LOGO主要內(nèi)容SQLServer2005安全機(jī)制

8.1分析實(shí)例數(shù)據(jù)庫的安全要求8.2管理SQLServer服務(wù)器安全

8.3管理SQLServer數(shù)據(jù)庫安全8.4SQLServer2005安全管理模型

8.5知識(shí)進(jìn)階8.6LOGO學(xué)習(xí)目標(biāo)了解SQLServer的安全機(jī)制和安全管理模型1掌握服務(wù)器角色的添加與管理3掌握數(shù)據(jù)庫角色和數(shù)據(jù)庫用戶的創(chuàng)建與管理4了解數(shù)據(jù)控制語言對數(shù)據(jù)庫權(quán)限的控制5掌握登錄名的創(chuàng)建與管理2LOGO任務(wù)概述熟練掌握如何注冊服務(wù)器，學(xué)習(xí)如何管理用戶、角色并授予相關(guān)權(quán)限。LOGO8.1SQLServer2005安全機(jī)制SQLServer2005的安全機(jī)制分為以下4個(gè)等級：客戶機(jī)操作系統(tǒng)的安全性。SQLServer的登錄安全性。數(shù)據(jù)庫的使用安全性。數(shù)據(jù)庫對象的使用安全性。LOGO8.1SQLServer2005安全機(jī)制圖8-1SQLServer2005的安全等級LOGO8.1SQLServer2005安全機(jī)制1．操作系統(tǒng)的安全性在使用客戶計(jì)算機(jī)通過網(wǎng)絡(luò)實(shí)現(xiàn)對SQLSer-ver服務(wù)器的訪問時(shí)，用戶要首先獲得客戶計(jì)算機(jī)操作系統(tǒng)的使用權(quán)。操作系統(tǒng)安全性是操作系統(tǒng)管理員或者網(wǎng)絡(luò)管理員的任務(wù)。由于SQLServer采用了集成了WindowsNT網(wǎng)絡(luò)安全機(jī)制，從而使得操作系統(tǒng)安全性的地位得到提高，但同時(shí)也加大了管理數(shù)據(jù)庫系統(tǒng)安全性和靈活性的難度。LOGO8.1SQLServer2005安全機(jī)制2．SQLServer的安全性SQLServer的服務(wù)器級安全性建立在控制服務(wù)器登錄賬號(hào)和密碼的基礎(chǔ)之上。采用了標(biāo)準(zhǔn)SQLServer登錄和集成WindowsNT登錄兩種方式。SQLServer事先設(shè)計(jì)了許多固定服務(wù)器角色，擁有固定服務(wù)器角色的用戶可擁有服務(wù)器級的管理權(quán)限。LOGO8.1SQLServer2005安全機(jī)制3．?dāng)?shù)據(jù)庫的安全性在用戶通過SQLServer服務(wù)器的安全性檢查后，將直接面對不同的數(shù)據(jù)庫入口。建立用戶的登錄賬號(hào)信息時(shí)，SQLServer會(huì)提示用戶選擇默認(rèn)的數(shù)據(jù)庫。以后用戶每次連接服務(wù)器后都會(huì)自動(dòng)轉(zhuǎn)到默認(rèn)的數(shù)據(jù)庫。用戶建立新登錄賬號(hào)時(shí)，不要將默認(rèn)數(shù)據(jù)庫設(shè)置為master數(shù)據(jù)庫，而是有實(shí)際操作意義的數(shù)據(jù)庫上。

4．SQLServer數(shù)據(jù)庫對象的安全性數(shù)據(jù)庫對象的安全性是核查用戶權(quán)限的最后一道門。在創(chuàng)建數(shù)據(jù)庫對象時(shí)，SQLServer自動(dòng)把該數(shù)據(jù)庫對象的擁有權(quán)賦予該對象的創(chuàng)建者。對象的擁有者可以實(shí)現(xiàn)該對象的安全機(jī)制。LOGO8.2分析實(shí)例數(shù)據(jù)庫的安全要求由于實(shí)例數(shù)據(jù)庫是針對高職院校的特點(diǎn)所設(shè)計(jì)和建立的，所以對其數(shù)據(jù)庫的安全要求也有其特殊的一面。下面從幾個(gè)個(gè)方面來說明：1.系統(tǒng)用戶分析根據(jù)系統(tǒng)需求分析結(jié)果，本系統(tǒng)主要面向以下用戶：LOGO8.2分析實(shí)例數(shù)據(jù)庫的安全要求系統(tǒng)管理員：負(fù)責(zé)系統(tǒng)的日常維護(hù)。管理者：教務(wù)處的管理員，執(zhí)行該系統(tǒng)的大部分業(yè)務(wù)操作，涉及教師、學(xué)生、課程、教材、成績等信息的錄入、查詢、更新、匯總和審核。成績管理者：任課教師。對任課班級進(jìn)行成績錄入、修改和查詢。查詢者：包括年級輔導(dǎo)員和學(xué)生。輔導(dǎo)員擁有擁有查詢所轄班級學(xué)生成績和基本信息的權(quán)限。學(xué)生只擁有查詢個(gè)人信息和成績的權(quán)限。LOGO8.2分析實(shí)例數(shù)據(jù)庫的安全要求2.用戶安全性策略將用戶分為一般性用戶和終端用戶。(1)一般用戶的安全性包括密碼的安全性和用戶的權(quán)限管理。(2)終端用戶的安全性安全性管理員可以決定用戶組分類，并為這些用戶組創(chuàng)建用戶角色，把所需的權(quán)限和應(yīng)用程序角色授予每一個(gè)用戶。LOGO8.2分析實(shí)例數(shù)據(jù)庫的安全要求3．安全性策略⑴保護(hù)作為sys和system用戶的連接⑵使用角色對管理員權(quán)限進(jìn)行管理⑶數(shù)據(jù)庫的安全備份機(jī)制LOGO8.3管理SQLServer服務(wù)器安全8.3.1SQLServer2005服務(wù)器的登錄模式1．Windows身份驗(yàn)證模式優(yōu)點(diǎn)：由Windows系統(tǒng)管理員直接管理用戶賬號(hào)，方便管理。Windows中提供了諸如：安全驗(yàn)證和密碼加密、審核、密碼過期、密碼長度限制以及多次登錄失敗后自動(dòng)鎖定賬戶等功能，大大提高了安全性能。LOGO8.3管理SQLServer服務(wù)器安全2．SQLServer身份驗(yàn)證模式由SQLServer通過將客戶端提供的用戶名和密碼與SQLServer中維護(hù)的有效用戶名和密碼列表進(jìn)行比較，對客戶端進(jìn)行身份驗(yàn)證。LOGO8.3管理SQLServer服務(wù)器安全8.3.2創(chuàng)建與管理登錄名賬戶要進(jìn)入SQLServer系統(tǒng)必須登錄，SQLServer在整個(gè)服務(wù)器范圍管理登錄。登錄名即登錄數(shù)據(jù)庫服務(wù)器的賬戶，存儲(chǔ)在master數(shù)據(jù)庫的syslogins系統(tǒng)表中。LOGO8.3管理SQLServer服務(wù)器安全1.使用SQLServerManagementStudio創(chuàng)建登錄名啟動(dòng)SQLSERVERMANAGEMENTSTUDIO，在“對象資源管理器”窗口中展開“安全性”節(jié)點(diǎn)，在列表中選擇“登錄名”，單擊鼠標(biāo)右鍵，在彈出的快捷菜單中選擇“新建登錄名”命令，打開“登錄名-新建”對話框。在“登錄名-新建”對話框中的“選項(xiàng)頁”列表框中有五個(gè)選項(xiàng)：常規(guī)、服務(wù)器角色、用戶映射、安全對象及狀態(tài)，如圖8-2所示LOGO8.3管理SQLServer服務(wù)器安全圖8-2新建登錄LOGO8.3管理SQLServer服務(wù)器安全2．使用系統(tǒng)存儲(chǔ)過程sp_addlogin創(chuàng)建登錄名系統(tǒng)存儲(chǔ)過程sp_addlogin能夠創(chuàng)建新的登錄名，該登錄允許用戶使用SQLServer身份驗(yàn)證連接到SQLServer實(shí)例?；菊Z法如下：

sp_addlogin`login_name`，`pawwwork`，`default_database`[，`default_language`]

LOGO8.3管理SQLServer服務(wù)器安全【例8-1】使用存儲(chǔ)過程“sp_addlogin”創(chuàng)建”,密碼為“001”，默認(rèn)數(shù)據(jù)庫為“JXGL”。EXECsp_addlogin'user01','001','JXGL'GO執(zhí)行以上代碼。刷新“登錄名”節(jié)點(diǎn)，在列表中會(huì)發(fā)現(xiàn)登錄帳戶“user01”已經(jīng)存在，如圖8-3所示。LOGO8.3管理SQLServer服務(wù)器安全圖8-3創(chuàng)建登錄帳戶user01LOGO8.3管理SQLServer服務(wù)器安全（2）使用系統(tǒng)存儲(chǔ)過程“sp_defaultdb”修改SQLServer登錄名的默認(rèn)數(shù)據(jù)庫?；菊Z法如下：sp_defaultdb`login_name`，‘new_default_database’【例8-3】使用系統(tǒng)存儲(chǔ)過程“sp_defaultdb”將登錄帳戶“user01”的默認(rèn)數(shù)據(jù)庫修改為“JXGL02”。

sp_defaultdb'user01','JXGL02'（3）使用系統(tǒng)存儲(chǔ)過程sp_droplogin刪除登錄名?；菊Z法如下：sp_droplogin`login_name`【例8-4】使用系統(tǒng)存儲(chǔ)過程“sp_droplogin”刪除登錄帳戶“user01”。

sp_droplogin'user01'LOGO8.3管理SQLServer服務(wù)器安全8.3.3服務(wù)器角色管理角色（role），是一組具有相近權(quán)限的登錄賬戶所構(gòu)成的組。SQLServer2005的角色分為：固定服務(wù)器角色、數(shù)據(jù)庫角色和應(yīng)用程序角色。登錄賬戶與服務(wù)器角色的關(guān)系類似于Windows的用戶和組的。固定服務(wù)器角色如下表。LOGO8.3管理SQLServer服務(wù)器安全固定服務(wù)器角色描述sysadmin能夠在SQLServer中執(zhí)行任何活動(dòng)serveradmin能夠設(shè)置服務(wù)器范圍內(nèi)的配置選項(xiàng)，關(guān)閉服務(wù)器securityadminn安全管理員，可以管理登錄服務(wù)器權(quán)限setupadmin能夠添加和刪除鏈接在服務(wù)器，并且也可以執(zhí)行某些系統(tǒng)存儲(chǔ)過程processadmin管理在SQLServer中運(yùn)行的進(jìn)程dbcreator能夠創(chuàng)建、更改、刪除和還原任何數(shù)據(jù)庫diskadmin能夠管理磁盤文件bulkadmin能夠執(zhí)行BULKINSERT語句LOGO8.4管理SQLServer數(shù)據(jù)庫安全8.4.1數(shù)據(jù)庫架構(gòu)管理架構(gòu)是形成單個(gè)命名空間的數(shù)據(jù)庫實(shí)體的集合，屬性數(shù)據(jù)庫級的安全對象。在SQLServer2005之前，每個(gè)對象都是被用戶所擁有的，如果用戶離開了，就意味著需要將該用戶賬戶擁有的所有對象的權(quán)限轉(zhuǎn)換到新的賬戶上。在SQLServer2005中，對象被架構(gòu)所擁有，而架構(gòu)同時(shí)被用戶所擁有，這樣轉(zhuǎn)移權(quán)限就會(huì)變得容易和快捷。LOGO8.4管理SQLServer數(shù)據(jù)庫安全8.4.2數(shù)據(jù)庫用戶管理使用SQLServerManagementStudio管理數(shù)據(jù)庫用戶在數(shù)據(jù)庫JXGL下，展開“安全性”節(jié)點(diǎn)，在列表中選擇“用戶”，單擊鼠標(biāo)右鍵，在彈出的快捷菜單中選擇“新建用戶”命令。打開“數(shù)據(jù)庫用戶-新建”對話框，進(jìn)行如圖8-4所示的各項(xiàng)設(shè)置。LOGO8.4管理SQLServer數(shù)據(jù)庫安全圖8-4新建數(shù)據(jù)庫用戶LOGO8.4管理SQLServer數(shù)據(jù)庫安全2.使用T-SQL語句管理數(shù)據(jù)庫用戶使用CREATEUSER語句創(chuàng)建數(shù)據(jù)庫用戶，并與指定登錄名相關(guān)聯(lián)?；菊Z法如下：CREATEUSERdb_user_name[FOR]LOGINlogin_name|WITHOUTLOGIN【例8-5】創(chuàng)建數(shù)據(jù)庫用戶名為“user02”，與登錄賬戶“user01”相關(guān)聯(lián)。CREATEUSERuser02FORLOGINuser01LOGO8.4管理SQLServer數(shù)據(jù)庫安全使用ALTERUSER語句修改數(shù)據(jù)庫用戶。語法如下：ALTERUSERdb_user_nameWITH<修改項(xiàng)>【例8-6】將數(shù)據(jù)庫用戶“user02”的名稱修改為“user03”。ALTERUSERuser02WITHname=user03使用DROPUSER語句可刪除數(shù)據(jù)庫用戶。LOGO8.4管理SQLServer數(shù)據(jù)庫安全8.4.3數(shù)據(jù)庫角色管理如同SQLServer登錄名隸屬于某個(gè)數(shù)據(jù)庫角色一樣，數(shù)據(jù)庫用戶也總是歸屬于某個(gè)數(shù)據(jù)庫角色。數(shù)據(jù)庫角色是在數(shù)據(jù)庫級的安全對象，存在于每個(gè)數(shù)據(jù)庫中。SQLServer2005提供了10個(gè)固定數(shù)據(jù)庫角色，如表8-2所示。LOGO8.4管理SQLServer數(shù)據(jù)庫安全固定數(shù)據(jù)庫角色描述db_owner數(shù)據(jù)庫的所有者，能夠執(zhí)行數(shù)據(jù)庫得所有管理操作db_accessadmin能夠添加或刪除用戶db_securityadmin執(zhí)行語句及對象權(quán)限管理db_ddladmin能夠增加、修改或刪除數(shù)據(jù)庫中的對象db_backupoperator能夠執(zhí)行數(shù)據(jù)庫備份和恢復(fù)db_datareader能夠讀取用戶表中的所有數(shù)據(jù)db_datawrite能夠更改用戶表中得所有數(shù)據(jù)db_denydatareader禁止用戶查看用戶表中的數(shù)據(jù)db_denydatawriter禁止修改任意用戶表中的數(shù)據(jù)表8-2固定數(shù)據(jù)庫角色

LOGO8.4管理SQLServer數(shù)據(jù)庫安全8.4.4授權(quán)管理在SQLServer2005中，包括三種權(quán)限：默認(rèn)權(quán)限、對象權(quán)限和語句權(quán)限。⑴默認(rèn)權(quán)限系統(tǒng)安裝以后，固定服務(wù)器角色、固定數(shù)據(jù)庫角色、數(shù)據(jù)庫對象所有者具有的默認(rèn)權(quán)限。LOGO8.4管理SQLServer數(shù)據(jù)庫安全⑵對象權(quán)限是基于數(shù)據(jù)庫訪問層的訪問和操作權(quán)限。這些對象包括表、視圖、列和存儲(chǔ)過程。常用的對象權(quán)限包括SELE-CT、INSERT、UPDATE、DELETE和EXECUTE，其中EXECUTE用于存儲(chǔ)過程，其他幾個(gè)權(quán)限用于表和視圖。⑶語句權(quán)限是用戶能否對數(shù)據(jù)庫和數(shù)據(jù)庫對象進(jìn)行操作，語句權(quán)限應(yīng)用于語句本身，而不是數(shù)據(jù)庫對象。當(dāng)用戶獲得了某個(gè)語句的權(quán)限，也就具有了執(zhí)行該語句的權(quán)力。要進(jìn)行語句權(quán)限授予的語句如表8-3所示。LOGO8.4管理SQLServer數(shù)據(jù)庫安全語句權(quán)限含義CREATEDATABASE允許用戶創(chuàng)建數(shù)據(jù)庫DREATETABLE允許用戶創(chuàng)建表CREATEVIEW允許用戶創(chuàng)建視圖CREATERULE允許用戶創(chuàng)建規(guī)則CREATEDEFAULT允許用戶創(chuàng)建默認(rèn)對象CREATEPROCEDURE允許用戶創(chuàng)建存儲(chǔ)過程CREATEFUNCTION允許用戶創(chuàng)建用戶自定義函數(shù)BACKUPDATABASE允許用戶備份數(shù)據(jù)庫BACKUPLOG允許用戶備份事務(wù)日志表8-3授予權(quán)限的語句LOGO在SQLServer中的安全管理模型是基于Windows安全模型實(shí)現(xiàn)的，如圖所示。8.5SQLServer2005的安全管理模型

LOGO第二種安全模型如下圖：8.5SQLServer2005的安全管理模型

LOGO使用角色來分配對象權(quán)限時(shí)，仍需使用建議的方法為各個(gè)用戶授予對服務(wù)器和數(shù)據(jù)庫的訪問權(quán)限。步驟①到步驟④與圖8-13中基本相同，不同的只是可能不必創(chuàng)建多個(gè)Windows全局組和本地組。步驟⑤：將各個(gè)Windows賬戶和Windows組分配給某個(gè)角色。步驟⑥：為角色分配對象訪問權(quán)限。使用角色，通過在SQLServer內(nèi)組織用戶而減少了在Windows內(nèi)組織用戶的需要。8.5SQLServer2005的安全管理模型

LOGO8.6知識(shí)進(jìn)階8.6.1登錄管理、用戶管理、角色管理與權(quán)限管理的比較1.登錄管理登錄管理是定義在數(shù)據(jù)庫服務(wù)器級的安全對象，主要是增加新的登錄名。登錄名是基于服務(wù)器使用的用戶名，既可以創(chuàng)建基于Windows組或用戶賬號(hào)的登錄賬號(hào)，也可以創(chuàng)建SQLServer自己的登錄賬號(hào)。LOGO8.6知識(shí)進(jìn)階2.用戶管理用戶管理是針對一個(gè)具體的數(shù)據(jù)庫來說的數(shù)據(jù)庫級安全對象。在實(shí)現(xiàn)數(shù)據(jù)庫安全登錄后，檢驗(yàn)用戶權(quán)限的下一步就是數(shù)據(jù)庫的訪問權(quán)。而數(shù)據(jù)庫的訪問權(quán)是通過映射數(shù)據(jù)庫的用戶和登錄賬戶之間的關(guān)系來實(shí)現(xiàn)的。一個(gè)登錄賬戶在不同的數(shù)據(jù)庫中可以映射成不同得數(shù)據(jù)庫用戶，從而可以具有不同的權(quán)限。LOGO8.6知識(shí)進(jìn)階3.角色管理角色是SQLServer引進(jìn)的用來集中管理數(shù)據(jù)庫和服務(wù)器權(quán)限的概念。數(shù)據(jù)庫管理員（DBA）操作數(shù)據(jù)庫的權(quán)限賦予角色，然后再將角色賦給數(shù)據(jù)庫用戶或者登錄的賬戶，從而使數(shù)據(jù)庫用戶或登錄賬戶有相應(yīng)的權(quán)限。LOGO8.6知識(shí)進(jìn)階在SQLServer中既包含服務(wù)器角色又包含數(shù)據(jù)庫角色。服務(wù)器角色：主要于在用戶登錄時(shí)授予的在服務(wù)器范圍內(nèi)