数据技术应用 3

项目11管理数据库安全性POWERPOINTDESIGN目录项目描述与学习目标01任务11.1配置SQLServer安全体系02任务11.2管理服务器级别安全性03CONTENTS04任务11.3管理数据库级别安全性05任务11.4管理数据库对象级别安全性06任务11.5法律法规与数据安全项目描述与学习目标随着大数据、云计算的兴起，网络世界的数据量与日俱增，其安全性越来越受到人们重视。近年来，我国先后颁布并实施《中华人民共和国网络安全法》《中华人民共和国数据安全法》和《中华人民共和国个人信息保护法》，以法律的形式规范网络数据处理活动，保障网络数据安全，促进网络数据依法合理有效利用，维护国家安全和公共利益。学生成绩管理数据库在部署完成以后，向开发人员和终端普通用户交付之前需要进行周密的安全体系设计，为不同的用户（群组）授予合适的权限许可，以确保数据库的安全。根据项目需求，需要完成学生成绩管理系统数据库中Jackie、John、Jones等几种不同的用户角色创建，并为这些用户设置不同的数据库权限。项目描述01学习目标021.了解SQLServer的安全体系；2.了解给予角色的权限管理；3.掌握基本的T-SQL权限管理语句。知识目标1.学会设置SQLServer身份验证模式和密码策略；2.能创建和管理SQLServer数据库用户；3.能为数据库用户分配角色和权限；4.会管理数据库对象的权限。技能目标1.通过数据库安全体系的学习，增强数据库领域信息安全意识；2.通过数据库安全管理与维护的实践锻炼，增强数据管理规范意识、标准意识和工匠精神，强化职业道德素养。素质目标配置SQLServer安全体系11.1任务-POWERPOINTDESIGNJackie、John、Jones等都是“学生成绩管理系统”的用户，他们分别是系统的开发人员、运行维护人员、备份管理员等。现在DBA需要为他们分配数据库服务器的访问权限。有的需要直接在局域网Windows域内访问，有的是通过开发工具远程访问。为了确保多种类型的用户都能正常访问SQLServer，首先需要进行SQLServer的相关安全设置。【任务描述】SQLServer安全体系的构成数据库级别的安全性，一个SQLServer实例含多个数据库，用户登录服务器仅通过身份验证，能否访问某数据库及进行操作，取决于对应数据库用户的权限，默认只有数据库所有者可访问，其他用户需授权。SQLServer提供固定数据库角色，也可创建自定义角色进行权限管理。SQLServer实例级别的安全性基于身份验证，采用标准SQLServer登录和集成Windows登录两种方法，授权登录用户验证通过后在服务器具备一定操作权限，管理登录账户是数据库管理员的重要任务。对象级别的安全性是核查用户权限的最后防线，创建数据库对象时，SQL

Server自动将所有权限赋予创建者，普通用户需数据库所有者授权才能访问对象。SQLServer的安全性体系由四个层面组成。操作系统级别的安全性是基础，SQLServer实例运行在Windows服务器上，其安全首先依赖于Windows服务器的安全，通常将相关用户分组授权管理，在企业级环境中也会通过分组集中管理，此级别安全管理多由操作系统或网络管理员负责。知识储备Windows身份验证模式是默认模式，只允许Windows登录账户连接SQLServer，用户登录Windows后访问数据库无需再次验证，通过强密码复杂性验证提供相关功能，除默认管理员外，其他用户、组需授权才能使用服务。SQLServer和Windows身份验证模式（混合模式）允许两种验证方式登录，Windows身份验证依旧生效，还可创建带用户名和密码的登录账户存储在master数据库，此模式相对不安全，仅在特定情况使用，如遗留应用需SQLServer登录、域外访问、特殊安全审计要求、服务器需远程登录功能等。SQLServer身份验证模式知识储备03密码过期策略用于管理密码使用过程，会提醒用户更改旧密码，禁用过期密码账户，可单独配置每个登录名的密码策略，CHECK_POLICY改为ON时，CHECK_EXPIRATION默认也为ON，反之亦然。SQLServer可使用Windows密码策略机制，应用于SQLServer身份验证的登录名和有密码的包含数据库用户，在WindowsServer运行时，两者使用相同复杂性和过期策略，需通过NetValidatePasswordPolicyAPI实现，该API仅在WindowsServer提供。0102密码复杂性要求新密码需至少8个字符，包含拉丁文大小写字母、10个基本数字、非字母数字字符中的3类，最长128个字符，应尽可能长且复杂，以阻止强力攻击。SQLServer密码策略知识储备例11-1：系统开发人员需要使用Java语言和相关开发工具访问SQLServer数据库，请将SQLServer服务器的身份验证模式更改为混合模式。任务实施：使用可视化界面设置身份验证模式（演示操作）Step1：启动SSMS，登录到服务器，在“对象资源管理器”中右击SQLServer实例名称并选择“属性”命令，在“服务器属性”窗口左侧选择“安全性”，在“服务器身份验证”下面选中“SQLServer和Windows身份验证模式”单选按钮。Step2：打开SQLServer配置管理器，单击窗口左边的“SQLServer服务”，在右侧的窗口中重新启动它。例11-2：设置密码策略，密码长度最低6位，密码最短使用期限为1天，启用密码复杂性要求。任务实施：使用可视化界面设置密码策略（演示操作）

Step1：使用组合键Win+R打开“运行”对话框，在对话框中输入“gpedit.msc”并回车，打开本地组策略编辑器，依次在左侧选择“计算机配置→Windows设置→安全设置→账户策略→密码策略”。

Step2：在密码策略中可以根据需要设置密码长度限制、复杂性要求、最短和最长使用期限等规则。在右侧选择“密码长度最小值”，将其设置为6；选择“密码最短使用期限”选项，将其设置为1；选择“密码必须符合复杂性要求”选项，将其设置为“已启用”。

Step3：设置完成后，在添加SQLServer用户时，不符合密码策略要求的密码将无法通过。管理服务器级别安全性11.2任务-POWERPOINTDESIGNSQLServer允许Windows的合法用户和非Windows的授权用户登录到SQLServer的服务器，进行数据管理。SQLServer事先还设计了许多固定的服务器角色，每个角色都是一系列服务器级别的安全管理权限集合，如创建数据库、备份操作等。Jackie、John、Jones等都是“学生成绩管理系统”的用户，其中Jackie为Windows用户，John和Jones都是SQLServer登录账户。他们分别是系统的开发人员、运行维护人员、备份管理员等。现在DBA需要为他们分配数据库服务器的访问权限。他们有的需要直接在局域网Windows域内访问，有的是通过开发工具远程访问。【任务描述】Windows登录账户由Windows负责验证身份，由Windows账户或组控制对SQLServer系统的访问，除安装时指定的管理员外，其他用户需授权才能登录，SQLServer会在syslogins表中查找登录授权。SQLServer登录账户由SQL

Server自身负责身份验证，用户连接服务器时，SQLServer验证其是否在syslogins表中，验证通过方可进入。安装后自动映射和创建一批登录账户，Windows账户登录名形式为“域名（计算机名）\用户（或组）名”，SQLServer账户为自定义名称。始终存在两个最高权限用户：安装时指定的Windows管理员账户和“sa”账户。登录账户的类型只有具备sysadmin、securityadmin等角色权限的用户可创建、修改和删除登录账户。创建Windows登录账户使用CREATELOGIN[域名\用户名]FROMWINDOWS；创建SQL

Server登录账户使用CREATELOGIN登录名WITHPASSWORD='密码'，可指定MUST_CHANGE、CHECK_EXPIRATION、CHECK_POLICY等选项；修改登录账户使用ALTERLOGIN语句；删除登录账户使用DROP

LOGIN语句。使用T-SQL脚本创建登录账户角色是权限机制，方便集中管理用户权限，将职责相同的用户设为同一角色，对角色授权即可实现对所有用户授权，角色权限变更，相关用户权限也变更。SQLServer提供9个固定服务器角色，除public角色默认外，其他角色权限固定，不能添加、修改和删除，只能加入、删除用户或其他角色，各角色权限不同，如sysadmin可执行任何操作，serveradmin管理服务器范围内配置等。服务器角色知识储备SQLServer的服务器角色知识储备固定服务器角色权限描述sysadmin可以在SQLServer中执行任何操作serveradmin管理SQLServer服务器范围内的配置setupadmin添加、删除链接服务器，建立数据库复制以及管理扩展存储过程的权限许可securityadmin管理数据库登录processadmin管理SQLServer进程diskadmin管理磁盘文件bulkadmin可以运行BulkInsert语句dbcreator创建数据库，并对数据库进行修改public默认角色，每个数据库用户、角色默认是该角色的成员。例11-3：为Windows账户Jackie创建登录名。操作步骤：添加Windows用户Jackie，可通过控制面板或计算机管理实现；打开SSMS，以管理员账户登录，展开“服务器→安全性→登录名”，右击“登录名”，选择“新建登录名”，在“登录名-新建”窗口输入“域名\用户名”或搜索选择Windows账户，单击“确定”按钮，完成登录名的创建。例11-4：创建SQLServer账户Jones。操作步骤：打开SSMS，以管理员账户登录，展开“服务器→安全性→登录名”，右击“登录名”，选择“新建登录名”；选中“SQLServer身份验证”，输入用户名、密码并确认，根据需要选择是否强制密码策略、密码过期等选项，单击“确定”按钮，完成创建。例11-5：修改Jones登录名的默认数据库为SGMS。操作步骤：可以修改SQLServer登录名的部分属性，如密码、默认数据库、默认语言等。双击要修改属性的登录账户，并在“登录属性-Jones”窗口中修改。例11-6：拒绝Windows登录账户Jackie登录。操作步骤：打开“登录属性”窗口，选择“状态”选择也，并选中“拒绝”或“禁用”按钮，单击“确定”按钮后，这个账户就不能再登录SQLServer服务器了。例11-7：删除登录账户Jackie。操作步骤：展开“服务器→安全性→登录名”，右击要删除的账户，选择“删除”命令，删除前需要确认该用户的所有级联权限，如是否具有相应的数据库、数据对象等。确认无误后，单击“确定”按钮，完成删除。例11-8：将Jones映射到服务器角色dbcreator中。操作步骤：展开“安全性→服务器角色”节点。双击右侧窗口中要更改的服务器角色，或右击选择“属性”命令，弹出“服务器角色属性-dbcreator”窗口，其中显示出当前服务器角色成员列表，单击“添加”按钮，将弹出“选择服务器登录名或角色”对话框，单击“浏览”按钮，将弹出“查找对象”对话框，选中待添加成员Jones，单击“确定”按钮，可以将该账户添加到服务器角色成员列表中，最后再单击“确定”按钮，完成添加。任务实施：使用可视化界面创建和管理登录账户（演示操作）例11-9：创建SQLServer登录账户John，密码为abc123。任务实施：使用T-SQL脚本创建和管理登录账户（演示操作）USEmasterGOCREATELOGINJohnWITHPASSWORD='abc123’GO例11-10：使用T-SQL脚本修改SQLServer账户John为密码为abc123$S。

例11-11：将John映射到服务器角色sysadmin中。例11-12：删除账户John。USEmasterGOALTERLOGINJohnWITHPASSWORD='abc123$S'GO

USEmasterGOEXECsp_addsrvrolemember'John','sysadmin'GOUSEmasterGODROPLOGINJohnGO管理数据库级别安全性11.3任务-POWERPOINTDESIGN数据库用户和登录账户不同，登录账户要访问数据库，必须在该数据库内有对应的数据库用户，存在映射关系，登录账户在不同数据库可映射为不同用户，拥有不同权限。数据库用户所属架构和角色决定其在数据库中的分组和权限，默认架构为dbo，可自定义架构，新建用户时可指定默认架构，用户可使用该架构下的对象。数据库用户添加数据库用户使用CREATEUSER数据库用户名FORLOGIN登录名WITHDEFAULT_SCHEMA=架构名；删除数据库用户使用DROPUSER数据库用户名。使用T-SQL脚本添加和管理数据库用户数据库架构是数据库对象的容器，提供命名空间机制，用户通过“架构名.对象名”访问对象，一个用户可对应多个架构，通常有默认架构。数据库角色分为固定数据库角色和用户自定义数据库角色。固定数据库角色在数据库级别定义，权限预定义且不可修改，可加入或删除用户或角色，共10个，如db_owner拥有所有权限，db_datareader可读取数据等；用户自定义数据库角色可根据需求创建。dbo用户和guest用户，dbo是数据库所有者，拥有最高权限；guest用户允许无对应数据库用户的登录账户访问数据库，默认不允许连接，可通过授权或撤销CONNECT权限控制，使用时需谨慎。数据库架构和角色知识储备例11-13：使用可视化界面分别将登录账户Jackie、Jones映射到SGMS数据库中。任务实施：使用可视化界面添加和管理数据库用户（演示操作）Step1：启动SSMS，使用具有操作权限的用户登录到服务器，在对象资源管理器中依次展开“数据库→SGMS→安全性→用户”节点，右击“用户”节点，选择“新建用户”命令，弹出“数据库用户-新建”窗口。Step2：在打开的“数据库用户-新建”窗口中，默认的用户类型为“Windows用户”。在“用户名”文本框中输入要创建的数据库用户名“Jackie”，默认用户名也可以与登录名相同。然后在“登录名”文本框中输入与该用户名对应的登录账户“Jackie”，也可以通过单击“浏览”按钮打开对话框来选择。最后，在“默认架构”下拉列表中选择“db_owner”角色，为其赋予数据库拥有者的权限。Step3：按照上述方法创建数据库用户“Jones”。Step4：设置好选项后，单击“确定”按钮，完成数据库用户的创建。Windows用户可以通过切换Windows用户的方式验证数据库访问权限，SQLServer用户可以直接登录来验证数据库访问权限。例11-14：使用可视化界面删除用户Jackie。Step1：启动SSMS，使用具有操作权限的用户登录到服务器，在“对象资源管理器”中依次展开“数据库”→SGMS→“安全性→用户”节点，右击Jackie，选择“删除”命令，弹出“删除对象”对话框。Step2：在“删除对象”对话框中单击“确定”按钮即可将用户从数据库中删除。例11-15：使用T-SQL脚本将登录账户John映射到数据库中，用户名为John。任务实施：使用T-SQLj脚本添加和管理数据库用户（演示操作）例11-16：使用T-SQL脚本删除数据库用户John。USESGMSGOCREATEUSERJohnFROMLOGINJohnWITHDEFAULT_SCHEMA=db_ownerGOUSESGMSGODROPUSERJohnGO例11-17：使用可视化界面将数据库用户Jackie添加到db_owner角色中。操作步骤：1.使用具有足够操作权限的用户登录SSMS，在对象资源管理器中依次展开“数据库→SGMS→安全性→角色→数据库角色”节点，右击db_owner角色，选择“属性”命令，将打开“数据库角色属性-db_owner”窗口；2.在“数据库角色属性-db_owner”窗口中可以看到目前此角色包含的成员，单击“添加”按钮，弹出“选择数据库用户或角色”对话框，在“输入要选择的对象名称”框中输入Jackie或者单击右侧的“浏览”按钮，在弹出的对话框中选择Jackie用户；3.单击“确定”按钮，完成用户角色分配工作。单击“数据库角色属性”窗口右下方的“删除”按钮，可以从指定的数据库角色中删除已有数据库用户。例11-18：使用T-SQL脚本向db_datareader数据库角色中添加成员John。任务实施：使用T-SQLj脚本添加和管理数据库用户（演示操作）例11-19：创建自定义数据库角色db_myrole。USESGMSGOEXECsp_addrolemember'db_datareader','John'GOUSESGMSGOCREATEROLEdb_salesGOSGMSGO例11-20：使用T-SQL脚本创建自定义数据库角色db_sales。操作步骤：1.打开SSMS，登录到服务器，在“对象资源管理器”依次展开“数据库”→SGMS→“安全性→角色→数据库角色”节点，右击“数据库角色”，选择“新建数据库角色”命令，弹出“数据库角色-新建”窗口；2.在“数据库角色-新建”窗口中输入自定义角色的名称db_myrole，同时需要为数据库角色指定所有者，默认选择dbo；3.单击“确定”按钮即可完成用户自定义角色的创建。管理数据库对象级别安全性11.4任务-POWERPOINTDESIGN对象权限是针对数据对象进行操作或执行存储过程时需要的权限，不同对象可执行操作不同，如表有SELECT、INSERT等权限，视图有SELECT等权限，列有SELECT等权限，存储过程有EXECUTE权限。语句权限是创建数据库和数据库对象所需的权限，仅sysadmin、db_ower和db_securityadmin等角色成员可被授予，如CREATEDATABASE、CREATETABLE等。隐性权限是安装系统后，部分角色和用户不必授权就具有的权限，用于控制预定义系统角色成员或数据库对象所有者才能执行的活动。授予权限使用GRANT语句，可授予语句权限、对象权限及列级权限，语法根据权限类型有所不同。拒绝权限使用DENY语句，禁止用户或角色成员执行特定操作，一旦被拒绝，即使属于某角色或已被授予权限，也不能执行相关操作。收回权限使用REVOKE语句，收回用户拥有的某些权限，用户若属于某角色，可能仍有相应权限。01对象权限02语句权限知识储备例11-21：为s数据库用户Jones授予student表查询、插入、更新数据的权限。操作步骤：展开“数据库→SGMS→表”，右击student，选择“属性”，选择“权限”查看表属性；单击“搜索”，选择Jones，勾选“插入”“