資源描述：
《sqlserver數(shù)據(jù)庫安全管理機(jī)制詳解》由會(huì)員上傳分享，免費(fèi)在線閱讀，更多相關(guān)內(nèi)容在應(yīng)用文檔-天天文庫。
1、SQLServer數(shù)據(jù)庫安全管理機(jī)制詳解>>教育資源庫 在改進(jìn)SQLServer7.0系列所實(shí)現(xiàn)的安全機(jī)制的過程中，Microsoft建立了一種既靈活又強(qiáng)大的安全管理機(jī)制，它能夠?qū)τ脩粼L問SQLServer服務(wù)器系統(tǒng)和數(shù)據(jù)庫的安全進(jìn)行全面地管理。按照本文介紹的步驟，你可以為SQLServer7.0（或2000）構(gòu)造出一個(gè)靈活的、可管理的安全策略，而且它的安全性經(jīng)得起考驗(yàn)?！ ∫?、驗(yàn)證方法選擇 本文對(duì)驗(yàn)證（authentication）和授權(quán)（authorization）這兩個(gè)概念作不同的解釋。驗(yàn)證
2、是指檢驗(yàn)用戶的身份標(biāo)識(shí)；授權(quán)是指允許用戶做些什么。在本文的討論中，驗(yàn)證過程在用戶登錄SQLServer的時(shí)候出現(xiàn)，授權(quán)過程在用戶試圖訪問數(shù)據(jù)或執(zhí)行命令的時(shí)候出現(xiàn)?！ ?gòu)造安全策略的第一個(gè)步驟是確定SQLServer用哪種方式驗(yàn)證用戶。SQLServer的驗(yàn)證是把一組帳戶、密碼與Master數(shù)據(jù)庫Sysxlogins表中的一個(gè)清單進(jìn)行匹配。anagers等組。請(qǐng)記住，為了簡化管理，最好為組取一個(gè)能夠明確表示出作用的名字?！ 〕嗣嫦蛱囟☉?yīng)用程序的組之外，我們還需要幾個(gè)基本組?；窘M的成員負(fù)責(zé)管理服務(wù)器。
3、按照習(xí)慣，我們可以創(chuàng)建下面這些基本組：SQLServe123下一頁>>>>這篇文章來自..，。rAdministrators，SQLServerUsers，SQLServerDeniedUsers，SQLServerDBCreators，SQLServerSecurityOperators，SQLServerDatabaseSecurityOperators，SQLServerDevelopers，以及DB_NameUsers（其中DB_Name是服務(wù)器上一個(gè)數(shù)據(jù)庫的名字）。當(dāng)然，如果必要的話，你還可
4、以創(chuàng)建其他組?！ ?chuàng)建了全局組之后，接下來我們可以授予它們?cè)L問SQLServer的權(quán)限。首先為SQLServerUsers創(chuàng)建一個(gè)NT驗(yàn)證的登錄并授予它登錄權(quán)限，把Master數(shù)據(jù)庫設(shè)置為它的默認(rèn)數(shù)據(jù)庫，但不要授予它訪問任何其他數(shù)據(jù)庫的權(quán)限，也不要把這個(gè)登錄帳戶設(shè)置為任何服務(wù)器角色的成員。接著再為SQLServerDeniedUsers重復(fù)這個(gè)過程，但這次要拒絕登錄訪問。在SQLServer中，拒絕權(quán)限始終優(yōu)先。創(chuàng)建了這兩個(gè)組之后，我們就有了一種允許或拒絕用戶訪問服務(wù)器的便捷方法?！ 槟切]有直接在
5、Sysxlogins系統(tǒng)表里面登記的組授權(quán)時(shí)，我們不能使用EnterprisManagr，因?yàn)镋nterpriseManager只允許我們從現(xiàn)有登錄名字的列表選擇，而不是域內(nèi)所有組的列表。要訪問所有的組，請(qǐng)打開QueryAnalyzer，然后用系統(tǒng)存儲(chǔ)過程sp_addsrvrolemember以及sp_addrolemember進(jìn)行授權(quán)。 對(duì)于操作服務(wù)器的各個(gè)組，我們可以用sp_addsrvrolemember存儲(chǔ)過程把各個(gè)登錄加入到合適的服務(wù)器角色：SQLServerAdministrators成
6、為Sysadmins角色的成員，SQLServerDBCreators成為Dbcreator角色的成員，SQLServerSecurityOperators成為Securityadmin角色的成員。注意sp_addsrvrolemember存儲(chǔ)過程的第一個(gè)參數(shù)要求是帳戶的完整路徑。例如，BigCo域的JoeS應(yīng)該是bigco/joes（如果你想用本地帳戶，則路徑應(yīng)該是server_name/joes）?！ ∫?jiǎng)?chuàng)建在所有新數(shù)據(jù)庫中都存在的用戶，你可以修改Model數(shù)據(jù)庫。為了簡化工作，SQLServer
7、自動(dòng)把所有對(duì)Model數(shù)據(jù)庫的改動(dòng)復(fù)制到新的數(shù)據(jù)庫。只要正確運(yùn)用Model數(shù)據(jù)庫，我們無需定制每一個(gè)新創(chuàng)建的數(shù)據(jù)庫。另外，我們可以用sp_addrolemember存儲(chǔ)過程把SQLServerSecurityOperators加入到db_securityadmin，把SQLServerDevelopers加入到db_oember存儲(chǔ)過程而不是EnterpriseManager，就可以在不授予域內(nèi)NT帳戶數(shù)據(jù)庫訪問權(quán)限的情況下為任意NT帳戶分配權(quán)限。 到這里為止，對(duì)Model數(shù)據(jù)庫的設(shè)置已經(jīng)完成。但是
8、，如果你的用戶群體對(duì)企業(yè)范圍內(nèi)各個(gè)應(yīng)用數(shù)據(jù)庫有著類似的訪問要求，你可以把下面這些操作移到Model數(shù)據(jù)庫上進(jìn)行，而不是在面向特定應(yīng)用的數(shù)據(jù)庫上進(jìn)行。 四、允許數(shù)據(jù)庫訪問 在數(shù)據(jù)庫內(nèi)部，與迄今為止我們對(duì)登錄驗(yàn)證的處理方式不同，我們可以把權(quán)限分配給角色而不是直接把它們分配給全局組。這種能力使得我們能夠輕松地在安全策略中使用SQLServer驗(yàn)證的登錄。即使你從來沒有想要使用SQLServer登錄帳戶，本文仍舊建議分配權(quán)限給角色，因?yàn)檫@樣你能夠?yàn)槲磥砜赡艹?/p>
