sql-server的安全管理

《sql-server的安全管理》由会员分享，可在线阅读，更多相关《sql-server的安全管理（139页珍藏版）》请在金锄头文库上搜索。

1、2019/1/14,SQL Server 2005,1,SQL Server数据库应用技术 第10章 SQL Server安全管理,第10章 SQL Server的安全管理,数据库的安全性是指保护数据库以防止不合法的使用所造成的数据泄露、更改或破坏。 系统安全保护措施是否有效是数据库系统的主要指标之一。 数据库安全性和计算机系统安全性(包括操作系统、网络系统的安全性)是紧密联系、相互支持的。 主要内容：SQL Server 2005安全性概述、SQL Server 2005的验证模式、登录管理、用户管理、角色管理、权限管理及系统加密机制等。,目录,10.1 SQL Server 2005安全性

2、概述 10.2 SQL Server 2005的验证模式 10.3 登录管理 10.4 用户管理 10.5 角色管理 10.6 权限管理 10.7 加密机制 练习题10 上机实习9,10.1 SQL Server 2005安全性概述,返回本节首页,SQL Server 2005安全系统的构架建立在用户和用户组的基础上。 Windows中的用户和本地组及全局组可以映射到SQL Server 2005中的安全登录帐户，也可以创建独立Windows帐户的安全登录帐户。 SQL Server提供了2种安全管理模式： Windows 身份验证模式 混合身份验证模式。,10.1 SQL Server 20

3、05安全性概述,返回本节首页,1、两个安全性阶段 在SQL Server 2005中工作时，用户要经过两个安全性阶段： 身份验证：每个用户必须通过登录帐户建立自己的连接能力（身份验证），以获得对SQL Server 2005实例的访问权限。 权限验证（授权）：该登录必须映射到用于控制在数据库中所执行的活动（权限验证）的 SQL Server 用户帐户。如果数据库中没有用户帐户，则即使用户能够连接到 SQL Server 实例，也无法访问该数据库。,10.1 SQL Server 2005安全性概述,返回本节首页,2、用户权限 当用户连接到SQL Server 2005实例后，他们可以执行的活动

4、由授予以下帐户的权限确定： 用户安全帐户； 用户安全帐户所属Windows组或角色层次结构； 用户若要进行任何涉及更改数据库定义或访问数据的活动，则必须有相应的权限。 管理权限包括授予或废除执行以下活动的用户权限： 处理数据和执行过程（对象权限）； 创建数据库或数据库中的项目（语句权限）； 利用授予预定义角色的权限（暗示性权限）。,10.1 SQL Server 2005安全性概述,返回本节首页,3、视图安全机制 视图作为安全机制：SQL Server 2005通过限制可由用户使用的数据。 数据子集：用户可以访问某些数据，进行查询和修改，但是表或数据库的其余部分是不可见的，也不能进行访问。 视

5、图授权：对SQL Server 2005来说，无论在基础表(一个或多个)上的权限集合有多大，都必须授予、拒绝或废除访问视图中数据子集的权限。,10.1 SQL Server 2005安全性概述,返回本节首页,4、加密方法 SQL Server 2005支持加密或可以加密的内容为： SQL Server 中存储的登录和应用程序角色密码； 作为网络数据包而在客户端和服务器端之间发送的数据； SQL Server 2005中如下对象的定义内容：存储过程、用户定义函数、视图、触发器、默认值、规则等。 例如：SQL Server 2005可使用安全套接字层(SSL)加密在应用程序计算机和数据库计算机上的

6、 SQL Server 实例之间传输的所有数据。,10.1 SQL Server 2005安全性概述,返回本节首页,5、审核活动 SQL Server 2005提供审核功能，用以跟踪和记录每个SQL Server实例上已发生的活动（如成功和失败的记录）。 SQL Server 2005还提供管理审核记录的接口，即SQL事件探查器。 只有sysadmin固定安全角色的成员才能启用或修改审核，而且审核的每次修改都是可审核的事件。,10.2 SQL Server 2005的验证模式,返回本节首页,10.2.1 Windows身份验证模式 10.2.2 混合身份验证模式 (也称SQL Server身份

7、验证模式) 10.2.3 设置验证模式 10.2.4 SQL Server系统登录验证过程,10.2 SQL Server 2005的验证模式,返回本节首页,SQL Server 2005有两种安全验证模式： Windows 身份验证模式 混合身份验证模式（也称SQL Server 身份验证模式）。,返回本节首页,图10-2 SQL Server系统登录验证过程,10.2.3 设置验证模式,返回本节首页,Windows 身份验证模式是指用户通过 Windows 用户帐户连接到SQL Server，即用户身份由Windows 系统来验证。 默认的身份验证模式，比混合验证模式安全得多。 Windo

8、ws 身份验证使用 Kerberos 安全协议，通过强密码的复杂性验证提供密码策略强制，提供帐户锁定支持，并且支持密码过期。 用户和组是由Windows维护的，因此当用户进行连接时，SQL Server将读取有关该用户在组中的成员资格信息。,10.2.1 Windows身份验证模式,返回本节首页,使用Windows身份验证有如下特点： Windows验证模式下由Windows管理登录帐户，数据库管理员主要是使用该帐户； Windows有功能很强的工具与技术去管理用户的登录帐户； 可以在SQL Server中增加用户组，可以使用用户组。 SQL Server支持的登录帐户，能在系统表syslog

9、ins或目录视图sys.syslogins中找到。,10.2.1 Windows身份验证模式,返回本节首页,混合身份验证模式允许用户使用Windows身份和SQL Server身份进行连接。 通过Windows登录帐户连接的用户可使用Windows验证的受信任连接。 当用户使用指定登录名称和密码进行非信任连接时，SQL Server检测输入的登录名和密码是否与系统Syslogins表记录的情况相同，据此进行身份验证。如果不存在该用户的登录帐户，则身份验证失败。 提供SQL Server身份验证是为了考虑非Windows客户兼容及向后兼容，早期SQL Server的应用程序可能要求使用SQL S

10、erver登录和密码。,10.2.2 混合身份验证模式 (也称SQL Server身份验证模式),返回本节首页,混合身份验证模式有如下特点： 1） 混合模式允许非Windows客户、Internet客户和混合的客户组连接到SQL Server中； 2）增加了完全性方面的选择。 如果必须选择“混合身份验证模式”并要求使用SQL登录以适应旧式应用程序，则必须为所有SQL帐户设置强密码。这对于属于sysadmin角色的帐户(特别是sa帐户)尤其重要。,10.2.2 混合身份验证模式 (也称SQL Server身份验证模式),返回本节首页,在Management Studio中的两种设置方法。 方法之

11、一： 1）打开Management Studio； 2）在“视图”“已注册的服务器”子窗口中要设置验证模式的服务器上按鼠标右键，然后在弹出的快捷菜单上选择“属性”，系统弹出如图10-1所示的“编辑服务器注册属性”窗口。,10.2.3 设置验证模式,返回本节首页,图10-1 服务器注册属性,10.2.3 设置验证模式,返回本节首页,方法之二： 1）在Management Studio对象资源管理器中，右键单击服务器，再单击“属性”。 2）在“安全性”页上的“服务器身份验证”下，选择新的服务器身份验证模式，再单击“确定”。 以上两种方法，均需要重新启动SQL Server后，才能生效。,10.2.

12、3 设置验证模式,10.2.3 设置验证模式,10.3 登录管理,返回本节首页,10.3.1 系统管理员登录帐户 10.3.2 使用Management Studio管理SQL Server登录帐户 10.3.3 用T-SQL管理SQL Server登录帐户 10.3.4 管理登录的最新T-SQL命令,10.3 登录管理,返回本节首页,登录是基于服务器级使用的用户名称。 在SQL Server中要成为数据库的用户，必须先成为服务器的登录。一个登录可以成为多个数据库的用户。 在Windows验证模式下，可以在Windows全局组或域用户中创建登录； 在SQL Server验证模式下，还可以在Wi

13、ndows的非全局组、非域用户甚至非Windows用户中创建登录。,返回本节首页,SQL Server有两个默认的系统管理员登录帐户：sa和BUILTINAdministrators。 sa是一个特殊的登录名，是SQL Server身份验证机制下SQL Server的系统管理员，sa始终关联dbo数据库用户，并且没有为sa帐号指定口令，应尽快地给系统管理员帐户指定口令。 BUILTINAdministrators是Windows系统的系统管理员组。,10.3.1 系统管理员登录帐户,返回本节首页,在Management Studio中能方便地创建、查看、修改、删除登录帐户。 映射Windows

14、登录帐户为SQL Server登录帐户 在Management Studio中可以将一个Windows帐户或一个组映射成 SQL Server登录帐户 具体操作： 选择“服务器”-“安全性”-“登录名”-“新建登录名”,10.3.2 使用Management Studio 管理SQL Server登录帐户,10.3.2 使用Management Studio 管理SQL Server登录帐户,在Management Studio中能方便地创建、查看、修改、删除登录帐户。 2.创建SQL Server登录帐户,10.3.2 使用Management Studio 管理SQL Server登录帐户

15、,在Management Studio中可以将一个Windows帐户或一个组映射成 SQL Server登录帐户 具体操作： 选择“服务器”-“安全性”-“登录名”-“新建登录名”,10.3.2 使用Management Studio 管理SQL Server登录帐户,返回本节首页,3、在Management Studio中查看、修改或删除登录帐户 方法如下： 启动Management Studio，分别展开“服务器”、“安全性”、“登录名”； 单击“登录名”下的某一个登录帐户，在系统弹出菜单上点击“属性”，可进入“登录属性”对话框查看该登录帐户的信息。 sp_helplogins系统存储过程

16、也能提供有关每个数据库中的登录及相关用户的信息。 sp_helplogins LoginNamePattern=login,10.3.2 使用Management Studio 管理SQL Server登录帐户,返回本节首页,1、映射Windows登录帐户为SQL Server登录帐户 映射Windows登录帐户为SQL Server登录帐户的相关系统存储过程和命令有： sp_grantlogin = CREATE LOGIN sp_denylogin = ALTER LOGIN sp_revokelogin = DROP LOGIN,10.3.3 用T-SQL管理SQL Server登录帐户,返回本节首页,1）sp_grantlogin：创建 SQL Server 登录名。 其语法： sp_grantlogin loginame=login 例如为Windows用户CorporateBobJ.创建SQL Server登录名，命令为： sp_grantlogin CorporateBobJ; 改用CREATE LOGIN首选实现方法