附加第7章SQL Server 2005安全与权限

1、SQL Server 2005从入门到实践从入门到实践第第7 7章章 SQL Server 2005SQL Server 2005安全与权限安全与权限数据库安全是关系数据库中非常重要的一个方面，也是每个数据库安全是关系数据库中非常重要的一个方面，也是每个数据库管理员都必须认真考虑的问题。数据库管理员都必须认真考虑的问题。SQL Server 2005为维护数据库系统的安全性提供了完善的管理机制和简为维护数据库系统的安全性提供了完善的管理机制和简单而丰富的操作方法。单而丰富的操作方法。l SQL Server 2005的安全性机制的安全性机制l SQL Server 2005的登录和用户的登录和

2、用户l SQL Server 2005的权限管理的权限管理l SQL Server 2005的角色管理的角色管理l SQL Server 2005其他安全性管理其他安全性管理SQL Server 2005从入门到实践从入门到实践7.1 SQL Server 20057.1 SQL Server 2005的安全性机制的安全性机制SQL Server 2005采用分层机制来进采用分层机制来进行权限管理，即在每一层都有相行权限管理，即在每一层都有相应的安全性机制。应的安全性机制。SQL Server 2005的安全性管理分为的安全性管理分为操作系统、操作系统、SQL Server和数据库和数据库3个

3、等级，详细的权限层次和安个等级，详细的权限层次和安全机制如图全机制如图7-1所示。所示。SQL Server 2005从入门到实践从入门到实践7.1.1 7.1.1 操作系统级的安全性操作系统级的安全性在用户使用客户端计算机通过网络实现对在用户使用客户端计算机通过网络实现对SQL Server 2005服务器的访问时，服务器的访问时，首先要获得计算机操作系统的使用权首先要获得计算机操作系统的使用权限限。一般来说，在能够实现网络互联的前提下，用户没有必要向一般来说，在能够实现网络互联的前提下，用户没有必要向运行运行SQL Server 2005服务器的主机进行登录，除非服务器的主机进行登录，除非

4、SQL Server 2005服务器就运行在本地计算机上。服务器就运行在本地计算机上。SQL Server 2005可以直接访问网络端口，所以可以实现对可以直接访问网络端口，所以可以实现对Windows NT安全体系以外的服务器及其数据库的访问。安全体系以外的服务器及其数据库的访问。操作系统安全性是操作系统管理员或网络管理员的任务。操作系统安全性是操作系统管理员或网络管理员的任务。SQL Server 2005从入门到实践从入门到实践7.1.2 SQL Server7.1.2 SQL Server级的安全性级的安全性SQL Server服务器级的安全性是建立在控制服务器登录账户服务器级的安全性

5、是建立在控制服务器登录账户和密码的基础上的。和密码的基础上的。SQL Server 2005采用了采用了标准标准SQL Server登录和集成登录和集成Windows NT登录两种方式登录两种方式。无论使用哪种登录方式，用户在登录时提供的登录账户和密无论使用哪种登录方式，用户在登录时提供的登录账户和密码，决定了用户能否获得码，决定了用户能否获得SQL Server 2005的访问权，以的访问权，以及在获得访问权后，用户在访问及在获得访问权后，用户在访问SQL Server 2005进程时进程时可以拥有的权利。可以拥有的权利。SQL Server 2005从入门到实践从入门到实践7.1.3 7.

6、1.3 数据库级的安全性数据库级的安全性在用户通过在用户通过SQL Server服务器的安全性检查后，将服务器的安全性检查后，将直接面对不同直接面对不同的数据库入口的数据库入口。这是用户将接受的第三次安全性检验。这是用户将接受的第三次安全性检验。在建立用户的登录账户信息时，在建立用户的登录账户信息时，SQL Server 2005会提示用户选择会提示用户选择默认的数据库。以后用户每次连接上默认的数据库。以后用户每次连接上SQL Server 2005服务器服务器后，都会自动连接到默认的数据库上。对任何用户来说，后，都会自动连接到默认的数据库上。对任何用户来说，master数据库总是打开的。数据

7、库总是打开的。在默认的情况下，只有数据库的拥有者才可以访问该数据库的对在默认的情况下，只有数据库的拥有者才可以访问该数据库的对象，数据库的拥有者可以分配访问权限给别的用户。象，数据库的拥有者可以分配访问权限给别的用户。SQL Server 2005从入门到实践从入门到实践7.2 SQL Server 20057.2 SQL Server 2005的登录和用户的登录和用户用于连接到用于连接到SQL Server 2005服务器的账户都称为服务器的账户都称为SQL Server的登录。的登录。用户是为特定数据库定义的用户是为特定数据库定义的。要创建用户。要创建用户，必须已经定义了该用户的登录，用户

8、，必须已经定义了该用户的登录，用户ID同登录类似，同登录类似，但是它的名称不需要与登录相同。但是它的名称不需要与登录相同。用户可以防止数据被未授权的用户故意或无意地修改。用户可以防止数据被未授权的用户故意或无意地修改。SQL Server 2005为每一个用户分配了唯一的用户名和密码，为每一个用户分配了唯一的用户名和密码，可以为不同账号的用户授予不同的安全级别。可以为不同账号的用户授予不同的安全级别。SQL Server 2005从入门到实践从入门到实践7.2.1 7.2.1 登录的身份模式及其设置登录的身份模式及其设置如果要登录到一个如果要登录到一个SQL Server 2005服务器的实例

9、，那么在服务器的实例，那么在这个实例中必须有一个登录名与之相对应，这个登录名这个实例中必须有一个登录名与之相对应，这个登录名可以是如下两种类型。可以是如下两种类型。l Windows身份验证。身份验证。l SQL Server身份验证。身份验证。SQL Server 2005从入门到实践从入门到实践7.2.2 7.2.2 使用使用SQL Server Management StudioSQL Server Management Studio创创建登录建登录登录属于登录属于SQL Server 2005服务器级的安全策略，要连接到服务器级的安全策略，要连接到数据库，数据库，首先要存在一个合法的登

10、录首先要存在一个合法的登录。SQL Server 2005从入门到实践从入门到实践7.2.3 7.2.3 使用使用SQL Server Management StudioSQL Server Management Studio创创建用户建用户用户是用户是SQL Server 2005数据库级的安全策略，在为数据库数据库级的安全策略，在为数据库创建新的用户前，必须存在一个有效的登录。创建新的用户前，必须存在一个有效的登录。SQL Server 2005从入门到实践从入门到实践7.2.4 7.2.4 使用使用Transact-SQLTransact-SQL语句创建登录和用户语句创建登录和用户除了使

11、用除了使用SQL Server Management Studio工具来创建登录和工具来创建登录和用户外，还可以使用用户外，还可以使用Transact-SQL语句来创建登录和用语句来创建登录和用户。户。1使用使用Transact-SQL语句来创建登录语句来创建登录2使用使用Transact-SQL语句来创建用户语句来创建用户3使用使用Transact-SQL语句来创建登录和用户实例语句来创建登录和用户实例SQL Server 2005从入门到实践从入门到实践7.3 SQL Server 20057.3 SQL Server 2005的权限管理的权限管理权限用于控制对数据库对象的访问，以及指定用

12、户对数据库权限用于控制对数据库对象的访问，以及指定用户对数据库可以执行的操作。可以执行的操作。用户可以设置服务器和数据库的权限。用户可以设置服务器和数据库的权限。服务器权限允许数据库管理员执行管理任务服务器权限允许数据库管理员执行管理任务，数据库权限用于控制对数据库对象的访问和语句执行数据库权限用于控制对数据库对象的访问和语句执行。SQL Server 2005从入门到实践从入门到实践7.3.1 7.3.1 服务器权限服务器权限服务器权限允许数据库管理员执行管理任务。这些权限定义服务器权限允许数据库管理员执行管理任务。这些权限定义在在固定服务器角色固定服务器角色（fixed server ro

13、les）中。这些固定服）中。这些固定服务器角色可以分配给登录，但是不能修改。一般只把服务器角色可以分配给登录，但是不能修改。一般只把服务器权限授予数据库管理员（务器权限授予数据库管理员（DBA），因为他不需要修），因为他不需要修改或者授权给别的用户登录。改或者授权给别的用户登录。SQL Server 2005从入门到实践从入门到实践7.3.2 7.3.2 数据库对象权限数据库对象权限数据库对象权限是授予用户以允许他们访问数据库中对象的数据库对象权限是授予用户以允许他们访问数据库中对象的一类权限，对象权限对于使用一类权限，对象权限对于使用SQL语句语句访问表或视图访问表或视图是是必须的。必须的。

14、SQL Server 2005从入门到实践从入门到实践7.3.3 7.3.3 数据库权限数据库权限对象权限使用户能够访问存在于数据库中的对象，除了数据对象权限使用户能够访问存在于数据库中的对象，除了数据库对象权限外，还可以给用户分配数据库权限。库对象权限外，还可以给用户分配数据库权限。SQL Server 2005对数据库权限进行了扩充，增加了许多新的对数据库权限进行了扩充，增加了许多新的权限，这些数据库权限除了授权用户可以创建数据库对权限，这些数据库权限除了授权用户可以创建数据库对象和进行数据库备份外，还增加了一些更改数据库对象象和进行数据库备份外，还增加了一些更改数据库对象的权限。的权限。

15、SQL Server 2005从入门到实践从入门到实践7.4 SQL Server 20057.4 SQL Server 2005的角色管理的角色管理角色用来简化将很多权限分配给很多用户这一复杂任务的管角色用来简化将很多权限分配给很多用户这一复杂任务的管理理。角色允许用户分组接受同样的数据库权限，而不是角色允许用户分组接受同样的数据库权限，而不是单独给每一个用户分配这些权限。用户可以使用系统自单独给每一个用户分配这些权限。用户可以使用系统自带的角色，也可以创建一个代表一组用户使用的角色，带的角色，也可以创建一个代表一组用户使用的角色，然后把这个角色分配给这个工作组的用户。然后把这个角色分配给这

16、个工作组的用户。一般情况下，角色是为特定的工作组或者任务分类而设置的一般情况下，角色是为特定的工作组或者任务分类而设置的，新用户可以根据自己所执行的任务成为一个或者多个，新用户可以根据自己所执行的任务成为一个或者多个角色的成员。当然，用户可以不必是任何角色的成员，角色的成员。当然，用户可以不必是任何角色的成员，也可以为用户分配个人权限。也可以为用户分配个人权限。SQL Server 2005从入门到实践从入门到实践7.4.1 7.4.1 服务器角色服务器角色在在SQL Server 2005安装时就创建了在服务器级别上应用的大量预安装时就创建了在服务器级别上应用的大量预定义角色，定义角色，每个

17、角色对应着相应的管理权限每个角色对应着相应的管理权限。这些服务器角色用于。这些服务器角色用于授权给数据库管理员（授权给数据库管理员（DBA），拥有某种或者某些角色的），拥有某种或者某些角色的DBA就就会获得与相应角色对应的服务器管理权限。这些角色和相应的权限会获得与相应角色对应的服务器管理权限。这些角色和相应的权限如表如表7-1所示。所示。服务器角色对应的服务器级权限bulkadmin运行BULK INSERT语句。dbcreator可以创建、更改、删除和还原任何数据库。diskadmin 用于管理磁盘文件。processadmin可以终止SQL Server实例中运行的进程。security

18、admin 管理登录名及其属性。它们可以是GRANT、DENY和REVOKE服务器级权限。也可以是GRANT、DENY和REVOKE数据库级权限。另外，它们可以重置SQL Server登录名的密码。serveradmin 可以更改服务器范围的配置选项和关闭服务器。setupadmin 可以添加和删除链接服务器，并且也可以执行某些系统存储过程。sysadmin可以在服务器中执行任何活动。默认情况下，Windows BUILTINAdministrators组（本地管理员组）的所有成员都是sysadmin固定服务器角色的成员。SQL Server 2005从入门到实践从入门到实践7.4.2 7.4

19、.2 数据库角色数据库角色在在SQL Server 2005安装时，数据库级别上也有一些预定义的角色安装时，数据库级别上也有一些预定义的角色，在创建每个数据库时都会添加这些角色到新创建的数据库中，在创建每个数据库时都会添加这些角色到新创建的数据库中，每个角色对应着相应的权限。这些数据库角色用于授权给数据库每个角色对应着相应的权限。这些数据库角色用于授权给数据库用户，拥有某种或者某些角色的用户会获得相应角色对应的权限用户，拥有某种或者某些角色的用户会获得相应角色对应的权限。这些角色和相应的权限如表。这些角色和相应的权限如表7-2所示。所示。数据库角色对应的数据库级权限db_accessadmin

20、可以为Windows登录账户、Windows组和SQL Server登录账户添加或删除访问权限。db_backupoperator可以备份该数据库。db_datareader可以读取所有用户表中的所有数据。db_datawriter可以在所有用户表中添加、删除或更改数据。db_ddladmin可以在数据库中运行任何数据定义语言（DDL）命令。db_denydatareader不能读取数据库内用户表中的任何数据。db_denydatawriter不能添加、修改或删除数据库内用户表中的任何数据。db_owner可以执行数据库的所有配置和维护活动。包括删除数据库。db_securityadmin可以

21、修改角色成员身份和管理权限。SQL Server 2005从入门到实践从入门到实践7.4.3 7.4.3 应用程序角色应用程序角色应用程序角色是一个数据库主体。它使应用程序能够用其自应用程序角色是一个数据库主体。它使应用程序能够用其自身的、类似用户的特权来运行。使用应用程序角色，可身的、类似用户的特权来运行。使用应用程序角色，可以只允许通过特定应用程序连接的用户访问特定数据。以只允许通过特定应用程序连接的用户访问特定数据。与数据库角色不同的是，应用程序角色默认情况下不包与数据库角色不同的是，应用程序角色默认情况下不包含任何成员，而且是非活动的。应用程序角色同样也使含任何成员，而且是非活动的。应

22、用程序角色同样也使用两种身份验证模式。应用程序角色可使用用两种身份验证模式。应用程序角色可使用sp_setapprole激活，但此过程需要密码。因为应用程序角色是数据库激活，但此过程需要密码。因为应用程序角色是数据库级主体，所以它们只能通过其他数据库中为级主体，所以它们只能通过其他数据库中为guest授予的授予的权限来访问这些数据库。因此，其他数据库中的应用程权限来访问这些数据库。因此，其他数据库中的应用程序角色将无法访问任何已禁用序角色将无法访问任何已禁用guest的数据库。的数据库。SQL Server 2005从入门到实践从入门到实践7.5 SQL Server 20057.5 SQL

23、Server 2005其他安全性管理其他安全性管理SQL Server 2005的安全性管理，除了前面介绍的登录、用的安全性管理，除了前面介绍的登录、用户和角色机制外，还涉及密码策略、凭据、架构以及密户和角色机制外，还涉及密码策略、凭据、架构以及密钥与证书等机制。本节将介绍这些安全性机制及其基本钥与证书等机制。本节将介绍这些安全性机制及其基本管理操作。管理操作。SQL Server 2005从入门到实践从入门到实践7.5.1 7.5.1 使用密码策略使用密码策略在在Windows操作系统环境下运行操作系统环境下运行SQL Server 2005时，可以时，可以使用使用Windows密码策略机制

24、。密码策略机制。SQL Server 2005可以将可以将Windows中使用的复杂性策略、过期策略应用于中使用的复杂性策略、过期策略应用于SQL Server 2005内部使用的密码。内部使用的密码。1密码复杂性策略密码复杂性策略2密码过期密码过期3使用密码策略使用密码策略SQL Server 2005从入门到实践从入门到实践7.5.2 7.5.2 管理凭据管理凭据在在SQL Server 2005中，如果需要访问外部的资源，例如文中，如果需要访问外部的资源，例如文件系统中的文件、注册表或者运行外部应用程序，那么件系统中的文件、注册表或者运行外部应用程序，那么可以为执行这个程序指定一个用户。

25、在可以为执行这个程序指定一个用户。在SQL Server 2005中，可以使用凭据来完成这个工作。凭据是包含连接到中，可以使用凭据来完成这个工作。凭据是包含连接到SQL Server 2005以外的资源时所需的身份验证信息（凭以外的资源时所需的身份验证信息（凭据）的记录。据）的记录。1凭据的构成凭据的构成2创建凭据创建凭据3使用使用sys.credentials目录视图目录视图4创建映射到凭据的登录名创建映射到凭据的登录名SQL Server 2005从入门到实践从入门到实践7.5.3 7.5.3 用户架构分离用户架构分离用户与架构分离是用户与架构分离是SQL Server 2005在安全体系

26、中最重要的在安全体系中最重要的改进。改进。架构是架构是SQL Server 2005数据库新的数据库对象数据库新的数据库对象。1理解架构理解架构2使用使用SQL Server Management Studio创建架构创建架构3使用使用CREATE SCHEMA语句创建架构语句创建架构SQL Server 2005从入门到实践从入门到实践7.5.4 7.5.4 管理密钥与证书管理密钥与证书SQL Server 2005提供了完善的加密体系，用户不仅可以对提供了完善的加密体系，用户不仅可以对数据库进行访问加密，也可以对数据列进行加密。下面数据库进行访问加密，也可以对数据列进行加密。下面将要介绍将要介绍SQL Server 2005的加密策略及机制，主要包括的加密策略及机制，主要包括密码系统架构、密钥的使用和证书的使用。密码系统架构、密钥的使用和证书的使用。1S