sqlserver教程第4章數(shù)據(jù)庫安全性(編輯修改稿)
2025-03-31 17:13 本頁面
【文章內(nèi)容簡介】 ? 用戶：擁有自己建立的對象的全部的操作權(quán)限 ? GRANT：授予其他用戶 ? 被授權(quán)的用戶 ? “ 繼續(xù)授權(quán) ” 許可：再授予 ? 所有授予出去的權(quán)力在必要時又都可用 REVOKE語句收回 授權(quán)與回收（續(xù)） 三、創(chuàng)建數(shù)據(jù)庫模式的權(quán)限 ? DBA在創(chuàng)建用戶時實現(xiàn) (只有 DBA可以創(chuàng)建數(shù)據(jù)庫用戶 ) ? CREATE USER語句格式 CREATE USER username ［ WITH］［ DBA | RESOURCE | CONNECT］ 擁有的權(quán)限 可否執(zhí)行的操作 CREATE USER CREATE SCHEMA CREATE TABLE 登錄數(shù)據(jù)庫 執(zhí)行數(shù)據(jù)查詢和操縱 DBA 可以 可以 可以 可以 RESOURCE 不可以 不可以 可以 可以 CONNECT 不可以 不可以 不可以 可以，但必須擁有相應(yīng)權(quán)限 若沒有指定 ,則默認(rèn)權(quán)限為 connect 數(shù)據(jù)庫安全性控制 用戶標(biāo)識與鑒別 存取控制 自主存取控制方法 授權(quán)與回收 數(shù)據(jù)庫角色 強制存取控制方法 數(shù)據(jù)庫角色 ?數(shù)據(jù)庫角色：被命名的一組與數(shù)據(jù)庫操作相關(guān)的權(quán)限 ? 角色是權(quán)限的集合 ? 可以為一組具有相同權(quán)限的用戶創(chuàng)建一個角色 ? 簡化授權(quán)的過程 數(shù)據(jù)庫角色 ? 一、角色的創(chuàng)建 CREATE ROLE 角色名 ? 二、給角色授權(quán) GRANT 權(quán)限 ［， 權(quán)限 ］ … ON 對象類型 對象名 TO 角色 ［， 角色 ］ … ? 三、將一個角色授予其他的角色或用戶 GRANT 角色 1［， 角色 2］ … TO 角色 3［， 用戶 1］ … ［ WITH ADMIN OPTION］ ? 四、角色權(quán)限的收回 REVOKE 權(quán)限 ［， 權(quán)限 ］ … ON 對象類型 對象名 FROM 角色 ［， 角色 ］ … [例 11] 通過角色來實現(xiàn)將一組權(quán)限授予一個用戶。 步驟如下： 1. 首先創(chuàng)建一個角色 R1 CREATE ROLE R1 2. 然后使用 GRANT語句，使角色 R1擁有 Student表的SELECT、 UPDATE、 INSERT權(quán)限 GRANT SELECT， UPDATE， INSERT ON TABLE Student TO R1 3. 將這個角色授予王平，張明，趙玲。使他們具有角色R1所包含的全部權(quán)限 GRANT R1 TO 王平，張明，趙玲 4. 可以一次性通過 R1來回收王平的這 3個權(quán)限 REVOKE R1 FROM 王平； [例 12] 角色的權(quán)限修改 GRANT DELETE ON TABLE Student TO R1 [例 13] REVOKE SELECT ON TABLE Student FROM R1 補充 :SQL Server2023中用戶和角色的創(chuàng)建 數(shù)據(jù)庫安全性控制 用戶標(biāo)識與鑒別 存取控制 自主存取控制方法 授權(quán)與回收 數(shù)據(jù)庫角色 強制存取控制方法 自主存取控制缺點 ?可能存在數(shù)據(jù)的“無意泄露” ? 如：甲將自己的權(quán)限授予乙，乙又將得到的權(quán)限在未經(jīng)甲許可時授予丙 ? 原因：這種機制僅僅通過對數(shù)據(jù)的存取權(quán)限來進(jìn)行安全控制，而數(shù)據(jù)本身并無安全性標(biāo)記 ? 解決：對系統(tǒng)控制下的所有主客體實施強制存取控制策略 強制存取控制方法 (MAC) ? 特點 ? 更高程度的安全性保證 ? 用戶不能直接感知或進(jìn)行控制 ? 適用于對數(shù)據(jù)有嚴(yán)格而固定密級分類的部門 ? 軍事部門 ? 政府部門 MAC是為了保證更高程度的安全性，系統(tǒng)按照 TDI/TCSEC標(biāo)準(zhǔn)中安全策略的要求，所采用的強制性存取檢查手段。 ? 主體 是系統(tǒng)中的活動實體 ? DBMS所管理的實際用戶 ? 代表用戶的各進(jìn)程 ? 客體 是系統(tǒng)中的被動實體，是受主體操縱對象 ? 文件 ? 基表 ? 索引 ? 視圖 在 MAC中， DBMS所管理的全部實體被分為主體和客體兩大類。 ?DBMS給主體和客體的每個實例（值）指定一個 敏感度標(biāo)記 。 ?敏感度標(biāo)記被分成若干級別，如： 絕密 、 機密 、 可信 、 公開 等。 ?主體的敏感度標(biāo)記稱為 許可證級別 (Clearance Level) ?客體的敏感度標(biāo)記稱為 密級 (Classification Level)。 ?MAC機制就是通過對比主體的 Label和客體的
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1