数据库安全技术及应用

第6章数据库安全技术目录6.1数据库的安全性1

6.2完整性控制

2

6.4数据备份与恢复46.3并发控制与封锁3

6.6本章小结

6

6.5数据库安全解决方案5本章要点及教学目标本章要点●数据库的安全性、权限及监控方法●数据完整性控制●并发控制与封锁技术●数据备份与恢复●数据库安全解决方案教学目标●理解数据库的安全性、权限及监控方法●了解数据完整性控制、并发控制与封锁技术●掌握数据备份与恢复

●理解数据库安全解决方案重点6.1数据库的安全性数据库安全性问题1．数据库安全性的概念

数据库的安全性是指保护数据库系统和数据，以防止非法使用所造成的数据泄漏、更改或破坏。数据库管理系统安全性保护是通过各种防范措施以防止用户越权使用数据库。数据库系统中一般采用用户标识和鉴别、存取控制、视图以及密码存储等技术进行安全控制。数据库安全的核心和关键是其数据安全。

数据安全是指防止数据信息被故意的或偶然的非授权泄露、更改、破坏或使数据信息被非法的系统辨识与控制。以确保数据的完整性、保密性、可用性和可控性。由于数据库保存着大量的重要信息和机密数据，而且在数据库系统中大量数据集中存放，为许多用户共享，因此，加强对数据库访问的控制和数据安全防护至关重要。主要指标之一6.1数据库的安全性数据库安全分为系统安全性和数据安全性.

系统安全性是指在系统级控制数据库的存取和使用的机制，包含：

(1)有效的用户名/口令的组合；(2)对用户可连接数据库授权；(3)用户对象可用的磁盘空间的数量；(4)用户的资源限制；(5)数据库审计有效性；(6)用户可执行的系统操作。

数据安全性是在对象级控制数据库的存取和使用的机制，包括用户可存取指定的模式对象及在对象上允许具体操作类型。【案例6-1】某银行以数据安全业务价值链,可将数据库安全的技术手段分为预防保护类、检测跟踪类和响应恢复类等3大类，如图6-1所示：图6-1数据库安全关键技术6.1数据库的安全性2．SQLServer的安全性

SQLServer系统负责管理大量的业务数据，保证其业务数据的安全是数据库管理员DBA的一项最重要任务。SQLerver系统提供了强大的安全机制来保证数据的安全。安全性包括3个方面：管理规章制度方面的安全性、数据库服务器物理方面的安全性和数据库服务器逻辑方面的安全性。在此主要讨论数据库服务器逻辑方面的安全性，身份验证模式是SQLServer系统验证客户端和服务器之间连接的方式。SQL系统提供了两种身份验证模式：Windows身份验证模式和混合模式。

3.SQLServer的安全机制SQLServer具有权限层次安全机制。SQLServer2005的安全性管理可分为3个等级：操作系统级、SQLServer级和数据库级。6.1数据库的安全性

（1）操作系统级的安全性用户使用客户机通过网络实现SQLServer服务器访问时，首先要获得操作系统的使用权。SQL可直接访问网络端口，对Windows安全体系以外的服务器及其数据库的访问。由于SQL采用了集成Windows网络安全性机制，所使得OS安全性提高。

（2）SQLServer级的安全性SQLServer的服务器级安全性建立在控制服务器登录帐号和口令基础上。采用标准SQLServer登录和集成WindowsNT登录两种方式。用户在登录时提供的登录帐号和口令，决定了用户能否获得SQLServer的访问权和在获得访问权后拥有的具体权限。（3）数据库级的安全性用户通过SQLServer服务器的安全性检验后，直接面对第三次安全性检验。在建立用户的登录帐号信息时，提示用户选择默认的数据库。在默认的情况下只有数据库的拥有者才可访问该数据库的对象，并分配访问权限给别的用户,以便让别的用户也拥有该数据库的访问权利，在SQLServer中并不是所有的权利都可转让分配。6.1数据库的安全性6.1.2数据库权限管理1.权限管理概念

权限是执行操作及访问数据的通行证。主体和安全对象之间通过权限相关联，主体可请求系统资源的用户、组和进程。SQL管理者可以通过权限保护分层实体（安全对象）集合。权限用于控制用户对数据库对象的访问，指定用户对数据库可执行的操作，用户可以设置服务器和数据库的权限。主要包括3种权限：服务器权限(DBA)、数据库对象权限和数据库权限。(1)服务器权限服务器权限允许DBA执行任务。权限定义在固定服务器角色中.这些角色可分配给登录用户，但这些角色是不能修改。一般只将服务器权限授给DBA,而不需修改或者授权给别的用户登录.

(2)数据库对象权限数据库对象是授予用户以允许他们访问数据库中对象的一类权限，对象权限对于使用SQL语句访问表或视图是必须的。数据库权限用于控制对象访问和语句执行6.1数据库的安全性【案例6-2】在SQLServerManagementStudio（简称SSMS）中给用户添加对象权限。依次单击“对象资源管理器”窗口中树型节点前“＋”号,直到展开目标数据库“用户”节点.在“用户”节点下的目标用户上右键,弹出快捷菜单,选择“属性(R)”命令。图6-2利用对象资源管理器为用户添加对象权限6.汪1数据阿库的铸安全遣性(3扎)数据咱库权畏限对象电权限使用页户能够访问存在卸于数杂据库葬中的达对象米，除叔了数据千库对皆象权限叮外，计还可朽给用时户分配数据全库权死限。它分除了授权用户猫可以创建数据悦库对偏象和进行数据剑库备份外，乖还增盼加一仿些更改数据塑库对串象的脆权限胳。一传个用顶户可直接枕分配猎到权限温也可作为一个亮角色仓中的左成员间接渣得到权限.【案例6-友3】通过下面李方式奴给用城户添加数据印库权财限。在“对象垄资源颈管理悦器”窗灵口中艳，单击服务探器前撑的“+”号，展开服务熄器节上点。单击“数据艺库”前拨的“+”号，展开数据窄库节妄点。签在要根给用子户添加数据奋库权右限的犹目标河数据宋库上单击鼠标收右键节，弹出快捷勉菜单唇，如缠图6-该3所示蝇，从饲中选择“属搬性(R野)”命渡令。图6-造3利用吐对象如资源非管理央器为抛用户砖添加DB权限6.改1数据玻库的宝安全可性2.希S舍QL的安台全模税式与灿验证（1）SQ梅L的安锁全模掠式SQ穿L蚀Se张rv满er采用两层安全廊模式：第一羊层是访问SQ异L，验证连接之人的有效宪账号（称肥为登录）。第二胆层访问数据符库。SQ缸L支持多个怜数据微库，拼每个脏数据层库都片有各恭自的允安全俩层，通过用户载账号提供对数域据库航的访问。在暖各数闹据库益中建立用户朋时，急可根据需要限制对数特据库橡的访问。（2）登朝录身魂份验累证模元式及掘设置用户连接圣到SQ批L账户拢称为登录：用丝式户为杠特定蠢数据老库定义时才顺可创建。SQ肉L为每棕一用户户分配作了唯一弱的用迟户名晒和密挽码。会可为办不同颗账号授予不同佳的安粥全级氏别。访问SQ而L登录食有两种汇验证批模式：Wi喊nd东ow忠s身份颗验证铲和混宪合模臭式身铜份验奔证（庭登录垮名和拆密码框）。SQ突L如Se碧rv衔er与Wi仅nd蚀ow膝s二者登录安全雅过程诱结合释起来提供安全音登录扒服务咐。网络衰安全澡性通过向Wi完nd竟ow效s提供复杂叹加密隐过程进行彩验证。用列户登刊录一涨经过诸验证爆，访问SQ卫L票Se傲rv呜er不再奏需要烤其他身份担验证。6.吐1数据秆库的旬安全确性【案例6-在4】在SS另MS中设置身份隔验证妖模式的方绕法。1）打开SS茎MS并连接堵到目标服务膛器，在队“资源煮管理皆器”窗通口中宇，在易目标亮服务从器上单击鼠标右键,弹出快捷槽菜单,从中选择“属钥性”诸命令,如图6-暂4所示.2）出现“服务例器属恨性”窗洞口，选择“选旺择页就”中拼的“砖安全名性”型选项拍，进入安全娃性设煮置页面巩，如马图6-痕5所示旁。图6-宫4利用权对象付资源搜管理报器设叛置身域份验禽证模梁式源图6-还5服务稠器属冤性窗表口的楼安全梯性页英面6.拉1数据茶库的匠安全牌性3）在闯“服务侄器身该份验兆证”选塌项级猾中选择验证猎模式泳前的单渐选按需钮，选中需要消的验证肾模式。用裙户还僻可以董在“登录陶审核”选集项级道中设置需要彩的审核省方式，如俘图6-况6所示兽。图6-秘6服务杂器属甲性审核匀方式取决舌于安仆全性馆要求,4种审核疾级别为：●“无蜓”:不使尤用登框录审肺核.●“仅柔限失迟败的柿登录恐”:记录拔所有爪的失检败登馒录。●“仅倍限成辱功的造登录抛”:记录振所有但的成肿功登葬录。●“失总败和若成功拘的登寺录”:记录谁所有蠢的登灿录。最后沈单击氏“确极定”粥按钮盟，完姜成登量录验辨证模臣式的绕设置6.绕1数据陕库的糊安全释性3.权限跌的管籍理在SQ前L中，架不同对象巨有不雾同的欠权限。权限紧管理的内容包括顽：权艘限的邀类型罢、授桂予权愧限、益收回汪权限搬、否菊认权丧限等珠几个嘉方面迷。(1鞠)权限样的种凶类权限乳的种朵类，可按照冷预先坦定义开分为：预先午定义的权烛限和预先蜡未定赴义的权盼限。按照摆针对障的对原象也服可分冤为：针对所有诵对象忧的权足限和针对特殊翻对象承的权床限。爱常按权怀限等刑级分耗为3种：系杰统权武限（功隐含盐权限耕）、怪对象苹权限钥和语止句权断限。1）系统啄权限(隐含将权限)。是威服务梅器级怎别上对整个毁服务界器和蜂数据讨库进行管理双的权适限。服务抗器角安色sy寒sa皮dm烂in具有全部摇系统傲权限。数据趴库对桶象所有恼者和扎服务扛器固疮定角蜻色均具划有这种抄权限丑，可垦对所拥有的对扶象执行一切凶活动。如拥有表的级用户倘可查看拳、添辛加或痒删除数据达，更改表定妈义，宰或控制允许使其他绒用户或对表载操作略的权美限。6.姿1数据搭库的绪安全就性2）对象纹权限。用深于控制一个财用户博与一伴个数据击库对坐象交互坑操作,有5个不乘同的阿权限：查窃询、陕插入片、修礼改、疑删除雕和执摧行。不同来的安寺全对蛇象具有不同鸦的权列限，对各劳对象芦主要脏操作包括扭：表6-愈1对象砍类型厉和操逃作权微限6.逮1数据舱库的饰安全兄性3）语句却权限。授予用户执行相应吐的语贿句命饿令的能力,可以决定用户参能否操作和创建数据霜库对样象，语句喉权限(如CR吹EA衣TE李D目AT惨AB淹AS牵E)适用遵于语句懒自身资，而不适温用于数据戒库中隙定义牢的特评定对络象。彩其语句啊权限续主要禽包括：表6-路2语句惭权限畜的执走行操太作6.帅1数据送库的背安全押性(2育)授予缘瑞权限在SQ旁L系统红中，脏可使用GR吃AN够T语句将安全糠对象愉的权桌限授予给指诱定的妄安全法主体罗。这它些可使烛用GR运AN侦T语句楚授权票的安宋全对匹象包括应用龟程序狂角色旬、程紧序集寸、非撑对称谁密钥薄、证切书、抛约定皆、数银据库卵、端朽点、壤全文妄目录创、函惑数、耐消息放类型第、对雕象、道队列盯、角嚼色、失路由鉴、架聋构、窑服务射器、傻服务嗓、存闸储过裕程、闻对称法密钥传、系返统对检象、码表、呢类型稳、用疼户、澡视图跟、XM饰L架构撒集合原等。GR翅AN载T语句工的语法如下阴：GR旦AN唱T怨{滴AL薯L禁}|助pe升rm舍is前si食on工[概(逗c释ol姐um乐n吩[吸,.仰..晌n码]野)出]困[胡,.辜..供n君][输ON粘s耻ec捞ur假ab右le催]秋T欠O府pr悟in彻ci翼pa拌l魄[坏,.证..拳n肿][聪WI浑TH琴G饥RA想NT坛O贩PT座IO烟N惧]其中各参眯数的蹄含义为:1）AL肤L：该国选项魄并不盲授予声全部薪可能午的权掏限。2）pe偷rm寄is衔si绞on：权颜限的博名称密。3）co翁lu用mn：指县定表勿中将识授予纸其权消限的未列名证称。宏需使泻用括横号“()恢”。4）se渔cu幕ra泰bl中e：指柳定将筒授予挖其权若限的类安全卖对象零。5）TO丧p叹ri拖nc叫ip是al：主竟体的兄名称征。6）GR肉AN假T正OP活TI恭ON：指罗示被依授权哨者在求获得贿指定送权限狡的同键时还质可将党其权挖限授捏予其阔他主赵体。6.洁1数据而库的捏安全昆性(3宋)收回矩权限利用RE宝VO疤KE语句,可从某个安全然主体处收回（也源称撤销）权佣限.它与GR愉AN瘦T语句相对翼应，可桥将通过它授予球给安全依主体吗的权患限收回(删除)，使用RE蚁VO丝式KE语句搅也可收回对特胸定数帝据库扬对象绵的权焦限。收回肠权限是指不再柴赋予此权裙限，够但并体非禁首止。盈因为久用户冲可能户从角蒙色中继承律了该项此权限呀。RE末VO袖KE语句语法损格式为：RE砍VO肌KE脸[饼G收RA控NT误O闻PT糖IO夺N严FO脑R涨]{扔[榆AL导L立]致|p坏er贺mi凯ss扮io秧n底[舌(稿co桥lu祖mn万[响,束..看.n饱]版)男]专[取,乌..啊.n捧]弦}[社ON喷s恋ec饲ur扣ab何le晌]{违TO使|桥F罩RO普M轮}促pr绍in投ci袄pa披l待[糖,.辣..捎n窃][变CA菌SC虹AD棕E区]其中各参昼数的山含义为：1）GR赖AN翅T致OP拒TI话ON生F摆OR：将撤销授予耗指定忽权限写的能隐力.2）CA同SC先AD植E：指示当前正在壶撤销的权填限也文将从借其他程被该阵主体知授权坦的主栏体中撤销。其余晋参数摄的含堵义与GR财AN胸T语句悬中的罗各参鸽数含鬼义相付同。6.妄1数据块库的型安全滔性(4厚)拒绝躲（否垂认）灾权限安全观主体可以通过两种声方式获得股权限：①耻直接使用GR捎AN林T语句手为其宅授予别权限智，②通过作为解角色杏成员继承角色理的权录限。使用RE瞎VO够KE语句卡只能删除安全尽主体末，通过方式谅①得到的权送限，水要彻底袖删除安全苏主体捕的指倾定权乎限必扣须使用DE垒NY语句大。DE粗NY语法溉形式揪与RE矮VO临KE非常茎类似买。使用DE建NY语句触可以拒绝侦（否孤认）对特定幼数据嗽库对慈象的权限，防止主体通过其组邀或角粪色成潜员身垦份继承茶权限。语法侮格式如下浑：DE仍NY瞒{吐A挽LL侵}|屿pe电rm掉is明si之on煤[庭(赢c屈ol陪um气n碎[雹,.挨..最n材]蜡)仰]腊[齐,.服..握n宇][侧ON触s予ec紫ur丢ab廊le输]拌T阻O吩pr秧in脚ci裤pa拔l争[龄,.招..互n因][课CA旱SC唤AD评E耳]其中：参物数CA攀SC根AD形E指示拒绝予授予指定搁主体丙该权迅限，点同时适，拒绝该主储体将邀该权缺限授予其他沈主体所。其汁余参怕数的党含义苍与Gr史an扰t语句岔中的敞各参叫数含搜义相拾同。6.洗1数据垄库的准安全秧性4.管理滔权限白的设屡置设置权限刊下面两种脖方法责各有倦利弊，前纸者操作简单耻而直耀观，跃但不区能设置表或具视图阳的列鸟权限艰；用T-屯SQ渠L语句操作功能捉齐较墓繁琐绿。(1因)使用SS悉MS（SQ酱L乘Se抬rv宽er棒M融an亮ag缓em揪en捆t盖St貌ud删io）设置权限在“数据谎库属腐性”窗绞口，选择“选满择页美”窗邻口中朝的“吓权限论”项贷，可炸以进入“权稻限设强置”钻页面新。(2昌)使用T-存SQ腐L语句设置权限T-请SQ罢L语句槐中的权限粗设置有下公面3种：1）GR遥AN努T语句享：允怨许权牢限。2）RE六VO溉KE：禁暗止权农限。3）DE往NY：取仆消允匹许设脆置。GR赠AN缎T语句飞的权限乐设置凑语法挡格式为：GR湿AN接T悉{蜓AL隆L妙|未st趋at仪em桃en拦t右[套,.坐..余n极]动}TO过s亏ec舱ur淘it膝y_温ac疲co锤un齿t梯[擦,.许..建n丑]RE粪VO聪KE饭{其A群LL闯|盆s具ta推te狱me含nt雹[草,傲..须.n师]幻玉}FR腊OM弱s奋ec竟ur鼓it喷y_色ac故co现un孤t票[赔,.幅..拐n舍]DE眠NY段{块A饰LL百|督s辩ta误te考me局nt载[灯,垂..很.n梯]犬}TO磁s凳ec伤ur井it街y_愧ac绩co筑un熟t惑[伶,.气..筹n帮]6.裕1数据煤库的棵安全乖性6.悉1.问3安全原监控派方法1.登录带名管洲理登录栋名管揉理包括创建黄登录撕名、镰设置驱密码幕策略少、查裁看登杰录名壳信息晕、修营改和伪删除逼登录榜名。登录鲜名管适理的德方法主要恋有两种。(1端)创建历登录渡名创建基于Wi救nd糖ow搂s登录假名,创建SQ冈L光Se迹rv柏er登录趋名,查看登录嚼名信泄息【案例6-牌5】登录属于醒服务苍器级西的安锡全策景略，通过合法辆的登录才能连接剖到数据凯库。SQ滑L系统登录摊验证诊过程如图6-耗7所示.在SS升MS中创建渡登录鼓的步订骤如下瞧。1）打开SS胖MS并连接杆到目标气服务撑器,在“对象恼资源羽管理抗器”证窗口醉中,单击“安食全性郊”前乎的“刻＋”办号.在“所登录席名”巧上单苹击鼠露标右休键,弹出快捷铁菜单,从中选择“新吓建登犹录”命令,如图6-翼8所示评。图6-纠8利用毙对象章资源达管理司器创表建登炊录图6-钢7挠SQ简L铅Se争rv竭er系统衬登录满验证亩过程6.旷1数据晌库的滴安全障性2）出现“登录签名”对沃话框泄，单击需要何创建焦的登侵录模昨式前些的单选按钮帜，选定验证焦方式侮。如翁图6-沫9所示抓，并完成“登办录名钱”、虏“密棚码”卖、“姐确认掩密码峡”和保其他驱参数设置。图6-缎9登录锹名对曲话框3）选择“选岛择页誉”中鼠的“服务拦器角队色”项沉，出现服务惠器角您色设俭定页作面，折用户喂可为覆此用未户添加服务挠器角爹色。4）选择“登录沾名”对绘话框妈中的润“用岩户映柴射”靠项,进入映射抓设置给页面,为新视建的棚登录添加映射竞到此派登录皇名的用户,并添加数据绕库角们色,从而使该用独户获得数据扇库的敲相应叮角色判对应最的数丑据库足权限亦。最叛后单击“确脖定”废按钮,完成登录扑名创建。(2血)修改姿和删复除登榜录名DB唉A应定期溪检查访问满的用殖户.6.扣1数据影库的郊安全叮性2.监控役错误颈日志用户焰应经瓜常查看SQ渡L耳Se要rv够er错误戴日志览。在驳查看纪时，酱应注意在正骑常情雁况下膜不应竖出现启的错误塘消息。错误乏日志陈的内趟容不仅璃包括亮出错穗的消肉息，戒也包薄括大僻量关努于事赔件状鼠态、侄版权碰信息捎等各稀类消恨息。荒要求学会在繁高杂的沈错误陶信息帮中找到关键子的出神错信颠息。当外浏览型错误惹日志仓时，忘要特别革注意以下乏的关很键字境：错临误、核故障控、表料崩溃愁、16级错自误和耽严重彻错误元等。查看五日志2种方摘法:利用SS饼MS查看日志;利用文本峡编辑挪器查看日志浪。3.记录琴配置迹信息当无法偏启动SQ吩L计Se划rv讽er时借助服务量器的配置哗信息，微盲软公晓司技楚术支爸持部市门可医以帮豪助恢复.服务贴器的运行。在誉日常均的维护计划球中应坐该安排对配置壁信息的维护，特贱别是币当配钻置信疯息修改时。使用系统吸过程sp锻_c刻on妖fi涛gu践re可以生成服务携器的配置认信息粮列表。（1）打毛开SS愈MS。（2）选庄择服命务器医，单兔击“弹连接犁”按才钮，累进入SS降MS窗口凳。（3）打续开一圾个新概的查西询窗爬口，秤可以惧输入秘各种SQ习L命令贸。（4）在减查询付窗口部中输杰入命辱令。6.桂1数据酷库的蠢安全喜性6.草1.搞4用户伯与角举色管鹿理用户仗是数卵据库系级的安全中策略,在为村数据熄库创建新的螺用户六前,必须存在帽创建用户犁的一草个登银录或使用已经协存在睡的登泄录创撕建用浑户.1.使用SS假MS创建娱用户【案例6-茧6】使用SS喂MS创建用户夜的具体妹步骤如下乏。（1）打茄开SS滔MS并连支接到仙目标咽服务雄器，奇在“对象岩资源希管理良器”窗轨口中殊，单喊击“数据糟库”节设点前绸的“革＋”普号，笋展开裁数据蚀库节恭点。贺单击而要创白建用术户的诊目标盲数据饱节点弱前的值“＋惑”号涨，展节团点No蔬rt糖hw滋in肝d。单确击“安全展性”节点狮前的伪“＋惜”号章。在“用户”上单位击鼠骆标右厌键,弹出快捷基菜单非，从中没选择太“新建邮用户”命令漠，如图6-河10所示材。图6-滑10利用怒对象肥资源焰管理备器创模建用丝式户6.骡1数据竖库的仆安全业性（2）在忽出现森“数据品库用爱户－设新建”对话柏框的“走常规案”页收面中躬，填写“用希户名朴”，选择“登张录名司”和磨“默手认架卡构”粮名称门。添加此用制户拥芹有的锦架构悼和数烦据库刚角色最。（3）在东“数据荣库用熔户－比新建”对话套框的“绪选择魄页”洽中选甩择“唐安全勉对象宋”,进入权限轰设置龟页面(即“安全惩对象”页准面).“安全串对象址页面”主读要用于捧设置数据伪库用士户拥有线的能够访问的数据渴库对成象以及享相应哲的访爆问权纠限。单击“添劝加”毫按钮拨为该陡用户添加数据瓣库对著象，使并为添加的对胆象添加显示雅权限幕。2．角烛色管妹理角色用来简化将很多茧权限分配菊给用户期这一棚复杂悬任务猴的管理。用腐户可根升据所执歌行的扰任务成为一个顿或多晃个角薪色的迹成员举。用驾户可炉不必惯是任息何角策色的售成员掘，也可为用户分配个人扬权限吊。6.匆1数据可库的害安全感性1）在“对象敌资源耍管理序器”中,单击扬服务画器前防“+”号展晒开.单击功“安辨全性篮”节占点前汪“+”号.在次波节点领可看巡寿到固笋定服籍务器仆角色,在要即给用抽户添咐加的诊目标树角色夏上单篮击鼠薯标右姨键,弹出晴快捷致菜单吩从中悦选择烘“属看性”.2）在“服务耻器角量色属冰性”对跑话框伶中,单击混“添丙加(A肚)…柄”按钮.3）在出叶现“选择劈燕登陆舍名”桶对话帝框中揉单击息“浏袖览(B者)…知”按钮苏。4）在出透现“查找短对象”对岔话框谎中,选择侦目标骂用户贝前的券复选户框，胳选中茶其用樱户，宵最后呼单击四“确镇定”狱按钮.5）回到笋“选择谦登陆软名”对荣话框售，可妄以看长到选摄中的说目标柳用户粘已包总含在饰对话棉框中,确定集无误雾后,单击胸“确笨定”.6）回孝到“服务搭器角妙色属列性”对升话框贩。确落定添目加的蚂用户突无误剃后，成单击瞎“确营定”既。图6-穗11利用括对象均资源帐管理其器为亡用户叔分配飘固定煮服务赴器角竹色(1画)固定甲服务汪器角命色SQ系L安装时就创建了在武服务春器级萌别上愈应用翠大量预定告义的协角色，每斗个角平色对应绞着相应东的管老理权圈限。通过给用系户分糟配固渡定服雹务器淋角色暖，可以剖使用户具有执行管理她任务的角色坡权限。固定纤服务岂器角逃色的维护比单细个权括限容汁易，兽但是固定懂服务爱器角窗色不能修改。【案例6-贝7】用SS挎MS为用渡户分配固定胸服务赛器角诱色，猴从而殊使该页用户获取相应魄的权限。6.哭1数据傅库的刘安全患性(2虚)数据晌库角披色在创建袍每个拌数据回库时都添加这些角色到新针创建坊的数浮据库害中，妹每个角色对应蛾着相应臂的权甩限。内这些蹈数据捧库角色用于茧授权像给数据安库用索户，拥有某种崇或某钉些角色的用耽户会获得相应角色对应脾的权茧限。可为锡数据络库添加角色荷，然慎后把角色分配昆给用户购，使桨用户拥有相应镇的权挎限，在SS后MS中，龟给用到户添加角色（或梨将角参色授权用户沃）操作与将谎固定农服务沙器角它色授予用户盯方法砌类似颂，通过相应钥角色猛的属红性对腥话框懂可方祖便添加用户籍，使获用户成为角色哀成员贯。用户也可迹使用图形战界面裹工具Tr棵an担sa加ct召-S疤QL命令创建新角愿色，使己之拥有某个千或某愚些权秩限；创建的角食色还为可修改其对限应的拜权限赖。各种待方法都需完成以下3项任狱务：创建新的您数据拨库角挖色、砍给创建的角骡色分配权限绿、将逢角色授予某个愚用户持。【案例6-磨8】在SS镰MS创建新的凯数据丑库角清色操作风步骤如下漏。展开要添骂加新富角色痒的目标弃数据艺库，单击目标倚数据侨库节男点下尸的“粪安全饥性”扫节点盆前的继“+”号，展开节点扔。然丢后在阶“角色”节败点上单击右键凑，弹出快捷办菜单膨，选择快捷诱菜单寨中的声“新紫建”验下“新建数据塞库角罚色”揭命令蓝，如爱图6-殊12所示夹。6.肾1数据劫库的价安全狠性出现“数据览库角刷色-新建”对指话框,在“吃常规缠”页概面中注，添加“角色缠名称”和赖“所有夹者”,并选择此角蜂色所荒拥有花的架漂构。撑在此战对话库框中肃也可捡以单击“添咬加”撞按钮坐为新搭创建殖的角袋色添加用户跌。选择“选择让页”中佩的“安全蕉对象”项进，进入权限评设置怖页面尘（即恩“安裂全对性象”清页面拴），飘之后可以东为新创排建的像角色添加所拥庆有的吊数据宝库对脂象的扶访问今权限更。此外,还可窃以使用T-旋SQ感L语句来实猎现同样敢目标摩的相瞧关内扭容。6-旱12新建浇数据讲库角祸色6.局2完整顶性控劈燕制6.均2完整曾性控悠制6.使2.总1数据未的完必整性数据卡完整长性(D阻at册a穗In蛋te莫gr峡it捡y)是指数据零的精确弦性(A潮cc致ur嗓ac以y)和可靠魂性(R伐el倍ia捆bi昆li构ty淋)。用于防止数据透库中存在不符喷合语估义规锅定的且数据徐，造成无效杰操作脆或错劣误。DB相MS提供一种检查数据显库中夫的数企据是台否满足语义烫规定汪的条店件的机制，数据遮语义终检查迟条件称为数据繁完整朴性约筛束条丝式件,作为表定鱼义的菌一部矩分存储修在数据夫库中全。DB座MS中检降查数妹据完茫整性械条件甜的机们制就称为完整旷性检偿查。狭义怖上数据环的完箭整性办和安喘全性是数据灶库保把护的两个件不同皮的方棒面。安全储性侧重乏保护数据径库，印以防止非法眼使用所造夜成数据懒的泄露皆、更植改或躺破坏，其防范对象是非恋法用铺户和要非法粘操作他；完整登性是防止合法贷用户使用数据吴库时尤向其佣中加入不符浓合语慨义的勺数据顽，防范对象尖侧重口不合嚷语义特的数抄据。杰但从宏观超角度，安骄全性吩和完供整性洁密切炮相关贿，完整而性也属于安全匀性范艘畴。6.瓦2完整馆性控谷制6.渠2.砍2完整色性规汗则构渔成由DB重A或应用呜开发便者所决螺定的一组地预定何义的熄完整际性约扬束条引件称为规则。关盆系数图据库甜允许可用完整售性约酸束和雁数据驱库触究发器定义各种数据借完整昏性规缝则。数据鸟完整孩性规雨则主要庭由以推下3部分构成：●触发西条件：规葡定系戴统何付时使弃用规屋则检治查数福据；●约束皂条件：规辽定系参统检扶查用漏户发忍出的避操作碧请求乒违背昂了什厘么样前的完到整性答约束馅条件拐；●违约卷响应：规让定系屯统如终果发冷现用脑户的葱操作携请求股违背桃了完结整性训约束尸条件既，应秤该采唐取一小定的讽动作指来保银证数骄据的骂完整后性，酿即违固约时们要做茎的事恳情。完整亏性规碰则从执行努时间上可分固为立即撞执行紧约束保和延默迟执垦行约滑束.关系村数据正模型的完整锈性约赤束，是对表的澡列定牧义规驻则的竭说明究性方曲法，仗其完整谁性约英束条识件包括3大类：实筋体完帅整性惰、参购照完榴整性呆和用驴户定同义完女整性.6.军2完整插性控毯制6.幕2.茂3完整更性约禾束条尼件的捐分类数据然的完胶整性虑约束可分以下两类：1．从柱约束震条件徐使用垮的对秤象分从约棒束条幸件使用的对棒象分为值约雪束和公结构乏约束2种：（1）值寄约束：对待数据五类型冬、数厌据格适式、该取值主范围暮及空端值等动进行疲规定戚。（2）结仁构约少束：木即对差数据啦之间拉联系茂的约遣束。数据规库中幼同一芝关系战的不惨同属坑性间应满派足一定煤约束仆条件侵，同钉时不档同关劲系的屋属性殿间也祝有联叹系也应辰满足一定追约束泊条件载。常见撕的结蓬构约容束有4种：1)函数词依赖幅约束牛。明热确同降一关搭系中扭不同荒属性虫之间冤应满咏足的餐约束内条件踩。2)实体迷完整往性约域束。鞠规定武键的房诚属性仙列必森须唯约一,其值齐不能逃为空树或部图分为巨空,3)参照贸完整赞性约酬束。碍规定泪不同贼关系票的属皮性之眼间的帝约束触条件.4)统计年约束定。2．从谋约束库对象蜡的状瞎态分从约但束对店象的浅状态分为静态荐约束宵和动笔态约圆束2种。（1）静态瓜约束.指对秀数据牵库每钞一个确定状态秒所应满足的约纽奉束条反件，久是反映数据虫库状给态合扬理性密的约远束，虑这是团最重艳要的岛一类灵完整柔性约兄束。（2）动态侄约束.指数织据库玩从一担种状厅态转变况为另一歇种状杨态时咸，新览旧值维之间遮所应满足的约侮束条浊件，碑动态俘约束反映的是销数据壁库状态娇变迁的约廊束。6.榨2完整聚性控泥制6.治2.郑4数据盟完整暑性的泪实施数据蜓库采用多种盼方法贯以保证数据都完整胡性，楼包括灯外键鲜、束乡丰约、妄规则饼和触政发器男。1．实化现数细据完浩整性泻的方黄法1）在服种务器中端。定约义表孙时声舞明数掏据完刮整性纸，在拒服务焦器端两以触忌发器来实照现。2）在客止户端。在颈应用里程序蓬中编写代码来保折证。在稻客户企端实现数据糠完整每性的细好处继是在棵将数偿据发送节到服务岁器端亏之前刺，可时以先进北行判旦断，然丛后，罩只将流正确芽的数腿据发送麦给数据抽库服狗务器牺。2.完整闭性约愿束条河件的策作用袄对象初及实脂现完整环性约娃束条掌件的作用雾对象为：字段竭（列蔬）级皮约束：数悼据类检型、先格式掌、取蹄值范扇围、背空值小约束行（页元组滴）级暴约束：各林字段米之间坏联系路的约碌束.订货忽数量祖小于虑等于富库存欲数量.表（牢关系神）级径约束：表厨约束样是指季若干朱行之易间、发表之盲间的玩联系指的约敲束.如零肃件ID的取触值不油能重触复也腰不能扩取空远值。具体春实现包括洁：主苏关键表字约缓束、烫外关忧键字及约束仿、唯牌一性也约束哄、检召查约混束、航缺省篮约束.约束提供闹了自动您保持数据峰完整仔性的拘一种沸方法6.派2完整懒性控仙制（1）主闯关键劳字约猜束主关前键字戴约束（Pr双im缠ar逢y跑Ke渠y戴Co拘ns叫tr阅ai兽nt，简紫称主键扯约束）指厘定表冶的一挺列或事几列彼的组物合的扯值在逮表中具有状唯一隐性，每哲个表溉中只能略有一渠列被指跳定为主江关键闻字，且IM覆AG伯E和TE泄XT类型御的字袖段都不能研被指定为主关谅键字，也锋不允杂许指定主关撞键字垮列有NU旱LL属性锋。主键幕约束可以抗确保实体捉完整为性。帽可在遵创建抹表时定义主键具约束陕，也穗可在备以后改变表时添加。定义主键煎约束刷时需指危定约束甜名.如未指削定SQ弟L会自动为该广约束分配一名济字。灯如果甲将主童键约脆束定义世在一个垂已包邪含数涝据的键列上栗，那蔬么，稍该列姓中已存涌在的数窗据将被赛检查.如果发现任何重复寒的值，则主键早约束将被针拒绝。其语法如下宅：CO萝NS螺TR灿AI隆NT钻c获on等st假ra仙in容t_眠na理mePR读IM姑AR怎Y锁KE玻Y装[C觉LU秧ST众ER鱼ED盗|配N别ON腰CL弱US沾TE趟RE卧D]（co爷lu纸mn季_n怖am纵e1毫[,迅c装ol您um胖n_淋na滑me喂2,绝…,鞋co协lu谊mn付_n攀am薄e1六6]）【案例6-腹9】创建从订单笋（Or少de断rs）表带，订农单编盲号（cO头rd牌er滥No）为酸主键.CR很EA烟TE雹T脱AB攻LE寒O披rd做er牲s(cO鹿rd伴er畜No恶C盖HA渣R(促6)纠C追ON池ST粮RA友IN受Tp死kO政rd码er宝No河PR婆IM脖AR念YK隆EY伙CL尿US具TE迈RE另D,针…)也可这用：AL翠TE做R窃TA嫂BL陶E日Or桂de戒rsAD华D暂CO绸NS艇TR弄AI班NT拒p邻kO下rd荡er络No闪P写RI浙MA定RY浙K察EY趣C拿LU疼ST叠ER旬ED方(c枕Or晨de糟rN刻o)6.惯2完整曾性控怠制（2）外宵关键扬字约颤束外关检键字迫约束（Fo凶re友ig中n裕Ke怀y毛Co戏ns青tr定ai秩nt，简猪称外键浸约束）定义了表抢之间捧的关河系。禽当一妹个表至中的恰数据依赖竭于另一蔑个表祝中的偏数据陶时，拥你可勒以使用外键牲约束辛避免行两个原表之迅间的不一凯致性。当一都个表献中的顽一个户列/多个四列的组合和其朝它表渴中的爬主关少键字定义相同攀时，坚就可袋以将这些题列/列的结组合定义阁为外关壁键字，并设定它适岁合哪哨个表室中哪滑些列相关哄联。还黑可以使用级联羊更新联和插入检查员方法锁。外键莲约束实施寸了引用完整印性。差与主关战键字相同木，不插能使用一个屋定义至为TE侍XT或IM啊AG利E数据钥类型释的列创建外关加键字。外关稠键字最多由16个列组成。外关趟键字朴约束语法如下讲：CO玻NS史TR谷AI派NT她c馒on版st赌ra荣in盏t_卡na绣meFO寄RE识IG努N跌KE佳Y（co把lu敬mn浴_n谣am辫e1芒[,co菌lu规mn屿_n珠am目e2俊,…访,c落ol刷um长n_符na箩me禾16滤]）RE背FE颜RE胶NC泰ESre绿f_牛ta献bl肺e鉴[(肉re构f_简co站lu崭mn刃1[基,r从ef秆_c狭ol达um充n2滤,…健,围re香f_威co纺lu流mn笑16张])票][理ON山D绿EL亮ET斩E晃{田CA适SC汪AD楚E岂|壁NO佛A衰CT认IO仅N盖}政][愧ON配U谁PD冤AT后E车{压CA什SC序AD扩E明|扎NO枝A杀CT追IO列N彼}计]延][讽NO么T既FO诞R升RE异PL厚IC语AT听IO富N衣]6.袭2完整柿性控握制（3）唯虽一性弃约束唯一词性约乱束（Un腰iq千ue糟C谣on恒st狡ra晌in暂t）指定一个溪或多滩个列桥的组间合的趴值具息有唯一细性，以防止在列呈中输切入重滨复的倚值。唯一初性约蝇束指定的列侨可有NU免LL属性膊。由于主关系键字她值具有唯一胶性，因非此主关吨键字列不能再设赖定唯一调性约速束。唯一耗性约垃束最多由16个列组成。创建UN峡IQ通UE约束蛾有关利的规则为：收可以创建在列松级，氧也可贯以创建在表邻级。金不允国许一岁个表骂中有旨两行取相同粱的非小空值继。一例个表挤中可有多侦个UN截IQ冈UE约束削。即永使指定除了WI砖TH躬N汤OC妇HE格CK选项园，也射不能阻止根据没约束愿对现碌有数荣据进行的检蛾查.语法如下财：CO祸NS旬TR土AI温NT歇c支on显st尖ra杏in束t_茄na轻meUN阀IQ星UE[C忌LU捕ST佛ER折ED贺|宜N樱ON婆CL朵US姑TE文RE酸D]（co怎lu绒mn商_n钓am霸e1吓[,所c态ol摘um脂n_革na恢me主2,渴…,镰co顶lu恐mn誓_n箱am押e1往6]）6.矿2完整绢性控拉制（4）检滚查约晨束检查绣约束（Ch宏ec环k带Co诊ns辆tr局ai粒nt）通过话限制姓插入列中奸的值膛来实施域完幸整性韵。可锁在一巩列上定义多个鼻检查惯约束.按定吵义次序实施。当锯约束洞被定义抓成表级栗时,单一品的检瞧查约谈束可被应纺用到多列.语法如下级：CO喂NS叫TR飘AI值NT普c睛on来st兽ra草in也t_止na冠meCH感EC喂K令[N祖OT票F耀OR阶R值EP雕LI蔬CA示TI杂ON武](何lo骂gi盒ca课l_启ex身pr跃es笋si恼on凭)1）IN关键库字。用IN关键阴字可详以确慌保：谋键入劝的值旗被限忘制在激一个锣常数嗓表达顾式列桃表中轮。2）LI法KE关键偶字。使震用LI市KE关键狱字可溜通过倚通配弹符来暖确保吉输入循某一农列的楼值符胶合一赠定的往模式银。3）BE己TW淡EE宇N关键忘字。可沾通过BE饱TW捕EE鹊N指明量常数城表达双式的罢范围跃。该略范围舒中包梢括上叔限值扑和下断限值洒。如CH涉EC燃K(浑si踏To壮yQ卧oh且B问ET喝WE遥EN秘0逐A带ND汽1舒00涛)。（5）缺册省约笔束缺省镜约束（De呼fa义ul俩t得Co寇ns灯tr击ai育nt）可用矿于为某计列指定一常者数值泛，这脖样用鲜户就不需猴要为该呼列插入值。番只能怜在一挽列上创建一个缺省镰约束，且软该列识不能熄是ID售EN时TI锈TY列。缺省宝约束通过窗定义列的默认建值或使用数据远库的默认鉴值对宋象绑定表的吗列，钱来指定列的灰默认完值。SQ馒L锁Se坊rv税er推荐使用缺省患约束勿，而不使等用定义秤默认弱值的宵方式轰来指定列的狮默认绿值。6.牢2完整总性控砌制语法鹊如下：CO声NS巧TR仓AI盛NT雄c铁on绩st千ra劣in煎t_拿na疾meDE延FA朋UL转T碑co害ns嘉ta别nt阀_e澡xp哄re介ss悉io饥n逝[F唯OR看c桑ol某um廉n_斩na恭me耐]如果碌表已膜经创建，而合没有指定缺省，则可用AL柴TE秩R长TA叠BL娘E命令捐来指定缺省脑：AL袍TE赠R律TA迁BL药E宴Sh座op欢pe饲rAD书D谢CO驾NS目TR脚AI败NTde波fC厕it吊y衰DE璃FA府UL亭T州“C帅hi件ca戏go叙”暴FO支R述cC便it倒y（6）在得企业怜管理埋器中膏创建掩约束通过南“属性”对恨话框选择葛操作，如图6-咱13所示河。图6-臭13在企炊业管款理器牲中创躺建约前束6.塞2完整煎性控振制（7）系核统对烧约束跃的检狮查1）主键都约束。每驼当用秩户执行量插入数据考时，岸系统检查新插创入的响数据车的主屋键值锄是否量与已存在挣的主键辫值重复,或新朽插入街的主键县值是否自为空.2）唯一愧值约烘束。对唯一杂值约杯束的检查同主阿键很拿类似工．只旗是在检查有唯一胆值约仆束的列电时，远系统里只需检查新插岂入数堪据或者更改献后的有唯一领值约均束的列的益值是否与表中撞已有葡数据有重微复，而不检赠查是否斑有空何值。属只要新插逆人数据恳或更网改后首的值满足不重摇复这涛个条介件，识才可进行操作。【注意】对于封有唯一奴值约仿束的列引，可杰以有晨空值细，但之整个藏列只政允许梅有一船个空岗值。虫系统壁会将颗后续辽的空日值看成与第刚一个仓空值卵重复婶的值谁，因满此全拒霉绝操寺作。3）外键解约束。4）检查渔约束5）缺省旦约束6.堂2完整书性控鼓制完整烫性规捕则实傍现规则（Ru描le）是数据叼库中对存储盲在表昏的列或用婆户自定缎义数终据类落型中池的值的规定裂和限奴制。规则嘱是单独基存储兆的独框立的数据杠库对左象。规栽则与坟其作蜘用的滑表或病用户自定熊义数据纳类型斧是相互粪独立岂的。规锦则和速约束欲可以同时姜使用，表扁的列乒可以驻有一个狸规则及多个球检查今约束。1.创建葡规则（1）用土命令常创建语法为：CR独EA很TE往R炭UL术E律ru炼le惹_n霜am桑e强AS羡c桂on腰di匆ti秘on泼_e概xp学re载ss总io摸n其中co枝nd俗it觉io权n_度ex巷pr醋es购si残on子句轨是规则稍的定侍义。可用齐于WH宣ER良E条件偿子句屑中的伙任何产表达脉式可包土含算术旦运算脏符、佣关系苹运算病符和呀谓词(I玩N、LI帖KE、BE怀TW熟EE矩N等)。【注意】c技on示di阅ti胖on精_e慌xp菊re移ss搂io扑n子句禾中的栗表达觉式必须苍以字符缺“@”开头。表6-严3规则担的示冶例6.手2完整炼性控策制（2）用献企业济管理哲器创挑建规挑则在企膀业管帅理器概中选择数据独库对腔象“宁规则涨”，单击兔右键从快恭捷菜炕单中可选“新岁建规歼则”伐项。（3）使恰用规踩则的嫌限制某一励个时抓刻只亩有一叛条规则可绑荒定到某列骆或某秒用户毕自定宣义数替据类撇型。念如果莲一条规则被绑互定到某用俘户自踩定义脊数据鬼类型犁上，杯它并挂不会替代触绑定明到该数辽据类朋型的例列上骨的规则。如街果一鄙条新肿的规则绑定糊到某列骑或某宣数据化类型斥上，偿而该府列或深类型们上已守经绑定伪了一条规则，那臣么，株新规预则将替昼代旧规淹则。2.查看汇规则语法：sp检_h纱el重pt单ex扇t揉[植@o狗bj壶na询me批=稠]规'n赚am战e'如：ex蜜ec拢s迈p_籍he恭lp论te戏xt悼b挤ir鉴th零da扰y_顿de痒fa查看bi围rt药hd残ay妙_d潜ef英a规则,也可用企业写管理辣器查看规则家如图章所示图6-消14用企雹业管角理器途查看眉规则6.茫2完整是性控圾制3.规则坝的绑掀定与愤松绑创建规则后，纳规则嫁只是盐一个存在易于数据弯库中树的对跑象，踢并未彩发生色作用币。将踏规则兵与数骆据库狭表或喜用户陡自定禾义对砖象联系粗起来，才僻能达到创建灭规则云的目劣的。解除规则堪与对建象的绑定称为剖“松绑”.（1）用肉存储模过程Sp侍_b璃in樱dr某ul须e绑定桌规则语法：sp胆_b或in该dr嫂ul躬e县[@腔ru仍le德na是me债=沈]创'r渡ul读e'担,[@佣ob库jn踢am决e诱=]塑'制ob滥je和ct疾_n阿am野e'[,国'锅fu席tu幕re领on闲ly敢']其中据，参数为：[@捎ru存le境na蛋me郑=早]掘'r愈ul述e'：指定规则圾名称理。[@多ob液jn叛am倾e芦=]科‘辱ob续je秆ct不_n痰am榜e’：指定规则池绑定的正对象拌。‘f雁ut傅ur安eo词nl筑y'：此繁选项仅在绑定醉规则到用它户自定星义数关据类板型上时才可坛以使叉用。当指定此选军项时卫，仅通以后使用此用璃户自定谋义数歇据类网型的列芹会应用新规姻则，幸而当竹前已守经使用此数据故类型的列戴则不赚受影晒响。第6章仰数据取库安嚷全【案例6-宾14】绑定规则ru美lM触ax开Pr忠ic毁e到用户葵自定说义数隆据类撞型Ma眨xP眯ri苏ce上，带'f泡ut篮ur夸eo布nl侨y'选项躬。ex些ec镇s胀p_俩bi荐nd裤ru唤le屑r械ul箱Ma版xP妄ri未ce脱,乐Ma地xP狐ri傻ce麦,竟'f毅ut愧ur杨eo终nl读y'【注意】规则陶对已专经输入表中月的数稠据不起宪作用。（2）用Sp济_u衫nb扔in舍dr葡ul肯e解除脊规则夸的绑剖定语法为：sp为_u勤nb道in皇dr铲ul抢e咽[@愿ob化jn给am往e雷=]密‘籍ob么je盼ct描_n策am怖e'锣[,现'f壤ut艰ur及eo胀nl谋y'隐]4.删除陪规则语法为：DR榜OP葡R炎UL值E虏{r简ul森e_伸na拦me稻}弱[,捐..栏.n头]【注意】在删除一个杆规则引前，现必须先将与其绑定的对烫象解除坏绑定。6.扎2完整脾性控主制6.纯2.伪6默认养值默认许值（De俭fa元ul