打造SQL Server2000的安全策略教程

admin @ 2014-03-14 , reply:0

打造SQL Server2000的安全策略教程
 

Microsoft建立了一種既靈活又強大的安全管理機制,它能夠對用戶訪問SQL Server伺服器系統和資料庫的安全進行全面地管理。按照本文介紹的步驟,你可以為SQL Server 7.0(或2000)構造出一個靈活的、可管理的安全策略,而且它的安全性經得起考驗。

  一、驗證方法選擇

  本文對驗證(authentication)和授權(authorization)這兩個概念作不同的解釋。驗證是指檢驗用戶的身份標識;授權是指允許用戶做些什麼。在本文的討論中,驗證過程在用戶登錄SQL Server的時候出現,授權過程在用戶試圖訪問數據或執行命令的時候出現。

  構造安全策略的第一個步驟是確定SQL Server用哪種方式驗證用戶。SQL Server的驗證是把一組帳戶、密碼與Master資料庫Sysxlogins表中的一個清單進行匹配。Windows NT/2000的驗證是請求域控制器檢查用戶身份的合法性。一般地,如果伺服器可以訪問域控制器,我們應該使用Windows NT/2000驗證。域控制器可以是Win2K伺服器,也可以是NT伺服器。無論在哪種情況下,SQL Server都接收到一個訪問標記(Access Token)。訪問標記是在驗證過程中構造出來的一個特殊列表,其中包含了用戶的SID(安全標識號)以及一系列用戶所在組的SID。正如本文後面所介紹的,SQL Server以這些SID為基礎授予訪問許可權。注意,操作系統如何構造訪問標記並不重要,SQL Server只使用訪問標記中的SID。也就是說,不論你使用SQL Server 2000、SQL Server 7.0、Win2K還是NT進行驗證都無關緊要,結果都一樣。

  如果使用SQL Server驗證的登錄,它最大的好處是很容易通過Enterprise Manager實現,最大的缺點在於SQL Server驗證的登錄只對特定的伺服器有效,也就是說,在一個多伺服器的環境中管理比較困難。使用SQL Server進行驗證的第二個重要的缺點是,對於每一個資料庫,我們必須分別地為它管理許可權。如果某個用戶對兩個資料庫有相同的許可權要求,我們必須手工設置兩個資料庫的許可權,或者編寫腳本設置許可權。如果用戶數量較少,比如25個以下,而且這些用戶的許可權變化不是很頻繁,SQL Server驗證的登錄或許適用。但是,在幾乎所有的其他情況下(有一些例外情況,例如直接管理安全問題的應用),這種登錄方式的管理負擔將超過它的優點。

  二、Web環境中的驗證

  即使最好的安全策略也常常在一種情形前屈服,這種情形就是在Web應用中使用SQL Server的數據。在這種情形下,進行驗證的典型方法是把一組SQL Server登錄名稱和密碼嵌入到Web伺服器上運行的程序,比如ASP頁面或者CGI腳本;然後,由Web伺服器負責驗證用戶,應用程序則使用它自己的登錄帳戶(或者是系統管理員sa帳戶,或者為了方便起見,使用Sysadmin伺服器角色中的登錄帳戶)為用戶訪問數據。

  這種安排有幾個缺點,其中最重要的包括:它不具備對用戶在伺服器上的活動進行審核的能力,完全依賴於Web應用程序實現用戶驗證,當SQL Server需要限定用戶許可權時不同的用戶之間不易區別。如果你使用的是IIS 5.0或者IIS 4.0,你可以用四種方法驗證用戶。第一種方法是為每一個網站和每一個虛擬目錄創建一個匿名用戶的NT帳戶。此後,所有應用程序登錄SQL Server時都使用該安全環境。我們可以通過授予NT匿名帳戶合適的許可權,改進審核和驗證功能。

  第二種方法是讓所有網站使用Basic驗證。此時,只有當用戶在對話框中輸入了合法的帳戶和密碼,IIS才會允許他們訪問頁面。IIS依靠一個NT安全資料庫實現登錄身份驗證,NT安全資料庫既可以在本地伺服器上,也可以在域控制器上。當用戶運行一個訪問SQL Server資料庫的程序或者腳本時,IIS把用戶為了瀏覽頁面而提供的身份信息發送給伺服器。如果你使用這種方法,應該記住:在通常情況下,瀏覽器與伺服器之間的密碼傳送一般是不加密的,對於那些使用Basic驗證而安全又很重要的網站,你必須實現SSL(Secure Sockets Layer,安全套接字層)。

  在客戶端只使用IE 5.0、IE 4.0、IE 3.0瀏覽器的情況下,你可以使用第三種驗證方法。你可以在Web網站上和虛擬目錄上都啟用NT驗證。IE會把用戶登錄計算機的身份信息發送給IIS,當該用戶試圖登錄SQL Server時IIS就使用這些登錄信息。使用這種簡化的方法時,我們可以在一個遠程網站的域上對用戶身份進行驗證(該遠程網站登錄到一個與運行著Web伺服器的域有著信任關係的域)。

  最後,如果用戶都有個人數字證書,你可以把那些證書映射到本地域的NT帳戶上。個人數字證書與伺服器數字證書以同樣的技術為基礎,它證明用戶身份標識的合法性,所以可以取代NT的Challenge/Response(質詢/回應)驗證演演演演演算法。Netscape和IE都自動在每一個頁面請求中把證書信息發送給IIS。IIS提供了一個讓管理員把證書映射到NT帳戶的工具。因此,我們可以用數字證書取代通常的提供帳戶名字和密碼的登錄過程。
  由此可見,通過NT帳戶驗證用戶時我們可以使用多種實現方法。即使當用戶通過IIS跨越Internet連接SQL Server時,選擇仍舊存在。因此,你應該把NT驗證作為首選的用戶身份驗證辦法。

  三、設置全局組

  構造安全策略的下一個步驟是確定用戶應該屬於什麼組。通常,每一個組織或應用程序的用戶都可以按照他們對數據的特定訪問要求分成許多類別。例如,會計應用軟體的用戶一般包括:數據輸入操作員,數據輸入管理員,報表編寫員,會計師,審計員,財務經理等。每一組用戶都有不同的資料庫訪問要求。

  控制數據訪問許可權最簡單的方法是,對於每一組用戶,分別地為它創建一個滿足該組用戶許可權要求的、域內全局有效的組。我們既可以為每一個應用分別創建組,也可以創建適用於整個企業的、涵蓋廣泛用戶類別的組。然而,如果你想要能夠精確地了解組成員可以做些什麼,為每一個應用程序分別創建組是一種較好的選擇。例如,在前面的會計系統中,我們應該創建Data Entry Operators、Accounting Data Entry Managers等組。請記住,為了簡化管理,最好為組取一個能夠明確表示出作用的名字。

  除了面向特定應用程序的組之外,我們還需要幾個基本組。基本組的成員負責管理伺服器。按照習慣,我們可以創建下面這些基本組:SQL Server Administrators,SQL Server Users,SQL Server Denied Users,SQL Server DB Creators,SQL Server Security Operators,SQL Server Database Security Operators,SQL Server Developers,以及 DB_Name Users(其中DB_Name是伺服器上一個資料庫的名字)。當然,如果必要的話,你還可以創建其他組。

  創建了全局組之後,接下來我們可以授予它們訪問SQL Server的許可權。首先為SQL Server Users創建一個NT驗證的登錄並授予它登錄許可權,把Master資料庫設置為它的默認資料庫,但不要授予它訪問任何其他資料庫的許可權,也不要把這個登錄帳戶設置為任何伺服器角色的成員。接著再為SQL Server Denied Users重複這個過程,但這次要拒絕登錄訪問。在SQL Server中,拒絕許可權始終優先。創建了這兩個組之後,我們就有了一種允許或拒絕用戶訪問伺服器的便捷方法。

  為那些沒有直接在Sysxlogins系統表裡面登記的組授權時,我們不能使用Enterpris Managr,因為Enterprise Manager只允許我們從現有登錄名字的列表選擇,而不是域內所有組的列表。要訪問所有的組,請打開Query Analyzer,然後用系統存儲過程sp_addsrvrolemember以及sp_addrolemember進行授權。

  對於操作伺服器的各個組,我們可以用sp_addsrvrolemember存儲過程把各個登錄加入到合適的伺服器角色:SQL Server Administrators成為Sysadmins角色的成員,SQL Server DB Creators成為Dbcreator角色的成員,SQL Server Security Operators成為Securityadmin角色的成員。注意sp_addsrvrolemember存儲過程的第一個參數要求是帳戶的完整路徑。例如,BigCo域的JoeS應該是bigco\joes(如果你想用本地帳戶,則路徑應該是server_name\joes)。

  要創建在所有新資料庫中都存在的用戶,你可以修改Model資料庫。為了簡化工作,SQL Server自動把所有對Model資料庫的改動複製到新的資料庫。只要正確運用Model資料庫,我們無需定製每一個新創建的資料庫。另外,我們可以用sp_addrolemember存儲過程把SQL Server Security Operators加入到db_securityadmin,把SQL Server Developers加入到db_owner角色。

  注意我們仍然沒有授權任何組或帳戶訪問資料庫。事實上,我們不能通過Enterprise Manager授權資料庫訪問,因為Enterprise Manager的用戶界面只允許我們把資料庫訪問許可權授予合法的登錄帳戶。SQL Server不要求NT帳戶在我們把它設置為資料庫角色的成員或分配對象許可權之前能夠訪問資料庫,但Enterprise Manager有這種限制。儘管如此,只要我們使用的是sp_addrolemember存儲過程而不是Enterprise Manager,就可以在不授予域內NT帳戶資料庫訪問許可權的情況下為任意NT帳戶分配許可權。

  到這裡為止,對Model資料庫的設置已經完成。但是,如果你的用戶群體對企業範圍內各個應用資料庫有著類似的訪問要求,你可以把下面這些操作移到Model資料庫上進行,而不是在面向特定應用的資料庫上進行。

  四、允許資料庫訪問

  在資料庫內部,與迄今為止我們對登錄驗證的處理方式不同,我們可以把許可權分配給角色而不是直接把它們分配給全局組。這種能力使得我們能夠輕鬆地在安全策略中使用SQL Server驗證的登錄。即使你從來沒有想要使用SQL Server登錄帳戶,本文仍舊建議分配許可權給角色,因為這樣你能夠為未來可能出現的變化做好準備。

  創建了資料庫之後,我們可以用sp_grantdbaccess存儲過程授權DB_Name Users組訪問它。但應該注意的是,與sp_grantdbaccess對應的sp_denydbaccess存儲過程並不存在,也就是說,你不能按照拒絕對伺服器訪問的方法拒絕對資料庫的訪問。如果要拒絕資料庫訪問,我們可以創建另外一個名為DB_Name Denied Users的全局組,授權它訪問資料庫,然後把它設置為db_denydatareader以及db_denydatawriter角色的成員。注意SQL語句許可權的分配,這裡的角色只限制對對象的訪問,但不限制對DDL(Data Definition Language,數據定義語言)命令的訪問。

  正如對登錄過程的處理,如果訪問標記中的任意SID已經在Sysusers系統表登記,SQL將允許用戶訪問資料庫。因此,我們既可以通過用戶的個人NT帳戶SID授權用戶訪問資料庫,也可以通過用戶所在的一個(或者多個)組的SID授權。為了簡化管理,我們可以創建一個名為DB_Name Users的擁有資料庫訪問許可權的全局組,同時不把訪問權授予所有其他的組。這樣,我們只需簡單地在一個全局組中添加或者刪除成員就可以增加或者減少資料庫用戶。

  五、分配許可權

  實施安全策略的最後一個步驟是創建用戶定義的資料庫角色,然後分配許可權。完成這個步驟最簡單的方法是創建一些名字與全局組名字配套的角色。例如對於前面例子中的會計系統,我們可以創建Accounting Data Entry Operators、Accounting Data Entry Managers之類的角色。由於會計資料庫中的角色與帳務處理任務有關,你可能想要縮短這些角色的名字。然而,如果角色名字與全局組的名字配套,你可以減少混亂,能夠更方便地判斷出哪些組屬於特定的角色。

  創建好角色之後就可以分配許可權。在這個過程中,我們只需用到標準的GRANT、REVOKE和DENY命令。但應該注意DENY許可權,這個許可權優先於所有其他許可權。如果用戶是任意具有DENY許可權的角色或者組的成員,SQL Server將拒絕用戶訪問對象。

  接下來我們就可以加入所有SQL Server驗證的登錄。用戶定義的資料庫角色可以包含SQL Server登錄以及NT全局組、本地組、個人帳戶,這是它最寶貴的特點之一。用戶定義的資料庫角色可以作為各種登錄的通用容器,我們使用用戶定義角色而不是直接把許可權分配給全局組的主要原因就在於此。

  由於內建的角色一般適用於整個資料庫而不是單獨的對象,因此這裡建議你只使用兩個內建的資料庫角色,,即db_securityadmin和db_owner。其他內建資料庫角色,例如db_datareader,它授予對資料庫裡面所有對象的SELECT許可權。雖然你可以用db_datareader角色授予SELECT許可權,然後有選擇地對個別用戶或組拒絕SELECT許可權,但使用這種方法時,你可能忘記為某些用戶或者對象設置許可權。一種更簡單、更直接而且不容易出現錯誤的方法是為這些特殊的用戶創建一個用戶定義的角色,然後只把那些用戶訪問對象所需要的許可權授予這個用戶定義的角色。

  六、簡化安全管理

  SQL Server驗證的登錄不僅能夠方便地實現,而且與NT驗證的登錄相比,它更容易編寫到應用程序里。但是,如果用戶的數量超過25,或者伺服器數量在一個以上,或者每個用戶都可以訪問一個以上的資料庫,或者資料庫有多個管理員,SQL Server驗證的登錄不容易管理。由於SQL Server沒有顯示用戶有效許可權的工具,要記憶每個用戶具有哪些許可權以及他們為何要得到這些許可權就更加困難。即使對於一個資料庫管理員還要擔負其他責任的小型系統,簡化安全策略也有助於減輕問題的複雜程度。因此,首選的方法應該是使用NT驗證的登錄,然後通過一些精心選擇的全局組和資料庫角色管理資料庫訪問。

  下面是一些簡化安全策略的經驗規則:

  用戶通過SQL Server Users組獲得伺服器訪問,通過DB_Name Users組獲得資料庫訪問。

  用戶通過加入全局組獲得許可權,而全局組通過加入角色獲得許可權,角色直接擁有資料庫里的許可權。

  需要多種許可權的用戶通過加入多個全局組的方式獲得許可權。

  只要規劃得恰當,你能夠在域控制器上完成所有的訪問和許可權維護工作,使得伺服器反映出你在域控制器上進行的各種設置調整。雖然實際應用中情況可能有所變化,但本文介紹的基本措施仍舊適用,它們能夠幫助你構造出很容易管理的安全策略。



[admin via 研發互助社區 ] 打造SQL Server2000的安全策略教程已經有2284次圍觀

http://cocdig.com/docs/show-post-136.html