第08章数据库安全分析.ppt

一个用户的权限包括？ 自己固有的权限 其他用户直接授予的权限 作为角色成员继承到的权限 8.4.6 禁止权限 禁止从角色继承的权限 不禁止从其他用户获得的直接授权 安全管理的复杂性 管理不当一些用户就会通过隐式方式“翻墙”完成一些未经授权的操作，可能会危及数据库的安全。 如何实现按层次定义角色和管理权限？ 8.6.3 用户定义的安全性措施 除了利用数据库管理系统提供的安全功能外，还可以使用触发器定义一些用户级的安全性措施。例如，最典型的用户定义安全性控制是，可以规定用户只在指定的时间允许对表进行更新操作。 用户定义的安全性措施 CREATE TRIGGER secure_wh ON 仓库 FOR INSERT,DELETE,UPDATE AS IF DATENAME(weekday, getdate())=星期六 OR DATENAME(weekday, getdate())=星期日 OR (convert(INT,DATENAME(hour, getdate())) NOT BETWEEN 9 AND 17) BEGIN RAISERROR (只许在工作时间操作！, 16, 1) ROLLBACK TRANSACTION END 本章小结 本章主要讨论了数据库的安全控制问题，它的核心问题是身份识别，通过用户管理和权限管理实现对数据库的安全管理。本章还介绍了和数据库安全相关的其他一些问题，如数据加密、审计和统计数据库的安全等。 * * * 例8-36：从角色role_op收回对供应商表UPDATE权限及其WITH GRANT OPTION权限，以及由于WITH GRANT OPTION而产生的所有授权 REVOKE UPDATE ON 订货.供应商(地址) FROM role_op CASCADE * 练习 分别以用户qiao和wu的身份对供应商表的地址实施更新操作（qiao是角色role_op的成员，而wu的权限来自qiao）。 * 8.4.4 语句权限的管理 授予语句权限 收回语句权限 * 1. 授予语句权限 在SQL Server中执行语句的权限包括： BACKUP DATABASE BACKUP LOG CREATE DATABASE CREATE DEFAULT CREATE FUNCTION CREATE PROCEDURE CREATE RULE CREATE TABLE CREATE VIEW * 1. 授予语句权限 GRANT { ALL | statement_list } TO name_list * 假设“仓储订货”数据库有用户tang、qiao、wu等，并据此完成下面实例的操作。例8-37：数据库管理员授予用户名为tang的用户CREATE TABLE的权限。 GRANT CREATE TABLE TO tang * 练习 以用户tang的身份在“仓储”架构下执行CREATE TABLE命令创建表； 以用户tang的身份在“订货”架构下执行CREATE TABLE命令创建表。 结果如何？ * 2. 收回语句权限 REVOKE { ALL | statement_list } FROM name_list * 例8-38：从用户tang收回创建表的权限。 REVOKE CREATE TABLE FROM tang * 8.4.5 查询授权情况 使用系统存储过程sp_helprotect查询授权的情况 * 8.4.6 禁止权限 禁止架构权限的命令格式如下： DENY permission [ ,...n ] } ON SCHEMA :: schema_name TO database_principal [ ,...n ] [ CASCADE ] [ AS denying_principal ] 禁止对象权限的命令格式如下： DENY { ALL [ PRIVILEGES ] | permission_list } {[ ( column_list ) ] ON { table | view } | ON { table | view } [ ( column_list ) ] | ON stored_procedure | ON user_defined_function } TO name_list [CASCADE] 禁止语句权限的命令格式如下： DENY { ALL | statement_list } TO name_list * 8.4.6 禁止权限 通过禁止用户或角色的权限可以： 删除以前授予用户、组或角色的权限； 停用从其他角色继承的权限； 确保用户、组或角