《SQL2000数据库的安全性管理精编版》由会员分享，可在线阅读，更多相关《SQL2000数据库的安全性管理精编版（20页珍藏版）》请在金锄头文库上搜索。
1、SQL Server 2000数据库的安全性管理,121对SQL Server的访问 122数据库的安全性权限 123角色 124与安全有关的Transact-SQL语句 125 视图与数据访问 126存储过程与数据访问,第12章 SQL Server 2000数据库的安全性管理,SQL Server的安全性管理是建立在登录验证和权限许可的基础上的。登录验证是指核对连接到SQL Server实例的登录帐户名和密码是否正确，以此确定用户是否具有连接到SQL Server实例的权限。通过了登录验证，并不意味着用户能够访问SQL Server实例中的各个数据库。用户只有在被授于访问数据库的权限许可之
2、后 才能够对服务器上的数据库进行权限许可下的各种操作。 SQL Server还引入了角色的概念，来简化对权限许可的管理， 在SQL Server中，安全性管理可以通过企业管理器的图形界面进行，但对于熟练的DBA来说，使用Transact-SQL语句进行安全性管理可能更有效率。 在SQL Server中，通过使用视图和存储过程也可以控制用户对数据的访问，实现对数据安全管理。 返回目录,12.1对SQL Server的访问,在SQL Server 2000中，用登录帐户来控制用户是否具有连接到SQL Server实例的权限。用数据库用户帐户来控制用户是否具有操纵SQL Server实例中的各个数据
3、库的权限。而对用户身份的验证，是通过核对登录帐户名和密码是否正确来完成的。 1身份验证模式（Authentication Modes） SQL Server能在两种身份验证模式下运行：Windows身份验证模式和混合模式。在Windows身份验证模式下，SQL Server依靠Windows 身份验证来验证用户的身份。在混合模式下，SQL Server依靠Windows 身份验证或SQL Server身份验证来验证用户的身份。 （1）Windows身份验证模式 （2）混合模式 在混合模式下，用户既可以使用 Windows 身份验证，也可以使用SQL Server身份验证。 使用SQL Serv
4、er身份验证时，用户必须提供登录帐户名和密码，这里的登录帐户是数据库管理员在SQL Server中创建并分配给用户的 (3) 配置身份验证模式 返回目录,2登录帐户（logins）和数据库用户帐户（database users） SQL Server用数据库用户帐户来指出哪一个人可以访问哪一个数据库。用户对数据的访问权限以及与数据库对象的所有关系都是通过用户账号来控制的。数据库用户帐户通常是由数据库管理员在SQL Server实例的各个数据库中创建的。 一个登录账号总是与一个或多个数据库用户账号相关联。这个关联工作，由数据库管理员在为用户新建登录账户或修改登录帐户属性时完成的。但对于一些特殊登
5、录帐户，这个过程是由SQL服务器自动完成的。如：sa是SQL Server内置的管理员登录账号，sa登录账号自动与每一个数据库的dbo用户相关联。 数据库用户账号总是与某一登录账号相关联的，但有一个例外，那就是 guest用户。Guest用户不具体与某一登录帐户相关联，但Guest用户允许没有与用户帐户关联的登录帐户访问数据库。 用户访问SQL Server实例中的某一数据库，SQL Server检查该登录用户是否与该数据库中的某一用户帐户相关联，如果有，则允许它以该用户帐户访问数据库；如果没有，则SQL Server检查该数据库中是否有guest用户，如果有，则允许用户以guest用户来访问
6、该数据库，如果没有，则该用户对该数据库的访问被拒绝。在安装SQL Server时，系统自动在master、pubs、 tempdb 和 Northwind 数据库中创建guest 用户。 返回目录,(1) 创建登录帐户 创建登录帐户的方法有三种：使用企业管理器、使用Transact-SQL语句、使用创建登录向导。 (2) 授予Windows NT/2000用户或组连接SQL Server的权限 在Windows NT/2000帐户(用户或组)可以访问数据库之前，必须授予它们连接到 SQL Server实例的权限。 (3) 创建数据库用户帐户 可以使用企业管理器或Transact-SQL语句来创
7、建数据库用户帐户,也可以使用企业管理器来创建数据库用户帐户。为了创建一个新的数据库用户帐户，必须事先确定一个将与该数据库用户相关的登录帐户。 返回目录,(4) sa登录帐号、dbo数据库用户帐号及数据库对象所有者。 系统管理员（System Administrator）登录帐号sa 是为向后兼容而提供的特殊登录。sa是SQL Server自动创建的、内置的登录帐号，不能被删除。默认情况下，sa被授予固定服务器角色sysadmin，可以在SQL Server 中进行任何活动。 dbo是SQL Server自动创建的、内置的数据库用户帐号，具有在数据库中执行所有活动的权限。SQL Server将固
8、定服务器角色 sysadmin 的任何成员都映射到每个数据库内的dbo用户上。另外，由固定服务器角色 sysadmin 的任何成员创建的任何对象都自动属于dbo。 创建数据库对象的用户称为数据库对象所有者。创建数据库对象的权限必须由数据库所有者或系统管理员授予。数据库对象所有者可以授予其他用户访问其所创建的对象的权限。数据库对象所有者没有特殊的登录 ID 或密码。对象创建者在创建对象时，被隐性地授予该对象的所有权限，但其他用户必须被显式授予权限后才能访问该对象。 返回目录,14.2 数据库的安全性权限,SQL Server通过为用户分配权限来决定用户能够执行什么样的数据库操作。在SQLServ
9、er中，可以为用户设置服务器权限和数据库权限。数据库权限又分为对象权限和语句权限。 1服务器权限 服务器权限用来为数据库管理员分配执行数据库管理任务的许可。服务器权限被预先赋于固定的服务器角色，为用户的登录帐户分配某一服务器角色，则用户具有该服务器角色所具有的服务器权限。服务器权限包括：关闭数据库系统、新建数据库，备份数据库等等。 2数据库对象权限 对象权限是用户在处理数据或执行过程时需要的权限。可以使用企业管理器或Transact-SQL语句为用户分配对象权限。在企业管理器中分配对象权限的方法有两种，一种是针对用户来分配对象权限，另一种是针对数据库对象来分配对象权限。 (1) 对象权限的类型
10、：对象权限主要有SELECT、UPDATE、INSERT、DELETE、EXECUTE等几种类型。 返回目录,(2) 基于用户管理对象权限 基于用户管理对象权限，可以方便地为用户分配多个数据库对象的对象权限。可以使用企业管理器针对用户来分配对象权限。 (3) 基于数据库对象管理对象权限。 基于数据库对象管理对象权限，可以方便地为多个用户分配数据库对象的对象权限。可以使用企业管理器针对数据库对象来分配对象权限。 返回目录,3数据库语句权限 对象权限使用户能够访问数据库中已经存在数据库对象。语句权限则使用户可以创建数据库和数据库对象。例如，如果用户要在数据库中创建表，则应该向该用户授予 CREAT
11、E TABLE语句权限。语句权限（如 CREATE DATABASE）适用于语句自身，而不适用于特定数据库对象。语句权限有： BACKUP DATABASE权限，允许用户执行BACKUP DATABASE命令。 BACKUP LOG权限，允许用户执行BACKUP LOG命令 CREATE DATABASE权限，允许用户创建数据库。 CREATE DEFAULT权限，允许用户创建列的缺省值。 CREATE FUNCTION权限，允许用户创建函数。 CREATE PROCEDURE权限，允许用户创建存储过程。 CREATE RULE权限，允许用户创建规则。 CREATE TABLE权限，允许用户创
12、建表。 CREATE VIEW权限，允许用户创建视图。 可以使用企业管理器或Transact-SQL语句为用户分配语句权限。 返回目录,12.3 角色,角色用来为成组的用户赋于相同的数据库权限，而不需要为每个用户单独赋权。用户可以根据管理需要，划分和创建出几种权限不同的角色，并将相应的数据库权限授于各个角色，然后可以将角色赋于一个或多个数据库用户帐户，这样，这些数据库用户帐户就具有了该角色所具有的权限。 1角色的类型 在SQL Server中，角色有两种类型：服务器角色和数据库角色。 (1) 服务器角色 服务器角色是由SQL Server自动创建的，是固定的，不能被删除，其权限也不能被修改，用
13、户也不能创建新的服务器角色。 SQL Server根据SQL Server服务器管理任务的不同，预定义了8种固定的服务器角色，它们是： sysadmin角色、 serveradmin角色、 setupadmin角色、securityadmin角色、processadmin角色、 dbcreator角色、 diskadmin角色、 bulkadmin角色。 返回目录,(2) 固定数据库角色 固定数据库角色，是指由SQL Server自动创建的、固定的、不能被数据库管理员或用户修改或删除的数据库角色。在SQL Server中，预定义了9种固定数据库角色，它们是： db_owner角色，数据库的所有
14、者，以执行任何数据库管理工作。可以对数据库内的任何对象进行任何操作。 db_accessadmin角色，可以在数据库中添加或删除Windows NT 4.0 或 Windows 2000 组和用户以及SQL Server用户。 db_datareader角色，可以查看来自数据库中所有用户表的全部数据。 db_datawriter角色，可以添加、更改或删除来自数据库中所有用户表的数据。 db_ddladmin角色，可以添加、修改或删除数据库中的对象。 db_securityadmin角色，管理数据库角色和角色的成员，并管理数据库的语句权限和对象权限。 db_backupoperator角色，可以
15、进行数据库的备份工作。 db_denydatareader角色，不能查看数据库中任何表的数据。 db_denydatawriter角色，不能修改数据库中任何表的数据。 可将任何有效的数据库用户帐户(包括组)或角色添加为固定数据库角色成员。 返回目录,(3)用户自定义的数据库角色 用户自定义的数据库角色是指由用户自己创建并定义权限的数据库角色。用户自定义的数据库角色提供了分配给用户特定权限的能力，而这是固定数据库角色所不能提供的。如果要为一些数据库用户设置相同的权限，但是这些权限又与固定数据库角色的权限不同，就可以创建用户自定义的数据库角色。 用户自定义的数据库角色有两种类型：标准角色和应用程序
16、角色。标准角色是基于用户的，用于一般的数据库权限管理工作。应用程序角色一种比较特殊的角色类型，是基于应用程序的。使用应用程序角色可以限制用户只能通过特定应用程序来访问数据。 (4) public角色 SQL Server还有一个特殊的数据库角色pulbic。在创建数据库时，public角色就在其中自动创建好了。public角色不能被删除，也不能为这个角色增加或删除用户。数据库中每个用户都自动属于public角色。如果需要提供一种缺省的权限给所有用户时，可以将这种权限赋于public角色，由于数据库中每个用户都自动属于public角色，所以所有的用户都自动拥有了这种权限。 返回目录,2管理角色 （1）为服务器角色添加成员 通过将用户登录帐号添加到服务器角色，用户可以获得服务器角色所具有的权限。可以使用企业管理器或Transact-SQL语句将用户添加到服务
