Ограничение доступа к файлам SQL Server

В своей работе SQL Server создает и использует множество файлов — базы дан­ных, журналы ошибок, резервные копии, файлы для экспорта и импорта данных и многое другое. Службы SQL Server на уровне операционной системы выполня­ются в виде процессов. Для нормальной работы SQL Server необходимо, чтобы эти процессы имели полный доступ ко всем указанным выше файлам на уровне файловой системы. Для этого на уровне операционной системы требуется предо­ставить соответствующие права учетным записям, которые используются для за­пуска SQL Server. Лучше всего управлять правами доступа непосредственно на

уровне файлов и папок. Для этого сервер должен работать под управлением опе­рационной системы Windows NT и иметь файловую систему NTFS.

Если сервер стартует как служба, необходимо предоставить полные права доступа учетным записям, используемым для запуска служб. Если же старт SQL Server выполняется из командной строки или на компьютере под управлением Windows 98, то сервер будет иметь права доступа учетной записи пользователя, выполнившего запуск. Если для запуска сервера используется учетная запись локальной системы, то доступ должен предоставляться пользователю SYSTEM.

С целью ограничения возможностей неавторизированного доступа для фай­лов SQL Server необходимо установить запрет на чтение, удаление, модифика­цию и исполнение всем пользователям, кроме непосредственно SQL Server.

Права доступа

Когда пользователи подключаются к SQL Server, действия, которые они могут выполнять, определяются правами (разрешениями), выданными их учетной за­писи, группе или роли, в которой они состоят.

Права в SQL Server можно разделить на три категории: О права на доступ к объектам баз данных; О права на выполнения команд Transact-SQL; О неявные права (разрешения).

После создания пользователь не имеет никаких прав доступа, кроме тех, ко­торые разрешены для специальной роли базы данных public. Права, предос­тавленные этой роли, доступны для всех пользователей в базе данных.

Права пользователю выдаются администратором либо владельцами баз дан­ных или конкретных объектов баз данных. Для предоставления пользователю определенного набора прав можно использовать роли. Создав несколько ролей и предоставив им необходимые права доступа, администратор базы данных мо­жет просто включать пользователей в соответствующие роли. Пользователь ав­томатически получает все права доступа, определенные для роли. Стандартные роли базы данных уже имеют определенный набор прав. Например, члены роли db_datareader могут просматривать любые данные в любой таблице.

Важно быть осторожным с предоставлением разрешений на доступ к данным. Необходимо внимательно контролировать права доступа, выдаваемые пользова­телю как непосредственно, так и через членство в группах Windows NT и ролях SQL Server. Особенно это касается больших систем безопасности с тысячами пользователей и десятками групп. Вы должны быть уверены, что существую­щая система безопасности дает возможность пользователю выполнять любые необходимые действия, но ограничивает доступ к информации, которая не тре­буется ему для выполнения своих обязанностей.

Используйте все возможности SQL Server, контролируя права доступа не только на уровне таблиц, но и на уровне столбцов. Указывая права доступа к конкретно­му столбцу, вы можете более гибко управлять системой безопасности.

Аналогичные рекомендации касаются разрешений на выполнение команд Transact-SQL. Можно спроектировать базу данных таким образом, что выпол­нять конкретные действия — создание таблиц, представлений, правил, резерв­ных копий и т. д. — будут строго определенные пользователи.

Права на доступ к объектам баз данных

Работа с данными и выполнение хранимых процедур требуют наличия класса доступа, называемого правами на доступ к объектам баз данных. Под объектами подразумеваются таблицы, столбцы таблиц, представления, хранимые процеду­ры. Права на доступ к объектам баз данных контролируют возможность выпол­нения пользователями, например, команд SELECT, INSERT, UPDATE и DELETE для таблиц и представлений. Таким образом, если пользователю необходимо доба­вить новые данные в таблицу, ему следует предоставить право INSERT (вставка записей в таблицу). Предоставление же пользователю права EXECUTE разрешает ему выполнение каких-либо хранимых процедур.

Для различных объектов применяются разные наборы прав доступа к ним: О SELECT, INSERT, UPDATE, DELETE, REFERENCES- эти права могут быть приме­нены для таблицы или представления;

О SELECT и UPDATE — эти права могут быть применены к конкретному столбцу таблицы или представления;

О EXECUTE— это право применяется только к хранимым процедурам и функ­ циям. Ниже приводится более подробное описание каждого из этих прав.

О INSERT. Это право позволяет вставлять в таблицу или представление новые строки. Как следствие, право INSERT может быть выдано только на уровне таблицы или представления и не может быть выдано на уровне столбца.

О UPDATE. Это право выдается либо на уровне таблицы, что позволяет изменять все данные в таблице, либо на уровне отдельного столбца, что разрешает из­менять данные только в пределах конкретного столбца.

О DELETE. Это право позволяет удалять строки из таблицы или представления. Как и право INSERT, право DELETE может быть выдано только на уровне таб­лицы или представления и не может быть выдано на уровне столбца.

О SELECT. Разрешает выборку данных. Может выдаваться как на уровне табли­цы, так и на уровне отдельного столбца.

О REFERENCES. Возможность ссылаться на указанный объект. Применительно к таблицам разрешает пользователю создавать внешние ключи, ссылающиеся на первичный ключ или уникальный столбец этой таблицы. Применительно к представлениям право REFERENCES позволяет связывать представление со схемами таблиц, на основе которых строится представление. Это позволяет отслеживать изменения структуры исходных таблиц, которые могут повли­ять на работу представления. Право REFERENCES не существовало в предыду­щих версиях SQL Server.

Как следует из вышеизложенного, доступ можно предоставлять как на уров­не всей таблицы или представления, так и на уровне отдельного столбца. Обыч­но не практикуется управление правами доступа на уровне конкретного столбца. Если в таблице имеется один или более столбцов, доступ пользователей к кото­рым необходимо ограничить, то в базе данных часто создается представление (view), включающее только те столбцы исходной таблицы, доступ к которым разрешен.

Предоставить или отклонить доступ пользователю базы данных ко всем объек­там базы данных можно при помощи встроенных ролей базы данных. Напри­мер, для разрешения чтения данных из всех таблиц и представлений базы данных достаточно включить пользователя в фиксированную роль db_datareader, а не изменять права доступа пользователя к каждой таблице и представлению в от­дельности.

Используйте команду GRANT для управления разрешениями пользователя на доступ к объектам базы данных:

GRANT

(ALL [PRIVILEGES] | permiss1on[....n]}

{

[(column[,...n])] ON {table | view}

| ON {table | view}[(column[,...n])]

| ON {stored_procedure | extended_procedure}

}

TO security_account[,...n] [WITH GRANT OPTION] [AS {group | role}]

Назначение параметров команды GRANT следующее:

О ALL — пользователю предоставляются все доступные разрешения. Этот пара­метр могут использовать только участники роли sysadmln;

О permission — список доступных разрешений, которые предоставляются пользо­вателю (SELECT, INSERT, UPDATE, DELETE, EXECUTE). Вы можете одновременно пре­доставлять несколько разрешений, в этом случае их нужно разделять запятыми;

О security_account — имя того объекта системы безопасности, который необ­ходимо включить в роль. В качестве таких объектов могут выступать как учет­ные записи SQL Server, так и пользователи и группы пользователей Windows NT, которым предоставлен доступ к серверу баз данных;

О table, view, column, stored_procedure, extended_procedure — в качестве данных параметров выступают имена объектов в текущей базе данных, для которых необходимо предоставить доступ;

О WITH GRANT OPTION— использование данного параметра позволяет пользо­вателю, которому вы предоставляете права, назначать права на доступ к объек­ту другим пользователям;

О AS {group | role) — этот необязательный параметр позволяет указать уча­стие пользователя в роли, которая имеет возможность предоставлять права другим пользователям.

В качестве примера команды рассмотрим следующую ситуацию. Вам необ­ходимо предоставить права на использование команд INSERT и SELECT группе Engineer в таблице Materials. При этом нужно, чтобы в дальнейшем пользо­ватели этой группы могли сами предоставлять аналогичные права. Для этого следует выполнить следующую команду:

GRANT SELECT. INSERT

ON Materials

TO Engineer

WITH GRANT OPTION

 

Впоследствии пользователь Valentin, являющийся членом группы Engineer, может предоставить аналогичные права другому пользователю L i s s:

GRANT SELECT, INSERT ON Materials ' TO Liss AS Engineer

В данном случае необходимо подтвердить, на каком основании Valentine предоставляет права, поэтому применяется параметр AS.

Будьте осторожны при использовании параметра WITH GRANT OPTION, поскольку при этом вы теряете контроль над предоставлением прав на доступ другим пользователям. Лучше всего огра­ничить круг людей, обладающих возможностью управлять назначением прав.

Единственное право доступа, которое может быть предоставлено для храни­мой процедуры, — это право на ее выполнение (EXECUTE). Естественно, кроме этого владелец хранимой процедуры может просматривать и изменять ее код.

Для функции можно выдать право на ее выполнение, а, кроме того, можно выдать право REFERENCES, что обеспечит возможность связывания функции с объектами, на которые ссылается функция. Такое связывание позволяет запре­тить внесение изменений в структуру объектов, которые могли бы привести к нарушению работы функции.

Чтобы предоставить право на выполнение хранимой процедуры, можно ис­пользовать Enterprise Manager. Для этого выберите в левой панели Enterprise Manager нужную базу данных и откройте в ней папку Stored Procedures. В пра­вой части Enterprise Manager будет отображен список хранимых процедур, уже созданных в базе данных. Управление правами доступа можно осуществлять в окне Object Properties (свойства объектов), показанном на рис. 12.20. Вызвать это окно можно либо с помощью кнопки Permissions (права) в окне свойств хранимой процедуры, либо выбрав в контекстном меню хранимой процедуры пункт АН Tasks > Manage Permissions (все задачи > управление правами).

Чтобы разрешить пользователю выполнять хранимую процедуру, нужно уста­новить напротив его имени галочку в поле ЕХЕС. Чтобы запретить доступ, нужно поставить крестик. Отсутствие какого-либо значка подразумевает неявное отклоне­ние доступа. Более подробно о правах доступа будет рассказано далее в этой главе.

Управление правами доступа к функциям осуществляется аналогично.

Другой способ управления правами доступа заключается в предоставлении прав конкретному пользователю с помощью окна прав доступа пользователя. Для этого в окне Enterprise Manager выберите необходимую базу данных, а затем пап­ку Users. Щелкните левой кнопкой мыши на выбранном пользователе. В появив­шемся окне щелкните на кнопке Permissions (права) и укажите необходимые права.

 

Запрещение доступа

Система безопасности SQL Server имеет иерархическую структуру. Это позво­ляет ролям базы данных включать в себя учетные записи и группы Windows NT, пользователей и роли SQL Server. Пользователь же, в свою очередь, может уча­ствовать в нескольких ролях. Следствием иерархической структуры системы безопасности является то, что пользователь может одновременно иметь разные права доступа для разных ролей. Если одна из ролей, в которых состоит пользо­ватель, имеет разрешение на доступ к данным, то пользователь автоматически имеет аналогичные права. Тем не менее может потребоваться запретить воз­можность доступа к данным. Когда вы запрещаете пользователю доступ к дан­ным или командам Transact-SQL (deny access), тем самым аннулируются все разрешения на доступ, полученные пользователем на любом уровне иерархии. При этом гарантируется, что доступ останется запрещенным независимо от раз­решений, предоставленных на более высоком уровне.

Пусть, например, вы создаете в базе данных таблицу, доступ к которой по умолчанию предоставлен всем пользователям, но вам необходимо временно огра­ничить доступ определенных пользователей к этой таблице. Вместо того чтобы отозвать разрешения на доступ, можно создать роль, которой будет запрещен до­ступ к этой таблице, и включить пользователей в эту роль. Проще контролиро­вать несколько записей в роли, которая запрещает доступ, чем манипулировать множеством разрозненных учетных записей, пытаясь вспомнить, вернули ли вы права доступа пользователю обратно. При большом количестве пользователей та­кой подход позволяет упростить администрирование системы безопасности.

Используйте команду DENY для запрещения пользователю доступа к объек­там базы данных:

DENY

(ALL [PRIVILEGES] | permission[,...n]}

{

[(columnC....n])] ON {table | view} | ON {table | vi ew} [-(columnC, . . . n])] I ON {stored_procedure | extended_procedure}

TO security_account[....n] [CASCADE]

Для запрещения выполнения команд Transact-SQL применяется другая ко­манда:

DENY {ALL | statement^... .n]} ТО security_account[....n]

Параметры данной команды аналогичны параметрам команды GRANT. Пара­метр CASCADE позволяет отзывать права не только у данного пользователя, но также и у всех тех пользователей, кому он предоставил данные права. Поясним смысл вышесказанного на примере. Пусть вы предоставили пользователю Sheridan определенные права:

GRANT CREATE TABLE

ТО Sheridan

WITH GRANT OPTION

Допустим, Sheridan предоставляет аналогичные права некоторым пользова­телям. Если впоследствии вам потребуется отозвать разрешения у Sheridan, вы выполните команду:

DENY CREATE TABLE ТО Sheridan CASCADE

При этом будут отозваны и все разрешения, которые Sheridan предоставил другим пользователям.

 

 

---

Дата добавления: 2019-07-15; просмотров: 307; Мы поможем в написании вашей работы!

Поделиться с друзьями:

---

---

Мы поможем в написании ваших работ!