SQL Server 2000 может трудиться под управлением Windows 98, Windows Millennium Edition (ME), Windows NT и Windows 2000. Windows NT Server, Windows 2000 Server и более поздние редакции этих ОС снабжают наибольший уровень безопасности локального компьютера, дешёвый SQL Server 2000. Исходя из этого ОС, минимально нужной для SQL Server 2000 Enterprise Edition, есть Windows NT Server либо Windows 2000 Server. Эти ОС поддерживают аудит совокупности безопасности при помощи работы Event Log, разрешая отслеживать такие события, как вхэд пользователей в попытки и систему обращения к файловым объектам {к примеру, к файлам БД). Аудит файловых объектов дешёв в любом разделе NTFS (New Technology File System). NTFS нужна для работы SQL Server 2000 в Windows NT либо Windows 2000. Эта файловая совокупность поддерживает дополнительные функции безопасности, а также помощь прав доступа к файлам и локальным каталогам, и сервисы шифрования. Наконец, программа SQL Server Setup машинально конфигурирует ограничения доступа к уязвимым настройкам реестра, связанным с SQL Server. По окончании трансформации совокупности безопасности ОС неизменно шепетильно контролируйте работу SQL Server, дабы убедиться в сохранении должной производительности и в том, что сконфигурированные ограничения че заблокировали никаких функций SQL Server.
Безопасность SQL Server
SQL Server предоставляет широкий комплект работ безопасности для защиты обслуживаемых им баз данных. Средства безопасности SQL Server возможно поделить на четыре категории: аутентификация, авторизация, шифрование и аудит. Процесс предоставления доступа к БД складывается из двух фаз: сперва выполняется подключение к SQL Server (аутентификация), а после этого раскрывается доступ к базе данных с ее объектами (авторизация). Разрешения на работу с объектами (не меньше) разрешают либо запрещают пользователю делать действия над объектами БД, к примеру представлениями и таблицами. Разрешения на исполнение SQL-операторов (statement permissions) разрешают либо запрещают пользователям создавать объекты, делать копии БД и файлов издания. Действия, делаемые в БД, отслеживаются посредством аудита SQL Server. Механизм аудита SQL Server, в отличие от работы Event Log в Windows NT и Windows 2000, создан специально для аудита объектов БД. Кое-какие объекты БД, к примеру, хранимые процедуры, разрешается зашифровать, дабы обезопасисть их содержимое.
Аутентификация
SQL Server 2000 поддерживает два режима аутентификации: средствами Windows и средствами SQL Server. Первая разрешает локальным либо доменным учетным записям Windows (Windows NT либо Windows 2000) подключаться к SQL Server. Вторая дает пользователям возможность подключаться к SQL Server посредством идентификатора SQL Server. Возможно сконфигурировать способ аутентификации на сервере на протяжении установки SQL Server либо позднее посредством диалогового окна SQL Server Properties (Configure) в Enterprise Manager.
Параметры режима аутентификации разрешают применять аутентификацию средствами Windows и SQL Server в один момент либо лишь аутентификацию средствами Windows. Режим, в котором используются оба способа аутентификации, именуется смешанный режим (Mixed Mode).
Применение аутентификации средствами Windows разрешает создать интегрированную совокупность регистрации пользователя, потому, что SQL Server применяет ОС локального компьютера либо контролера домена для сопровождения и проверки учетной записи пользователя. К примеру, в случае если User0l — локальная пользовательская учетная запись, созданная на независимом сервере SQL с именем Server0l, возможно дать учетной записи SERVER01User01 право на подключение к SQL Server либо отобрать у нее это право.
В случае если User02 — доменная учетная запись, созданная на контроллере домена Domain0l, возможно разрешить или отобрать право на подключение к SQL Server у записи DOMAlN01User02.
Кроме этого дано наделять привилегиями и лишать их группы Windows NT и Windows 2000. Привилегии, предоставленные группе либо отобранные у нее, наследуют все ее члены. Явный отказ в предоставлении доступа (deny) заменяет все другие привилегии, назначенные пользователю либо любым группам, участником которых он бывает. В Windows NT и Windows 2000 предусмотрены два типа групп, которым смогут быть предоставлены права на подключение к серверу: группы на локальном компьютере и доменные группы. Первые сохраняются в ОС компьютера, на котором трудится SQL Server, и подразделяются на два типа: встроенные и пользовательские. Доменные группы сохраняются на контроллерах домена Windows, они бывают трех типов: локальные для домена, глобальные и универсальные.
В большинстве случаев учетные записи групп и пользователей в Windows именуют легко учетными записями Windows.
Аутентификация выполняется удачно, в случае если учетной записи пользователя либо его группе дана возможность на подключение к SQL Server. При аутентификации средствами Windows пользователь может регистрироваться как на локальном компьютере SQL Server, так и на любом компьютере домена, наряду с этим отдельная регистрация в SQL Server не нужно. В случае если настроена смешанная аутентификация, то способом по умолчанию для подключения к SQL Server есть аутентификация средствами Windows.
Случаи, в то время, когда аутентификация средствами SQL Server есть единственным методом подключения к SQL Server, перечислены ниже:
u в то время, когда сервер и клиент относятся к различным пространствам имен идентификаторов. В случае если компьютер с SQL Server есть независимым сервером, то клиент, зарегистрированный в домене, обязан применять аутентификацию средствами SQL Server. Клиент может применять аутентификацию средствами Windows, если он прошёл регистрацию локально, SQL Server сконфигурирован как независимый сервер, и на сервере и клиенте существуют однообразные комбинации «учетная запись — пароль»;
u в то время, когда SQL Server трудится в Windows 98 либо Windows ME.
SQL Server, установленный в Windows 98 либо Windows ME. поддерживает лишь аутентификацию средствами SQL Server;
u в случае если приложение написано специально для применения аутентификации средствами SQL Server.
Кое-какие учетные имена SQL Server (SQL Server account objects) создаются на протяжении установки SQL Server, к примеру системный администратор SQL Server (sa). Это учетное имя приписывается фиксированной роли на уровне сервера (серверной роли) SysAdmin, и его нельзя удалить либо модифицировать. Идентификатору sa соответствует особенное пользовательское учетное имя: обладатель базы данных (dbo). которое создастся в каждой БД. Кроме другого, это соответствие делает dbo членом группы SysAdmin.
Второе особое учетное имя — guest — открывает доступ к БД любому пользователю, проверенному SQL Server.
Авторизация
Дабы пользовательское учетное имя получило доступ к БД, одной аутентификации не хватает. Также, у учетного имени, группы либо роли, прошедшей аутентификацию, должно быть разрешение на выполнение SQL-выражений либо на работу с объектами. В большинстве случаев, авторизация осуществляется в контексте БД. Так, ограничивается область видимости пользовательского доступа. К примеру, разрешение на доступ к таблице из БД Pubs не дает пользователю права на доступ к объектам БД Master, но имеется особенные административные разрешения, область видимости которых распространяется на целый SQL Server.
роли и Группы
Назначение разрешений каждому пользователю в отдельности занимает большое количество времени при сопровождении БД со большим числом и средним пользователей. Для облегчения рутинных административных операций по назначению разрешений пользователям SQL Server 2000 поддерживает группы Windows и роли SQL Server. Все группы, прошедшие аутентификацию, кроме этого подлежат авторизации. К примеру, глобальной доменной группе GlobalGroup0l в домене Domain0l назначен последовательность привилегий для подключения к SQL Server (аутентификации) и выполнения оператора SELECT для некоей таблицы либо представления в данной БД. В этом случае каждые пользователи из домена — члены группы GlobalGroup0l — смогут выполнить оператор SELECT (в случае если где-либо еше для этого разрешения не задано состояние Deny, о котором мы поведаем чуть позднее).
Роли похожи на группы, но создаются и сопровождаются в рамках SQL Server. Существует два типа ролей: стандартные и прикладные. Стандартным ролям (standard roles) назначаются привилегии, каковые смогут наследоваться пользователями, приобретающими членство в роли. Участниками групп смогут быть пользователи Windows и (в зависимости от типа группы) группы Windows. В отличие от групп стандартные роли смогут содержать все типы учетных имен: учетные записи групп и пользователей Windows, идентификаторы SQL Server и другие стандартные роли.
Потому, что привилегии являются кумулятивными, то посредством положенных стандартных ролей и групп (групп, содержащих роли и другие группы, каковые также содержат роли и группы) возможно выстроить иерархию привилегий. К примеру, в случае если пользователю User0l назначена роль Role02, а сама она входит в Role01, то роль Role02 есть положенной для RoleOl. В случае если назначить ролям RoleOI и Role02 различные привилегии, то пользователь User0l будет владеть всеми привилегиями, назначенными для обеих ролей.
Для упрощения администрирования БД и самого сервера в SQL Server предусмотрен последовательность стандартных предопределенных ролей. По большей части их возможно поделить на две категории: фиксированные роли на уровне сервера, либо серверные роли (fixed server role), и фиксированные роли на уровне БД (fixed database role). Членство в фиксированных ролях на уровне сервера позволяет администрирования сервера. К примеру, в случае если сделать пользователя участником фиксированной серверной роли ServerAdmin, то он сможет настраивать общесерверные параметры. Программа SQL Server Setup приписывает группу администраторов Windows (BUlLTINAdministriitors) к фиксированной серверной роли SysAdmin. Члены фиксированных ролей на уровне БД смогут администрировать кое-какие БД. К примеру, в случае если сделать пользователя участником фиксированной роли на уровне БД db_BackupOperator, он сможет создавать резервные копии данной БД. Дабы просмотреть привилегии, назначенные для каждой фиксированной серверной роли, выполните команду sp_srvrolepermission имя_фиксированной_серверной_роли, где sp_srvrolepermission — имя системной хранимой процедуры.
Все пользователи, роли и группы машинально являются участниками роли Public. Эта особая роль похожа на особую группу Everyone в Windows NT и Windows 2000. Додавать либо удалять участников данной роли, как и саму роль, запрещено. Роль Public имеется в каждой БД, где по умолчанию для нее назначен последовательность разрешений. Для защиты БД возможно отобрать эти разрешения у роли Public, В случае если группы Windows не соответствуют административным потребностям, возможно создать стандартные роли на уровне базы данных.
Время от времени пользователю и приложению требуются различные разрешения. В этом случае непрактично конфигурировать безопасность приложения с помошью разрешений SQL Server. В SQL Server предусмотрены прикладные роли (application roles), снабжающие помощь разрешений лишь для приложения. Прикладные роли не содержат участников и должны передавать пароль, Эти особенные роли созданы для управления привилегиями пользователей, обращающихся к БД через некое приложение. Прикладным ролям назначаются разрешения на уровне базы данных. По окончании проверки пользователя прикладная роль активируется посредством системной хранимой процедуры sp_setapprole, которая разрешает зашифровать пароль прикладной роли перед передачей его на сервер. В то время, когда активна прикладная роль, пользователь теряет все собственные разрешения до конца сеанса либо работы приложения. В случае если приложение должно обратиться к второй БД во время активности прикладной роли, оно сможет взять для данной БД только те разрешения, каковые назначены учетному имени guest.
Как отключить все компьютеры в школе
