第07章 安全性課件.ppt

數(shù)據(jù)庫(kù)技術(shù) 合 肥 學(xué) 院 電 子 信 息 與 電 氣 工 程 系 1北京市高等教育精品教材立項(xiàng)項(xiàng)目數(shù) 據(jù) 庫(kù) 系 統(tǒng) 及 應(yīng) 用 合 肥 學(xué) 院 電 子 系 第 七 章 安 全 性 數(shù)據(jù)庫(kù)技術(shù) 合 肥 學(xué) 院 電 子 信 息 與 電 氣 工 程 系 3學(xué) 習(xí) 內(nèi) 容 安 全 性 概 述 用 戶 管 理 和 角 色 管 理 權(quán) 限 管 理 其 他 安 全 問(wèn) 題 合 肥 學(xué) 院 電 子 系 安 全 性 概 述 數(shù)據(jù)庫(kù)技術(shù) 合 肥 學(xué) 院 電 子 信 息 與 電 氣 工 程 系 5安 全 性 措 施 的 層 次 物 理 層人 員 層操 作 系 統(tǒng) 層網(wǎng) 絡(luò) 層數(shù) 據(jù) 庫(kù) 系 統(tǒng) 層 數(shù)據(jù)庫(kù)技術(shù) 合 肥 學(xué) 院 電 子 信 息 與 電 氣 工 程 系 6數(shù) 據(jù) 庫(kù) 管 理 系 統(tǒng) 的 安 全 功 能 安 全 性 控 制 是 數(shù) 據(jù) 庫(kù) 管 理 員 （ 或 系 統(tǒng) 管 理 員 ） 的 一 個(gè)重 要 任 務(wù) ， 他 要 充 分 利 用 數(shù) 據(jù) 庫(kù) 管 理 系 統(tǒng) 的 安 全 功 能 ， 保 證數(shù) 據(jù) 庫(kù) 和 數(shù) 據(jù) 庫(kù) 中 數(shù) 據(jù) 的 安 全 。 安 全 系 統(tǒng) 的 核 心 問(wèn) 題 是 身 份 識(shí) 別 。 用 戶權(quán) 限用 戶 組角 色 數(shù)據(jù)庫(kù)技術(shù) 合 肥 學(xué) 院 電 子 信 息 與 電 氣 工 程 系 7自 主 存 取 控 制 自 主 存 取 控 制 就 是 由 用 戶 （ 如 數(shù) 據(jù) 庫(kù) 管 理 員 ） 自 主 控 制對(duì) 數(shù) 據(jù) 庫(kù) 對(duì) 象 的 操 作 權(quán) 限 ， 哪 些 用 戶 可 以 對(duì) 哪 些 對(duì) 象 、 進(jìn) 行哪 些 操 作 ， 完 全 取 決 于 用 戶 之 間 的 授 權(quán) 。 任 何 用 戶 只 要 需 要 ，就 有 可 能 獲 得 對(duì) 任 何 對(duì) 象 的 操 作 權(quán) 限 。這 種 存 取 控 制 方 式 非 常 靈 活 ， 但 有 時(shí) 也 容 易 失 控 。 目 前大 多 數(shù) 數(shù) 據(jù) 庫(kù) 管 理 系 統(tǒng) 都 支 持 的 是 自 主 存 取 控 制 方 式 。 數(shù)據(jù)庫(kù)技術(shù) 合 肥 學(xué) 院 電 子 信 息 與 電 氣 工 程 系 8強(qiáng) 制 存 取 控 制 強(qiáng) 制 存 取 控 制 的 思 路 是 ， 為 每 一 個(gè) 數(shù) 據(jù) 庫(kù) 對(duì) 象 標(biāo) 以 一 定 的密 級(jí) 對(duì) 每 一 個(gè) 用 戶 都 確 定 一 個(gè) 許 可 級(jí) 別 如 密 級(jí) 可 以 分 為 絕密 、 機(jī) 密 、 保 密 、 秘 密 、 公 開(kāi) 等 若 干 級(jí) 別 ； 而 用 戶 可 以 劃分 為 一 級(jí) 用 戶 （ 可 以 操 作 所 有 數(shù) 據(jù) ） 、 二 級(jí) 用 戶 （ 可 以 操作 除 絕 密 以 外 的 所 有 數(shù) 據(jù) ） 、 三 級(jí) 用 戶 等 。 強(qiáng) 制 存 取 控 制 本 質(zhì) 上 具 有 分 層 的 特 點(diǎn) ， 通 常 具 有 靜 態(tài) 的 、嚴(yán) 格 的 分 層 結(jié) 構(gòu) ， 與 現(xiàn) 實(shí) 世 界 的 層 次 管 理 也 相 吻 合 。 這 種強(qiáng) 制 存 取 控 制 特 別 適 合 層 次 嚴(yán) 明 的 軍 方 和 政 府 等 數(shù) 據(jù) 管 理 。 數(shù)據(jù)庫(kù)技術(shù) 合 肥 學(xué) 院 電 子 信 息 與 電 氣 工 程 系 9SQL Server的 身 份 驗(yàn) 證 模 式SQL Server提 供 了 三 種 身 份 驗(yàn) 證 模 式 或 安 全 管理 模 式 ， 即 標(biāo) 準(zhǔn) 模 式 、 集 成 模 式 和 混 合 模 式 。 在Windows NT或 Windows 2000上 使 用 集 成 模 式 或 混 合模 式 ， 在 Windows 98（ 或 Millennium） 上 使 用 標(biāo) 準(zhǔn)模 式 。 數(shù)據(jù)庫(kù)技術(shù) 合 肥 學(xué) 院 電 子 信 息 與 電 氣 工 程 系 10標(biāo) 準(zhǔn) 身 份 驗(yàn) 證 模 式實(shí) 際 上 ， 一 般 的 數(shù) 據(jù) 庫(kù) 管 理 系 統(tǒng) 都 只 提 供 標(biāo) 準(zhǔn)身 份 驗(yàn) 證 模 式 ， 在 這 種 模 式 下 ， 由 數(shù) 據(jù) 庫(kù) 管 理 系 統(tǒng)獨(dú) 立 來(lái) 管 理 自 己 的 數(shù) 據(jù) 庫(kù) 安 全 。 數(shù) 據(jù) 庫(kù) 管 理 系 統(tǒng) 把用 戶 登 錄 的 ID號(hào) 和 口 令 存 儲(chǔ) 在 特 定 的 系 統(tǒng) 表 中 ， 當(dāng)用 戶 試 圖 登 錄 到 數(shù) 據(jù) 庫(kù) 系 統(tǒng) 時(shí) ， 數(shù) 據(jù) 庫(kù) 管 理 系 統(tǒng) 查詢 有 效 的 登 錄 ID和 口 令 ， 以 決 定 是 否 允 許 用 戶 登 錄 。 數(shù)據(jù)庫(kù)技術(shù) 合 肥 學(xué) 院 電 子 信 息 與 電 氣 工 程 系 11集 成 身 份 驗(yàn) 證 模 式集 成 身 份 驗(yàn) 證 模 式 也 稱 為 Windows身 份 驗(yàn) 證 模式 ， 用 戶 通 過(guò) Windows NT或 Windows 2000（ 以 下簡(jiǎn) 稱 Windows） 的 身 份 驗(yàn) 證 后 則 自 動(dòng) 進(jìn) 行 SQL Server身 份 驗(yàn) 證 。 即 當(dāng) 用 戶 通 過(guò) Windows用 戶 賬 戶進(jìn) 行 連 接 時(shí) ， SQL Server通 過(guò) 回 叫 Windows以 獲 得信 息 ， 重 新 驗(yàn) 證 賬 戶 名 和 密 碼 。 數(shù)據(jù)庫(kù)技術(shù) 合 肥 學(xué) 院 電 子 信 息 與 電 氣 工 程 系 12SQL Server的 安 全 體 系 圖 7-1 SQL Server安 全 體 系 數(shù)據(jù)庫(kù)技術(shù) 合 肥 學(xué) 院 電 子 信 息 與 電 氣 工 程 系 13混 合 身 份 驗(yàn) 證 模 式混 合 模 式 使 用 戶 得 以 使 用 Windows身 份 驗(yàn) 證 或SQL Server身 份 驗(yàn) 證 與 SQL Server實(shí) 例 連 接 。 合 肥 學(xué) 院 電 子 系 用 戶 管 理 和 角 色 管 理 數(shù)據(jù)庫(kù)技術(shù) 合 肥 學(xué) 院 電 子 信 息 與 電 氣 工 程 系 15簡(jiǎn) 介 用 戶 的 分 類 登 錄 用 戶 和 數(shù) 據(jù) 庫(kù) 用 戶 用 戶 管 理 角 色 管 理 SQL Server的 預(yù) 定 義 角 色 數(shù)據(jù)庫(kù)技術(shù) 合 肥 學(xué) 院 電 子 信 息 與 電 氣 工 程 系 16用 戶 的 分 類系 統(tǒng) 管 理 員 用 戶 數(shù) 據(jù) 庫(kù) 管 理 員 用 戶 數(shù) 據(jù) 庫(kù) 對(duì) 象 用 戶數(shù) 據(jù) 庫(kù) 訪 問(wèn) 用 戶 數(shù)據(jù)庫(kù)技術(shù) 合 肥 學(xué) 院 電 子 信 息 與 電 氣 工 程 系 17登 錄 用 戶 和 數(shù) 據(jù) 庫(kù) 用 戶 圖 7-1 SQL Server安 全 體 系 數(shù)據(jù)庫(kù)技術(shù) 合 肥 學(xué) 院 電 子 信 息 與 電 氣 工 程 系 18用 戶 管 理 登 錄 用 戶 的 管 理 :系 統(tǒng) 管 理 員 的 工 作 建 立 新 的 登 錄 用 戶 修 改 登 錄 密 碼 刪 除 登 錄 用 戶 數(shù) 據(jù) 庫(kù) 用 戶 的 管 理 :數(shù) 據(jù) 庫(kù) 管 理 員 的 工 作 授 權(quán) 其 他 登 錄 用 戶 為 數(shù) 據(jù) 庫(kù) 的 用 戶 取 消 某 個(gè) 登 錄 用 戶 為 數(shù) 據(jù) 庫(kù) 的 用 戶 數(shù)據(jù)庫(kù)技術(shù) 合 肥 學(xué) 院 電 子 信 息 與 電 氣 工 程 系 19建 立 新 的 登 錄 用 戶sp_addlogin loginname= login_id,passwd=passwd,defdb=defdb,deflanguage=deflanguage,sid=sid,encryptopt =encryption_option 數(shù)據(jù)庫(kù)技術(shù) 合 肥 學(xué) 院 電 子 信 息 與 電 氣 工 程 系 20修 改 登 錄 密 碼sp_password old = old_password , new = new_password , loginame = login 數(shù)據(jù)庫(kù)技術(shù) 合 肥 學(xué) 院 電 子 信 息 與 電 氣 工 程 系 21刪 除 登 錄 用 戶sp_droplogin loginame = login 數(shù)據(jù)庫(kù)技術(shù) 合 肥 學(xué) 院 電 子 信 息 與 電 氣 工 程 系 22授 權(quán) 登 錄 用 戶 為 當(dāng) 前 數(shù) 據(jù) 庫(kù) 用 戶sp_grantdbaccess loginame = login,name_in_db = name_in_db 數(shù)據(jù)庫(kù)技術(shù) 合 肥 學(xué) 院 電 子 信 息 與 電 氣 工 程 系 23從 當(dāng) 前 數(shù) 據(jù) 庫(kù) 中 刪 除 用 戶sp_revokedbaccess name_in_db = name 數(shù)據(jù)庫(kù)技術(shù) 合 肥 學(xué) 院 電 子 信 息 與 電 氣 工 程 系 24角 色 管 理 用 戶 組 和 角 色 定 義 角 色 為 用 戶 指 定 角 色 取 消 用 戶 的 角 色 刪 除 角 色 合 肥 學(xué) 院 電 子 系 權(quán) 限 管 理 數(shù)據(jù)庫(kù)技術(shù) 合 肥 學(xué) 院 電 子 信 息 與 電 氣 工 程 系 26簡(jiǎn) 介 授 予 權(quán) 限 授 予 語(yǔ) 句 權(quán) 限 授 予 對(duì) 象 權(quán) 限 查 詢 授 權(quán) 收 回 權(quán) 限 禁 止 權(quán) 限 角 色 與 存 取 控 制 數(shù)據(jù)庫(kù)技術(shù) 合 肥 學(xué) 院 電 子 信 息 與 電 氣 工 程 系 27授 予 語(yǔ) 句 權(quán) 限 BACKUP DATABASE BACKUP LOG CREATE DATABASE CREATE DEFAULT CREATE FUNCTION CREATE PROCEDURE CREATE RULE CREATE TABLE CREATE VIEWGRANT ALL | statement_list TO name_liststatement_list給 出 授 權(quán) 的 語(yǔ) 句 列 表 ， 可 以 是 ： 數(shù)據(jù)庫(kù)技術(shù) 合 肥 學(xué) 院 電 子 信 息 與 電 氣 工 程 系 28授 予 對(duì) 象 權(quán) 限GRANT ALL PRIVILEGES | permission_list ( column_list ) ON table | view | ON table | view ( column_list ) | ON stored_procedure | ON user_defined_function TO name_list WITH GRANT OPTION AS group | role 數(shù)據(jù)庫(kù)技術(shù) 合 肥 學(xué) 院 電 子 信 息 與 電 氣 工 程 系 29查 詢 授 權(quán)使 用 系 統(tǒng) 存 儲(chǔ) 過(guò) 程 sp_helprotect查 詢 授 權(quán) 的 情 況 數(shù)據(jù)庫(kù)技術(shù) 合 肥 學(xué) 院 電 子 信 息 與 電 氣 工 程 系 30收 回 權(quán) 限 收 回 語(yǔ) 句 授 權(quán) REVOKE ALL | statement_list FROM name_list 收 回 對(duì) 象 授 權(quán) REVOKE GRANT OPTION FOR ALL PRIVILEGES | permission_list ( column_list ) ON table | view | ON table | view ( column_list ) | ON stored_procedure | ON user_defined_function FROM name_list CASCADE AS group | role 數(shù)據(jù)庫(kù)技術(shù) 合 肥 學(xué) 院 電 子 信 息 與 電 氣 工 程 系 31禁 止 權(quán) 限 禁 止 語(yǔ) 句 權(quán) 限 DENY ALL | statement_list TO name_list 禁 止 對(duì) 象 權(quán) 限 DENY ALL PRIVILEGES | permission_list ( column_list ) ON table | view | ON table | view ( column_list ) | ON stored_procedure | ON user_defined_function TO name_list CASCADE 合 肥 學(xué) 院 電 子 系 其 他 安 全 問(wèn) 題 數(shù)據(jù)庫(kù)技術(shù) 合 肥 學(xué) 院 電 子 信 息 與 電 氣 工 程 系 33簡(jiǎn) 介數(shù) 據(jù) 加 密 審 計(jì) 統(tǒng) 計(jì) 數(shù) 據(jù) 庫(kù) 用 戶 定 義 的 安 全 性 措 施 數(shù)據(jù)庫(kù)技術(shù) 合 肥 學(xué) 院 電 子 信 息 與 電 氣 工 程 系 34本 章 小 節(jié) 存 儲(chǔ) 過(guò) 程 觸 發(fā) 器 數(shù) 據(jù) 完 整 性