数据库应用技术教程 课件 第9章-安全管理

上节知识回顾建立一个触发器，使得不能删除信息系的学生信息。创建一个统计表，自动统计student表中的每个系的人数。第9章安全管理01安全控制概述Addatitle03数据库用户Addatitle05角色Addatitle02登录帐户Addatitle04权限管理Addatitle9.1安全控制概述安全控制：在数据库应用系统的不同层次提供对有意损害行为的安全防范9.1.1安全控制模型9.1.2SQLServer的安全控制2026/8/913:34安全控制模型2026/8/913:34文件操作控制操作权控制身份验证用户数据库应用程序数据库管理系统操作系统加密存储与冗余数据库SQLServer的安全控制用户访问数据库数据都要经过三个安全认证过程：第一个过程，确认用户是否是数据库服务器的合法账户（验证连接权）；第二个过程，确认用户是否是要访问的数据库的合法用户（验证数据库访问权）；第三过程，确认用户是否具有合适的操作权限（验证操作权）。2026/8/913:34三个安全认证过程图示01PEPORTONWORK9.2登录名9.2.1身份认证模式9.2.2建立登录名9.2.3删除登录名2026/8/913:349.2.1身份验证模式Windows身份验证模式仅允许授权的Windows用户访问SQLServer混合身份验证模式仅允许授权的Windows用户和非Windows用户(SQL用户）访问SQLServer设置身份验证模式在要设置身份验证模式的SQLServer实例上右击鼠标，从弹出的菜单中选择“属性”命令弹出“服务器属性”窗口；在该窗口左边的“选择页”上，单击“安全性”选项；在显示窗口的“服务器身份验证”部分，可以设置身份验证模式。建立Windows身份验证的登录名使用Windows登录名进行的连接，被称为信任连接。在SSMS的对象资源管理器中，依次展开“安全性”

“登录名”节点。在“登录名”节点上右击鼠标，选择“新建登录名”命令。2026/8/913:34单击“搜索”按钮，弹出“选择用户或组”窗口。2026/8/913:34单击“高级”按钮，弹出“选择用户或组”窗口。2026/8/913:34单击“立即查找”按钮，在下面将列出查找的结果,选择需要添加为登录名的用户。2026/8/913:34建立SQLServer身份验证的登录名在SSMS的对象资源管理器中，依次展开“安全性”

“登录名”节点。在“登录名”节点上右击鼠标，选择“新建登录名”命令。在弹出的窗口中输入登录名。2026/8/913:342026/8/913:34新建登录窗口的一些选项说明强制密码过期对该登录帐户强制实施密码过期策略。必须先选中“强制实施密码策略”才能启用此复选框。用户在下次登录时必须更改密码首次使用新登录名时，SQLServer将提示用户输入新密码。2026/8/913:34新建登录窗口的一些选项说明默认数据库指定该登录帐户初始登录到SSMS时进入的数据库。2026/8/913:34一般不设置用T-SQL语句建立登录名CREATELOGINlogin_name{WITH<option_list1>|FROM<sources>}<sources>::=WINDOWS[WITH<windows_options>[,...]]<option_list1>::=PASSWORD='password'[,<option_list2>[,...]]2026/8/913:34示例例1．创建SQLServer身份验证的登录帐户。登录名为：SQL_User2，密码为：abc。CREATELOGINSQL_User2WITHPASSWORD='abc'2026/8/913:34示例例2．创建Windows身份验证的登录帐户。从Windows域帐户创建[bachelor007/adong]登录帐户。CREATELOGIN[bachelor007\adong]FROMWINDOWS2026/8/913:34Adong要有哦示例例3．创建SQLServer身份验证的登录帐户。登录名为：SQL_User3，密码为：123。要求该登录帐户首次连接服务器时必须更改密码。CREATELOGINSQL_User3WITHPASSWORD='123'MUST_CHANGE,check_expiration=on2026/8/913:349.2.3删除登录帐户依次展开“安全性”

“登录名”节点。在要删除的登录帐户上右击鼠标，选择“删除”命令，弹出删除登录帐户属性窗口。单击“确定”按钮。2026/8/913:34删除登录帐户的T-SQL语句DROPLOGINlogin_name不能删除正在使用的登录帐户，也不能删除拥有任何数据库对象、服务器级别对象的登录帐户。例4．删除SQL_User2登录帐户。DROPLOGINSQL_User22026/8/913:349.3数据库用户9.3.1建立数据库用户9.3.2删除数据库用户2026/8/913:349.3.1建立数据库用户用SSMS建立数据库用户：展开要建立数据库用户的数据库。展开“安全性”节点，在“用户”节点上右击鼠标，在弹出的菜单上选择“新建用户”命令。2026/8/913:34用T-SQL语句建立数据库用户CREATEUSERuser_name[{{FOR|FROM}{LOGINlogin_name}]user_name：指定在此数据库中用于识别该用户的名称。LOGINlogin_name：指定要映射为数据库用户的SQLServer登录名。如果省略FORLOGIN，则新的数据库用户将被映射到同名的SQLServer登录名。2026/8/913:34示例例5.让SQL_User2登录帐户成为学生选课数据库中的用户，并且用户名同登录名。USE学生选课GOCREATEUSERSQL_User2forloginsql_user22026/8/913:34示例例6.首先创建名为Duang且具有密码的SQLServer身份验证的服务器登录名，然后在学生选课数据库中创建与此登录帐户对应的数据库用户。CREATELOGINDuangWITHPASSWORD=‘123';GOCREATEUSERDuangFORLOGINDuang;2026/8/913:34注意服务器登录名与数据库用户是两个完全不同的概念。具有登录名的用户可以登录到SQLServer实例上，而且只局限在实例上进行操作。数据库用户是登录名以什么样的身份在该数据库中进行操作，是登录名在具体数据库中的映射。9.3.3删除数据库用户DROPUSERuser_name例7．删除SQL_User2用户。 DROPUSERSQL_User22026/8/913:349.4管理权限9.4.1权限种类及用户分类9.4.2权限的管理2026/8/913:34权限种类对象权限是对表、视图等对象中数据的操作权。语句权限创建对象的权限。隐含权限指由SQLServer预定义的服务器角色、数据库角色、数据库拥有者和数据库对象拥有者所具有的权限。2026/8/913:34对象权限ALTER：具有更改特定数据库对象属性的权限。DELETE、INSERT、UPDATE和SELECT：具有对表和视图数据进行删除、插入、更改和查询的权限，其中UPDATE和SELECT可以对表或视图的单个列进行授权。EXECUTE：具有执行存储过程的权限。REFERENCES：具有通过外键引用其他表的权限。2026/8/913:34语句权限CRAETETABLE：创建表的权限。CREATEVIEW：创建视图的权限。CREATEPROCEDURE：创建存储过程的权限。CREATEFUNCTION：创建函数的权限。2026/8/913:34数据库用户分类系统管理员在数据库服务器上具有全部的权限。数据库对象拥有者创建数据库对象的用户即为数据库对象拥有者。数据库对象拥有者对其所拥有的对象具有全部权限。普通用户普通用户只具有对数据库数据的增、删、改、查权限。9.4.2权限管理授予权限：允许用户或角色具有某种操作权。收回权限：不允许用户或角色具有某种操作权，或者收回曾经授予的权限。拒绝权限：拒绝某用户或角色具有某种操作权，既使用户或角色由于继承而获得这种操作权，也不允许执行相应的操作。2026/8/913:34用SQL语句管理对象权限GRANT：授予权限；REVOKE：收回权限；DENY：拒绝权限。2026/8/913:34授权语句GRANT对象权限名[，…]ON{表名|视图名|存储过程名}TO{数据库用户名|用户角色名}[，…]2026/8/913:34收权语句REVOKE对象权限名[，…]ON{表名|视图名|存储过程名}FROM{数据库用户名|用户角色名}[，…]2026/8/913:34拒绝语句DENY对象权限名[，…]ON{表名|视图名|存储过程名}

TO{数据库用户名|用户角色名}[，…]2026/8/913:34示例例1．为用户user1授予Student表的查询权。GRANTSELECTONStudentTOuser1例2．为用户user1授予SC表的查询权和插入权。GRANTSELECT，INSERTONSCTOuser1例3．收回用户user1对Student表的查询权。REVOKESELECTONStudentFROMuser1例4．拒绝user1用户具有SC表的更改权。DENYUPDATEONSCTOuser12026/8/913:34综合演练1、创建一个登录名，ppp，可以使用该登录名，访问学生选课数据库，并且可以对student表进行查询和更新操作。语句权限管理授权语句GRANT语句权限名[，…]TO{数据库用户名|用户角色名}[，…]2026/8/913:34语句权限管理（续）收权语句REVOKE语句权限名[，…]FROM{数据库用户名|用户角色名}[，…]2026/8/913:34语句权限管理（续）拒绝语句DENY语句权限名[，…]TO{数据库用户名|用户角色名}[，…]2026/8/913:34示例例5．授予user1具有创建表的权限。GRANTCREATETABLETOuser1withgrantoption例6．授予u1和u2具有创建表和视图的权限。GRANTCREATETABLE,CREATEVIEWTOu1,u2例7．收回授予user1创建表的权限。REVOKECREATETABLEFROMuser1例9．拒绝user1创建视图的权限。DENYCREATEVIEWTOuser12026/8/913:349.5角色9.5.1建立用户定义的角色9.5.2为用户定义的角色授权9.5.3为用户定义的角色添加成员9.5.4删除用户定义角色中的成员概述为便于对用户及权限的管理，可以将一组具有相同权限的用户组织在一起，这一组具有相同权限的用户就称为角色(Role)。角色类似于Windows操作系统安全体系中的组的概念。2026/8/913:349.5.1建立用户定义的角色用户可以根据实际的工作职能情况定义自己的一系列角色，并给每个角色授予合适的权限。用户自定义的角色的成员可以是数据库的用户，也可以是用户定义的角色。2026/8/913:34建立用户定义的角色CREATEROLErole_name[AUTHORIZATIONowner_name]role_name：待创建角色的名称。AUTHORIZATIONowner_name：将拥有新角色的数据库用户或角色。如果未指定用户，则执行CREATEROLE的用户将拥有该角色。2026/8/913:34示例例1.创建用户自定义角色：Myrole，拥有者为创建该角色的用户。CREATEROLEMyrole;例2.创建用户自定义角色：yourole，拥有者为SQL_User1。CREATEROLEyouroleAUTHORIZATIONSQL_User1;2026/8/913:349.5.2为用户定义的角色授权使用SQL语句实现对用户角色的授权与为数据库用户授权完全一样。例3.为Software角色授予Student表的查询权。GRANTSELECTONStudentTOSoftware例4.为Admin角色授予Student表的增、删、改、查权。GRANTSELECT,INSERT,DELETE,UPDATEONStudentTOAdmin2026/8/913:349.5.3为用户定义的角色添加成员sp_addrolemember[@rolename=]'role',[@mem