Пользователи выступают в качестве специальных объектов SQL Server, при помощи которых определяются все разрешения доступа и владения объектами в базе данных.
При создании базы данных определяются два стандартных пользователя: dbо и guest.
Если учетная запись (login) не связывается явно с пользователем (user), последнему предоставляется неявный доступ с использованием гостевого имени guest. То есть все учетные записи, получившие доступ к SQL Server, автоматически отображаются в пользователей guest во всех базах данных. Если вы удалите из базы данных пользователя guest, то учетные записи, не имеющие явного отображения учетной записи в имя пользователя, не смогут получить доступа к базе данных. Тем не менее, guest не имеет автоматического доступа к объектам. Владелец объекта должен сам решать, разрешать пользователю guest этот доступ или нет. Обычно пользователю guest предоставляется минимальный доступ в режиме «только чтение».
Для обеспечения максимальной безопасности можно удалить пользователя guest из любой базы данных, кроме системных баз данных master и Tempdb. В первой из них guest используется для выполнения системных хранимых процедур обычными пользователями, тогда как во второй позволяет создавать любым пользователям временные объекты.
Владелец базы данных (DataBase Owner, DBO) — специальный пользователь, обладающий максимальными правами в базе данных. Любой член роли sysadmin автоматически отображается в пользователя dbo. Если пользователь, являющийся членом роли sysadmin, создает какой-нибудь объект, то владельцем этого объекта назначается не данный пользователь, a dbo.
Например, если Liliya, член административной группы, создает таблицу TablеA, то полное имя таблицы будет не Liliya.TablеA, a dbo.TablеA. В то же время, если Liliya, не будучи участником роли сервера sysadmin, состоит в роли владельца базы данных db_owner, то имя таблицы будет Liliya.TablеA.
Пользователя dbo нельзя удалить.
Рис. 5. Создание таблицы
Для связывания учетной записи (login) с определенным именем пользователя (user) выполните следующие действия:
Рис. 6. Связывание пользователя с учетной записью (именем входа)
Пользователь, который создает объект в базе данных, например таблицу, хранимую процедуру или представление, становится владельцем объекта.
Владелец объекта (database object owner) имеет все права доступа к созданному им объекту. Чтобы пользователь мог создать объект, владелец базы данных (dbo) должен предоставить пользователю соответствующие права. Полное имя создаваемого объекта включает в себя имя создавшего его пользователя.
Если пользователь хочет обратиться к таблице, используя только ее имя и не указывая владельца, SQL Server применяет следующий алгоритм поиска.
1. Ищется таблица, созданная пользователем, выполняющим запрос.
2. Если таблица не найдена, то ищется таблица, созданная владельцем базы данных (dbo).
Допустим, пользователь Liss пытается обратиться к таблице Liliya.TableA, просто используя имя TableA. Поскольку таблица, созданная Liliya, не соответствует ни первому, ни второму критерию поиска, то таблица TableA найдена не будет и пользователь получит сообщение об ошибке. Для получения доступа к таблице необходимо ввести имя, включающее владельца объекта, то есть Liliya.TableA.
Роли сервера
Роль — это мощный инструмент, добавленный в SQL Server 7.0, чтобы заменить группы, которые использовались в предыдущих версиях. Роль позволяет объединять пользователей, выполняющих одинаковые функции, для упрощения администрирования системы безопасности SQL Server.
В SQL Server реализовано два вида стандартных ролей: на уровне сервера и на уровне баз данных. При установке SQL Server создается 9 фиксированных ролей сервера и 9 фиксированных ролей базы данных. Эти роли вы не сможете удалить, кроме того, нельзя модифицировать права их доступа. Вы не сможете предоставить пользователю права, которые имеют фиксированные роли сервера, другим способом, кроме как включением его в нужную роль.
Стандартные роли сервера (fixed server role) и их права:
Таблица 1. Фиксированные роли сервера
Встроенная роль сервера
Назначение
Sysadmin
Может выполнять любые действия в SQL Server
Serveradmin
Выполняет конфигурирование и выключение сервера
Setupadmin
Управляет связанными серверами и процедурами, автоматически запускающимися при старте SQL Server
Securityadmin
Управляет учетными записями и правами на создание базы данных, также может читать журнал ошибок
Processadmin
Управляет процессами, запущенными в SQL Server
Dbcreator
Может создавать и модифицировать базы данных
Diskadmin
Управляет файлами SQL Server
Bulkadmin
Члены роли Bulkadmin могут вставлять данные с использованием средств массивного копирования, не имея непосредственного доступа к таблицам
Роли баз данных
Роли базы данных (database role) позволяют объединять пользователей в одну административную единицу и работать с ней как с обычным пользователем.
Можно назначить права доступа к объектам базы данных для конкретной роли, при этом вы автоматически наделяете всех членов этой роли одинаковыми правами. Вместо того чтобы предоставлять доступ каждому конкретному пользователю, а впоследствии постоянно следить за изменениями, можно просто включить пользователя в нужную роль. Если сотрудник переходит в другой отдел, нужно просто удалить его из одной роли и добавить в другую.
Создайте необходимое количество ролей, которые охватывали бы все многообразие действий с базой данных. Позже, при изменении функций членов одной из ролей, достаточно изменить права доступа для этой роли, а не устанавливать новые права для каждого пользователя.
В роль базы данных можно включать:
- пользователей SQL Server;
- роли SQL Server;
- пользователей Windows;
- группы Windows, которым предварительно предоставлен доступ к нужной базе данных.
При создании базы данных для нее определяются стандартные роли базы данных, которые, так же как и стандартные роли сервера, не могут быть изменены или удалены. Стандартные роли баз данных (fixed database role) и их права приведены в таблице 2.
Таблица 2. Фиксированные роли баз данных
Встроенная роль баз данных
Назначение
db__owner
Имеет все права в базе данных
db_accessadmin
Может добавлять или удалять пользователей
db_securityadmin
Управляет всеми разрешениями, объектами, ролями и членами ролей
db_ddladmin
Может выполнять любые команды DDL, кроме GRANT, DENY и REVOKE
db_backupoperator
Может выполнять команды DBCC, CHECKPOINT и BACKUP
db_datareader
Может просматривать любые данные в любой таблице БД
db_datawriter
Может модифицировать любые данные в любой таблице БД
db_denydatareader
Запрещается просматривать данные в любой таблице
db_denydatawriter
Запрещается модифицировать данные в любой таблице
Кроме указанных выше ролей существует еще одна — public. Эта роль имеет специальное назначение, поскольку ее членами являются все пользователи, имеющие доступ к базе данных. Нельзя явно установить членов этой роли, потому что все пользователи и так автоматически являются ее членами.
Используйте эту роль для предоставления минимального доступа пользователям, для которых права доступа к объектам не определены явно. Если в базе данных разрешен пользователь guest, то установленный для publiс доступ будут иметь все пользователи, получившие доступ к SQL Server. Роль public имеется во всех базах данных, включая системные базы данных master, tempdb, msdb, model, И не может быть удалена.
Группы Windows могут быть использованы аналогично ролям SQL Server. Можно создать одну учетную запись (login) для группы Windows и включать соответствующих пользователей вместо роли в группу Windows.
Выбор метода администрирования зависит от вас.
Роли приложения
Система безопасности SQL Server реализована на самом низком уровне — уровне базы данных. Это наилучший, наиболее действенный метод контроля деятельности пользователей независимо от приложений, используемых ими для подключения к SQL Server. Тем не менее встречаются ситуации, когда необходим постоянный набор прав для доступа к базе данных из приложения.
Особенно это касается работы с большими базами данных, имеющими множество сложных взаимосвязанных таблиц с тысячами или миллионами записей. Чаще всего для работы с такими базами данных создаются специальные приложения.
Кроме того, вы можете захотеть, чтобы пользователи получали доступ к базе данных только с помощью определенного приложения, не давая возможности напрямую обращаться к данным. Например, мобильные пользователи могут использовать специальную клиентскую программу, посредством которой они оперируют данными, устанавливая связь с сервером через незащищенные глобальные коммуникации.
SQL Server решает перечисленные проблемы путем использования роли приложения, создаваемой на уровне базы данных. Отличия между стандартными ролями и ролью приложения фундаментальны. Роль приложения не имеет членов. Пользователи SQL Server или Windows не могут быть добавлены в эту роль. Роль активизируется, когда приложение устанавливает соединение.
Пользователь, работающий в это время с приложением, не является членом роли — только его приложение использует установленное соединение.
Перед использованием роли приложения необходимо сначала создать ее. При создании роли укажите ее имя и пароль для доступа.
Рис. 7. Создание роли приложения
Приложение может быть спроектировано так, чтобы пользователь, работающий с ним, должен был вводить пароль для активизации роли приложения. Однако чаще всего пароль вводится самим приложением незаметно для пользователя. Дополнительно, для обеспечения максимальной безопасности, пароль может быть зашифрован перед своей отправкой к SQL Server по сети.
В процессе подключения приложение должно активизировать роль, передав пароль, ассоциированный с данной ролью. Когда роль приложения активизируется, все права доступа, установленные в пределах сеанса для пользователя, групп или ролей, теряются до окончания работы приложения. Соединение получает права, установленные для роли приложения в базе данных, в которой эта роль существует. Временное «забывание» прав доступа, присвоенных установившему соединение пользователю, требуется для устранения конфликтов доступа. В противном случае, если пользователю запрещено чтение данных, а приложению необходимо считать данные, доступ был бы отклонен, так как запрещение доступа имеет преимущества над предоставлением доступа.
Поскольку роль приложения имеет права только в той базе данных, в которой она создана, а все разрешения для учетных записей, групп и ролей, к которым принадлежит пользователь, теряются, то доступ к другим базам данных возможен только под гостевым именем guest. Следовательно, если имя guest в базе данных не существует, то соединение не сможет получить доступ к данным. Если же имя guest не удалено из базы данных, соединение сможет получить доступ к объектам базы только в том случае, если разрешения явно выданы для пользователя guest. Перед установлением соединения с использованием роли приложения пользователю сначала нужно получить доступ к SQL Server. Для этого допустимы оба режима аутентификации пользователей.
Если приложение спроектировано для выполнения различных задач с использованием разных прав доступа, необходимо создать отдельную роль для каждой выполняемой задачи. Приложение должно само позаботиться о переключении ролей.
Права доступа
Когда пользователи подключаются к SQL Server, действия, которые они могут выполнять, определяются правами (разрешениями), выданными их учетной записи, группе или роли, в которой они состоят.
Права в SQL Server можно разделить на три категории:
- права на доступ к объектам баз данных;
- права на выполнения команд Transact-SQL;
- неявные права (разрешения).
После создания пользователь не имеет никаких прав доступа, кроме тех, которые разрешены для специальной роли базы данных public. Права, предоставленные этой роли, доступны для всех пользователей в базе данных.
Права пользователю выдаются администратором либо владельцами баз данных или конкретных объектов баз данных. Для предоставления пользователю определенного набора прав можно использовать роли. Создав несколько ролей и предоставив им необходимые права доступа, администратор базы данных может просто включать пользователей в соответствующие роли. Пользователь автоматически получает все права доступа, определенные для роли.
Стандартные роли базы данных уже имеют определенный набор прав. Например, члены роли db_datareader могут просматривать любые данные в любой таблице.
Важно быть осторожным с предоставлением разрешений на доступ к данным. Необходимо внимательно контролировать права доступа, выдаваемые пользователю как непосредственно, так и через членство в группах Windows и ролях SQL Server. Особенно это касается больших систем безопасности с тысячами пользователей и десятками групп. Вы должны быть уверены, что существующая система безопасности дает возможность пользователю выполнять любые необходимые действия, но ограничивает доступ к информации, которая не требуется ему для выполнения своих обязанностей.
Используйте все возможности SQL Server, контролируя права доступа не только на уровне таблиц, но и на уровне столбцов. Указывая права доступа к конкретному столбцу, вы можете более гибко управлять системой безопасности.
Аналогичные рекомендации касаются разрешений на выполнение команд Transact-SQL. Можно спроектировать базу данных таким образом, что выполнять конкретные действия — создание таблиц, представлений, правил, резервных копий и т. д. — будут строго определенные пользователи.
Права на доступ к объектам баз данных
Работа с данными и выполнение хранимых процедур требуют наличия класса доступа, называемого правами на доступ к объектам баз данных. Под объектами подразумеваются таблицы, столбцы таблиц, представления, хранимые процедуры. Права на доступ к объектам баз данных контролируют возможность выполнения пользователями, например, команд SELECT, INSERT, UPDATE и DELETE для таблиц и представлений. Таким образом, если пользователю необходимо добавить новые данные в таблицу, ему следует предоставить право INSERT (вставка записей в таблицу). Предоставление же пользователю права EXECUTE разрешает ему выполнение каких-либо хранимых процедур.
Для различных объектов применяются разные наборы прав доступа к ним:
- SELECT, INSERT, UPDATE, DELETE, REFERENCES- эти права могут быть применены для таблицы или представления;
- SELECT и UPDATE — эти права могут быть применены к конкретному столбцу таблицы или представления;
- EXECUTE— это право применяется только к хранимым процедурам и функциям.
Рис. 8. Добавление прав и ограничений пользователям
Ниже приводится более подробное описание каждого из этих прав.
1. INSERT. Это право позволяет вставлять в таблицу или представление новые строки. Как следствие, право INSERT может быть выдано только на уровне таблицы или представления и не может быть выдано на уровне столбца.
2. UPDATE. Это право выдается либо на уровне таблицы, что позволяет изменять все данные в таблице, либо на уровне отдельного столбца, что разрешает изменять данные только в пределах конкретного столбца.
3. DELETE. Это право позволяет удалять строки из таблицы или представления. Как и право INSERT, право DELETE может быть выдано только на уровне таблицы или представления и не может быть выдано на уровне столбца.
4. SELECT. Разрешает выборку данных. Может выдаваться как на уровне таблицы, так и на уровне отдельного столбца.
5. REFERENCES. Возможность ссылаться на указанный объект. Применительно к таблицам разрешает пользователю создавать внешние ключи, ссылающиеся на первичный ключ или уникальный столбец этой таблицы. Применительно к представлениям право REFERENCES позволяет связывать представление со схемами таблиц, на основе которых строится представление. Это позволяет отслеживать изменения структуры исходных таблиц, которые могут повлиять на работу представления. Право REFERENCES не существовало в предыдущих версиях SQL Server.
Как следует из вышеизложенного, доступ можно предоставлять как на уровне всей таблицы или представления, так и на уровне отдельного столбца. Обычно не практикуется управление правами доступа на уровне конкретного столбца.
Если в таблице имеется один или более столбцов, доступ пользователей к которым необходимо ограничить, то в базе данных часто создается представление (view), включающее только те столбцы исходной таблицы, доступ к которым разрешен.
Предоставить или отклонить доступ пользователю базы данных ко всем объектам базы данных можно при помощи встроенных ролей базы данных. Например, для разрешения чтения данных из всех таблиц и представлений базы данных достаточно включить пользователя в фиксированную роль db_datareader, а не изменять права доступа пользователя к каждой таблице и представлению в отдельности.
Другой способ управления правами доступа заключается в предоставлении прав конкретному пользователю с помощью окна прав доступа пользователя. Для этого в окне Enterprise Manager выберите необходимую базу данных, а затем папку Users. Щелкните левой кнопкой мыши на выбранном пользователе. В появившемся окне щелкните на кнопке Permissions (права) и укажите необходимые права.
Запрещение доступа
Система безопасности SQL Server имеет иерархическую структуру. Это позволяет ролям базы данных включать в себя учетные записи и группы Windows, пользователей и роли SQL Server. Пользователь же, в свою очередь, может участвовать в нескольких ролях. Следствием иерархической структуры системы безопасности является то, что пользователь может одновременно иметь разные права доступа для разных ролей. Если одна из ролей, в которых состоит пользователь, имеет разрешение на доступ к данным, то пользователь автоматически имеет аналогичные права. Тем не менее может потребоваться запретить возможность доступа к данным. Когда вы запрещаете пользователю доступ к данным или командам Transact-SQL (deny access), тем самым аннулируются все разрешения на доступ, полученные пользователем на любом уровне иерархии. При этом гарантируется, что доступ останется запрещенным независимо от разрешений, предоставленных на более высоком уровне.
Пусть, например, вы создаете в базе данных таблицу, доступ к которой по умолчанию предоставлен всем пользователям, но вам необходимо временно ограничить доступ определенных пользователей к этой таблице. Вместо того чтобы отозвать разрешения на доступ, можно создать роль, которой будет запрещен доступ к этой таблице, и включить пользователей в эту роль. Проще контролировать несколько записей в роли, которая запрещает доступ, чем манипулировать множеством разрозненных учетных записей, пытаясь вспомнить, вернули ли вы права доступа пользователю обратно. При большом количестве пользователей такой подход позволяет упростить администрирование системы безопасности.
