7.Управление доступом sql Server

Основано на 3 основных понятиях: идентификаторы пользователей, их учетные записи и роли.

7.1.Основные механизмы безопасности

Механизм безопасности	Описание
Идентификатор пользователя	Ассоциируется с пользователем при подключении к SQL Server. Идентификация представляет собой имена учетных записей, которые контролируют доступ к экземпляру SQL. Идентификаторы пользователям задаются членами группы sysadmin
Учетные имена	Определяют пользователям БД все права (доступ к экземплярам и объектам БД), контролируются на уровне учетных имен. Учетные имена должны быть уникальны и определены членами фиксированных ролей db_owner
Роли	Аналогичны пользователям домена в ОС Windows. Облегчает установку прав пользователей на доступ к экземпляру SQL
Группы	Отсутствуют в SQL Server, начиная с 2000, однако для аутентификации пользователя на уровне ОС могут применяться для ОС Windows до 2000

7.2.Архитектура системной безопасности

Включает две группы:

1. Проверка подлинности – права пользователя на подключение к экземпляру SQL Server;

2. Авторизация (проверка доступа) – определение действий, которые пользователь может выполнить над объектом при подключении к SQL Server.

7.2.1.Проверка подлинности

Проверка подлинности экземпляра SQL производится с помощью идентификатора учетной записи, который определяет право доступа к экземпляру SQL.

В SQL Server различает проверку подлинности средства Windows и SQL:

1. ОС

Если определено, что проверка подлинности производится на уровне ОС, то необходимо определить, зарегистрирован ли данный пользователь в сети, при этом не требуется его отдельной регистрации, как пользователю SQL – доверенный тип соединения.

Если пользователь подключен к SQL с помощью проверки подлинности ОС, возможно использование средствами защиты ОС (аудит, шифровка пароля, защищенный режим проверки прав пользователя, ограничение срока действия пароля, блокировка учетной записи пользователя).

Если компьютер-клиент зарегистрирован в сети, проблем нет.

Если невозможно использовать их, применяется аутентификация этих пользователей на экземпляре SQL и производится стандартная проверка пользователя.

Библиотека TCP/IP не требует первоначальную проверку пользователя в домене Windows. Пользователь может использовать это соединение для подключения к экземпляру SQL.

Таким образом, чтобы защитить данные SQL Server, необходимо знать протокол соединения, способ защиты домена.

2. Средства SQL

Администратор SQL Server может создавать учетные записи пользователя SQL Server, которые никак не связаны с аналогичными учетными записями.

Если при подключении выбран способ проверки SQL, то экземпляр SQL Server сам проверяет наличие учетной записи данного пользователя.

Проверка подлинности средствами SQL необходима в случае установки на клиент ОС Windows 98/ME/NT, а так же если пользователь не прошел проверку средствами ОС.

Проверка подлинности средствами ОС создает системную регистрацию пользователя для домена, в котором работает данный SQL Server. При аутентификации на уровне ОС доступ разрешен, если пользователь зарегистрирован как на клиенте, так и на сервере, при этом, если инструмент смешанной аутентификации, то пользователи могут подключиться к SQL Server по умолчанию на уровне ОС.

Аутентификация на SQL Server является единственным возможным, если:

• Сервер и клиент относятся к разным пространственным именам идентификации;

• Когда SQL или клиент работает под ОС Windows 98/ME/NT;

• Приложение написано на уровне сервера.