a第12章 安全性管理

3.修改登录账户密码 Alter login dba with password=‘’ 4.删除登录账户
Drop login dba
12.4 配置数据库用户
用户账户也称为用户名，或简称为用户，是数据 库级用户，即是某个数据库的访问标识。 用户账户可以与登录账户相同，也可以不同。
操作能用编写的程序来存取SQL Server的数据。
12.5.2 管理角色
1.创建新角色 2.查看角色的属性
12.6 权限
12.6 概述 权限是执行操作、访问数据的通行证。只有拥 有了针对某种安全对象的指定权限，才能对该对
象执行相应的操作。
权限通常可以分为3种类型：
对象权限、语句权限和隐含权限。
1）授予权限的操作 授予语句权限的语法格式如下： GRANT{ALL|statement[,…n]}
TO security_account[,…n]
授予对象权限的语法格式如下：
GRANT{ALL [PRIVILEGES]}
TO security_account[,…n]
【示例】为用户user1授予student数据库的s表 的SELECT权限。 GRANT SELECT ON S
12.3 管理登录账户
sa是一个默认的SQL Server登录名，拥有操 作SQL Server系统的所有权限。该登录名不能被 删除。
管理登录名包括创建登录名、设置密码策
略、查看登录名信息、修改和删除登录名。
12.3.1 使用SSMS管理登录账户
1.查看登录账户
2.创建一个登录账户
12.3.2 使用SQL语句管理登录账户
第3关，数据库用户账号要具有访问相应数据库对
象的权限。
12.2 验证模式
12.2.1 验证模式简介 SQL Server有两种安全验证机制： 1.Windows验证机制：在该模式下可以使用 Windows身份验证 2.混合模式：在该模式下可以使用Windows身份 验证或SQL Server身份验证
ON Sales.Order
TO SalesUser
2)拒绝权限
拒绝权限的语法格式如下： DENY{ALL|statement[,…n]}
谢谢！
数据库用户管理包括创建用户、查看用户信息、 修改用户、删除用户等操作。 1.查看用户账户
2.创建新的数据库用户
3.编辑或删除数据库用户账户
12.4.2 使用SQL语句配置数据库用户
1.创建数据库用户 Create user dba for login dba with default_schema=dbo
数据库用户dba的默认架构是dbo
2.修改数据库用户名 Alter user dba with name=dba_tom 3.更改数据库用户的默认架构 alter user dba with
Default_schema=sales
4.删除数据库用户 Drop user dba
12.5 角色
数据库角色是数据库用户的集合。数据库用户 可以作为数据库角色的成员，继承数据库角色的 权限。
注：该成员可以是用户或者其他的数据库角色.
系统默认创建如下10个固定的标准角色：
Db_owner:在数据库中有全部权限。 Db_accessadmin：可以添加和删除用户ID。 Db_securityadmin:可以管理全部权限、对象所 有权限，拥有角色和角色成员资格。
Db_ddladmin:可以发出除GRANT、REVOKE、DENY之
CREATE TABLE:创建表
CREATE VIEW:创建视图
BACKUP DATABASE:备份数据库
BACKUP LOG:备份日志文件
3.隐含权限
隐含权限指系统预定义而不需要授权就有的 权限，包括固定服务器角色成员、固定数据库 角色成员、数据库所有者(dbo)和数据库对象所 有者(dboo)所拥有的权限。
Db_denydatawriter:不能更改数据库内任何用户 表中的任何数据。
Public:最基本的数据库角色。 所有的数据库用户都是public角色的成员。
2)应用程序角色 应用程序角色是用来控制应用程序存取数据的， 本身并不包括任何成员。在编写数据库的应用程
序时，可以自定义应用程序角色，让应用程序的
外的所有数据定义语言。 Db_backupoperator:可以发出DBCC、CHECKPOINT 和BACKUP语句。
Db_datareader:查看数据库内任何用户表中的所 有数据。 db_datawriter:更改数据库内任何用户表中的所有 数据。 Db_denydatareader: 不能查看数据库内任何用户 表中的数据。
1、对象权限
对象权限是用于控制用户对数据库对象执行某些 操作的权限。 数据库对象通常包括表、视图、存储过程。
P249
对象权限适用的T-SQL语句如下： SELECT：适用于表、视图、表和视图中的列 UPDATE：适用于表、视图、表中的列
INSERT：适用于表、视图
DELETE：适用于表、视图
EXECUTE：适用于存储过程
DRI（声明参照完整性）：适用于表和表中的列
2.语句权限
语句权限是用于控制数据库操作或创建数据 库中的对象操作的权限。 语句权限只能由sa或dbo授予、禁止或撤销。
语句权限的授予对象一般为数据库角色或数据
库用户。
语句权限适用的T-SQL语句如下：
CREATE DATABASE:创建数据库 CREATE DEFAULT:创建缺省 CREATE PROCEDURE:创建存储过程 CREATE RULE:创建规则
登录名可以继承固定服务器角色的权限。
固定的服务器角色及其具体角色权限如下：
Sysadmin:可以执行任何活动。
Serveradmin：设置服务器范围的配置选项，
关闭服务器。
Setupadmin：管理连接服务器和启动过程。 Securityadmin：管理登录和创建数据库的权 限，还可以读取错误日志和更改密码。
用户名是登录名在数据库中的映射。
登录用户只有成为数据库用户（或数据库角色）源自后才能访问数据库。������
������
在Microsoft SQL Server 2005系统中，数据库 用户不能直接拥有表、视图等数据库对象，而是 通过架构拥有这些对象。
架构是数据库级的安全对象，是数据库对象的容
器。
12.4 配置数据库用户
当对该角色进行权限设置时，其成员自动继承
该角色的权限。
12.5.1 服务器角色
1.服务器角色
SQL Server在安装过程中已经定义好一些固定的服务 器角色。固定服务器角色是服务器级别的主体，他们的作 用范围是整个服务器。 固定服务器角色已经具备了执行指定操作的权限，可以
把其他登录名作为成员添加到固定服务器角色中，这样该
Processadmin：管理在SQL Server中运行的过程。 Dbcreator：创建、更改和删除数据库。 Diskadmin：管理磁盘文件。
Bulkadmin：执行BULK INSERT(大容量插入)语句。
2.数据库角色
数据库角色分为两种：标准角色和应用程序角色
1)标准角色：
标准角色是数据库成员所组成的组
第12章 数据库的安全性管理
—— SQL Server 2005
SQL Server访问控制
与SQL Server安全模型的3层结构相对应的， SQL Server的数据访问要经过3关的访问控制。 第1关，用户首先要有一个登录账户，即登录名。
第2关，在要访问的数据库中，用户的登录名要有
对应的数据库用户账号。
1.创建登录账户（create login）
Create login dba with password=‘sqlstudy’,
default_database=mydb
登录账户名：dba，密码：sqlstudy， 默认连接到的数据库：mydb 2.修改登录账户名 Alter login dba with name=dba_tom
TO user1
GRANT ALTER ANY USER TO HRManager GRANT SELECT
ON SCHEMA :: Sales
TO SalesUser
GRANT EXECUTE ON TYPE :: Person.addressType TO SalesUser
GRANT SELECT
12.6.2 管理权限
对象权限的管理可以通过两种方法实现： 一种是通过对象管理它的用户及操作权限， 另一种是通过用户管理对应的数据库对象及操作 权限。
1.使用管理工具设置权限
如果一次要为多个用户(角色)授予、撤销或 禁 止对某一个数据库对象的权限时，应采用通过
对象管理的方法。
2.语句权限的管理