SQL Server 数据库基础及应用-10

第10章

SQLServer2012的安全机制510.5数据库架构返回10.1创建用户账户及登录(1)SQLServer的安全机制SQLServer的安全机制可以分为4个等级，包括操作系统安全性.SQLServer登录安全性、数据库使用安全性、数据库对象的使用安全性。(1)操作系统安全性SQLServer与其他RDBMS一样，是运行在特定操作系统平台上的应用程序，因此，操作系统的安全性就直接影响到了SQLServer的安全性。用户使用客户机通过网络访问数据库服务器时，首先要获得客户机操作系统的使用权。

(2)SQLServer登录安全性SQLServer的登录安全性是建立在控制服务器登录和密码的基础之上的。SQLServer采用了SQLServer登录和Windows登录两种方式。下一页返回10.1创建用户账户及登录(3)数据库使用安全性用户输入口令登录计算机，通过SQLServer2012服务器的安全性检查后，将直接面对不同的数据库入口，这就是用户通过的第三次安全性检验。在建立用户的登录账号信息时，SQLServer2012为用户选择了默认登录的数据库，默认为maste:数据库，登录用户账号时就可以自动转到默认的数据库上。(4)数据库对象的使用安全性创建数据库对象时，SQLServer2012将自动把该数据库对象的拥有权限赋予该对象的所有者，所以在操作创建的数据库对象时，数据库对象的安全性会对操作用户的权限进行检查。默认情况下，只有数据库的拥有者才可以在该数据库中尽情地操作，当非数据库的拥有者想对数据库或数据库对象进行操作时，必须事先得到数据库拥有者的授权才可执行。上一页下一页返回10.1创建用户账户及登录2.SQLServer2012的验证模式(1)仅为Windows身份验证当用户通过Windows用户账户进行连接时，SQLServer将检测当前使用的Windows用户，并在注册表中查找该用户是否有权登录，如果通过检查则使用操作系统的信息验证账号和密码登录SQLServer数据库。(2)混合身份验证当外界用户或者当前用户不能使用Windows身份验证访问数据库时，可以使用混合身份验证模式。使用混合身份验证模式时，SQLServer首先确定用户账户是否有效，然后验证账号密码组合是否通过，最后检查该用户账号是否有权限连接到数据库。3.SQLServer2012的系统登录名简介上一页下一页返回10.1创建用户账户及登录

用户是配置SQLServer服务器安全的最小单位，通过使用不同的用户登录名可以配置不同的范围级别。服务器登录有两种情况:使用域或本地用户账户、本地组用户或通用的和全局的域组账户等域账户创建域登录;指定唯一的登录ID和密码登录。SQLServer2012服务器内置的系统登录名包括系统管理员组、本地管理员组、sa、NetworkServic。和SYSTEM。(1)系统管理员组SQLServer中管理员组在数据库服务器上属于本地组，通常包括本地管理员账户和任何设置为管理员的本地系统的其他用户。SQLServer默认授予此组用户sysadmin服务器角色。(2)本地管理员组上一页下一页返回10.1创建用户账户及登录本地管理员是管理员在SQLServer服务器上的本地用户账户，提供对本地系统的管理权限，主要是在安装系统时使用。如果计算机是Windows域的一部分，那么管理员账户通常也有域范围的权限，SQLServer默认授予此账户sysadmin服务器角色。(3)sasa是SQLServer系统管理员账户，与其他管理员登录一样，SQLServer默认授予此账户sysad-min服务器角色。(4)NetworkService和SYSTEMNetworkService和SYSTEM是SQLServer服务器上内置的本地账户，是否创建登录依赖于服务器的配置。上一页下一页返回10.1创建用户账户及登录4.使用SSMS创建登录名(1)创建用户账户并添加到新建组在控制面板中打开“管理工具”，找到“计算机管理”(ComputerManagement)，打开“本地用户和组”，右击“用户”，选择“新用户”，在弹出的对话框中按要求填写内容，最后单击“创建”按钮，如图10一1所示。再选择“组”，右击选择“新建组”，在弹出的窗口中按要求填写内容，如图10-2所示。单击“添加”按钮，在弹出的对话框中，单击“高级”按钮，再单击“立即查找”按钮，在搜索结果中选择新建的“Erili"，单击“确定”，如图10-3所示。在弹出的“选择用户”对话框中，如图10-4所示，单击“确定”按钮。最后，单击“创建”按钮，就完成了创建用户账户和添加到组，如图10-5所示。上一页下一页返回10.1创建用户账户及登录(2)指派用户权限在控制面板中打开“管理工具”，找到“本地安全策略”(或在运行中输入secpol.msc)，在打开的对话框中找到“本地策略”中“用户权限分配”中的“允许本地登录”，右击选择“属性”，打开对话框，如图10一6所示。单击“添加用户或组”按钮，再单击弹出的对话框中的“高级”按钮，在“对象类型”按钮中选择“组”，单击“立即查找”按钮，在搜索结果中选择EduAdmin组，单击“确定”按钮，如图10-7所示。最后，单击“确定”按钮，关闭本地安全策略。(3)映射账号SQLServer登录打开SQLServerManagementStudio窗口，在“对象资源管理器”中展开服务器节点，找到“安全胜”中的“登录名”，右击选择“新建登录名”，如图10-8所示。上一页下一页返回10.1创建用户账户及登录

在弹出的对话框中通过“搜索”填写登录名，并设置用户映射数据库，如图10-9和图10一10所示。以上是创建Windows身份验证的登录。(4)创建SQLServer用户登录同样，找登录名，新建登录名，选择SQLServer身份验证，输入相应信息，并和Windows身份验证一样地设置用户映射，如图10一11所示。(5)使用SQL语句方式创建可以使用SP_AIdLOCIN系统存储过程创建一个图10一14中所示的图形创建。上一页返回10.2

数据库用户(1)dbodbo用户是指数据库所有者，是一个特殊类型的数据库用户，被授予特殊的权限。通常创建数据库的用户就是数据库的所有者。此用户被默认授予数据库的所有权限，并可以将这些权限授予其他用户。通过sysadmin服务器角色成员创建的对象自动属于dbo用户，sysadmin服务器角色成员自动映射为dbo用户，以sysadmin服务器角色登录可以执行dbo用户所能执行的任何任务。

(2)guestp创建数据库时，该数据库默认包含guest用户，在数据库中没有用户账户的用户继承授予guest用户的权限。下一页返回10.2

数据库用户guest允许有效SQLServer登录的任何人访问数据库，可以使用户加到数据库，guest默认存在于model数据库中，并且model数据库拥有guest的权限。由于model是创建所有数据库的模板，所以所有的数据库都有guest账户和guest权限。

(3)INFORMATION_SCHEMA和S3's每个数据库都包含两个实体INFORMATION_SCHEMA和S3's，它们作为用户出现在目录视图中。这两个实体是SQLServer所必需的，并且不能进行修改和删除，同时又是创建每个数据库的两个特殊架构，仅在master数据库中可见，所有系统对象包含在INFORMATION_SCHEMA和衡s的架构中。相关的INFORMATION_SCHEMA和Sys架构的视图，提供存储在数据库中所有数据对象的元数据的内部系统视图，INFORMATION_SCHEMA和衡s用户可以引用这些视图。上一页返回10.3

数据库角色1.服务器角色在SQLServer中的服务器角色具有授予服务器管理权限的能力。Sysadmin角色的成员在SQLServer上具有最高级别的权限，能执行任何类型的任务。应用于服务器级别的服务器角色需要预定，该角色将影响到整个服务器，并且不能更改权限集。在SSMS中的对象资源管理器中找到安全性服务器角色。服务器角色名称及授予角色的权限见表10一1.公数据库角色数据库角色分为内置数据库角色、应用程序角色和用户定义角色。(1)内置数据库角色SQLServer在数据库级设置了固定数据库角色，提供最基本的数据库权限的综合管理。固定数据库拥有已经应用的权限，只需要将用户加进这些角色中，即可继承全部相关的权限，如图10一12所示。下一页返回10.3

数据库角色(2)应用程序角色应用程序角色是数据库级别的主体，它使应用程序用其自身的、类似用户的特权来运行。使用应用程序角色时，只允许通过特定应用程序连接的用户访问特定数据。与固定数据库角色不同的是，应用程序角色在默认情况下不包含任何成员，而且是非活动的。上一页返回10.4

数据库权限1.数据库权限SQLServer使用权限可以说是为访问数据库所设置的最后一道安全措施，权限确定了用户能在SQLServer或数据库中执行的操作。根据登录、组成员和角色关系授予相应的权限，使用户在执行更改数据库定义或访问数据库的任何操作之前取得适当的权限。该权限一般分为三种类型:对象权限、语句权限和隐式权限。(1)对象权限在SQLServer中，所有的对象权限都是可授予的，用户管理权限对象的授予依赖作用范围。在服务器级别，可以为服务器、站点、登录和服务器角色授予对象权限，也可以为当前服务器实例管理权限。下一页返回10.4

数据库权限在服务器级别，可以为应用程序角色、程序集、非对称密钥、凭据、数据库角色、数据库、全文目录、函数、架构、存储过程、对称密钥、同义词、表、用户定义的数据类型、用户、视图和XML架构集授予对象的权限。通过授予、拒绝或撤销执行特殊语句、存储过程的操作来控制这些对象的访问。(2)语句权限语句权限是用于控制创建数据库或数据库中的对象所涉及的权限。如果用户需要在数据库中创建表，则应该向该用户授予CreateTable语句权限。某些语句权限(如CreateDatabase)只适用于语句本身，而不适用于数据库中定义的特定对象。只有sysadmin、db_owner、db_securityadmix，角色的成员才能授予语句权限。上一页下一页返回10.4

数据库权限(3)隐式权限预定义角色的成员拥有隐式权限，并且角色的隐式权限不能被更改，可以使角色成员的其他账户授予账户相关的隐式权限。数据库和数据库对象所有者也有隐式权限。这些权限允许执行的是数据库、数据库对象或者两者的活动。2.权限操作在SQLServer中，用户和角色的权限以记录的形式存储在各个数据库的sysprotects系统中，将权限分为3种状态:授予、拒绝、撤销，可以使用如下的语句来修改权限的状态。上一页下一页返回10.4

数据库权限(1)授予权限为了允许用户执行某些活动或者操作，需要授予相应的权限。如果是角色，则授予角色的成员继承权限。权限只能授予数据库的用户，如果将权限授予了public角色，则数据库中的所有用户都将默认获得这项权限。

(2)撤销权限通过撤销权限，停止以前授予或者拒绝的权限，不会显示阻止用户或角色执行的操作，但是仍然能继承其他角色的授予的权限。使用Revoke语句撤销以前授予或拒绝的权限，类似于拒绝，但是撤销只是删除已授予的权限，并不妨碍用户、组或角色从更高级别继承的已授予权限。上一页下一页返回10.4

数据库权限(3)拒绝权限在授予用户对象权限以后，管理员可根据实际情况，在不撤销用户访问权限的情况下，拒绝用户访问数据库对象，并阻止用户或角色继承权限，该语句优先于其他授予的权限。上一页返回10.5

数据库架构1.架构简介架构，如图10一13所示，是对象的容器，用于在数据库内定义对象的命名空间，简化管理和创建可以共同管理的对象子集。当用户拥有架构且服务器在查询中解析非限定对象时，总有一个默认的架构供服务器使用，并且架构与用户相互分离。架构的优点使用户不再是对象的直接所有者，从数据库中删除用户是非常简单的任务:不再需要在删除对象的用户之前重命名对象:多用户可通过在角色或Windwa组中的成员资格来拥有单个架构，使管理表、视图和其他数