数据库原的理第四章.ppt

* （1）服务器权限 服务器权限允许数据库管理员执行管理任务。 这些权限定义在固定服务器角色（fixed server roles）中。这些固定服务器角色可以分配给登录，但是不能修改。 一般只把服务器权限授予数据库管理员（DBA） * （2）数据库对象权限 数据库对象权限是授予用户以允许他们访问数据库中对象的一类权限。 对象权限对于使用SQL语句访问表或视图是必须的。 * （3）数据库权限 SQL Server 2005对数据库权限进行了扩充 数据库权限除了授权用户可以创建数据库对象和进行数据库备份外，还增加了一些更改数据库对象的权限。 * 4、SQL Server 2005的角色管理 角色用来简化将很多权限分配给很多用户这一复杂任务的管理。 角色允许用户分组接受同样的数据库权限 用户可以使用系统自带的角色，也可以创建一个代表一组用户使用的角色，然后把这个角色分配给这个工作组的用户。 * （1）服务器角色 服务器角色 对应的服务器级权限 bulkadmin 运行BULK INSERT语句。 dbcreator 可以创建、更改、删除和还原任何数据库。 diskadmin 用于管理磁盘文件。 processadmin 可以终止SQL Server实例中运行的进程。 securityadmin 管理登录名及其属性。它们可以是GRANT、DENY和REVOKE服务器级权限。也可以是GRANT、DENY和REVOKE数据库级权限。另外，它们可以重置SQL Server登录名的密码。 serveradmin 可以更改服务器范围的配置选项和关闭服务器。 setupadmin 可以添加和删除链接服务器，并且也可以执行某些系统存储过程。 sysadmin 可以在服务器中执行任何活动。默认情况下，Windows BUILTIN\Administrators组（本地管理员组）的所有成员都是sysadmin固定服务器角色的成员。 * （2）数据库角色 数据库角色 对应的数据库级权限 db_accessadmin 可以为Windows登录账户、Windows组和SQL Server登录账户添加或删除访问权限。 db_backupoperator 可以备份该数据库。 db_datareader 可以读取所有用户表中的所有数据。 db_datawriter 可以在所有用户表中添加、删除或更改数据。 db_ddladmin 可以在数据库中运行任何数据定义语言（DDL）命令。 db_denydatareader 不能读取数据库内用户表中的任何数据。 db_denydatawriter 不能添加、修改或删除数据库内用户表中的任何数据。 db_owner 可以执行数据库的所有配置和维护活动。包括删除数据库。 db_securityadmin 可以修改角色成员身份和管理权限。 * （3）应用程序角色 使应用程序能够用其自身的、类似用户的特权来运行。 使用应用程序角色，可以只允许通过特定应用程序连接的用户访问特定数据。 应用程序角色同样也使用两种身份验证模式。 应用程序角色是数据库级主体，所以它们只能通过其他数据库中为guest授予的权限来访问这些数据库。 * （1）使用密码策略 （2）管理凭据（3）用户架构分离（4）管理密钥与证书 5、SQL Server 2005其他安全性管理 * * Create role R1; Grant Select, Insert ,Delete On Student to R1; --sqlserver中不能执行 Grant R1 to 王平 EXEC sp_addrolemember R1,王平 --不能执行Revoke R1 from 王平 EXEC sp_droprolemember R1,王平 * * * * 主体是系统中的活动实体 DBMS所管理的实际用户 代表用户的各进程 客体是系统中的被动实体，是受主体操纵的 文件 基表 索引 视图 * 敏感度标记（Label） 绝密（Top Secret） 机密（Secret） 可信（Confidential） 公开（Public） 主体的敏感度标记称为许可证级别（Clearance Level） 客体的敏感度标记称为密级（Classification Level） * 强制存取控制规则 (1)仅当主体的许可证级别大于或等于客体的密级时，该主体才能读取相应的客体 (2)仅当主体的许可证级别小于或等于客体的密级时，该主体才能写相应的客体 * 规则的共同点： 禁止了拥有高许可证级别的主体更新低密级的数据对象 防止数据的密级从高流到低，造成数据泄漏 * MAC与DAC 实现MAC时要首先实现DAC 原因：较高安全性级别提供的安全保护要包含较低级别