安全性管理 PPT学习教案

1、会计学1安全性管理安全性管理 2第第9章章 SQL Server的安全性管理的安全性管理 第1页/共63页3行各种操作的权限行各种操作的权限n主要是针对数据库对象，如表、视图、主要是针对数据库对象，如表、视图、存储过程和自定义函数等。存储过程和自定义函数等。第2页/共63页49.2 SQL Server的登录模式的登录模式第3页/共63页5表示在表示在NT或或2000中只要属于中只要属于Administrators组的账号都允许登录组的账号都允许登录SQL Server网络域名网络域名Administrator表示所属网络域中的表示所属网络域中的Administrator账号才能登录账号才能登

2、录SQL Servern Windows认证模式认证模式第4页/共63页6第5页/共63页7第6页/共63页8第7页/共63页9第8页/共63页10第9页/共63页11Windows NTWindows 2000用户组，如：用户组，如：Administratorsn必须在必须在“域域”中输入中输入BUILTIN 而不是而不是NT主机名或主机名或NT网络域名网络域名第10页/共63页12sp_addlogin 功能功能创建新的使用创建新的使用SQL Server 认证模式的登录账号认证模式的登录账号 格式格式sp_addlogin 登录名登录名 ,登录密码登录密码,登录时缺省数据库登录时缺省数据

3、库,登录登录时缺省语言时缺省语言 说明说明登录名和密码最大长度为登录名和密码最大长度为128 个字符，可以是英文字母、数字，个字符，可以是英文字母、数字，但以下但以下3种登录名被视为无效种登录名被视为无效（1）登录名包括）登录名包括字符字符（2）登录名是一个保留名，如）登录名是一个保留名，如sa或或public或是已存在的登录名或是已存在的登录名（3）登录名不能为）登录名不能为NULL或一个空字符串或一个空字符串举例举例exec sp_addlogin FirstUser,123456,学生学籍数据库学生学籍数据库, us_englishsp_droplogin 功能功能删除登录账号，禁止其访

4、问删除登录账号，禁止其访问SQL Server格式格式sp_droplogin 登录名登录名说明说明不能删除系统管理员不能删除系统管理员sa以及当前连接到以及当前连接到SQL Server 的登录的登录举例举例sp_droplogin FirstUser 注：注：sp_addlogin和和sp_droplogin只能用在只能用在SQL Server 认证模式下认证模式下第11页/共63页13sp_grantlogin 功能功能 将将Windows用户或用户组设定为用户或用户组设定为SQL Server 登录者登录者格式格式 sp_grantlogin 登录名登录名说明说明 登录名需用登录名需用

5、“域域用户名用户名”或或“BUILTIN用户组名用户组名”给出给出举例举例将将Windows用户用户“a1”设定为设定为SQL Server 登录者登录者 exec sp_grantlogin S4033a1 续前表续前表第12页/共63页14sp_denyloginsp_denylogin 功能功能拒绝拒绝WindowsWindows用户或用户组连接到用户或用户组连接到SQL ServerSQL Server格式格式sp_denyloginsp_denylogin 登录名登录名 说明说明登录名需用登录名需用“域域 用户名用户名”或或“BUILTINBUILTIN用户组名用户组名”给出给出举例

6、举例例：拒绝例：拒绝WindowsWindows用户用户S4033a1S4033a1登录到登录到SQL ServerSQL Serverexec exec sp_denyloginsp_denylogin S4033a1 S4033a1 sp_revokelogisp_revokelogin n 功能功能废除废除WindowsWindows用户或用户组在用户或用户组在SQL ServerSQL Server上的登录权上的登录权格式格式sp_revokeloginsp_revokelogin 登录名登录名 说明说明若若WindowsWindows用户用户a1a1属于组属于组Group1Group

7、1，则只要则只要Group1Group1具有登录具有登录SQL Server SQL Server 的权限，即使执行了的权限，即使执行了sp_revokeloginsp_revokelogin，用户用户a1a1仍可登录到仍可登录到SQL ServerSQL Server。若用户若用户a1a1的登录权未被废除，即使的登录权未被废除，即使Group1Group1的登录权被废除，的登录权被废除，则该用户仍能登录则该用户仍能登录SQL ServerSQL Server。举例举例废除废除WindowsWindows用户用户S4033a1S4033a1登录到登录到SQL Server SQL Server

8、 的访问权的访问权exec exec sp_revokeloginsp_revokelogin S4033a1 S4033a1sp_granloginsp_granlogin 和和 sp_revokeloginsp_revokelogin 只能用于只能用于WindowsWindows认证模式下，设定认证模式下，设定WindowsWindows用户用户或用户组账号，不能对或用户组账号，不能对SQL ServerSQL Server认证模式下的登录账号进行设定认证模式下的登录账号进行设定 续前表续前表第13页/共63页15sp_helplogins 功能功能显示显示SQL Server所有登录者的

9、信息，包括每个数据库中与该所有登录者的信息，包括每个数据库中与该登录者相对应的用户名登录者相对应的用户名格式格式 sp_helplogins 登录名登录名说明说明若未指定若未指定“登录名登录名”，则显示当前数据库中所有登录者的信，则显示当前数据库中所有登录者的信息（包括息（包括Windows登录者）登录者）举例举例 显示登录者显示登录者a1的登录信息的登录信息,sp_helplogins FirstUser 续前表续前表第14页/共63页169.3 SQL Server用户标识和鉴别用户标识和鉴别第15页/共63页17允许其以该用户账号访问数据库允许其以该用户账号访问数据库登录用户是否合法的数

10、据库用户账号登录用户是否合法的数据库用户账号允许登录用户以允许登录用户以guest 用户来访问数据库用户来访问数据库是否有是否有guest用户用户该登录用户被拒绝该登录用户被拒绝有有有有无无无无第16页/共63页18第17页/共63页19用户账号总是基于数据库的，故两个不同数据库中可以有两个相同的用户账号用户账号总是基于数据库的，故两个不同数据库中可以有两个相同的用户账号 第18页/共63页20sp_grantdbaccess 功能功能为为SQL Server登录者或登录者或Windows用户或用户组建立一用户或用户组建立一个相匹配的数据库用户账号个相匹配的数据库用户账号格式格式sp_gran

11、tdbaccess ,说明说明：SQL Server 登录名或登录名或Windows用户或用户用户或用户组。若用组。若用Windows用户或用户组，则必须给出用户或用户组，则必须给出Windows主机名或主机名或Windows网络域名。网络域名。登录账号或登录账号或Windows用户或用户组必须存在用户或用户组必须存在：登录账号相对应的数据库用户名。：登录账号相对应的数据库用户名。当前数据库中没有该数据库用户名，若不给出该参数当前数据库中没有该数据库用户名，若不给出该参数值，则值，则SQL Server 把登录名作为默认的缺省用户名把登录名作为默认的缺省用户名举例举例将用户将用户FirstUs

12、er映射到当前数据中，其用户名为映射到当前数据中，其用户名为FirstDBUserexec sp_grantdbaccess FirstUser,FirstDBUsersp_helpuser 功能功能显示当前数据库的指定用户信息显示当前数据库的指定用户信息格式格式sp_helpuser 说明说明若不指出参数，则显示所有用户信息若不指出参数，则显示所有用户信息举例举例exec sp_helpuser第19页/共63页21sp_revokedbaccess 功能功能删除数据库用户删除数据库用户格式格式sp_revokedbaccess 说明说明将数据库用户从当前数据库中删除，其对应的登录者则将数据

13、库用户从当前数据库中删除，其对应的登录者则无法使用该数据库无法使用该数据库若被删除的数据库用户在当前数据库中拥有任一对象，若被删除的数据库用户在当前数据库中拥有任一对象，如：表、视图、存储过程，则无法删除，只有在删除其如：表、视图、存储过程，则无法删除，只有在删除其所拥有的对象后，才可以将数据库用户删除所拥有的对象后，才可以将数据库用户删除举例举例删除删除“学生学籍数据库学生学籍数据库”的用户的用户FirstDBUserExec sp_revokedbaccess FirstDBUser续前表续前表第20页/共63页229.4 角色与权限角色与权限第21页/共63页23第22页/共63页24对

14、象对象操作类型操作类型表表SELECT、INSERT、UPDATE、DELETE、REFERENCES 视图视图SELECT、UPDATE、INSERT、DELETE 存储过程存储过程EXECUTE 列列SELECT、UPDATE n语句权语句权限限CREATE DATABASE创建数据库创建数据库 CREATE TABLE 创建表创建表CREATE VIEW 创建视图创建视图CREATE RULE 创建规则创建规则CREATE DEFAULT 创建默认值创建默认值CREATE PROCEDURE 创建存储过程创建存储过程BACKUP DATABASE 备份数据库备份数据库BACKUP LOG

15、 备份日志备份日志REFERENCES表示允许别的表的所有者引用本表的列作为外键约束表示允许别的表的所有者引用本表的列作为外键约束 第23页/共63页25第24页/共63页26第25页/共63页27GRANT ALL | ,nTO ,nGRANT ALL|,n(,) ON | ON (,n)| ON | ON TO ,n WITH GRANT OPTION ALL表示授予该用户所有的对象权限表示授予该用户所有的对象权限WITH GRANT OPTION 表示该权限的被表示该权限的被授予者可以向其它用户授予这些权限授予者可以向其它用户授予这些权限第26页/共63页28第27页/共63页29第28

16、页/共63页30第29页/共63页31第30页/共63页32固定服务器角色名固定服务器角色名 角色的权限角色的权限 Sysadmin 可在可在SQL Server 中执行任何操作中执行任何操作ServeradminSQL Server服务器范围内的配置服务器范围内的配置setupadmin增加、删除连接服务器，并执行某些系统存储过程增加、删除连接服务器，并执行某些系统存储过程Securityadmin管理管理数据库登录管理管理数据库登录processadmin管理管理SQL Server进程进程dbcreator创建数据库并修改数据库创建数据库并修改数据库diskadmin管理磁盘文件管理磁盘

17、文件Bulkadmin执行执行BULK INSERT（大容量插入）操作大容量插入）操作第31页/共63页33sysadmin角色的所有权限角色的所有权限第32页/共63页34sp_addsrvrolemember 功功能能将某一登录者加入到服务器角色中成为该角色的成员将某一登录者加入到服务器角色中成为该角色的成员格格式式sp_addsrvrolemember 登录者名登录者名, 服务器角色服务器角色举举例例将登录者将登录者FirstUser加入到加入到sysadmin 角色中角色中EXEC sp_addsrvrolemember FirstUser,sysadminsp_dropsrvrrol

18、emember 功功能能将某一登录者从某一服务器角色中删除使之不再具有将某一登录者从某一服务器角色中删除使之不再具有该服务器角色所赋予的权限该服务器角色所赋予的权限格格式式sp_dropsrvrolemember 登录者名登录者名,服务器角色服务器角色举举例例EXEC sp_dropsrvrolemember FirstUser, sysadmin第33页/共63页35第34页/共63页36固定数据库角色名固定数据库角色名 角色的权限角色的权限 db_owner数据库的所有者，可以执行任何数据库管理工作，可以对数据数据库的所有者，可以执行任何数据库管理工作，可以对数据库内的任何对象进行任何操作

19、，如删除、创建对象、将对象权库内的任何对象进行任何操作，如删除、创建对象、将对象权限指定给其它用户。该角色包含下面各角色的所有权限限指定给其它用户。该角色包含下面各角色的所有权限db_accessadmin 可增加或删除可增加或删除Windows认证模式下认证模式下Windows用户或用户或Windows用用户组登录者以及户组登录者以及SQL Server用户用户db_datareader能且仅能对数据库中所有表执行能且仅能对数据库中所有表执行SELECT操作，以读取所有表操作，以读取所有表数据数据db_datawriter能对数据库中所有表执行能对数据库中所有表执行INSERT、UPDATE

20、、DELETE操作，操作，但不能进行但不能进行SELECT操作操作db_addladmin可以新建、删除、修改数据库中任何对象可以新建、删除、修改数据库中任何对象db_securityadmin管理数据库内权限的管理数据库内权限的GRANT、DENY和和REVOKE，主要包括语主要包括语句和对象权限，也包括对角色权限的管理句和对象权限，也包括对角色权限的管理db_backupoperator可以备份数据库可以备份数据库db_denydatareader不能对数据库中任何表执行不能对数据库中任何表执行SELECT 操作操作db_denydatawriter不能对数据库中任何表执行不能对数据库中任

21、何表执行UPDATE、DELETE和和INSERT 第35页/共63页37第36页/共63页38注：注：“权限权限”按钮处于禁用状态，只有重新进入按钮处于禁用状态，只有重新进入”新建角色新建角色”对话框该按钮才可用。当新对话框该按钮才可用。当新建数据库角色创建成功，可以通过以上步骤重新进入，此时建数据库角色创建成功，可以通过以上步骤重新进入，此时“权限权限”为可用状态，单击按为可用状态，单击按钮弹出钮弹出“数据库角色属性数据库角色属性”对话框，进行角色权限设置。对话框，进行角色权限设置。 第37页/共63页39sp_addrole 功能功能创建新数据库角色创建新数据库角色 格式格式sp_add

22、role 数据库角色名数据库角色名 ,数据库角色的所有者数据库角色的所有者 举例举例在数据库学生学籍数据库中建立新的数据库角色在数据库学生学籍数据库中建立新的数据库角色SelectTablesp_addrole SelectTable sp_droprole 功能功能删除数据库中某一自定义的数据库角色删除数据库中某一自定义的数据库角色 格式格式sp_droprole 数据库角色数据库角色说明说明不能删除固定数据库角色，如不能删除固定数据库角色，如db_ddladmin、 db_owner，缺缺省情况下是省情况下是dbo举例举例将学生学籍数据库的数据库角色将学生学籍数据库的数据库角色Select

23、Table删除删除sp_droprole SelectTablesp_helprole功能功能显示当前数据库所有的数据库角色的信息显示当前数据库所有的数据库角色的信息格式格式sp_helprole 数据库角色数据库角色说明说明显示数据库学生学籍数据库的所有数据库角色信息显示数据库学生学籍数据库的所有数据库角色信息举例举例sp_helprole第38页/共63页40sp_addrolemember功能功能向数据库某一角色中添加数据库用户向数据库某一角色中添加数据库用户格式格式sp_addrolemember 数据库角色数据库角色,SQL Server 数据库用户数据库用户或或Windows用户或

24、用户组用户或用户组说明说明用户用户FirstDBUser加入到角色加入到角色SelectTable中中举例举例sp_addrolemember SelectTable, FirstDBUsersp_droprolemember功能功能删除某一角色的成员删除某一角色的成员格式格式sp_droprolemember 数据库角色数据库角色,数据库用户或数据库用户或Windows用户或用户组用户或用户组举例举例将用户将用户FirstDBUser从数据库角色中删除从数据库角色中删除sp_droprolemember SelectTable, FirstDBUsersp_helprolemember 功能

25、功能显示某一数据库角色的所有成员显示某一数据库角色的所有成员格式格式sp_helprolemember 数据库角色数据库角色说明说明包括固定数据库角色。固定数据库角色不能是数据库角色包括固定数据库角色。固定数据库角色不能是数据库角色的成员，如不能将的成员，如不能将db_accessadmin 加入到自建的角色加入到自建的角色SelectTable中中举例举例显示学生学籍数据库中所有角色的成员显示学生学籍数据库中所有角色的成员 sp_helprolemember 续前表续前表第39页/共63页41第40页/共63页42第41页/共63页43第42页/共63页44第43页/共63页45第44页/共

26、63页469.5 数据库的并发控制数据库的并发控制第45页/共63页47事务甲事务甲事务乙事务乙时间时间读余额读余额D为为1000读余额读余额D为为1000更新余额更新余额D=D-300t1t2t3t4更新余额更新余额D=D-200第46页/共63页48，数据数据D以进行校验，但得到的结果不同于以进行校验，但得到的结果不同于其第一次读取的结果，即两次读取值不其第一次读取的结果，即两次读取值不一致。一致。第47页/共63页49事务甲事务甲事务乙事务乙时间时间读余额读余额D为为700读余额读余额X为为1000并更新余额并更新余额D=D-300t1t2t3t4更新余额更新余额D=D-200余额为余额为500因故回滚，余额因故回滚，余额D为恢复为为恢复为1000“脏脏”数据数据污读污读第48页/共63页50事务甲事务甲事务乙事务乙时间时间读余额读余额D为为1000并更新余额并更新余额D=D-200读余额读余额D为为1000t1t2t3读余额读余额D为为800两次读结果不一样两次读结果不一样不能重读不能重读第49页/