[电脑基础知识]第11章 数据库.pptVIP

第11章 数据库的安全 学习目标 本章要点 上机练习 习 题 学习目标 数据库管理系统的安全性是指设计和实现数据库资源的授权访问，即设计和实现数据库管理系统的服务器登录连接（login）和服务器角色、数据库的用户（access）和角色、存储过程的执行（execute）以及数据表或数据视图及其字段的访问权限：查询（select）、修改（update）、插入（insert）和删除（delete）等数据操作权限。 学习目标 本章主要讨论了 SQL Server 2000 的安全性管理问题，涉及到服务器登录、数据库用户、角色和权限等，通过本章学习将掌握如何让数据库更安全。 本章要点 数据库的安全模型 服务器的安全性 数据库的安全性 角色管理 权限管理 数据库的安全模型 本书将讲解如何通过访问控制和身份验证模式来保证数据库的安全。 访问控制 身份验证模式 访问控制 数据库是电子商务、金融以及ERP系统的基础，通常都保存着重要的商业伙伴和客户信息。大多数企业、组织以及政府部门的电子数据都保存在各种数据库中，他们用这些数据库保存一些个人资料，比如员工薪水、个人资料等等。 访问控制 数据库服务器还掌握着敏感的金融数据。包括交易记录、商业事务和账号数据以及战略上的或者专业信息，比如专利和工程数据，甚至市场计划等因此应该保护起来防止竞争者和其他非法者获取资料。 访问控制 数据完整性和合法存取会受到很多方面的安全威胁，包括密码策略、系统后门、数据库操作以及本身的安全方案。因此数据库的安全性对数据库管理系统来说都是至关重要的。SQL Server使用以下安全机制进行访问控制。 访问控制 使用安全的密码策略 使用安全账号策略 数据表（视图）的访问权限 管理存储过程 使用安全的密码策略 我们把密码策略摆在所有安全配置的第一步，很多数据库账号的密码过于简单，这是一个不安全的因素。对于重要的数据库大家应该养成定期修改密码的好习惯。数据库管理员应该定期查看是否有不符合密码要求的账号。 使用安全的密码策略 比如使用下面的SQL语句： Use master Select name,Password from syslogins where password is null 使用安全账号策略 对于任何要求访问SQL Server的用户，SQL Server在master数据库sysxlogins系统表中建立了登录账户和口令等数据。只有SQL Server 的服务器为用户创建了登录（login）账号和口令，才能登录到SQL Server服务器。 使用安全账号策略 用户的登录（login）账号被指定为SQL Server 固定的服务器角色的成员，才拥有进行相应的服务器管理权限。 数据表（视图）的访问权限 SQL Server能够对用户可访问的数据库中的数据表（视图）进行访问权限的设置：查询（SELECT）、插入（INSERT）、修改（UPDATE）及删除（DELETE）。 管理存储过程 对账号调用扩展存储过程的权限要慎重。其实在多数应用中根本用不到多少系统的存储过程，而SQL Server这么多的系统存储过程只是用来适应广大用户需求的，所以请删除不必要的存储过程，因为有些系统的存储过程能很容易地被人利用起来提升权限或进行破坏。 身份验证模式 对于SQL Server的安全性，SQL Server提供两种方式来保护。这两种方式分别是：身份验证和权限验证。权限验证则是在用户对数据库进行添加、查询、修改和删除时验证其是否有此权限。身份验证是根据用户提供的账号和密码来验证该用户是否是本SQL Server实例的用户，有以下两种身份验证： 身份验证模式 Windows验证模式 混合验证模式 Windows验证模式 只使用Windows身份验证模式，即用户使用已登录到的Windows操作系统的账号和密码来连接SQL Server数据库，同时SQL Server到Windows操作系统中验证账号和密码是否正确。 混合验证模式 用户提供登录账户和密码在SQL Server中验证，如果验证失败后，再去进行Windows身份验证。 用企业管理器查看或设置SQL Server的安全认证模式。 服务器的安全性 本节将通过创建、管理登录账户和使用特殊登录账户sa来保证服务器的安全。 创建和管理登录账户 特殊的登录账户sa 创建和管理登录账户 用企业管理器管理登录账户 用sp_addlogin语句创建账户 用企业管理器管理登录账户 下面讲解如何使用企业管理器来创建和管理登录账户。 【例11-1】 创建登录账号“张山”。 用sp_addlogin语句创建账户 语法格式： sp_addlogin 登录名?[,