数据库的安全管理.ppt

第11章 数据库的安全管理,本章内容,11.1 SQL Server 的安全机制 11.2 登录账号管理 11.3 数据库用户的管理 11.4 角色管理 11.5 权限管理,11.1 SQL Server 的安全机制,第11章 数据库的安全管理,11.1.1 身份验证 11.1.2 身份验证模式的设置,11.1.1 身份验证,11.1 SQL Server 的安全机制,SQL Server的安全性管理是建立在身份验证和访问许可两者机制上的。 身份验证是确定登录SQL Server的用户的登录账号和密码是否正确，以此来验证其是否具有连接SQL Server的权限。 通过认证的用户必须获取访问数据库的权限，才能对数据库进行权限许可下的操作。,SQL Server身份验证模式,11.1.1 身份验证,(1)Windows身份验证模式 该模式使用Windows操作系统的安全机制验证用户身份，只要用户能够通过Windows用户账号验证，即可连接到SQL Server而不再进行身份验证。 这种模式只适用于能够提供有效身份验证的Windows操作系统。,(2)混合身份验证模式,11.1.1 身份验证,在该模式下，Windows身份验证和SQL server验证两种模式都可用。对于可信任连接用户(由Windows验证)，系统直接采用Windows的身份验证机制，否则SQL Server将通过账号的存在性和密码的匹配性自行进行验证，即采用SQL Server身份验证模式。,11.1.2 身份验证模式的设置,11.1.1 身份验证,在该模式下，Windows身份验证和SQL server验证两种模式都可用。对于可信任连接用户(由Windows验证)，系统直接采用Windows的身份验证机制，否则SQL Server将通过账号的存在性和密码的匹配性自行进行验证，即采用SQL Server身份验证模式。,身份验证内容,11.1.1 身份验证,包括确认用户的账号是否有效、能否访问系统、能访问系统的哪些数据库。,11.1.2 身份验证模式的设置,11.1 SQL Server 的安全机制,1.方法一：打开SQL Server管理平台，在“已注册的服务器”子窗口中设置验证模式。,2方法二 在SQL Server管理平台的对象资源管理器中，右键单击服务器，在弹出的快捷菜单中选择“属性”，打开如图所示的“服务器属性”窗口。,11.1.2 身份验证模式的设置,11.2 登录账号管理,第11章 数据库的安全管理,11.2.1 创建登录账户 11.2.2 修改登录账户 11.2.3 删除登录账户,11.2 登录账号管理,11.2.1 创建登录账户,创建登录账户的方法有两种： 一种是从Windows用户或组中创建登录账户 一种是创建新的SQL Server登录账户。,11.2.1 创建登录账户,1. 通过Windows身份验证创建登录,(1)创建Windows用户 以管理员身份登录到Windows 2003，选择“开始程序管理工具计算机管理”选项 。,11.2.1 创建登录账户,展开“本地用户和组”文件夹，选择“用户”图标，单击鼠标右键，在快捷菜单中选择“新用户”项，打开“新用户”对话框，输入用户名、密码，单击“创建”按钮，然后单击“关闭”按钮完成创建。,11.2.1 创建登录账户,(2)使用企业管理器将Windows 2003账号加入到SQL Server中，创建SQL Server登录,启动SQL Server管理平台，在对象资源管理器中分别展开“服务器”“安全性”“登录名”。 右击“登录名”，在弹出的快捷菜单上选择“新建登录名”，进行“登录名-新建”对话框 。,11.2.1 创建登录账户,在“登录名-新建”对话框选择Windows验证模式，登录名通过单击“搜索”按钮自动产生，单击“搜索”按钮后出现“选择用户或组”对话框，在对象名称框中直接输入名称或单击“高级”按钮后查找用户或组名称来完成输入。,11.2.1 创建登录账户,单击“确定”按钮，一个Windows组或用户即可增加到SQL Server登录帐户中去。,11.2.1 创建登录账户,对于已经创建的Windows用户或组，可以使用系统存储过程sp_grantlogin授予其登录SQL Server的权限。,其语法格式如下： sp_grantlogin loginame= login 其中，loginame= login 为要添加的Windows用户或组的名称，名称格式为“域名计算机名用户名”。,11.2.1 创建登录账户,例11-1 使用系统存储过程sp_grantlogin将Windows用户huang加入SQL Server中。,EXEC sp_grantlogin CSULIB-TD1huang 或 EXEC sp_grantlogin CSULIB-TD1huang 该操作授予了Windows用户CSULIB-TD1huang连接到SQL Server的权限。,11.2.1 创建登录账户,EXEC sp_grantlogin BUILTINUsers 该操作由于授予的是本地组中的用户，所以使用BUILTIN关键字代替域名和计算机名。,例11-2 授予本地组Users中的所有用户连接SQL Server的权限。,11.2.1 创建登录账户,如果使用混合验证模式或不通过Windows用户或用户组连接SQL Server，则需要在SQL Server下创建用户登录权限，使用户得以连接使用SQL Server身份验证的SQL Server实例。,2. 创建SQL Server登录,11.2.1 创建登录账户,在SQL Server管理平台中创建SQL Server登录帐户的具体步骤类似于“将Windows 2003帐号映射到SQL Server中”的操作方法。 只是要选择SQL Server验证模式，并输入登录帐户名称、密码及确认密码。其他选项卡的设置操作类似，最后单击“确定”按钮，即增加了一个新的登录帐户。,（1）使用SQL Server管理平台创建登录帐户,11.2.1 创建登录账户,(2)使用系统存储过程sp_addlongin创建登录,sp_addlogin语法格式如下： sp_addlogin loginame= login , passwd= password , defdb= database , deflanguage= language , sid=sid , encryptopt= encryption_option ,11.2.1 创建登录账户,EXEC sp_addlogin ZG002,002,Sales,例11-3 使用系统存储过程sp_addlongin创建登录，新登录名为“ZG002”，密码为“002”默认数据库为“Sales”。,11.2.1 创建登录账户,EXEC sp_addlogin ZG002,002,Sales,例11-3 使用系统存储过程sp_addlongin创建登录，新登录名为“ZG002”，密码为“002”默认数据库为“Sales”。,11.2.1 创建登录账户,EXEC sp_addlogin ZG003 该操作为用户ZG003创建一个SQL Server登录名，没有指定密码和默认数据库，使用默认密码NULL和默认数据库master。,例11-4 创建没有密码和默认数据库的登录，登录名为“ZG003”。,11.2.1 创建登录账户,创建了登录账户后，如果需要确定用户是否有连接SQL Server实例的权限，以及可以访问哪些数据库的信息时，可以使用系统存储过程sp_helplogins查看。 sp_helplogins的语法格式如下： sp_helplogins LoginNamePattern= login,3. 查看用户,11.2.1 创建登录账户,例11-5 查看账户信息。,EXEC sp_helplogins ZG002 该操作查询有关登录ZG002的信息,11.2 登录账号管理,sp_password的语法格式为： sp_password old=old_password, new=new_password , loginame=login sp_defaultdb的语法格式为： sp_defaultdb logname= login, defdb=databases sp_defaultlanguage的语法格式为： sp_defaultlanguage loginame=login , language=language,11.2.2 修改登录账户,11.2 登录账号管理,【例11-6】 给例11-4创建的登录ZG003添加密码，修改默认数据库设置为Sales。 EXEC sp_password NULL，123，ZG003 EXEC sp_defaultdb master，Sales 该操作为登录ZG003添加密码123，默认连接数据库为Sales。,修改登录账户,11.2 登录账号管理,11.2.3 删除登录账户,当某一登录帐户不再使用时，应该将其删除，以保证数据库的安全性和保密性。删除登录帐户可以通过管理平台和Transact-SQL语句来进行。 1使用SQL Server管理平台删除登录 其操作步骤如下： （1）启动SQL Server管理平台，在对象资源管理器中分别展开“服务器”“安全性”“登录名”。 （2）在“登录名”详细列表中鼠标右键单击要删除的用户，在弹出的快捷菜单中选择“删除”命令，确定删除。,11.2 登录账号管理,删除登录账号有两种形式：删除Windows用户或组登录和删除SQL Server登录。 (1)删除Windows用户或组登录 sp_revokelogin的语法格式为： sp_revokelogin liginame=login 其中，liginame=login为Windows用户或组的名称。,2. 使用Transact-SQL语句删除登录账号,11.2 登录账号管理,EXEC sp_revokelogin CSULIB-TD1huang 或 EXEC sp_revokelogin CSULIB-TD1huang,例11-7 使用系统存储过程sp_revokelogin删除例11-1创建的Windows用户CSULIB-TD1huang 的登录账号,11.2 登录账号管理,使用sp_droplogin可以删除SQL Server登录。其语法格式如下： sp_droplogin loginame= login 例11-8 使用系统存储过程sp_droplogin删除SQL Server登录账号ZG001。 EXEC sp_droplogin ZG001,(2)删除SQL Server登录,11.3 数据库用户的管理,第11章 数据库的安全管理,1使用SQL Server管理平台创建数据库用户 其操作步骤如下： （1）打开SQL Server管理平台，在其“对象资源管理器”面板中依次展开“服务器”“数据库”“安全性”节点。右击选择其下的“用户”对象，在打开的菜单中选择“新建用户”命令，打开的“数据库用户-新建”窗口。,11.3 数据库用户的管理,（2）在打开的“数据库用户-新建”窗口中，单击“登录名”右边的“”命令可搜索登录用户或直接在文本框中输入用户的登录名，在用户名栏中输入用户名称，用户名可以与登录名不一样。 （3）在“此用户拥有的架构”和“数据库角色成员身份”区域选择此用户拥有的架构和加入的角色，选中角色名前的复选框即可。 （4）单击“新建用户”窗口的“确定”按钮，数据库用户建立完成。,2. 使用系统存储过程创建数据库用户,SQL Server使用系统存储过程sp_grantdbaccess为数据库添加用户，其语法格式如下： sp_grantdbaccess loginame= login , name_in_db= name_in_db OUTPUT,11.3 数据库用户的管理,EXEC sp_grantdbaccess ZG002,例11-9 使用系统存储过程在当前数据库中增加一个用户。,11.3 数据库用户的管理,（1）使用SQL Server管理平台删除数据库用户 打开SQL Server管理平台，在其“对象资源管理器”面板中依次展开“服务器”“数据库”“安全性”“用户”节点。右击选择要删除的数据库用户，在弹出菜单中选择“删除”项，则从当前数据库中删除该数据库用户。 （2）使用系统存储过程删除数据库用户 sp_revokedbaccess的语法格式为： sp_revokedbaccess name_in_db=name,3. 删除数据库中的用户或组,11.3 数据库用户的管理,EXEC sp_revokedbaccess ZG002,例11-10 使用系统存储过程在当前数据库中删除指定的用户。,11.3 数据库用户的管理,11.4 角色管理,第11章 数据库的安全管理,11.4.1 SQL Server角色的类型 11.4.2 固定服务器角色管理 11.4.3 数据库角色管理 11.4.4 用户定义数据库角色,11.4 角色管理,11.4.1 SQL Server角色的类型,SQL Server中有两种角色类型：固定角色和用户定义数据库角色。 1. 固定角色 固定角色分为 固定服务器角色：独立于各个数据库，具有固定的权限。 固定数据库角色：是指角色所具有的管理、访问数据库权限已被SQL Server定义，并且SQL Server管理者不能对其所具有的权限进行任何修改。,11.4.1 SQL Server角色的类型,表11-1 固定服务器角色,11.4.1 SQL Server角色的类型,表11-2 固定数据库角色,11.4.1 SQL Server角色的类型,2. 用户定义数据库角色,当某些数据库用户需要被设置为相同的权限，但是这些权限不同于固定数据库角色所具有的权限时，就可以定义新的数据库角色来满足这一要求，从而使这些用户能够在数据库中实现某一特定功能。 用户定义数据库角色的优点是：SQL Server数据库角色可以包含Windows用户组或用户；同一数据库的用户可以具有多个不同的用户定义角色，这种角色的组合是自由的，而不仅仅是public与其他一种角色的结合；角色可以进行嵌套，从而在数据库中实现不同级别的安全性。,11.4.2 固定服务器角色管理,11.4 角色管理,固定服务器角色不能进行添加、删除或修改等操作，只能将用户登录添加为固定服务器角色的成员。 1. 添加固定服务器角色成员,11.4.2 固定服务器角色管理,（1）打开SQL Server管理平台。 （2）在要添加或删除成员的某固定服务器角色上单击鼠标右键，选择快捷菜单的“属性”菜单项。 （3）在“服务器角色属性”窗口中能方便的单击“添加”和“删除”按钮实现对成员的添加和删除。,例11-11使用SQL Server管理平台将登录ZG001添加为固定服务器角色Database Creators成员。,11.4.2 固定服务器角色管理,固定服务器角色成员的添加也可以从“安全性”的“登录”项实现,11.4.2 固定服务器角色管理,sp_addsrvrolemember用于添加固定服务器角色成员,语法格式为： sp_addsrvrolemember loginame= login, rolename= role,11.4.2 固定服务器角色管理,EXEC sp_addsrvrolemember ZG002,sysadmin,例11-12 使用系统存储过程将登录ZG002添加为固定服务器角色sysadmin的成员。,11.4.2 固定服务器角色管理,删除固定服务器角色成员的语句是sp_dropsrvrolemember，其语法格式为： sp_dropsrvrolemember loginame= login, rolename= role,2. 删除固定服务器角色成员,11.4.2 固定服务器角色管理,EXEC sp_dropsrvrolemember ZG002,sysadmin,例11-13 使用系统存储过程从固定服务器角色sysadmin中删除登录ZG002。,11.4.2 固定服务器角色管理,使用sp_helpsrvrole、sp_helpsrvrolemember可了解有关固定服务器角色及其成员的信息。 查看固定服务器角色sp_helpsrvrole的语法格式为： sp_helpsrvrole srvrolename= role srvrolename= role为固定服务器角色名称,3. 查看固定服务器角色信息,11.4.2 固定服务器角色管理,语法格式为： sp_helpsrvrolemember srvrolename= role ,sp_helpsrvrolemember查看固定服务器角色成员,11.4.2 固定服务器角色管理,EXEC sp_helpsrvrole sysadmin GO EXEC sp_helpsrvrolemember sysadmin,例11-14 查看固定服务器角色sysadmin及其成员的信息。,1. 添加数据库角色成员 使用系统存储过程sp_addrolemember向数据库角色中添加成员，其语法格式为： sp_addrolemember rolename= role, membername= security_account,11.4.3 数据库角色管理,11.4 角色管理,USE Sales GO EXEC sp_grantdbaccess csulib-td1xh001, xh001 GO EXEC sp_addrolemember db_ddladmin, xh001,11.4.3 数据库角色管理,例11-15 向数据库Sales添加Windows用户“csulib-td1xh001”。,11.4.3 数据库角色管理,EXEC sp_addrolemember db_owner, ZG002,例11-16 向数据库添加例11-3创建的SQL Server用户ZG002为db_owner角色成员。,11.4.3 数据库角色管理,使用sp_droprolemember删除当前数据库角色中的成员，其语法格式为： sp_droprolemember rolename= role, membername= security_account,2. 删除数据库角色成员,11.4.3 数据库角色管理,EXEC sp_droprolemember db_owner, ZG002,例11-17 删除数据库角色中的用户。,11.4.3 数据库角色管理,查看数据库角色及其成员的信息可以使用系统存储过程sp_helpdbfixedrole、sp_helprole和sp_helpuser sp_helpdbfixedrole的语法格式为： sp_helpdbfixedrole rolename= role sp_helprole的语法格式为： sp_helprole rolename= role sp_helpuser的语法格式为： sp_helpuser name_in_db= security_account,3. 查看数据库角色及其成员信息,11.4.3 数据库角色管理,例11-18 查看当前数据库中所有用户及db_owner数据库角色的信息。,EXEC sp_helpuser EXEC sp_helpdbfixedrole db_owner,11.4.4 用户定义数据库角色,1. 创建和删除用户定义数据库角色 创建和删除用户定义数据库角色可以使用SQL Server管理平台和系统存储过程实现。,11.4 角色管理,11.4.4 用户定义数据库角色,使用sp_addrole和sp_droprole可以创建和删除用户定义数据库角色,其语法格式分别为： sp_addrole rolename= role , ownername= owner sp_droprole rolename= role,11.4.4 用户定义数据库角色,Use Sales GO EXEC sp_addrole role01,例11-19 使用系统存储过程创建名为“role01”的用户定义数据库角色到Sales数据库中。,11.4.4 用户定义数据库角色,USE Sales GO EXEC SP_droprole role01,例11-20 使用系统存储过程删除数据库Sales中名为“role01”的用户定义数据库角色。,11.4.4 用户定义数据库角色,添加和删除用户定义数据库角色成员可以使用SQL Server管理平台和系统存储过程来完成。,2. 添加和删除用户定义数据库角色成员,11.4.4 用户定义数据库角色,（1）在SQL Server管理平台中添加或删除数据库角色成员,方法一：在上面提到过的某数据库角色的“数据库角色属性”对话框中，在“常规”选项卡上，右下角成员操作区，单击“添加”或“删除”按钮实现操作。 方法二：通过“对象资源管理器”“数据库服务器”“数据库”“某具体数据库”“安全性”“用户”“某具体用户”上单击鼠标右键，在弹出的快捷菜单选择“属性”，出现“数据库用户”对话框，在右下角成员操作区，通过多选按钮直接实现为该用户从某个或某些数据库角色中添加或删除。,11.4.4 用户定义数据库角色,（2）使用Transact-SQL添加或删除数据库角色成员 例11-21 使用系统存储过程将ZG002添加为Sales数据库的role01角色的成员。,USE Sales GO EXEC sp_addrolemember role01,ZG002,11.4.4 用户定义数据库角色,USE Sales GO EXEC sp_grantdbaccess ZG003,ZG003 EXEC sp_addrolemember role01,ZG003,例11-22 将SQL Server登录账号“ZG003”添加到Sales数据库中，其用户名为“ZG003”，然后再将ZG003添加为该数据库的role01角色的成员。,11.5 权限管理,第11章 数据库的安全管理,11.5.1 权限的种类 11.5.2 授予权限 11.5.3 禁止与撤消权限 11.5.4 查看权限,11.5.1 权限的种类,11.5 权限管理,权限是指用户对数据库中对象的使用及操作的权利，当用户连接到SQL Server实例后，该用户要进行的任何涉及修改数据库或访问数据的活动都必须具有相应的权限，也就是用户可以执行的操作均由其被授予的权限决定。 SQL Server中的权限包括3种类型：对象权限、语言权限和隐含权限。,1. 对象权限,11.5.1 权限的种类,对象权限用于用户对数据库对象执行操作的权力，即处理数据或执行存储过程(INSERT、UPDATE、DELETE、EXECUTE等)所需要的权限，这些数据库对象包括表、视图、存储过程。,表11-3 对象及作用的操作,11.5.1 权限的种类,2. 语句权限,语句权限主要指用户是否具有权限来执行某一语句，这些语句通常是一些具有管理性的操作，如创建数据库、表、存储过程等。这种语句虽然也包含有操作(如CREATE)的对象，但这些对象在执行该语句之前并不存在于数据库中，所以将其归为语句权限范畴。,11.5.1 权限的种类,表11-4 语句权限及其作用,11.5.1 权限的种类,3. 隐含权限,隐含权限是指系统自行预定义而不需要授权就有的权限，包括固定服务器角色、固定数据库角色和数据库对象所有者所拥有的权限。 固定角色拥有确定的权限，例如固定服务器角色sysadmin拥有完成任何操作的全部权限，其成员自动继承这个固定角色的全部权限。数据库对象所有者可以对所拥有的对象执行一切活动，如查看、添加或删除数据等操作，也可以控制其他用户使用其所拥有的对象的权限。,11.5.1 权限的种类,11.5.2 授予权限,1使用SQL Server管理平台授予用户或角色语句权限 操作步骤如下： （1）打开SQL Server管理平台，在对象资源管理器中展开“数据库服务器”“数据库”。 （2）在选择的数据库上（如：Sales数据库）单击鼠标右键，在弹出菜单中选择“属性”项，打开“数据库属性”对话框。 （3）在“数据库属性”对话框中选择“权限”选项卡，进行相应的语句权限设置,11.5 权限管理,2. 使用企业管理器授予用户或角色对象权限,11.5.2 授予权限,（1）打开SQL Server管理平台，在对象资源管理器中展开“数据库服务器”“数据库”“某具体数据库”“表”。 （2）选择授予权限的对象（如表employee)，单击鼠标右键，选择菜单“属性”命令，打开“表属性”对话框。 （3）在“表属性”对话框中选择“权限”选项卡，进行相应的语句权限设置,3. 使用Transact-SQL语句GRANT授予用户或角色权限,GRANT语句授予对象权限的语法格式为： GRANT ALL PRIVILEGES | permission , n (column , n) ON table | view | ON table | view ( column , n) | ON stored_procedure | extended_procedure | ON user_defined_function TO security_account , n WITH GRANT OPTION AS group | role ,11.5.2 授予权限,GRANT授予语句权限的语法格式为： GRANT ALL | statement ,.n TO security_account ,.n ,11.5.2 授予权限,例11-23 使用GRANT语句给用户ZG001授予CREATE TABLE 的权限。,USE Sales GO GRANT CREATE TABLE TO ZG001 通过SQL Server管理平台中Sales数据库的“属性”对话框的“权限”选项卡，可以看到ZG001的“创建表”被选定。,11.5.2 授予权限,例11-24 授予角色和用户对象权限。,USE Sales GO GRANT SELECT ON goods TO public GO GRANT INSERT,UPDATE,DELETE ON goods TO ZG001,ZG002,11.5.2 授予权限,例11-25 在当前数据库Sales中给public角色赋予对表employee中employee_id、employee_name字段的SELECT权限。,USE Sales GO GRANT SELECT (Employee_id,Employee_name) ON Employee TO public,11.5.2 授予权限,11.5.3 禁止与撤消权限,禁止权限就是删除以前授予用户、组或角色的权限，禁止从其他角色继承的权限，且确保用户、组或角色将来不继承更高级别的组或角色的权限。 撤消权限用于删除用户的权限，但是撤消权限是删除曾经授予的权限，并不禁止用户、组或角色通过别的方式继承权限。如果撤消了用户的某一权限并不一定能够禁止用户使用该权限，因为用户可能通过其他角色继承这一权限。,11.5 权限管理,1. 禁止权限,禁止语句权限语句的语法格式为： DENY ALL | statement ,.n TO security_account ,.n 禁止对象权限语句的语法格式为： DENY ALL PRIVILEGES | permission , . n ( column , . n ) ON table | view | ON table | view ( column , . n ) | ON stored_procedure | extended_procedure | ON user_defined_function TO security_account ,.n CASCADE ,11.5.3 禁止与撤消权限,例11-26 使用DENY语句禁止用户ZG002使用CREATE VIEW语句。,USE Sales GO DENY CREATE VIEW TO ZG002,11.5.3 禁止与撤消权限,例11-27 给pubic角色授予表employee上的SELETE权限，再拒绝用户ZG001、ZG002的特定权限，以使这些用户没有对employee表的操作权限。,USE Sales GO GRANT SELECT ON employee TO public GO DENY SELECT,INSERT,UPDATE,DELETE ON employee TO ZG001,ZG002 GO,11.5.3 禁止与撤消权限,2. 撤消以前授予或拒绝的权限,撤消语句权限语句的语法格式为： REVOKE ALL | statement ,.n FROM security_account ,.n 撤消对象权限语句的语法格式为： REVOKE GRA