【文章內(nèi)容簡介】 1） Windows NT認證模式 SQL Server數(shù)據(jù)庫系統(tǒng)通常運行在 Windows NT服務(wù)器平臺上，而 NT作為網(wǎng)絡(luò)操作系統(tǒng)，本身就具備管理登錄、驗證用戶合法性的能力，因此 Windows NT認證模式正是利用了這一用戶安全性和帳號管理的機制，允許 SQL Server也可以使用NT的用戶名和口令。 在這種模式下，用戶只需要通過 Windows NT的認證，就可以連接到 SQL Server，而 SQL Server本身也就不需要管理一套登錄數(shù)據(jù)。 2）混合認證模式 ? 在 SQL Server認證模式下， SQL Server服務(wù)器要對登錄的用戶名進行身份驗證。 ? 當采用混合模式時， SQL Server系統(tǒng)即允許windows nt帳號登錄，也允許使用 SQL Server帳號登錄。 ? 對于 Windows 9x系列的操作系統(tǒng)只能使用 SQL Server認證模式，在 Windows NT或 Windows2023上運行時，系統(tǒng)管理員設(shè)定登錄認證模式的類型可為Windows NT認證模式和混合模式。 1）建立 Windows NT認證模式登錄賬號 ? 第一步：控制面板 → 管理工具 → “計算機管理” → “本地用戶和組” ? 第二步：右擊“用戶” → “新用戶”，輸入用戶名及密碼，單擊“創(chuàng)建”。 ? 第三步：打開 SQL Server服務(wù)器目錄樹，選擇“安全性” → “登錄名” → “新建登錄名”。 ? 第四步：在“常規(guī)”選項中選擇用戶名“ WZ\wang” ，選擇 Windows身份驗證，單擊“確定。 在此輸入用戶名 刪除 Windows NT認證模式登錄賬號 步驟如下： (1) 以系統(tǒng)管理員身份進入企業(yè)管理器，并展開目錄樹； (2) 在目錄樹的 “ 登錄名 ” 節(jié)點下，選中待刪除的名稱 “ wang”， 2）建立混合認證模式下 SQL Server登錄賬號 ?在 Windows NT 或 windows 2023環(huán)境下，如果要使用 SQL Server登錄帳號登錄 SQL Server， 首先應(yīng)該將 SQL Server的認證模式設(shè)置為混合模式。 具體步驟為： (1) 右擊要登錄的 SQL Server服務(wù)器圖標，選擇菜單項“屬性”，出現(xiàn) SQL Server服務(wù)器屬性配置窗口。 (2) 選擇“安全性”選項卡，選擇身份驗證方式為“ SQL Server和 Windows身份驗證”，選擇“確定”按鈕。 （ 3）打開對象資源管理器目錄樹，選擇“安全性” → “登錄” → “新建登錄名”； （ 4）在“常規(guī)”選項中輸入用戶名“ cheng” 及密碼 ； 輸入用戶名cheng 輸入密碼 SQL Server 2023密碼復(fù)雜性策略： 1. 不得包含全部或部分（ =3）用戶帳號名； 2. 長度至少 6個字符； 3. 密碼包含 4類字符：英文大寫字母、小寫 字母、 10個基本數(shù)字，非字母字符（！ 等） （ 5）在“服務(wù)器角色”界面，暫時保持 Public角色； （ 6）在“用戶映射”界面，選中數(shù)據(jù)庫“ stu” ，并分配數(shù)據(jù)庫角色，如下圖： ? 測試 SQL帳號能否連接到服務(wù)器： ? 選擇“新建連接”，在“連接到服務(wù)器”界面測試。 SQL Server數(shù)據(jù)庫的安全機制 ? 前面所介紹的都是服務(wù)器賬號的管理，若一個用戶登錄到 SQL Server服務(wù)器，還不能對數(shù)據(jù)庫進行操作，因為系統(tǒng)管理員還沒有為他在數(shù)據(jù)庫中建立一個用戶名； ? 一個登錄賬號在不同的數(shù)據(jù)庫中可以映射成不同的用戶，從而可以具有不同的權(quán)限；每個數(shù)據(jù)庫中都有兩個默認的用戶： dbo和guest 。 1）新建數(shù)據(jù)庫用戶 ? 連接對象資源管理器，選擇目錄樹數(shù)據(jù)庫“ stu”→ 安全性 → 用戶 → “新建用戶”。 登錄名和用戶名 ? 登錄名代表是服務(wù)器的權(quán)限； ? 用戶名代表是數(shù)據(jù)庫上的權(quán)限； ? 用戶使用登錄名登錄服務(wù)器后，按照登錄名的服務(wù)器權(quán)限可以操作服務(wù)器；使用登錄名映射的用戶名可以操作數(shù)據(jù)庫。兩者可相同也可不同，一般情況下選擇相同。 2）為數(shù)據(jù)庫用戶分配權(quán)限 ? 權(quán)限用來控制用戶如何訪問數(shù)據(jù)庫對象。 ? 一個用戶可以同時屬于具有不同權(quán)限的多個角色，這些不同的權(quán)限提供了對同一數(shù)據(jù)庫對象的不同的訪問級別。 ? SQL Server 2023中的權(quán)限分為三種： ? 語句權(quán)限：是否可以執(zhí)行一些數(shù)據(jù)定義語句 ? 隱含權(quán)限：系統(tǒng)預(yù)定義的服務(wù)器角色或 dbo和數(shù)據(jù)庫對象擁有者所擁有的權(quán)限 ? 對象權(quán)限： ※ 對象權(quán)限是指用戶對數(shù)據(jù)庫中的表、存儲過程、視圖等數(shù)據(jù)對象的操作權(quán)限。具體包括： ? 對表和視圖 ,是否可執(zhí)行 SELECT、 INSERT、 UPDATE、DELETE ? 對表和視圖的列，是否可執(zhí)行 SELECT、 UPDATE ? 對存儲過程，是否可執(zhí)行 EXEC 一個用戶或角色的權(quán)限可以有以下三種存在形式： ? 授權(quán) (Granted) ? 回收 (Revoked) ? 拒絕 (Deny) 例 1：把查詢 student表分配給數(shù)據(jù)庫用戶“ wang” 。 例 2：把查詢 course表及修改課程號的權(quán)限分配給數(shù)據(jù)庫用戶“ cheng” 。 例 3：把對表 student的 insert的權(quán)限分配給用戶“ cheng” ，并允許將此權(quán)限再授予其他用戶。 例 4：把對表 student的 Alter的權(quán)限同時分配給用戶cheng及 wang。 3）創(chuàng)建及管理數(shù)據(jù)庫角色 ? 數(shù)據(jù)庫角色是為某一用戶或某一組用戶授予不同級別的管理或訪問數(shù)據(jù)庫以及數(shù)據(jù)庫對象的權(quán)限 ，這些權(quán)限是數(shù)據(jù)庫專有的，并且還可以使一個用戶具有屬于同一數(shù)據(jù)庫的多個角色。 ? SQL Server 2023提供了三種類型的數(shù)據(jù)庫角色 ? 固定數(shù)據(jù)庫角色 ? 用戶自定義數(shù)據(jù)庫角色 固定數(shù)據(jù)庫角色 創(chuàng)建用戶自定義數(shù)據(jù)庫角色 創(chuàng)建數(shù)據(jù)庫角色： ? 登錄到 SQL Server服務(wù)器，選擇數(shù)據(jù)庫 “ stu”→ 安全性 → 角色 → 新建數(shù)據(jù)庫角色 ； ? 在常規(guī)選項中輸入角色名稱 role及登錄名 cheng； 對數(shù)據(jù)庫角色賦予權(quán)限（如對學(xué)生表進行插入記錄）： ? 在安全對象選項中單擊“添加”，選擇“特定數(shù)據(jù)對象”，選擇對象類型（表），選擇對象名稱 student； ? 在安全對象選項中選擇權(quán)限 insert。 對數(shù)據(jù)庫角色添加數(shù)據(jù)庫用戶 ? 在常規(guī)選項中選擇“添加用戶”即可完成。 例 1:在數(shù)據(jù)庫 stu上定義一個數(shù)據(jù)庫角色 role，該角色中有數(shù)據(jù)庫用戶 stu stu2，對數(shù)據(jù)表 student可進行查詢操作。 具體操作步驟為： stu stu2； role并賦予查詢表 student的權(quán)限； 。 連接對象資源管理器目錄樹，選擇數(shù)據(jù)庫“ stu”→安全性 → 用戶 → “新建用戶”（ stu1和 stu2）。 i） 創(chuàng)建數(shù)據(jù)庫用戶 ii） 創(chuàng)建數(shù)據(jù)庫角色 并賦予權(quán)限 ?選擇數(shù)據(jù)庫 “ stu”→ 安全性 → 角色 → 新建數(shù)據(jù)庫角色； ?在 【 常規(guī) 】 選項中輸入角色名 role及所有者 cheng； ?在 【 安全對象 】 選項中單擊 “ 添加安全對象 ” ，選擇對象類型 “ 表 ” ，選中數(shù)據(jù)表 ” student”，單擊確定； ?繼續(xù)在 【 安全對象 】 選項中選擇數(shù)據(jù)表 student的權(quán)限（ select）； iii）將數(shù)據(jù)庫用戶加入數(shù)據(jù)庫角色 ?選擇數(shù)據(jù)庫 “ stu”→ 安全性 → 角色 → 數(shù)據(jù)庫角色； ?雙擊角色名 role； ?在 ” 常規(guī) “ 選項中單擊 ” 添加角色成員 “ ，依次選中數(shù)據(jù)庫用戶即可。 注意： 刪除用戶自定義的數(shù)據(jù)庫角色時，首先應(yīng)刪除該角色的所有成員。 六、其他數(shù)據(jù)庫安全性控制 ? 強制存取控制方法（ MAC） ? 視圖機制 ? 審計 ? 數(shù)據(jù)加密 ? 統(tǒng)計數(shù)據(jù)庫安全性 強制存取控制方法 ? 自主存取控制（ DAC）缺點 ： ? 可能存在數(shù)據(jù)的“無意泄露”； ? 原因：這種機制僅僅通過對數(shù)據(jù)的存取權(quán)限來進行安全控制，而數(shù)據(jù)本身并無安全性標記； ? 解決：對系統(tǒng)控制下的所有主客體實施強制存取控制策略。 ? 強制存取控制（ MAC) ? 保證更高程度的安全性 ? 用戶能不能直接感知或進行控制 ? 適用于對數(shù)據(jù)有嚴格而固定密級分類的部門 ? 軍事部門 ? 政府部門 視圖機制 ? 把要保密的數(shù)據(jù)對無權(quán)存取這些數(shù)據(jù)的用戶隱藏起來，對數(shù)據(jù)提供一定程度的安全保護 ? 主要功能是提供數(shù)據(jù)獨立性，無法完全滿足要求； ? 間接實現(xiàn)了支持存取謂詞的用戶權(quán)限定義； 例 1：建立計算機系學(xué)生的視圖，把對該視圖的 SELECT權(quán)限授于王平，把該視圖上的所有操作權(quán)限授于張明。 先建立計算機系學(xué)生的視圖： CREATE VIEW CS_Student AS SELECT * FROM Student WHERE Sdept=39。CS‘ 再定義存取權(quán)限： GRANT SELECT ON CS_Student TO 王平 GRANT ALL PRIVILIGES ON CS_Student TO 張明 審計（ Audit） ? 什么是審計 ? 審計日志（ Audit Log） ? 將用戶對數(shù)據(jù)庫的所有操作記錄在上面 ? DBA利用審計日志 ? 找出非法存取數(shù)據(jù)的人、時間和內(nèi)容 ? C2以上安全級別的 DBMS必須具有 ? 審計分為 ? 用戶級審計 ?針對自己創(chuàng)建的數(shù)據(jù)庫表或視圖進行審計 ?記錄所有用戶對這些表或視圖的一切成功和（或）不成功的訪問要求以及各種類型的 SQL操作 ? 系統(tǒng)級審計 ?DBA設(shè)置 ?監(jiān)測成功或失敗的登錄要求 ?監(jiān)測 GRANT和 REVOKE操作以及其他數(shù)據(jù)庫級權(quán)限下的操作 數(shù)據(jù)加密 ? 數(shù)據(jù)加密 ? 防止數(shù)據(jù)庫中數(shù)據(jù)在存儲和傳輸中失密的有效手段 ? 加密的基本思想 ? 加密方法 ? 替換方法 ? 置換方法 ? 混合 方法 ? DBMS中的數(shù)據(jù)加密 統(tǒng)計數(shù)據(jù)庫安全性 ? 統(tǒng)計數(shù)據(jù)庫 ? 允許用戶查詢聚集類型的信息（如合計、平均值等） ? 不允許查詢單個記錄信息 ? 統(tǒng)計數(shù)據(jù)庫中特殊的安全性問題 ? 隱蔽的信息通道 ? 能從合法的查詢中推導(dǎo)出不合法的信息 ? 三大規(guī)則： ? 規(guī)則 1：任何查詢至少要涉及 N(N足夠大 )個以上的記錄 ? 規(guī)則 2：任意兩個查詢的相交數(shù)據(jù)項不能超過 M個 ? 規(guī)則 3：任一用戶的查詢次數(shù)不能超過 1+(N2)/M 操作系統(tǒng)的安全設(shè)置 Windows 2023/XP注冊表 2 、設(shè)置審核策略 3 、賬號安全策略 4 、密碼策略 5 、安全日志 文件系統(tǒng)的安全 7 、 IIS服務(wù)安全配置 8 、其他安全設(shè)置 1 、 Windows 2023/XP注冊表 ? 注冊表由來 ? 注冊表的結(jié)構(gòu) ? 注冊表的根鍵、主鍵與子鍵 ? 注冊表的數(shù)據(jù)類型 ? 注冊表文件的位置 （ 1）注冊表的由來 ? 在 Windows ，注冊表是一個極小文件，其文件名為 ，里面只存放了某些文件類型的應(yīng)用程序關(guān)聯(lián)， 大部分的設(shè)置放在 、 INI文件中 。由于這些初始化文件不便于管理和維護，時常出現(xiàn)一些因 INI文件遭到破壞而導(dǎo)致系統(tǒng)無法的啟動的問題。為了使系統(tǒng)運行得更為穩(wěn)定、健壯， Windows 95/98設(shè)計師們借用了 Windows NT中的注冊表的思想，將注冊表引入到 Windows 95/98操作系統(tǒng)中，而且將 INI文件中的大部分設(shè)置也移植到注冊表中，因此，注冊表在 Windows95/98及之后的操作系統(tǒng)啟動、運行過程中起著重要的作用。 ? 注冊表是一個記錄 32位驅(qū)動的設(shè)置和位置的 數(shù)據(jù)庫 。當操作系統(tǒng)需要存取硬件設(shè)備時，操作系統(tǒng)需要知道從哪里找到它們的文件名、版本號、其他設(shè)置和信息，沒有注冊表對設(shè)備的記錄，它們就不能被使用。 ? 當一個用戶準備運行一個應(yīng)用程序的時候，注冊表提供應(yīng)用程序信息給操作系統(tǒng)，這樣應(yīng)用程序可以被找到，正確數(shù)據(jù)文件的位置被規(guī)