Treść książki
Przejdź do opcji czytnikaPrzejdź do nawigacjiPrzejdź do informacjiPrzejdź do stopki
1.NARZĘDZIA
tylkojeżeliwłączonejestwniejkontogościa.Odwersji2012możliwejestrównieżtworzenie
kontużytkownikówbazydanychniepowiązanychzloginem,zatochronionychhasłem.
UżytkownikuwierzytelnionypodczaspołączeniazserweremSQLmożewykonaćtylkote
operacje,doktórychposiadauprawnienia.Uprawnieniadzieląsięnanadawanedokon-
kretnychobiektóworazdowykonywaniawskazanychinstrukcji(np.prawodowykonywania
zewnętrznychskryptów).Biorącpoduwagęliczbęobiektówbazodanowychikontużytkow-
ników,zarządzanieuprawnieniaminapoziomieposzczególnychkontużytkownikówjest
nieefektywneiniebezpieczne–administratorniebędziemógłnabieżąconadawaćiodbierać
uprawnieńiwkońcuwszystkimużytkownikomprzyznapełneuprawnienia.Rozwiązanietego
problemupoleganawykorzystaniuhierarchiiobiektóworazrólserweraibazdanych.
ObiektyserweraSQLServertworząhierarchię,adostępdokażdegoznichjestkontrolowany
przezlistyACL(ang.accesscontrollist).Wwiększościprzypadkówobiektypodrzędnedzie-
dzicząuprawnieniapoobiektachnadrzędnych:
•
napoziomieinstancjiserweraSQLznajdująsięm.in.loginy,roleserwera,urządzenia
kopiizapasowych,wyzwalaczeDDLilogowania,głównykluczusługiSMKorazpowią
-
zaneserwery;ponieważloginysązarównoprincipiami,jakiobiektami,możemynadawać
uprawnieniadologinów,naprzykładpozwolićwskazanymosobomnaichblokowanie
czyzmienianiehaseł;
•
napoziomiebazydanychznajdująsięschematy,typydanych,kontaużytkowników,role
bazydanych(doktórychdomyślnienależąniektóreloginyiroleserwera),certyfikaty,klucze
kryptograficzne,wyzwalaczeDDL,bibliotekikoduzarządzanegoischematyXML;
•napoziomieschematówznajdująsiępozostałeobiektybazodanowe,wtymtabele,widoki,
procedury,funkcjeużytkownika,wyzwalaczeDML,synonimyikolejkiusługiService
Broker.
Uprawnieniemożezostaćużytkownikowinadane,nadanezmożliwościąprzekazania,ode-
branelubnieustalone.Brakuprawnienia,taksamojakjegojawneodebranie,oznacza,że
użytkownikniebędziemógłwykonaćdanejoperacji.Różnicamiędzyodebraniemuprawnienia
ajegobrakiempoleganatym,żebrakująceuprawnieniemożebyćodziedziczone(np.jeżeli
zostałonadaneroli,doktórejnależyużytkownik),natomiastuprawnienieodebraneużytkow-
nikowioznacza,żeniewykonaondanejoperacji,niezależnieodról,doktórychnależy.
DotejporyłączyliśmysięzserweremSQLServerjakojegoadministrator–naszekontozostało
dodanedoroliadministratorówserwerapodczasjegoinstalacji.Terazzobaczymy,jakwyma-
ganeuprawnienianadaćanalitykowi.
Napotrzebytegoprzykładuzałożyłem,żeanalitykniemakontawsystemieoperacyjnym
ibędziesięłączyłzserweremSQLzapomocąloginuihasła.Proszępamiętać,żerozwiąza-
nietakiejestniezgodnezzaleceniamifirmyMicrosoftiobniżapoziombezpieczeństwa.Tym
niemniej,żebyniekomplikowaćniepotrzebnieprzykładu,posłużymysięwłaśnietakąmetodą
logowania.
30
