.数据库的安全管理

1、数据库的平安管理第第14章章 数据库的平安管理数据库的平安管理教学目的与要求了解SQL Server的平安机制与身份验证模式；理解登录账号与数据库用户的区别；了解效劳器角色与数据库角色；掌握语句权限与对象权限的管理；第第14章章 数据库的平安管理数据库的平安管理重点身份验证模式；登录账号、数据库用户；对象权限、语句权限；难点GRANT、REVOKE、DENY1、SQL Server的平安机制的平安机制SQL Server的平安性是建立在身份验证和访问许可两种平安机制上的；身份验证用来确定登录SQL Server的用户的登录账号和密码是否正确，以此来验证其是否具有连接SQL Server的权限通

2、过身份验证并不代表其能够访问SQL Server中的数据库对象访问许可用来指定登录用户可以使用的数据库对象如表、视图、存储过程、函数等以及可以对这些对象执行的操作1、SQL Server的平安机制的平安机制SQL Server 的平安机制主要包括三个等级效劳器级别的平安性主要通过登录账号进行控制，要想访问一个数据库效劳器，必须拥有一个登录账号，登录账号可以是windows账号或组，也可以是SQLServer的登录账号；登录账号可以属于相应的效劳器角色；数据库级别的平安性主要通过数据库用户进行控制，要想访问一个数据库，必须拥有该数据库的一个用户，数据库用户是通过登录账号进行映射的，可以属于固定的

3、数据库角色或自定义的数据库角色；数据对象级别的平安性通过设置数据对象的访问权限进行控制的；1、SQL Server的平安机制的平安机制SQL Server 的平安机制主要包括三个等级1、SQL Server的平安机制的平安机制两种身份验证模式两种身份验证模式：Windows身份验证和混合验证即Windows验证或SQL Server验证Windows身份验证使用Windows操作系统的平安机制验证用户身份，只要用户能够通过Windows用户账号验证，即可连接到SQL Server而不再进行身份验证混合验证对于可信任连接用户(由Windows验证)，系统直接采用Windows的身份验证机制否那么

4、采用SQL Server身份验证模式，用户在连接SQL Server时必须提供登录名和密码，这些登陆信息存储在系统表syslogins中，与Windows的登陆帐号无关1、SQL Server的平安机制的平安机制身份验证模式设置2、登录账号管理、登录账号管理登录账号是效劳器级用户访问数据库系统的标识为了访问SQL Server系统，用户必须提供正确的登录账号，这些登录账号既可以是Windows登录账号，也可以是SQL Server登录账号，但它必须是符合标识符规那么的惟一名字登录账号的信息是系统信息，存储在master数据库的sysxlogins系统表中，用户如需要有关登录账号的信息可以到该表

5、中查询2、登录账号管理、登录账号管理查看登录账号2、登录账号管理、登录账号管理-使用使用SSMS管理登录账号管理登录账号添加一个Windows NT用户或用户组例1：增加windows用户“WTQ-PCTest2、登录账号管理、登录账号管理-使用使用SSMS管理登录账号管理登录账号添加一个Windows NT用户或用户组例1(续)：增加windows用户“WTQ-PCTest2、登录账号管理、登录账号管理-使用使用SSMS管理登录账号管理登录账号添加一个Windows NT用户或用户组例1 (续) ：增加windows用户“WTQ-PCTest2、登录账号管理、登录账号管理-使用使用SSMS管

6、理登录账号管理登录账号添加一个SQL Server用户例2：增加SQL Server用户，用户名sql，密码pwd2、登录账号管理、登录账号管理-使用使用SSMS管理登录账号管理登录账号添加一个SQL Server用户例2 (续) ：增加SQL Server用户，用户名sql，密码pwd2、登录账号管理、登录账号管理-使用使用SSMS管理登录账号管理登录账号修改登录账号例3：修改登录账号“sql的属性2、登录账号管理、登录账号管理-使用使用SSMS管理登录账号管理登录账号修改登录账号例3 (续) ：修改登录账号“sql的属性2、登录账号管理、登录账号管理-使用使用SSMS管理登录账号管理登录账

7、号修改登录账号例3 (续) ：修改登录账号“sql的属性2、登录账号管理、登录账号管理-使用使用SSMS管理登录账号管理登录账号修改登录账号例3 (续) ：修改登录账号“sql的属性2、登录账号管理、登录账号管理-使用使用SSMS管理登录账号管理登录账号修改登录账号例3 (续) ：修改登录账号“sql的属性2、登录账号管理、登录账号管理-使用使用SSMS管理登录账号管理登录账号删除登录账号例4：删除登录账号“WTQ-PCTest2、登录账号管理、登录账号管理-使用使用T-SQL命令管理登录账号命令管理登录账号添加一个Windows NT用户或用户组例5：增加windows用户“WTQ-PCTe

8、st，默认数据库为DBS2、登录账号管理、登录账号管理-使用使用T-SQL命令管理登录账号命令管理登录账号添加一个SQL Server用户例6：增加SQL Server用户，用户名sql，密码pwd，默认数据库为DBS2、登录账号管理、登录账号管理-使用使用T-SQL命令管理登录账号命令管理登录账号修改登录账号例7：修改登录账号“sql的属性2、登录账号管理、登录账号管理-使用使用T-SQL命令管理登录账号命令管理登录账号删除登录账号例8：删除Windows登录账号“WTQ-PCTest 例9：删除SQL Server登录账号“sql3、数据库用户管理、数据库用户管理数据库用户登录账号登录成功

9、后，如果想要操作数据库，必须有一个数据库用户账号，然后为这个数据库用户设置某种角色，才能进行相应的操作；数据库用户可以与登录账号相同，也可以不相同；每个登录帐号在一个数据库中只能有一个用户帐号，但每个登录帐号可以在不同的数据库中各有一个用户帐号。如果在新建登录帐号过程中，指定它对某个数据库具有存取权限，那么在该数据库中将自动创立一个与该登录帐号同名的用户帐号；3、数据库用户管理、数据库用户管理登录账号与数据库用户的区别一个合法的登录账号只说明该账号通过了NT认证或SQL Server 认证，但不能说明其可以对数据库数据和数据对象进行某种或某些操作只有当其同时拥有了数据库用户账号后，才能够访问相

10、应的数据库一个登录账号总是与一个或多个数据库用户账号这些账号必须分别存在相异的数据库中相对应，这样才可以访问数据库例如，登录账号sa 自动与每一个数据库用户dbo 相关联3、数据库用户管理、数据库用户管理创立数据库用户例10：在数据库DBS中创立数据库用户3、数据库用户管理、数据库用户管理创立数据库用户例 10 (续) ：在数据库DBS中创立数据库用户3、数据库用户管理、数据库用户管理创立数据库用户例10 (续) ：在数据库DBS中创立数据库用户3、数据库用户管理、数据库用户管理修改数据库用户例11：修改数据库DBS中数据库用户sql3、数据库用户管理、数据库用户管理删除数据库用户例12：删除

11、数据库DBS中数据库用户sql4、角色管理、角色管理 利用角色，SQL Server 管理者可以将某些用户设置为某一角色，这样只对角色进行权限设置便可实现对所有用户权限的设置，大大减少了管理员的工作量； “角色类似于 Microsoft Windows 操作系统中的“组 SQL Server中有两种角色 固有效劳器角色 数据库角色 固有数据库角色 应用程序角色4、角色管理、角色管理-固有效劳器角色固有效劳器角色效劳器级角色也称为“固定效劳器角色，因为用户不能删除，也不能创立新的效劳器级角色；效劳器级角色的权限作用域为效劳器范围。可以向效劳器级角色中添加 SQL Server 登录名、Windo

12、ws 帐户和 Windows 组。固定效劳器角色的每个成员都可以向其所属角色添加其他登录名。4、角色管理、角色管理-固有效劳器角色固有效劳器角色4、角色管理、角色管理-固有效劳器角色固有效劳器角色sysadmin ：可以在效劳器上执行任何活动；：可以在效劳器上执行任何活动；Serveradmin：可以更改效劳器范围的配置选项和关闭效劳器：可以更改效劳器范围的配置选项和关闭效劳器securityadmin ：可以管理登录名及其属性；：可以管理登录名及其属性；processadmin ：可以终止在：可以终止在SQL Server 实例中运行的进程实例中运行的进程setupadmin ：可以添加和删

13、除链接效劳器；：可以添加和删除链接效劳器；bulkadmin ：可以运行：可以运行 BULK INSERT 语句；语句；diskadmin ：用于管理磁盘文件；：用于管理磁盘文件；dbcreator ：可以创立、更改、删除和复原任何数据库；：可以创立、更改、删除和复原任何数据库；每个每个 SQL Server 登录名都属于登录名都属于 public 效劳器角色；效劳器角色；4、角色管理、角色管理-固有数据库角色固有数据库角色固定数据库角色是在数据库级别定义的，并且存在于每个数据库中；一个数据库角色只在其所在的数据库中有效，对其他数据库无效；可以向数据库级角色中添加任何数据库帐户和其他 SQL

14、Server 角色；用户不能删除固有的数据库角色；4、角色管理、角色管理-固定数据库角色固定数据库角色4、角色管理、角色管理-固定数据库角色固定数据库角色db_owner ：可以执行数据库的所有配置和维护活动，还可以删除数据库；db_securityadmin：可以修改角色成员身份和管理权限；db_accessadmin：可以为 Windows 登录名、Windows 组和 SQL Server 登录名添加或删除数据库访问权限；db_backupoperator：可以备份数据库；db_ddladmin：可以在数据库中运行任何数据定义语言 (DDL) 命令db_datawriter：可以在所有用

15、户表中添加、删除或更改数据；db_datareader：可以从所有用户表中读取所有数据；db_denydatawriter：不能添加、修改或删除数据库内用户表中的任何数据；db_denydatareader：不能读取数据库内用户表中的任何数据；每个数据库用户都属于 public 数据库角色；4、角色管理、角色管理-应用程序角色应用程序角色应用程序角色是一种比较特殊的由用户定义的数据库角色如果想让某些用户只能通过特定的应用程序间接地存取数据库中的数据，而不是直接地存取数据库数据时，就应该考虑使用应用程序角色；应用程序角色默认情况下不包含任何成员， 且是非活动的必须为应用程序角色设计一个密码以激活

16、它；5、权限管理、权限管理许可权限用来指定授权用户可以使用的数据库对象和这些授权用户可以对这些数据库对象执行的操作；在SQL Server中包括三种类型的许可：对象许可、语句许可和隐含许可；5、权限管理、权限管理-对象许可对象许可表示对特定的数据库对象，即表、视图、字段和存储过程的操作许可；它决定了能对表、视图、存储过程等执行哪些操作如UPDATE、DELETE、INSERT、EXECUTE；如果用户想要对某一对象进行操作，其必须具有相应的操作的权限；例如，当用户要成功修改表中数据时，那么前提条件是已被授予表的UPDATE 权限；5、权限管理、权限管理-对象许可对象许可例13：为数据库DBS中

17、的用户sql授予对Student表的select、insert权限，拒绝update、delete权限5、权限管理、权限管理-语句许可语句许可指定用户是否具有权限来执行某一语句，这些语句通常是一些具有管理性的操作，如创立数据库、表、存储过程等；还包括备份数据库和事务日志的权限；5、权限管理、权限管理-语句许可语句许可例14：为数据库DBS中的用户sql授予备份数据库的权限，拒绝创立表的权限5、权限管理、权限管理-隐含许可隐含许可系统自行预定义而不需要授权就有的权限，包括固定效劳器角色、固定数据库角色和数据库对象所有者所拥有的权限；例如：效劳器角色sysadmin的成员可以在整个效劳器范围内从事任何操作，数据库拥有者db_owner被授予了对其所创立的数据库的一切权限；5、权限管理、权限管理-使用使用T-SQL语句管理权限语句管理权限GRANT 授予权限DENY 拒绝权限REVOKE 撤销权限5、权限管理、权限管理-使用使用T-SQL语句管理权限语句管理权限例15：将查询Student表的权限授予用户sql 例16：将Student表全部操作权限授予用户sql 例17：将SC表的查询权限授予所有用户 例18：将查询Student表和修改Sname的权限授予用户sql5、权限管理、权限管理-使用使用T-SQL语句管理权限语句管理权限