SQL Server数据库安全规划全攻略
发布时间：2018-09-20 22:11:48 所属栏目：电商 来源：站长网
导读：在改造SQL Server 7.0系列所实现的安详机制的进程中，Microsoft成立了一种既机动又强盛的安详打点机制，它可以或许对用户会见SQL Server处事器体系和数据库的安详举办全面地打点。凭证本文先容的步调，你可觉得SQL Server 7.0（或2000）结构出一个机动的、可管
|
在改造SQL Server 7.0系列所实现的安详机制的进程中，Microsoft成立了一种既机动又强盛的安详打点机制，它可以或许对用户会见SQL Server处事器体系和数据库的安详举办全面地打点。凭证本文先容的步调，你可觉得SQL Server 7.0（或2000）结构出一个机动的、可打点的安详计策，并且它的安详性经得起检验。 一、验证要领选择 ??本文对验证（authentication）和授权（authorization）这两个观念作差异的表明。验证是指检讨用户的身份标识；授权是指应承用户做些什么。在本文的接头中，验证进程在用户登录SQL Server的时辰呈现，授权进程在用户试图会见数据或执行呼吁的时辰呈现。 ??结构安详计策的第一个步调是确定SQL Server用哪种方法验证用户。SQL Server的验证是把一组帐户、暗码与Master数据库Sysxlogins表中的一个清单举办匹配。Windows NT/2000的验证是哀求域节制器搜查用户身份的正当性。一样平常地，假如处事器可以会见域节制器，我们应该行使Windows NT/2000验证。域节制器可所以Win2K处事器，也可所以NT处事器。无论在哪种环境下，SQL Server都吸取到一个会见标志（Access Token）。会见标志是在验证进程中结构出来的一个非凡列表，个中包括了用户的SID（安详标识号）以及一系列用户地址组的SID。正如本文后头所先容的，SQL Server以这些SID为基本授予会见权限。留意，操纵体系怎样构拜会见标志并不重要，SQL Server只行使会见标志中的SID。也就是说，岂论你行使SQL Server 2000、SQL Server 7.0、Win2K照旧NT举办验证都无关紧急，功效都一样。 ??假如行使SQL Server验证的登录，它最大的甜头是很轻易通过Enterprise Manager实现，最大的弱点在于SQL Server验证的登录只对特定的处事器有用，也就是说，在一个多处事器的情形中打点较量坚苦。行使SQL Server举办验证的第二个重要的弱点是，对付每一个数据库，我们必需别离地为它打点权限。假如某个用户对两个数据库有沟通的权限要求，我们必需手工配置两个数据库的权限，可能编写剧本配置权限。假如用户数目较少，好比25个以下，并且这些用户的权限变革不是很频仍，SQL Server验证的登录或者合用。可是，在险些全部的其他环境下（有一些破例环境，譬喻直接打点安详题目的应用），这种登录方法的打点承担将高出它的利益。 二、Web情形中的验证 ??纵然最好的安详计策也经常在一种气象前屈服，这种气象就是在Web应用中行使SQL Server的数据。在这种气象下，举办验证的典范要领是把一组SQL Server登录名称和暗码嵌入到Web处事器上运行的措施，好比ASP页面可能CGI剧本；然后，由Web处事器认真验证用户，应用措施则行使它本身的登录帐户（可能是体系打点员sa帐户，可能为了利便起见，行使Sysadmin处事器脚色中的登录帐户）为用户会见数据。 ??这种布置有几个弱点，个中最重要的包罗：它不具备对用户在处事器上的勾当举办考核的手段，完全依靠于Web应用措施实现用户验证，当SQL Server必要限制用户权限时差异的用户之间不易区别。假如你行使的是IIS 5.0可能IIS 4.0，你可以用四种要领验证用户。第一种要领是为每一个网站和每一个假造目次建设一个匿名用户的NT帐户。从此，全部应用措施登录SQL Server时都行使该安详情形。我们可以通过授予NT匿名帐户吻合的权限，改造考核和验证成果。 ??第二种要领是让全部网站行使Basic验证。此时，只有当用户在对话框中输入了正当的帐户和暗码，IIS才会应承他们会见页面。IIS依赖一个NT安详数据库实现登录身份验证，NT安详数据库既可以在当地处事器上，也可以在域节制器上。当用户运行一个会见SQL Server数据库的措施可能剧本时，IIS把用户为了赏识页面而提供的身份信息发送给处事器。假如你行使这种要领，应该记着：在凡是环境下，赏识器与处事器之间的暗码传送一样平常是不加密的，对付那些行使Basic验证而安详又很重要的网站，你必需实现SSL（Secure Sockets Layer，安详套接字层）。 ??在客户端只行使IE 5.0、IE 4.0、IE 3.0赏识器的环境下，你可以行使第三种验证要领。你可以在Web网站上和假造目次上都启用NT验证。IE会把用户登录计较机的身份信息发送给IIS，当该用户试图登录SQL Server时IIS就行使这些登录信息。行使这种简化的要领时，我们可以在一个长途网站的域上对用户身份举办验证（该长途网站登录到一个与运行着Web处事器的域有着信赖相关的域）。 ??最后，假如用户都有小我私人数字证书，你可以把那些证书映射到当区域的NT帐户上。小我私人数字证书与处事器数字证书以同样的技能为基本，它证明用户身份标识的正当性，以是可以代替NT的Challenge/Response（质询/回应）验证算法。Netscape和IE都自动在每一个页面哀求中把证书信息发送给IIS。IIS提供了一个让打点员把证书映射到NT帐户的器材。因此，我们可以用数字证书代替凡是的提供帐户名字和暗码的登录进程。 ??由此可见，通过NT帐户验证用户时我们可以行使多种实现要领。纵然当用户通过IIS超过Internet毗连SQL Server时，选择仍然存在。因此，你应该把NT验证作为首选的用户身份验证步伐。 三、配置全局组 ??结构安详计策的下一个步调是确定用户应该属于什么组。凡是，每一个组织或应用措施的用户都可以凭证他们对数据的特定会见要求分成很多种别。譬喻，管帐应用软件的用户一样平常包罗：数据输入操纵员，数据输入打点员，报表编写员，管帐师，审计员，财政司理等。每一组用户都有差异的数据库会见要求。 ??节制数据会见权限最简朴的要领是，对付每一组用户，别离地为它建设一个满意该组用户权限要求的、域内全局有用的组。我们既可觉得每一个应用别离建设组，也可以建设合用于整个企业的、涵盖普及用户类此外组。然而，假如你想要可以或许准确地相识构成员可以做些什么，为每一个应用措施别离建设组是一种较好的选择。譬喻，在前面的管帐体系中，我们应该建设Data Entry Operators、Accounting Data Entry Managers等组。请记着，为了简化打点，最好为组取一个可以或许明晰暗示出浸染的名字。 ??除了面向特定应用措施的组之外，我们还必要几个根基组。根基组的成员认真打点处事器。凭证风俗，我们可以建设下面这些根基组：SQL Server Administrators，SQL Server Users，SQL Server Denied Users，SQL Server DB Creators，SQL Server Security Operators，SQL Server Database Security Operators，SQL Server Developers，以及 DB_Name Users（个中DB_Name是处事器上一个数据库的名字）。虽然，假如须要的话，你还可以建设其他组。 ??建设了全局组之后，接下来我们可以授予它们会见SQL Server的权限。起首为SQL Server Users建设一个NT验证的登录并授予它登录权限，把Master数据库配置为它的默认数据库，但不要授予它会见任何其他数据库的权限，也不要把这个登录帐户配置为任那里事器脚色的成员。接着再为SQL Server Denied Users一再这个进程，但这次要拒绝登录会见。在SQL Server中，拒绝权限始终优先。建设了这两个组之后，我们就有了一种应承或拒绝用户会见处事器的便捷要领。 ??为那些没有直接在Sysxlogins体系表内里挂号的组授权时，我们不能行使Enterpris Managr，由于Enterprise Manager只应承我们从现有登录名字的列表选择，而不是域内全部组的列表。要会见全部的组，请打开Query Analyzer，然后用体系存储进程sp_addsrvrolemember以及sp_addrolemember举办授权。 ??对付操纵处事器的各个组，我们可以用sp_addsrvrolemember存储进程把各个登录插手到吻合的处事器脚色：SQL Server Administrators成为Sysadmins脚色的成员，SQL Server DB Creators成为Dbcreator脚色的成员，SQL Server Security Operators成为Securityadmin脚色的成员。留意sp_addsrvrolemember存储进程的第一个参数要求是帐户的完备路径。譬喻，BigCo域的JoeS应该是bigcojoes（假如你想用当地帐户，则路径应该是server_namejoes）。 ??要建设在全部新数据库中都存在的用户，你可以修改Model数据库。为了简化事变，SQL Server自动把全部对Model数据库的窜改复制到新的数据库。只要正确运用Model数据库，我们无需定制每一个新建设的数据库。其它，我们可以用sp_addrolemember存储进程把SQL Server Security Operators插手到db_securityadmin，把SQL Server Developers插手到db_owner脚色。 ??留意我们如故没有授权任何组或帐户会见数据库。究竟上，我们不能通过Enterprise Manager授权数据库会见，由于Enterprise Manager的用户界面只应承我们把数据库会见权限授予正当的登录帐户。SQL Server不要求NT帐户在我们把它配置为数据库脚色的成员或分派工具权限之前可以或许会见数据库，但Enterprise Manager有这种限定。尽量云云，只要我们行使的是sp_addrolemember存储进程而不是Enterprise Manager，就可以在不授予域内NT帐户数据库会见权限的环境下为恣意NT帐户分派权限。 ??到这里为止，对Model数据库的配置已经完成。可是，假如你的用户群体对企业范畴内各个应用数据库有着相同的会见要求，你可以把下面这些操纵移到Model数据库长举办，而不是在面向特定应用的数据库长举办。 四、应承数据库会见 ??在数据库内部，与迄今为止我们对登录验证的处理赏罚方法差异，我们可以把权限分派给脚色而不是直接把它们分派给全局组。这种手段使得我们可以或许轻松地在安详计策中行使SQL Server验证的登录。纵然你从来没有想要行使SQL Server登录帐户，本文仍然提议分派权限给脚色，由于这样你可以或许为将来也许呈现的变革做好筹备。 ??建设了数据库之后，我们可以用sp_grantdbaccess存储进程授权DB_Name Users组会见它。但应该留意的是，与sp_grantdbaccess对应的sp_denydbaccess存储进程并不存在，也就是说，你不能凭证拒绝对处事器会见的要领拒绝对数据库的会见。假如要拒绝数据库会见，我们可以建设其它一个名为DB_Name Denied Users的全局组，授权它会见数据库，然后把它配置为db_denydatareader以及db_denydatawriter脚色的成员。留意SQL语句权限的分派，这里的脚色只限定对工具的会见，但不限定对DDL（Data Definition Language，数据界说说话）呼吁的会见。 ??正如对登录进程的处理赏罚，假如会见标志中的恣意SID已经在Sysusers体系表挂号，SQL将应承用户会见数据库。因此，我们既可以通过用户的小我私人NT帐户SID授权用户会见数据库，也可以通过用户地址的一个（可能多个）组的SID授权。为了简化打点，我们可以建设一个名为DB_Name Users的拥稀有据库会见权限的全局组，同时不把会见权授予全部其他的组。这样，我们只需简朴地在一个全局组中添加可能删除成员就可以增进可能镌汰数据库用户。 五、分派权限 ??实验安详计策的最后一个步调是建设用户界说的数据库脚色，然后分派权限。完成这个步调最简朴的要领是建设一些名字与全局组名字配套的脚色。譬喻对付前面例子中的管帐体系，我们可以建设Accounting Data Entry Operators、Accounting Data Entry Managers之类的脚色。因为管帐数据库中的脚色与帐务处理赏罚使命有关，你也许想要收缩这些脚色的名字。然而，假如脚色名字与全局组的名字配套，你可以镌汰紊乱，可以或许更利便地判定出哪些组属于特定的脚色。 ??建设好脚色之后就可以分派权限。在这个进程中，我们只需用到尺度的GRANT、REVOKE和DENY呼吁。但应该留意DENY权限，这个权限优先于全部其他权限。假如用户是恣意具有DENY权限的脚色可能组的成员，SQL Server将拒绝用户会见工具。 ??接下来我们就可以插手全部SQL Server验证的登录。用户界说的数据库脚色可以包括SQL Server登录以及NT全局组、当地组、小我私人帐户，这是它最名贵的特点之一。用户界说的数据库脚色可以作为各类登录的通用容器，我们行使用户界说脚色而不是直接把权限分派给全局组的首要缘故起因就在于此。 ??因为内建的脚色一样平常合用于整个数据库而不是单独的工具，因此这里提议你只行使两个内建的数据库脚色,，即db_securityadmin和db_owner。其他内建数据库脚色，譬喻db_datareader，它授予对数据库内里全部工具的SELECT权限。固然你可以用db_datareader脚色授予SELECT权限，然后有选择地对个体用户或组拒绝SELECT权限，但行使这种要领时，你也许健忘为某些用户可能工具配置权限。一种更简朴、更直接并且不轻易呈现错误的要领是为这些非凡的用户建设一个用户界说的脚色，然后只把那些用户会见工具所必要的权限授予这个用户界说的脚色。 六、简化安详打点 ??SQL Server验证的登录不只可以或许利便地实现，并且与NT验证的登录对比，它更轻易编写到应用措施里。可是，假如用户的数目高出25，可能处事器数目在一个以上，可能每个用户都可以会见一个以上的数据库，可能数据库有多个打点员，SQL Server验证的登录不轻易打点。因为SQL Server没有表现用户有用权限的器材，要影象每个用户具有哪些权限以及他们为何要获得这些权限就越发坚苦。纵然对付一个数据库打点员还要担负其他责任的小型体系，简化安详计策也有助于减轻题目的庞洪水平。因此，首选的要领应该是行使NT验证的登录，然后通过一些全心选择的全局组和数据库脚色打点数据库会见。 ??下面是一些简化安详计策的履历法则： ·用户通过SQL Server Users组得四处事器会见，通过DB_Name Users组得到数据库会见。 ·用户通过插手全局组得到权限，而全局组通过插手脚色得到权限，脚色直接拥稀有据库里的权限。 ·必要多种权限的用户通过插手多个全局组的方法得到权限。 ??只要筹划得适当，你可以或许在域节制器上完成全部的会见和权限维护事变，使得处事器反应出你在域节制器长举办的各类配置调解。固然现实应用中环境也许有所变革，但本文先容的根基法子仍然合用，它们可以或许辅佐你结构出很轻易打点的安详计策。 （编辑：河北网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
