Примечание

Если администратор внес какие-то изменения в учетную запись пользователя, например исключил его из какой-то группы, то изменения отразятся только во время следующей регистрации пользователя в домене или в MS SQL Server 2000 в зависимости от категории сделанных изменений.

Режим аутентификации Windows NT позволяет пользователю, зарегистрированному на MS SQL Server 2000, выполнять удаленные процедуры и получать доступ к объектам на другом сервере посредством механизма удаленного вызова процедур (Remote Procedure Call, RPC). При этом используется учетная запись пользователя в домене, а не отображение учетной записи MS SQL Server 2000 на первом сервере в пользователя второго сервера (user). Это позволяет упростить систему безопасности и администрирование связанных серверов, так как в этом случае, если пользователь пытается подключиться к серверу в другом домене, не имеющем доверительных отношений с доменом, в котором он зарегистрирован, ему будет необходимо пройти процедуру аутентификации этого сервера.

Если пользователь и MS SQL Server 2000 находятся в разных доменах, то для предоставления доступа к серверу пользователям «чужого» домена средствами аутентификации Windows NT необходимо настроить доверительные отношения (trusted relationships) между этими доменами.

Выбирая конкретный метод контроля доступа, следует учитывать, что управление группами Windows NT выполняется средствами утилиты User Manager for Domains. Это означает, что администратор MS SQL Server 2000 должен иметь административные привилегии в сети Windows NT. В противном случае ему придется всякий раз, когда необходимо предоставить или запретить доступ учетной записи к MS SQL Server 2000, обращаться к администратору сети.

Напомним, что режим аутентификации Windows NT недоступен, если сервер MS SQL Server 2000 установлен на операционной системе Windows 98.

Режим аутентификации SQL Server

Для установки соединения с сервером MS SQL Server 2000, находящемся в домене, с которым не установлены доверительные отношения, можно использовать аутентификацию SQL Server. Аутентификация SQL Server также используется, когда вообще нет возможности зарегистрироваться в домене. Например, при подключении к MS SQL Server 2000 по Интернету. При работе с аутентификацией MS SQL Server 2000 доступ также предоставляется на основе учетных записей. Но в этом случае используются учетные записи SQL Server, а не Windows NT.

Для аутентификации средствами MS SQL Server 2000 член стандартной роли сервера sysadmin или securityadmin должен создать и сконфигурировать для пользователя учетную запись, в которую входит имя учетной записи, уникальный идентификатор SQL Server и пароль. Вся эта информация будет храниться в системной базе master. Создаваемая учетная запись не имеет отношения к учетным записям Windows NT.

В этом режиме при попытке пользователя получить доступ к SQL Server сервер сам проверяет правильность имени пользователя и пароль, сравнивая их с данными в системных таблицах. Если данные, введенные пользователем, совпадают с данными SQL Server, пользователю разрешается доступ к серверу. В противном случае попытка доступа отклоняется и выдается сообщение об ошибке.

Аутентификация SQL Server может применяться в следующих случаях:

• для пользователей Novell Netware, Unix и т. д.;

• при подключении к MS SQL Server 2000 через Интернет, когда регистрация в домене не выполняется;

• под управлением операционной системы Windows 98.

Учтите, что в этом случае администратор MS SQL Server 2000 сам должен периодически предупреждать пользователей о необходимости сменить пароль, чтобы обезопасить систему от несанкционированного доступа, поскольку в отличие от Windows NT, в MS SQL Server 2000 отсутствуют подобные средства системы безопасности. В большинстве случаев учетная запись в SQL Server создается с целью предоставления доступа. Но бывают ситуации, когда необходимо запретить доступ пользователю или группе. Например, при наличии сложной системы безопасности Windows NT доступ обычно предоставляется группе пользователей. Однако если в группе имеется человек, которому нельзя разрешать доступ к SQL Server, его необходимо убрать из этой группы. Но такой подход неудовлетворителен, если группа предназначена не только для объединения пользователей, имеющих доступ к SQL Server, но имеет еще и какие-то дополнительные функции. SQL Server разрешает создать учетную запись с целью запрещения доступа. Это гарантирует, что пользователь никаким образом не сможет установить соединение с сервером. Создав группу Windows NT и запретив ей доступ к SQL Server, вы можете включать в нее пользователей, которым необходимо отказать в доступе.

После установки SQL Server создаются две стандартные учетные записи: BUILTIN\Administrators и sa.

• BUILTIN\Administrators — это учетная запись Windows NT, обеспечивающая автоматический доступ всем членам группы Administrators к SQL Server. Учетная запись BUILTIN \ Administrators по умолчанию является членом встроенной роли сервера sysadmin. Таким образом, системные администраторы получают полный доступ ко всем базам данных. В ситуации, когда функции системного администратора и администратора баз данных выполняют разные люди, скорее всего, следует исключить эту учетную запись из роли sysadmin, а возможно, и вообще удалить.

• sa — это специальная учетная запись MS SQL Server 2000 для администратора. По умолчанию она присвоена встроенной системной роли сервера sysadmin и не может быть изменена. Эта учетная запись сохранена в этой версии SQL Server для сохранения совместимости с приложениями, написанными для предыдущих версий. Хотя sa и имеет административные права, ее не рекомендуется использовать в MS SQL Server 2000. Вместо этого следует создать новых пользователей и включить их в административную группу sysadmin. Учетную запись sa оставьте на крайний случай, когда учетные записи администраторов окажутся недоступными либо вы забудете пароль.