Лабораторна робота №4, Управління ролями і дозволами в MS SQL Server

« Назад

Список системних процедур і команд, які дозволяють реалізувати політику розподілу прав між користувачами БД.

Створення користувачів на доступ до серверу через утиліту Microsoft SQL Server Management Studio.

Рис. 1 - Розділ Security для роботи з користувачами в SQL Server і створення нового користувача (при SQL Server аутентифікації потрібно зняти галочки с Enforce password policy)

Рис. 2 - Налагодження серверної ролі для нового користувача (весь список серверних ролей з їхніми привілеями у кінці роботи)

Рис. 3 - Налагодження ролі бази даних для нового користувача (весь список ролей баз даних з їхніми привілеями нижче)

Перелік ролей БД:

Public – мінімальні права доступу к БД (на перегляд) Db_owner – може виконувати любі дії з БД Db_accessadmin – додає і знищує користувачів БД

Db_sequrityadmin – управляє ролями в БД і дозволами на запуск команд і роботу з об’єктами БД

Db_ddladmin – додає, змінює і знищує об’єкти БД Db_backupoperator – виконує резервне копіювання БД Db_datareader – може переглядати всі дані в кожній таблиці в БД

Db_datawriter - може додавати, знищувати і змінювати дані в кожній таблиці в БД Db_denydatareader – заборона на перегляд всіх даних в кожній таблиці в БД Db_denydatawriter - заборона на додавання, знищення і зміну всіх даних в кожній таблиці в БД

Рис. 4 - Розблокування створеного облікового запису

Після натискання на <OK> в БД з’явиться користувач Proba з правами власника БД, який може виконувати всі маніпуляції з БД Demo_DataBase.

Створення ролей програмно

Для спрощення управління правами доступу в системі створюються ролі, які потім можна призначати групі користувачів.

Створимо для нашого прикладу ролі бібліотекаря (LIBRAR) і читача (READER). Приклад створення ролі бібліотекаря:

USE Demo_DataBase -- зробити поточною БД Demo_DataBase EXEC sp_addrole 'LIBRAR'

Ці оператори набрати на сторінці, що викликається натисканням кнопки <New Query> (<Новий запит>) або через пункт меню File/ New/ Query in current connection або натисканням комбінації клавіш <CTRL>+ <N>.

Для запуску команд на виконання натиснути <F5>.

Повторний запуск тих же команд згенерує помилки типу «В БД вже існує роль LIBRAR».

Приклад створення ролі читача:

USE Demo_DataBase --зробити поточною БД Demo_DataBase EXEC sp_addrole 'READER'

Бібліотекар повинен мати права на читання, знищення, зміни, додавання до усіх таблиць БД Demo_DataBase, а також повинен мати можливість запускати на виконання процедури і функції БД Demo_DataBase. Тому ролі бібліотекаря із системних привілеїв призначаємо EXECUTE, а із привілеїв доступу до об’єктів призначаємо DELETE, INSERT, UPDATE, SELECT.

Читач повинен мати права на читання із таблиць ADMIN_BOOKS.AUTHORS, ADMIN_BOOKS.BOOKS, ADMIN_BOOKS.PUBLISHING_HOUSE. Тому ролі читача із привілеїв доступу до об’єктів призначаємо SELECT.

Оператор уявлення привілеїв

Синтаксис:

GRANT <привілеї>, ... ON < об’єкт >, …

TO <ім’я>

[WITH grant option];

Атрибут WITH GRANT OPTION дає право користувачу самому надавати права, які він отримав.

За допомогою оператора GRANT для кожного користувача формується список привілеїв, привілеї управляють роботою сервера даних з точки зору захисту даних. Виконанню кожної транзакції передує перевірка привілеїв користувача, сеанс якого породив транзакцію.

Приклад: GRANT select, update (Sales, num) ON Sales_data TO user1 WITH GRANT OPTION

Користувач, який надав привілеї іншому називається грантор (grantor — предоставитель). Привілеї надаються, якщо право на неї можна надати іншим користувачам.

PUBLIC — ім’я роли, яке отримує користувач при додаванні в список користувачів конкретної БД, що включає в себе мінімальний набір прав на читання даних із таблиць і уявлень в БД.

Роль бібліотекаря названа LIBRAR. Оператори призначення прав доступу для цієї ролі вказані нижче:

GRANT DELETE, INSERT, UPDATE, SELECT ON BOOKS TO LIBRAR GRANT DELETE, INSERT, UPDATE, SELECT ON AUTHORS TO LIBRAR GRANT DELETE, INSERT, UPDATE, SELECT ON DELIVERIES TO LIBRAR GRANT EXECUTE TO LIBRAR

Роль читача названа READER. Оператори призначення прав доступу для цієї ролі вказані нижче:

GRANT SELECT ON BOOKS TO READER GRANT SELECT ON AUTHORS TO READER

GRANT SELECT ON PUBLISHING_HOUSE TO READER

Створення користувачів з визначеною роллю Приклад створення бібліотекаря Ivanov_Lib і присвоєння йому ролі: EXEC sp_addlogin 'Ivanov_Lib','Ivanov', 'Demo_DataBase'

use Demo_DataBase

EXEC sp_adduser 'Ivanov_Lib','Ivanov_Lib' EXEC sp_addrolemember 'LIBRAR', 'Ivanov_Lib'

Приклад створення читача Petrov_Read і присвоєння ролі:

EXEC sp_addlogin 'Petrov_Read','Petrov', 'Demo_DataBase' use Demo_DataBase

EXEC sp_adduser 'Petrov_Read','Petrov_Read' EXEC sp_addrolemember 'READER', 'Petrov_Read'

Оператор відміни привілеїв Синтаксис відміни привілеїв:

REVOKE [with grant option]

< привілеї >,… ON < об’єкт >,…

FROM <ім’я_ користувача>;

Предложение with grant option зберігає за користувачем перераховані привілеї, але відміняє його право передавати їх кому-небудь іншому.

Приклад:

REVOKE SELECT ON AUTHORS FROM READER

Оператор изымания ролі у користувача:

Revoke <список ролей> from <список користувачів>.

Приклад:

use Demo_DataBase

EXEC sp_droprolemember 'READER', 'Petrov_Read'

 

Варіанти завдань до лабораторної роботи №4

Загальні положення

В утиліті SQL Server Management Studio виконати приклади, які дані по ходу роботи.

За індивідуальним варіантом бази даних, яка виконана в 1 лабораторній роботі по SQL Server, визначити 2-3 посадовця, які можуть працювати з таблицями БД. Для кожного посадовця визначити набір привілеїв, якими він може користуватися.

В утиліті SQL Server Management Studio створити під кожного посадовця відповідну роль, наділити цю роль відповідними привілеями. Далі створити по одному користувачу на кожну посаду і присвоїти їм відповідні ролі.

Зберегти послідовно оператори з вказаних завдань у файлі з назвою ПрізвищеСтудента_Лаб_4_№варіанта_загальне. Оператори створення ролей, привілеїв і користувачів зберегти у файлі з назвою ПрізвищеСтудента_Лаб_4_№варіанта.