网络安全与实训教程-电子教案3

无论采用哪种认证模式，用户连接到 无论采用哪种认证模式，用户连接到SQL Server后的操作是完全相同的。 后的操作是完全相同的。 后的操作是完全相同的
3.3.1 SQL Server的身份认证模式 的身份认证模式
设置SQL Server认证模式 认证模式——步骤 步骤1 图3.3 设置 认证模式 步骤
SQL Server的安全性机制可划分为 个 的安全性机制可划分为4个 的安全性机制可划分为 等级。 等级。
1．客户机操作系统的安全性 ． 2．SQL Server的登录安全性 ． 的登录安全性 3．数据库的使用安全性 ． 4．数据库对象的使用安全性 ．
3.3 SQL Server数据库安全性措施 数据库安全性措施
3.3.3 角色
表 3.2
角 db_owner db_accessadmin db_securityadmin db_ddlamdin db_backupoperator db_datareader db_datawriter db_denydatareader db_denydatawriter public 色 拥有数据库中的所有权限 管理数据库中的用户账户 可以执行数据库范围内的所有权限操作 在数据库中创建、修改或删除数据库对象 可以执行数据库的备份操作 可以对数据库中任何表读取数据 可以对数据库中任何表插入、修改和删除数据 禁止读取数据库中任何表的数据 禁止修改数据库中任何表的数据 每个数据库用户都是 public 角色的成员。
3.1.2 数据库系统中的人员
DBA的具体职责包括以下几点。 的具体职责包括以下几点。 的具体职责包括以下几点 决定数据库的信息内容和结构。 决定数据库的信息内容和结构。 决定数据库的存储结构和存取策略。 决定数据库的存储结构和存取策略。 定义数据的安全性要求和完整性约束 条件。 条件。
3.1.2 数据库系统中的人员
用户权限定义和合法权检查机制一起构成了 DBMS的安全子系统。 的安全子系统。 的安全子系统
3.2.2 存取控制
用户权限定义和合法权检查机制一起构成 的安全子系统。 了DBMS的安全子系统。 的安全子系统
3.2.3 视图机制
进行存取权限控制时可以为不同的用户定 义不同的视图， 义不同的视图，把数据对象限制在一定的 范围内。 范围内。 视图机制间接地实现了支持存取控制的用 户权限定义。 户权限定义。
1．数据（Data） ．数据（ ） 2．数据库（DataBase，DB） ．数据库（ ， ）
3.1.1 数据库技术的几个基本概念
3．数据库管理系统（DataBase ．数据库管理系统（ Management System，DBMS） ， ）
（1）数据定义功能 ） （2）数据操纵功能 ） （3）数据库的运行管理 ） （4）数据库的建立和维护功能 ） （5）数据库系统（DataBase System， ）数据库系统（ ， DBS） ）
3.3.3 角色
新建数据库角色——步骤1 图3.16 新建数据库角色 步骤
3.3.3 角色
新建数据库角色——步骤 步骤2 图3.17 新建数据库角色 步骤
3.3.3 角色
新建数据库角色——步骤 图3.18 新建数据库角色 步骤
3.3.3 角色
应用程序角色是一种特殊的数据库角色， 应用程序角色是一种特殊的数据库角色， 主要出于对某些安全性的考虑， 主要出于对某些安全性的考虑，禁止用户 对数据库的直接访问， 对数据库的直接访问，只允许用户通过பைடு நூலகம் 定的应用程序来访问数据库。 定的应用程序来访问数据库。 应用程序角色不包含任何成员， 应用程序角色不包含任何成员，在默认情 况下是无效的。 况下是无效的。
3.2.2 存取控制
存取控制机制主要包括如下两部分。 存取控制机制主要包括如下两部分。
（1）定义用户权限，并将用户权限登记到数据字典中。 ）定义用户权限，并将用户权限登记到数据字典中。 （2）合法权限检查，每当用户发出存取数据库的操作 ）合法权限检查， 请求后（请求一般应包括操作类型、 请求后（请求一般应包括操作类型、操作对象和操作 用户等信息）， ），DBMS查找数据字典，根据安全规则 查找数据字典， 用户等信息）， 查找数据字典 进行合法权限检查。 进行合法权限检查。若用户的操作请求超出了定义的 权限，系统将拒绝执行此操作。 权限，系统将拒绝执行此操作。
3.2.4 审计
审计功能可将用户对数据库所有操作自动 记录下来放入审计日志（ 记录下来放入审计日志（Audit Log）中。 ） DBA可以利用审计跟踪的信息，重现导 可以利用审计跟踪的信息， 可以利用审计跟踪的信息 致数据现在状态的一系列事件， 致数据现在状态的一系列事件，找出非法 存取数据的人、时间和内容等。 存取数据的人、时间和内容等。 审计功能一般主要用于对安全性要求较高 的场合。 的场合。
3.3.2 账户管理
图3.7 新建登录账户——步骤 新建登录账户 步骤3 步骤
3.3.2 账户管理
新建登录账户——步骤 步骤4 图3.8 新建登录账户 步骤
3.3.2 账户管理
2．删除登录账户 ．
图3.9 删除登录账户
3.3.3 角色
（1）固定服务器角色：SQL Server在安装 ）固定服务器角色： 在安装 时就自动创建了固定服务器角色， 时就自动创建了固定服务器角色，它是关于操 作服务器的权限。 作服务器的权限。
数据库对象 访问权限
数据库 对象
数据库
数据库 访问权限
操作系统 安全性
SQL Server 登录
用户
客户机
SQL Server 服务器
图3.2 SQL Server安全等级 安全等级
3.3 SQL Server数据库安全性措施 数据库安全性措施
3.3.1 3.3.2 3.3.3 3.3.4 SQL Server的身份认证模式 的身份认证模式 账户管理 角色 权限
3.1.3 数据库系统的特点
1．数据结构化 ． 2．数据的共享性高，冗余度低，易扩充 ．数据的共享性高，冗余度低， 3．数据独立性高 ．
3.1.3 数据库系统的特点
4．数据由DBMS统一管理和控制 ．数据由 统一管理和控制
（1）数据的安全性保护 ） （2）数据的完整性检查 ） （3）并发控制 ） （4）数据库恢复 ）
3.3.3 角色
数据库角色的权限——步骤 步骤1 图3.19 数据库角色的权限 步骤
3.3.3 角色
数据库角色的权限——步骤 步骤2 图3.20 数据库角色的权限 步骤
3.3.3 角色
数据库角色的权限——步骤 步骤3 图3.21 数据库角色的权限 步骤
3.3.4 权限
SQL Server的权限（Permission） 的权限（ ） 的权限 用于设置对数据库对象的访问权限， 用于设置对数据库对象的访问权限，它是 用户权限的最后一道关卡。 用户权限的最后一道关卡。
表 3.1
角 sysadmin serveradmin setupadmin securityadmin processadmin dbcreator diskadmin bulkadmin 色
固定服务器角色的权限
权 可以执行 SQL Server 范围内的任何操作 可以配置服务器范围内的设置，启动和关闭服务器 可以管理扩展的存储过程 可以执行服务器范围内的所有权限操作 可以管理运行在 SQL Server 中的进程 可以创建和修改数据库 可以管理磁盘文件 可以执行大批量插入操作 限
确保数据库的安全性和完整性， 确保数据库的安全性和完整性，不同 用户对数据库的存取权限、 用户对数据库的存取权限、数据的保密级 别和完整性约束条件也应由DBA负责决 别和完整性约束条件也应由 负责决 定。 监督和控制数据库的使用和运行， 监督和控制数据库的使用和运行， DBA负责监视数据库系统的运行，及时 负责监视数据库系统的运行， 负责监视数据库系统的运行 处理运行过程中出现的问题。 处理运行过程中出现的问题。 数据库系统的改进和重组。 数据库系统的改进和重组。
3.2.5 数据加密
把明文转换成密文的过程中， 把明文转换成密文的过程中，所使用的计 算方法叫做加密算法， 算方法叫做加密算法，其参数叫做加密密 钥。 在把密文转变成明文时， 在把密文转变成明文时，所使用的计算方 法叫做脱密算法，其参数叫做脱密密钥。 法叫做脱密算法，其参数叫做脱密密钥。
3.3 SQL Server数据库安全性措施 数据库安全性措施
3.3.3 角色
固定服务器角色——步骤 步骤1 图3.10 固定服务器角色 步骤
3.3.3 角色
固定服务器角色——步骤 步骤2 图3.11 固定服务器角色 步骤
3.3.3 角色
固定服务器角色——步骤 步骤3 图3.12 固定服务器角色 步骤
3.3.3 角色
（2）固定数据库角色：它是关于操作数据库 ）固定数据库角色： 的最基本的权限设置。 的最基本的权限设置。用户不能修改固定数据 库角色所拥有的权限。 库角色所拥有的权限。
3.2 数据库安全性控制
用户 用户标识和鉴别
DBMS 存取控制
OS
DB
操作系统安全保护 数据密码存储
图3.1 计算机系统的安全模型
3.2 数据库安全性控制
3.2.1 3.2.2 3.2.3 3.2.4 3.2.5 用户标识与鉴别 存取控制 视图机制 审计 数据加密
3.2.1 用户标识与鉴别
用户标识和鉴别是系统提供的最外层安全 保护措施。 保护措施。 其方法是由系统提供一定的方式让用户标 识自己的名字或身份。 识自己的名字或身份。 每次用户要求进入系统时， 每次用户要求进入系统时，由系统进行核 通过鉴定确认后才提供机器的使用权。 对，通过鉴定确认后才提供机器的使用权。 获得上机权的用户若要使用数据库时， 获得上机权的用户若要使用数据库时， DBMS还要进行用户标识和鉴定。 还要进行用户标识和鉴定。 还要进行用户标识和鉴定