第07章 安全性课件.ppt

数据库技术 合 肥 学 院 电 子 信 息 与 电 气 工 程 系 1北京市高等教育精品教材立项项目数 据 库 系 统 及 应 用 合 肥 学 院 电 子 系 第 七 章 安 全 性 数据库技术 合 肥 学 院 电 子 信 息 与 电 气 工 程 系 3学 习 内 容 安 全 性 概 述 用 户 管 理 和 角 色 管 理 权 限 管 理 其 他 安 全 问 题 合 肥 学 院 电 子 系 安 全 性 概 述 数据库技术 合 肥 学 院 电 子 信 息 与 电 气 工 程 系 5安 全 性 措 施 的 层 次 物 理 层人 员 层操 作 系 统 层网 络 层数 据 库 系 统 层 数据库技术 合 肥 学 院 电 子 信 息 与 电 气 工 程 系 6数 据 库 管 理 系 统 的 安 全 功 能 安 全 性 控 制 是 数 据 库 管 理 员 （ 或 系 统 管 理 员 ） 的 一 个重 要 任 务 ， 他 要 充 分 利 用 数 据 库 管 理 系 统 的 安 全 功 能 ， 保 证数 据 库 和 数 据 库 中 数 据 的 安 全 。 安 全 系 统 的 核 心 问 题 是 身 份 识 别 。 用 户权 限用 户 组角 色 数据库技术 合 肥 学 院 电 子 信 息 与 电 气 工 程 系 7自 主 存 取 控 制 自 主 存 取 控 制 就 是 由 用 户 （ 如 数 据 库 管 理 员 ） 自 主 控 制对 数 据 库 对 象 的 操 作 权 限 ， 哪 些 用 户 可 以 对 哪 些 对 象 、 进 行哪 些 操 作 ， 完 全 取 决 于 用 户 之 间 的 授 权 。 任 何 用 户 只 要 需 要 ，就 有 可 能 获 得 对 任 何 对 象 的 操 作 权 限 。这 种 存 取 控 制 方 式 非 常 灵 活 ， 但 有 时 也 容 易 失 控 。 目 前大 多 数 数 据 库 管 理 系 统 都 支 持 的 是 自 主 存 取 控 制 方 式 。 数据库技术 合 肥 学 院 电 子 信 息 与 电 气 工 程 系 8强 制 存 取 控 制 强 制 存 取 控 制 的 思 路 是 ， 为 每 一 个 数 据 库 对 象 标 以 一 定 的密 级 对 每 一 个 用 户 都 确 定 一 个 许 可 级 别 如 密 级 可 以 分 为 绝密 、 机 密 、 保 密 、 秘 密 、 公 开 等 若 干 级 别 ； 而 用 户 可 以 划分 为 一 级 用 户 （ 可 以 操 作 所 有 数 据 ） 、 二 级 用 户 （ 可 以 操作 除 绝 密 以 外 的 所 有 数 据 ） 、 三 级 用 户 等 。 强 制 存 取 控 制 本 质 上 具 有 分 层 的 特 点 ， 通 常 具 有 静 态 的 、严 格 的 分 层 结 构 ， 与 现 实 世 界 的 层 次 管 理 也 相 吻 合 。 这 种强 制 存 取 控 制 特 别 适 合 层 次 严 明 的 军 方 和 政 府 等 数 据 管 理 。 数据库技术 合 肥 学 院 电 子 信 息 与 电 气 工 程 系 9SQL Server的 身 份 验 证 模 式SQL Server提 供 了 三 种 身 份 验 证 模 式 或 安 全 管理 模 式 ， 即 标 准 模 式 、 集 成 模 式 和 混 合 模 式 。 在Windows NT或 Windows 2000上 使 用 集 成 模 式 或 混 合模 式 ， 在 Windows 98（ 或 Millennium） 上 使 用 标 准模 式 。 数据库技术 合 肥 学 院 电 子 信 息 与 电 气 工 程 系 10标 准 身 份 验 证 模 式实 际 上 ， 一 般 的 数 据 库 管 理 系 统 都 只 提 供 标 准身 份 验 证 模 式 ， 在 这 种 模 式 下 ， 由 数 据 库 管 理 系 统独 立 来 管 理 自 己 的 数 据 库 安 全 。 数 据 库 管 理 系 统 把用 户 登 录 的 ID号 和 口 令 存 储 在 特 定 的 系 统 表 中 ， 当用 户 试 图 登 录 到 数 据 库 系 统 时 ， 数 据 库 管 理 系 统 查询 有 效 的 登 录 ID和 口 令 ， 以 决 定 是 否 允 许 用 户 登 录 。 数据库技术 合 肥 学 院 电 子 信 息 与 电 气 工 程 系 11集 成 身 份 验 证 模 式集 成 身 份 验 证 模 式 也 称 为 Windows身 份 验 证 模式 ， 用 户 通 过 Windows NT或 Windows 2000（ 以 下简 称 Windows） 的 身 份 验 证 后 则 自 动 进 行 SQL Server身 份 验 证 。 即 当 用 户 通 过 Windows用 户 账 户进 行 连 接 时 ， SQL Server通 过 回 叫 Windows以 获 得信 息 ， 重 新 验 证 账 户 名 和 密 码 。 数据库技术 合 肥 学 院 电 子 信 息 与 电 气 工 程 系 12SQL Server的 安 全 体 系 图 7-1 SQL Server安 全 体 系 数据库技术 合 肥 学 院 电 子 信 息 与 电 气 工 程 系 13混 合 身 份 验 证 模 式混 合 模 式 使 用 户 得 以 使 用 Windows身 份 验 证 或SQL Server身 份 验 证 与 SQL Server实 例 连 接 。 合 肥 学 院 电 子 系 用 户 管 理 和 角 色 管 理 数据库技术 合 肥 学 院 电 子 信 息 与 电 气 工 程 系 15简 介 用 户 的 分 类 登 录 用 户 和 数 据 库 用 户 用 户 管 理 角 色 管 理 SQL Server的 预 定 义 角 色 数据库技术 合 肥 学 院 电 子 信 息 与 电 气 工 程 系 16用 户 的 分 类系 统 管 理 员 用 户 数 据 库 管 理 员 用 户 数 据 库 对 象 用 户数 据 库 访 问 用 户 数据库技术 合 肥 学 院 电 子 信 息 与 电 气 工 程 系 17登 录 用 户 和 数 据 库 用 户 图 7-1 SQL Server安 全 体 系 数据库技术 合 肥 学 院 电 子 信 息 与 电 气 工 程 系 18用 户 管 理 登 录 用 户 的 管 理 :系 统 管 理 员 的 工 作 建 立 新 的 登 录 用 户 修 改 登 录 密 码 删 除 登 录 用 户 数 据 库 用 户 的 管 理 :数 据 库 管 理 员 的 工 作 授 权 其 他 登 录 用 户 为 数 据 库 的 用 户 取 消 某 个 登 录 用 户 为 数 据 库 的 用 户 数据库技术 合 肥 学 院 电 子 信 息 与 电 气 工 程 系 19建 立 新 的 登 录 用 户sp_addlogin loginname= login_id,passwd=passwd,defdb=defdb,deflanguage=deflanguage,sid=sid,encryptopt =encryption_option 数据库技术 合 肥 学 院 电 子 信 息 与 电 气 工 程 系 20修 改 登 录 密 码sp_password old = old_password , new = new_password , loginame = login 数据库技术 合 肥 学 院 电 子 信 息 与 电 气 工 程 系 21删 除 登 录 用 户sp_droplogin loginame = login 数据库技术 合 肥 学 院 电 子 信 息 与 电 气 工 程 系 22授 权 登 录 用 户 为 当 前 数 据 库 用 户sp_grantdbaccess loginame = login,name_in_db = name_in_db 数据库技术 合 肥 学 院 电 子 信 息 与 电 气 工 程 系 23从 当 前 数 据 库 中 删 除 用 户sp_revokedbaccess name_in_db = name 数据库技术 合 肥 学 院 电 子 信 息 与 电 气 工 程 系 24角 色 管 理 用 户 组 和 角 色 定 义 角 色 为 用 户 指 定 角 色 取 消 用 户 的 角 色 删 除 角 色 合 肥 学 院 电 子 系 权 限 管 理 数据库技术 合 肥 学 院 电 子 信 息 与 电 气 工 程 系 26简 介 授 予 权 限 授 予 语 句 权 限 授 予 对 象 权 限 查 询 授 权 收 回 权 限 禁 止 权 限 角 色 与 存 取 控 制 数据库技术 合 肥 学 院 电 子 信 息 与 电 气 工 程 系 27授 予 语 句 权 限 BACKUP DATABASE BACKUP LOG CREATE DATABASE CREATE DEFAULT CREATE FUNCTION CREATE PROCEDURE CREATE RULE CREATE TABLE CREATE VIEWGRANT ALL | statement_list TO name_liststatement_list给 出 授 权 的 语 句 列 表 ， 可 以 是 ： 数据库技术 合 肥 学 院 电 子 信 息 与 电 气 工 程 系 28授 予 对 象 权 限GRANT ALL PRIVILEGES | permission_list ( column_list ) ON table | view | ON table | view ( column_list ) | ON stored_procedure | ON user_defined_function TO name_list WITH GRANT OPTION AS group | role 数据库技术 合 肥 学 院 电 子 信 息 与 电 气 工 程 系 29查 询 授 权使 用 系 统 存 储 过 程 sp_helprotect查 询 授 权 的 情 况 数据库技术 合 肥 学 院 电 子 信 息 与 电 气 工 程 系 30收 回 权 限 收 回 语 句 授 权 REVOKE ALL | statement_list FROM name_list 收 回 对 象 授 权 REVOKE GRANT OPTION FOR ALL PRIVILEGES | permission_list ( column_list ) ON table | view | ON table | view ( column_list ) | ON stored_procedure | ON user_defined_function FROM name_list CASCADE AS group | role 数据库技术 合 肥 学 院 电 子 信 息 与 电 气 工 程 系 31禁 止 权 限 禁 止 语 句 权 限 DENY ALL | statement_list TO name_list 禁 止 对 象 权 限 DENY ALL PRIVILEGES | permission_list ( column_list ) ON table | view | ON table | view ( column_list ) | ON stored_procedure | ON user_defined_function TO name_list CASCADE 合 肥 学 院 电 子 系 其 他 安 全 问 题 数据库技术 合 肥 学 院 电 子 信 息 与 电 气 工 程 系 33简 介数 据 加 密 审 计 统 计 数 据 库 用 户 定 义 的 安 全 性 措 施 数据库技术 合 肥 学 院 电 子 信 息 与 电 气 工 程 系 34本 章 小 节 存 储 过 程 触 发 器 数 据 完 整 性