Oprávnění (databázový stroj)

Platí pro:SQL ServerAzure SQL DatabaseSpravovaná instance Azure SQLAzure Synapse AnalyticsAnalytics Platform System (PDW)Koncový bod analýzy SQL v Microsoft FabricSklad v Microsoft FabricDatabáze SQL v Microsoft Fabric

Každý zabezpečitelný objekt SQL Serveru má přidružená oprávnění, která lze udělit hlavnímu subjektu. Oprávnění v databázovém stroji se spravují na úrovni serveru přiřazené k přihlašovacím údajům a rolím serveru a na úrovni databáze přiřazené uživatelům databáze a databázovým rolím. Model pro Azure SQL Database má stejný systém pro oprávnění k databázi, ale oprávnění na úrovni serveru nejsou k dispozici. Tento článek obsahuje úplný seznam oprávnění. Typickou implementaci oprávnění najdete v tématu Začínáme s oprávněními databázového stroje.

Celkový počet oprávnění pro SQL Server 2022 (16.x) je 292. Azure SQL Database zveřejňuje 292 oprávnění. Většina oprávnění platí pro všechny platformy, ale některé ne. Například většina oprávnění na úrovni serveru se nedá udělit ve službě Azure SQL Database a několik oprávnění dává smysl jenom pro Azure SQL Database. Nová oprávnění se zavádí postupně s novými verzemi. SQL Server 2019 (15.x) zveřejňuje 248 oprávnění. SQL Server 2017 (14.x) odhalil 238 oprávnění. SQL Server 2016 (13.x) odhalil 230 oprávnění. SQL Server 2014 (12.x) odhalil 219 oprávnění. SQL Server 2012 (11.x) odhalil 214 oprávnění. SQL Server 2008 R2 (10.50.x) odhalil 195 oprávnění. Článek sys.fn_builtin_permissions určuje, která oprávnění jsou v posledních verzích nová.

V databázi SQL v Microsoft Fabric jsou podporováni pouze uživatelé a role na úrovni databáze. Přihlášení, role a sa účet na úrovni serveru nejsou k dispozici. V databázi SQL v Microsoft Fabric je id Microsoft Entra pro uživatele databáze jedinou podporovanou metodou ověřování. Další informace naleznete v tématu Autorizace v databázi SQL v Microsoft Fabric.

Jakmile pochopíte požadovaná oprávnění, můžete použít oprávnění na úrovni serveru pro přihlášení nebo role serveru a oprávnění na úrovni databáze pro uživatele nebo databázové role pomocí příkazů GRANTREVOKEa DENY příkazů. Například:

GRANT SELECT ON SCHEMA::HumanResources TO role_HumanResourcesDept;
REVOKE SELECT ON SCHEMA::HumanResources TO role_HumanResourcesDept;

Tipy k plánování systému oprávnění najdete v tématu Začínáme s oprávněními databázového stroje.

Konvence pojmenování oprávnění

Následující informace popisují obecné konvence, které jsou dodrženy pro pojmenování oprávnění:

• CONTROL

  Uděluje možnosti podobné vlastnictví pro příjemce grantu. Grantee má efektivně všechna definovaná oprávnění k zabezpečitelnému. Principál, kterému byla udělena kontrola, může také udělit oprávnění k zabezpečitelnému objektu. Vzhledem k tomu, že model zabezpečení SQL Serveru je hierarchický, CONTROL v určitém oboru implicitně zahrnuje všechny zabezpečitelné položky v tomto oboru. Například CONTROL v databázi znamená všechna oprávnění k databázi, všechna oprávnění pro všechna sestavení v databázi, všechna oprávnění pro všechna schémata v databázi a všechna oprávnění k objektům ve všech schématech v databázi.

• ALTER

  Poskytuje možnost změnit vlastnosti s výjimkou vlastnictví konkrétního zabezpečitelného. Při udělení v rámci rozsahu funkce ALTER rovněž přiděluje možnost měnit, vytvářet nebo odstraňovat jakýkoli objekt zabezpečení, který je obsažen v daném rozsahu. Například oprávnění ALTER pro schéma zahrnuje možnost vytvářet, měnit a odstraňovat objekty ze schématu.

• ALTER ANY <Server Securable>, kde Server Securable může být jakýkoli server zabezpečitelný.

  Poskytuje možnost vytvářet, měnit nebo odstraňovat jednotlivé instance zabezpečitelného serveru. NAPŘÍKLAD ALTER ANY LOGIN poskytuje možnost vytvořit, změnit nebo odstranit jakékoli přihlášení v instanci.

• ALTER ANY <Database Securable>, kde zabezpečitelný objekt může být cokoliv na úrovni databáze.

  Poskytuje možnost VYTVOŘIT, ALTER nebo DROP jednotlivé instance zabezpečitelné databáze. Alter ANY SCHEMA například poskytuje možnost vytvářet, měnit nebo odstraňovat jakékoli schéma v databázi.

• PŘEVEZMĚTE ODPOVĚDNOST

  Umožňuje příjemci převzít vlastnictví objektu zabezpečení, ke kterému je udělen.

• <Zosobnění Přihlášení>

  Umožňuje příjemci zosobnit přihlášení.

• ZOSOBNIT <uživatele>

  Umožňuje oprávněné osobě představovat uživatele.

• Vytvoření <zabezpečitelného serveru>

  Uděluje grantu možnost vytvořit zabezpečitelný server.

• CREATE <Zabezpečitelný objekt databáze>

  Uděluje grantu možnost vytvořit zabezpečitelnou databázi.

• Vytvoření <zabezpečitelného objektu v rámci schématu>

  Poskytuje možnost vytvořit zabezpečitelný objekt obsažený ve schématu. K vytvoření zabezpečitelného objektu v konkrétním schématu je však vyžadováno oprávnění ALTER na schématu.

• VIEW DEFINICE

  Umožňuje příjemci přistupovat k metadatům.

• REFERENCES

  Oprávnění REFERENCES v tabulce je potřeba k vytvoření omezení CIZÍHO KLÍČE, které odkazuje na tuto tabulku.

  Oprávnění REFERENCES je vyžadováno k objektu, aby bylo možné vytvořit FUNCTION nebo VIEW s klauzulí WITH SCHEMABINDING, která na daný objekt odkazuje.

Graf oprávnění SQL Serveru

Následující obrázek znázorňuje oprávnění a jejich vztahy mezi sebou. Některá oprávnění vyšší úrovně (například CONTROL SERVER) jsou uvedená mnohokrát. V tomto článku je plakát příliš malý na přečtení. Plakát oprávnění databázového stroje v plné velikosti si můžete stáhnout ve formátu PDF .

Oprávnění použitelná pro konkrétní zabezpečené objekty

Následující tabulka uvádí hlavní třídy oprávnění a druhy objektů, na něž mohou být použity.

Oprávnění SQL Serveru

Následující tabulka obsahuje úplný seznam oprávnění SQL Serveru. Oprávnění Azure SQL Database jsou k dispozici pouze pro podporované základní zabezpečitelné objekty. Oprávnění na úrovni serveru není možné udělit ve službě Azure SQL Database, ale v některých případech jsou oprávnění databáze k dispozici.

Nová podrobná oprávnění přidaná do SQL Serveru 2022

Do SQL Serveru 2022 se přidají následující oprávnění:

• Bylo přidáno 10 nových oprávnění pro povolení přístupu k systémovým metadatům.

• Pro rozšířené události bylo přidáno 18 nových oprávnění.

• 9 nových oprávnění byla přidána s ohledem na objekty související se zabezpečením.

• Pro Ledger byla přidána 4 oprávnění.

• 3 další oprávnění k databázi.

Další informace najdete v tématu Nová podrobná oprávnění pro SQL Server 2022 a Azure SQL ke zlepšení dodržování poLP.

Přístup k oprávněním systémových metadat

Úroveň serveru:

• VIEW JAKÁKOLI DEFINICE ZABEZPEČENÍ
• VIEW JAKÁKOLI DEFINICE VÝKONU
• VIEW STAV ZABEZPEČENÍ SERVERU
• VIEW STAV VÝKONU SERVERU
• VIEW JAKÁKOLI KRYPTOGRAFICKY ZABEZPEČENÁ DEFINICE

Úroveň databáze:

• VIEW DATABASE STAV ZABEZPEČENÍ
• VIEW DATABASE STAV VÝKONU
• VIEW DEFINICE ZABEZPEČENÍ
• VIEW DEFINICE VÝKONU
• VIEW KRYPTOGRAFICKY ZABEZPEČENÁ DEFINICE

Rozšířená oprávnění k událostem

Úroveň serveru:

• VYTVOŘIT LIBOVOLNÝ EVENT SESSION
• PUSŤTE LIBOVOLNÝ EVENT SESSION
• ZMĚNIT LIBOVOLNOU MOŽNOST EVENT SESSION
• ZMĚNIT LIBOVOLNOU EVENT SESSION PŘIDAT UDÁLOST
• ALTER ANY EVENT SESSION DROP EVENT
• ZMĚNIT LIBOVOLNÝ EVENT SESSION POVOLIT
• ALTER ANY EVENT SESSION DISABLE
• ZMĚNIT LIBOVOLNÝ EVENT SESSION PŘIDAT CÍL
• ZMĚNIT LIBOVOLNÝ EVENT SESSION CÍL ODSTRANĚNÍ

Všechna tato oprávnění spadají pod stejné nadřazené oprávnění: ALTER ANY EVENT SESSION

Úroveň databáze:

• VYTVÁŘEJTE JAKÝKOLI DATABASEEVENT SESSION
• Přetáhněte libovolný DATABASEEVENT SESSION
• ZMĚNIT LIBOVOLNOU DATABASEEVENT SESSION MOŽNOST
• ALTER ANY DATABASEEVENT SESSION ADD EVENT
• změnit libovolnou DATABASEEVENT SESSION událost DROP EVENT
• ALTER ANY DATABASEEVENT SESSION POVOLENÍ
• ZMĚNIT LIBOVOLNÉ DATABASEEVENT SESSION ZAKÁZÁNÍ
• ALTER ANY DATABASEEVENT SESSION PŘIDAT CÍL
• ZMĚNIT LIBOVOLNÝ DATABASEEVENT SESSION CÍL ODSTRANĚNÍ

Všechna tato oprávnění jsou pod stejným nadřazeným oprávněním: ALTER ANY DATABASEEVENT SESSION

Oprávnění k objektům souvisejícím se zabezpečením

• OVLÁDÁNÍ (CREDENTIAL)
• CREATE LOGIN
• CREATE USER
• ODKAZY (CREDENTIAL)
• ODMASKOVAT (OBJECT)
• UNMASK (SCHEMA)
• VIEW LIBOVOLNÝ PROTOKOL O CHYBÁCH
• VIEW AUDIT ZABEZPEČENÍ SERVERU
• VIEW DATABASE AUDIT ZABEZPEČENÍ

Oprávnění účetní knihy

• ZMĚNIT LEDGER
• ZMĚNIT KONFIGURACI ÚČETNÍ KNIHY
• POVOLIT LEDGER
• VIEW OBSAH HLAVNÍ KNIHY

Další oprávnění k databázi

• Upravit jakoukoli externí práci
• UPRAVIT JAKÝKOLIV EXTERNÍ PROUD
• SPUSŤTE JAKÝKOLI EXTERNÍ ENDPOINT

Shrnutí algoritmu kontroly oprávnění

Kontrola oprávnění může být složitá. Algoritmus kontroly oprávnění zahrnuje překrývající se členství ve skupinách a řetězení vlastnictví, explicitní i implicitní oprávnění a může být ovlivněn oprávněními k zabezpečitelným třídám, které obsahují zabezpečitelnou entitu. Obecným procesem algoritmu je shromáždit všechna příslušná oprávnění. Pokud se nenajde žádný blokující prvek DENY, algoritmus hledá GRANT, který poskytuje dostatečný přístup. Algoritmus obsahuje tři základní prvky, kontext zabezpečení, prostor oprávnění a požadované oprávnění.

• Kontext zabezpečení

  Toto je skupina hlavních subjektů, které přidávají oprávnění ke kontrole přístupu. Jedná se o oprávnění, která souvisejí s aktuálním přihlášením nebo uživatelem, pokud se kontext zabezpečení nezměnil na jiné přihlášení nebo uživatele pomocí příkazu EXECUTE AS . Kontext zabezpečení zahrnuje následující principály:

  • Přihlášení

  • Uživatel

  • Členství v rolích

  • Členství ve skupinách Windows

  • Pokud se používá podepisování modulů, jakýkoli přihlašovací nebo uživatelský účet spojený s certifikátem použitým k podepsání modulu, který právě provádí uživatel, a s ním související členství v rolích dané entity.

• Prostor pro oprávnění

  Jedná se o zabezpečitelnou entitu a všechny zabezpečitelné třídy, které obsahují zabezpečitelné. Například tabulka (zabezpečitelná entita) je obsažena zabezpečitelnou třídou schématu a zabezpečitelnou třídou databáze. Přístup může mít vliv na oprávnění na úrovni tabulky, schématu, databáze a serveru. Další informace naleznete v tématu Hierarchie oprávnění (databázový stroj).

• Požadovaná oprávnění

  Typ požadovaného oprávnění. Například INSERT, UPDATE, DELETE, SELECT, EXECUTE, ALTER, CONTROL atd.

  Access může vyžadovat více oprávnění, jako v následujících příkladech:

  • Uložená procedura může vyžadovat oprávnění EXECUTE pro uloženou proceduru i INSERT oprávnění u několika tabulek, na které odkazuje uložená procedura.

  • Dynamické zobrazení pro správu může vyžadovat oprávnění VIEW SERVER STATE i oprávnění SELECT pro toto zobrazení.

Obecné kroky algoritmu

Když algoritmus určuje, jestli má povolit přístup k zabezpečitelnému objektu, může se přesné kroky, které používá, lišit v závislosti na principalech a zabezpečitelných objektech. Algoritmus však provádí následující obecné kroky:

1. Pokud je přihlášení členem pevné role serveru sysadmin, nebo jestli je uživatel uživatelem dbo v aktuální databázi, obejděte kontrolu oprávnění.

2. Povolit přístup, pokud lze použít řetězení vlastnictví a kontrola přístupu u dřívějšího objektu v řetězu prošla kontrolou zabezpečení.

3. Agregujte identity na úrovni serveru, databáze a podepsaného modulu, které jsou přidružené volajícímu, a vytvořte kontext zabezpečení.

4. Pro tento kontext zabezpečení shromážděte všechna oprávnění udělená nebo odepřená pro prostor oprávnění. Oprávnění lze explicitně uvést jako GRANT, GRANT WITH GRANT, nebo DENY; nebo oprávnění mohou být implicitní nebo pokrývající oprávnění GRANT nebo DENY. Například oprávnění CONTROL pro schéma znamená CONTROL v tabulce. A CONTROL v tabulce znamená SELECT. Pokud tedy bylo uděleno oprávnění ovládat schéma, je uděleno oprávnění SELECT na tabulku. Pokud byl ovládací prvek v tabulce odepřen, příkaz SELECT v tabulce je odepřen.

   Note

   GRANT oprávnění na úrovni sloupce má přednost před DENY oprávněním na úrovni objektu. Další informace naleznete v tématu DENY Oprávnění objektu.

5. Identifikujte požadovaná oprávnění.

6. Kontrola oprávnění se nezdaří, pokud je požadované oprávnění přímo nebo implicitně odepřeno jakékoli identitě v kontextu zabezpečení pro objekty v prostoru oprávnění.

7. Kontrola oprávnění je úspěšná, pokud požadované oprávnění nebylo odepřeno a požadované oprávnění obsahuje GRANT nebo GRANT s oprávněním GRANT buď přímo, nebo implicitně vůči kterékoli z identit v kontextu zabezpečení pro libovolný objekt v prostoru oprávnění.

Zvláštní aspekty oprávnění na úrovni sloupců

Oprávnění na úrovni sloupce jsou udělena pomocí syntaxe <table_name>(<sloupec _name>). Například:

GRANT SELECT ON OBJECT::Customer(CustomerName) TO UserJoe;

DENY na tabulce je přepsán hodnotou ve sloupci GRANT. Následující DENY v tabulce však odebere sloupec GRANT.

Examples

Příklady v této části ukazují, jak načíst informace o oprávněních.

A. Vrácení kompletního seznamu udělených oprávnění

Následující příkaz pomocí funkce vrátí všechna oprávnění databázového engine. Další informace najdete v tématu sys.fn_builtin_permissions.

SELECT * FROM fn_builtin_permissions(default);
GO

B. Vrácení oprávnění pro konkrétní třídu objektů

Následující příklad používá fn_builtin_permissions k zobrazení všech oprávnění, která jsou k dispozici pro kategorii zabezpečitelné. Příklad vrátí oprávnění na sestavách.

SELECT * FROM fn_builtin_permissions('assembly');
GO

C. Vrácení oprávnění udělených vykonávajícímu subjektu na objektu

Následující příklad používá fn_my_permissions k vrácení seznamu efektivních oprávnění, která jsou držena volajícím subjektem na zadaném zabezpečitelném objektu. Příklad vrátí oprávnění k objektu s názvem Orders55. Další informace najdete v tématu sys.fn_my_permissions.

SELECT * FROM fn_my_permissions('Orders55', 'object');
GO

D. Vrácení oprávnění platných pro zadaný objekt

Následující příklad vrátí oprávnění použitelná pro objekt s názvem Yttrium. Integrovaná funkce OBJECT_ID se používá k načtení ID objektu Yttrium.

SELECT * FROM sys.database_permissions
    WHERE major_id = OBJECT_ID('Yttrium');
GO

Související obsah

• Hierarchie oprávnění (databázový stroj)
• sys.database_permissions (Transact-SQL)