базе данных разрешен пользователь guest, то установленный для publ i с доступ будут иметь все пользователи, получившие доступ к SQL Server. Роль public имеется во всех базах данных, включая системные базы данных master, tempdb, msdb, model, И не может быть удалена.

Группы Windows NT могут быть использованы аналогично ролям SQL Server. Можно создать одну учетную запись (login) для группы Windows NT и включать соответствующих пользователей вместо роли в группу Windows NT. Выбор метода администрирования зависит от вас.

Роли приложения

Система безопасности SQL Server реализована на самом низком уровне — уров­не базы данных. Это наилучший, наиболее действенный метод контроля дея­тельности пользователей независимо от приложений, используемых ими для подключения к SQL Server. Тем не менее встречаются ситуации, когда необхо­дим постоянный набор прав для доступа к базе данных из приложения. Особен­но это касается работы с большими базами данных, имеющими множество слож­ных взаимосвязанных таблиц с тысячами или миллионами записей. Чаще всего для работы с такими базами данных создаются специальные приложения.

Кроме того, вы можете захотеть, чтобы пользователи получали доступ к базе данных только с помощью определенного приложения, не давая возможности напрямую обращаться к данным. Например, мобильные пользователи могут ис­пользовать специальную клиентскую программу, посредством которой они опе­рируют данными, устанавливая связь с сервером через незащищенные глобальные коммуникации.

SQL Server решает перечисленные проблемы путем использования роли при­ложения, создаваемой на уровне базы данных. Отличия между стандартными ролями и ролью приложения фундаментальны. Роль приложения не имеет чле­нов. Пользователи SQL Server или Windows NT не могут быть добавлены в эту роль. Роль активизируется, когда приложение устанавливает соединение. Пользо­ватель, работающий в это время с приложением, не является членом роли — только его приложение использует установленное соединение.

Страницы: 1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12, 13, 14, 15, 16


Новости

Быстрый поиск

Группа вКонтакте: новости

Пока нет

Новости в Twitter и Facebook

  скачать рефераты              скачать рефераты

Новости

скачать рефераты

© 2010.