Engedélyek (adatbázismotor)

A következőkre vonatkozik:SQL ServerAzure SQL DatabaseFelügyelt Azure SQL-példányAzure Synapse AnalyticsElemzési platformrendszer (PDW)SQL Analytics-végpont a Microsoft FabricbenRaktár a Microsoft FabricbenSQL-adatbázis a Microsoft Fabricben

Minden biztonságos SQL Server rendelkezik olyan engedélyekkel, amelyek egy egyszerű felhasználónak adhatóak. Az adatbázismotor engedélyeit a bejelentkezésekhez és a kiszolgálói szerepkörökhöz rendelt kiszolgálói szinten, valamint az adatbázis-felhasználókhoz és adatbázis-szerepkörökhöz rendelt adatbázisszinten kezelik. Az Azure SQL Database modellje ugyanazzal a rendszerrel rendelkezik az adatbázis-engedélyekhez, de a kiszolgálószintű engedélyek nem érhetők el. Ez a cikk az engedélyek teljes listáját tartalmazza. Az engedélyek tipikus implementációjához tekintse meg az adatbázismotor-engedélyek használatának első lépéseit.

Az SQL Server 2022 (16.x) engedélyeinek teljes száma 292. Az Azure SQL Database 292 engedélyt tesz elérhetővé. A legtöbb engedély az összes platformra vonatkozik, néhány azonban nem. A legtöbb kiszolgálószintű engedély például nem adható meg az Azure SQL Database-ben, és néhány engedélynek csak az Azure SQL Database-en van értelme. Az új engedélyeket fokozatosan vezetjük be új kiadásokkal. Az SQL Server 2019 (15.x) 248 engedélyt tesz elérhetővé. Az SQL Server 2017 (14.x) 238 engedélyt adott ki. Az SQL Server 2016 (13.x) 230 engedélyt adott ki. Az SQL Server 2014 (12.x) 219 engedélyt adott ki. Az SQL Server 2012 (11.x) 214 engedélyt adott ki. Az SQL Server 2008 R2 (10.50.x) 195 engedélyt adott ki. A sys.fn_builtin_permissions cikk meghatározza, hogy mely engedélyek újak a legutóbbi verziókban.

A Microsoft Fabric SQL-adatbázisában csak az adatbázisszintű felhasználók és szerepkörök támogatottak. A kiszolgálószintű bejelentkezések, a szerepkörök és a sa fiók nem érhetők el. A Microsoft Fabric SQL-adatbázisában az adatbázis-felhasználók microsoft entra azonosítója az egyetlen támogatott hitelesítési módszer. További információért tekintse meg: Engedélyezés az SQL-adatbázisban a Microsoft Fabric.

Miután megismerte a szükséges engedélyeket, kiszolgálószintű engedélyeket alkalmazhat bejelentkezésekre vagy kiszolgálói szerepkörökre, valamint adatbázisszintű engedélyeket a felhasználókra vagy adatbázis-szerepkörökre a , GRANTés REVOKE utasítások DENYhasználatával. Például:

GRANT SELECT ON SCHEMA::HumanResources TO role_HumanResourcesDept;
REVOKE SELECT ON SCHEMA::HumanResources TO role_HumanResourcesDept;

Az engedélyrendszer tervezésével kapcsolatos tippekért tekintse meg az adatbázismotor-engedélyek használatának első lépéseit.

Engedélyek elnevezési szabályai

Az alábbiakban az elnevezési engedélyekre vonatkozó általános konvenciók szerepelnek:

• CONTROL

  Tulajdonosi jellegű képességeket biztosít a kedvezményezettnek. A jogosult gyakorlatilag az összes meghatározott engedéllyel rendelkezik a védhető objektumon. Az a személy, akinek megadták a CONTROL jogosultságot, engedélyeket is adhat a védett elemre. Mivel az SQL Server biztonsági modellje hierarchikus, a control egy adott hatókörben implicit módon tartalmazza a CONTROL-t az adott hatókörben lévő összes biztonságos adatra. Az adatbázis CONTROL parancsa például magában foglalja az adatbázis összes engedélyét, az adatbázis összes szerelvényére vonatkozó összes engedélyt, az adatbázis összes sémájára vonatkozó összes engedélyt, valamint az adatbázis összes sémáján belüli objektumokra vonatkozó összes engedélyt.

• ALTER

  Képessé tesz egy adott védhető erőforrás tulajdonságainak megváltoztatására, a tulajdonjog kivételével. Ha egy hatókörön engedélyezett, az ALTER lehetővé teszi az adott hatókörben található bármely biztonsági objektum módosítását, létrehozását vagy elvetését is. A sémák ALTER-engedélye például magában foglalja az objektumok létrehozásának, módosításának és elvetésének lehetőségét a sémából.

• ALTER ANY <Server Securable>, ahol a Kiszolgáló biztonságossá tétele bármely biztonságos kiszolgáló lehet.

  Lehetővé teszi a Server Securable egyes példányainak létrehozását, módosítását vagy elvetését. Az ALTER ANY LOGIN például lehetővé teszi a példányban bármely bejelentkezési név létrehozását, módosítását vagy törlését.

• ALTER ANY <Database Securable>, ahol a Database Securable bármilyen biztonságos lehet az adatbázis szintjén.

  Lehetővé teszi a biztonságos adatbázis egyedi példányainak létrehozását, MÓDOSÍTÁSÁT vagy DROP-ét. Az ALTER ANY SCHEMA például lehetővé teszi, hogy bármilyen sémát hozzon létre, módosíthasson vagy elvetjen az adatbázisban.

• VEGYÉK ÁT A TULAJDONJOGOT

  Lehetővé teszi a kedvezményezett számára annak a biztonságossá tételnek a tulajdonjogát, amelyre a támogatást nyújtják.

• MEGSZEMÉLYESÍTÉSI <bejelentkezés>

  Lehetővé teszi, hogy a kedvezményezett megszemélyesítse a bejelentkezést.

• MEGSZEMÉLYESÍTÉS <Felhasználó>

  Lehetővé teszi, hogy a kedvezményezett megszemélyesítse a felhasználót.

• A CREATE-kiszolgáló <biztonságossá tétele>

  Biztosítja a kedvezményezettnek a kiszolgáló biztonságossá tételének lehetőségét.

• CREATE-adatbázis <biztonságossá tétele>

  Biztosítja a kedvezményezettnek az adatbázis biztonságossá tételének lehetőségét.

• Create <Schema-contained Securable>

  Lehetővé teszi a séma által tartalmazott biztonsági objektum létrehozását. Az ALTER engedély azonban szükséges a séma módosításához, hogy létrehozjunk egy biztonsági objektumot egy adott sémában.

• VIEW MEGHATÁROZÁS

  Engedélyezi a kedvezményezett számára a metaadatok elérését.

• REFERENCES

  Egy táblára vonatkozó hivatkozási jog szükséges ahhoz, hogy létrehozzunk egy idegen kulcs korlátozást, amely hivatkozik az adott táblára.

  A REFERENCES engedélyre van szükség egy objektumhoz ahhoz, hogy az adott objektumra hivatkozó WITH SCHEMABINDING záradékkal létre lehessen hozni egy FUNCTION vagy VIEW elemet.

SQL Server-engedélyek diagramja

Az alábbi képen az engedélyek és azok egymáshoz való viszonya látható. A magasabb szintű engedélyek némelyike (például CONTROL SERVER) sokszor szerepel a listán. Ebben a cikkben a plakát túl kicsi ahhoz, hogy elolvassa. Letöltheti a teljes méretű Adatbázis-motor jogosultságok plakátját PDF formátumban .

Adott biztonsági objektumokra vonatkozó engedélyek

Az alábbi táblázat felsorolja az engedélyek fő osztályait és azokat a biztonságossági típusokat, amelyekre alkalmazhatók.

SQL Server-engedélyek

Az alábbi táblázat az SQL Server-engedélyek teljes listáját tartalmazza. Az Azure SQL Database-engedélyek csak támogatott alapszintű biztonságos objektumokhoz érhetők el. A kiszolgálószintű engedélyek nem adhatóak meg az Azure SQL Database-ben, de bizonyos esetekben az adatbázis-engedélyek is elérhetők.

Új részletes engedélyek hozzáadva az SQL Server 2022-hez

Az SQL Server 2022 a következő engedélyekkel bővül:

• 10 új engedély lett hozzáadva a rendszer metaadataihoz való hozzáférés engedélyezéséhez.

• 18 új engedély lett hozzáadva a kiterjesztett eseményekhez.

• 9 új engedély lett hozzáadva a biztonsággal kapcsolatos objektumokhoz.

• 4 engedély lett hozzáadva a Ledgerhez.

• 3 további adatbázis-engedély.

További információ: Az SQL Server 2022 és az Azure SQL új részletes engedélyei a PoLP betartásának javítása érdekében.

Hozzáférés a rendszer metaadat-engedélyéhez

Kiszolgálószint:

• VIEW BÁRMELY BIZTONSÁGI DEFINÍCIÓ
• VIEW BÁRMELY TELJESÍTMÉNYDEFINÍCIÓ
• VIEW KISZOLGÁLÓ BIZTONSÁGI ÁLLAPOTA
• VIEW KISZOLGÁLÓ TELJESÍTMÉNYÁLLAPOTA
• VIEW BÁRMELY KRIPTOGRÁFIAILAG BIZTONSÁGOS DEFINÍCIÓ

Adatbázis szintje:

• VIEW DATABASE BIZTONSÁGI ÁLLAPOT
• VIEW DATABASE TELJESÍTMÉNYÁLLAPOT
• VIEW BIZTONSÁGI DEFINÍCIÓ
• VIEW TELJESÍTMÉNYDEFINÍCIÓ
• VIEW KRIPTOGRÁFIAILAG BIZTONSÁGOS DEFINÍCIÓ

Bővített események engedélyei

Kiszolgálószint:

• HOZZON LÉTRE BÁRMIT EVENT SESSION
• Húzzon ide bármit EVENT SESSION
• BÁRMELY EVENT SESSION BEÁLLÍTÁS MÓDOSÍTÁSA
• BÁRMELY EVENT SESSION HOZZÁADÁSI ESEMÉNY MÓDOSÍTÁSA
• BÁRMELY EVENT SESSION DROP EVENT MÓDOSÍTÁSA
• BÁRMELYIK EVENT SESSION ENGEDÉLY MÓDOSÍTÁSA
• BÁRMELYIK EVENT SESSION LETILTÁSÁNAK MÓDOSÍTÁSA
• BÁRMELY EVENT SESSION HOZZÁADÁSI CÉL MÓDOSÍTÁSA
• BÁRMELY EVENT SESSION ELDOBÁSI CÉL MÓDOSÍTÁSA

Mindegyik engedély ugyanazon szülő-engedély alatt áll: ALTER ANY EVENT SESSION

Adatbázis szintje:

• HOZZON LÉTRE BÁRMILYET DATABASEEVENT SESSION
• EJTSEN IDE BÁRMIT DATABASEEVENT SESSION
• MÓDOSÍTSA BÁRMELY DATABASEEVENT SESSION BEÁLLÍTÁST
• BÁRMELY HOZZÁADÁSI DATABASEEVENT SESSION ESEMÉNY MÓDOSÍTÁSA
• BÁRMELY DATABASEEVENT SESSION DROP ESEMÉNY MÓDOSÍTÁSA
• BÁRMELY DATABASEEVENT SESSION ENGEDÉLYEZÉS MÓDOSÍTÁSA
• BÁRMELY DATABASEEVENT SESSION LETILTÁS MÓDOSÍTÁSA
• BÁRMELY HOZZÁADÁSI DATABASEEVENT SESSION CÉL MÓDOSÍTÁSA
• BÁRMELY DATABASEEVENT SESSION DROP TARGET MÓDOSÍTÁSA

Ezek az engedélyek mind azonos szülő-engedély alatt állnak: ALTER ANY DATABASEEVENT SESSION

Biztonsággal kapcsolatos objektumengedélyek

• VEZÉRLŐ (CREDENTIAL)
• CREATE LOGIN
• CREATE USER
• HIVATKOZÁSOK (CREDENTIAL)
• MASZK FELTÁRÁSA (OBJEKTUM)
• UNMASK (SCHEMA)
• VIEW BÁRMILYEN HIBANAPLÓ
• VIEW KISZOLGÁLÓ BIZTONSÁGI AUDIT
• VIEW DATABASE BIZTONSÁGI AUDIT

Főkönyv engedélyek

• ALTER LEDGER
• A FŐKÖNYV KONFIGURÁCIÓJÁNAK MÓDOSÍTÁSA
• FŐKÖNYV ENGEDÉLYEZÉSE
• VIEW FŐKÖNYV TARTALMA

Egyéb adatbázis-engedélyek

• BÁRMELY KÜLSŐ MUNKA MEGVÁLTOZTATÁSA
• BÁRMELY KÜLSŐ ADATFOLYAM MÓDOSÍTÁSA
• BÁRMELY KÜLSŐ MŰVELET VÉGREHAJTÁSA ENDPOINT

Az engedély-ellenőrzési algoritmus összegzése

Az engedélyek ellenőrzése összetett lehet. Az engedély-ellenőrzési algoritmus magában foglalja az átfedésben lévő csoporttagságokat és a tulajdonosi láncolást, mind az explicit, mind az implicit engedélyeket, és hatással lehet a biztonságos entitást tartalmazó biztonságos osztályokra vonatkozó engedélyekre. Az algoritmus általános folyamata az összes vonatkozó engedély összegyűjtése. Ha nem található blokkolás DENY , az algoritmus megkeres egy GRANT megfelelő hozzáférést biztosítót. Az algoritmus három alapvető elemet tartalmaz, a biztonsági környezetet, az engedélyterületet és a szükséges engedélyeket.

• Biztonsági környezet

  Ez azoknak a tagoknak a csoportja, amelyek engedélyekkel járulnak hozzá a hozzáférés-ellenőrzéshez. Ezek az engedélyek az aktuális bejelentkezéshez vagy felhasználóhoz kapcsolódnak, kivéve, ha a biztonsági környezetet egy másik bejelentkezésre vagy felhasználóra módosították az EXECUTE AS utasítás használatával. A biztonsági környezet a következő tagokat tartalmazza:

  • A bejelentkezés

  • A felhasználó

  • Szerepkör-tagságok

  • Windows-csoporttagságok

  • Modulaláírás használata esetén a felhasználó által jelenleg futtatott modul aláírásához használt tanúsítványhoz tartozó bármely bejelentkezési vagy felhasználói fiók, valamint az adott taghoz tartozó szerepkör-tagságok.

• Engedélyterület

  Ez a védhető entitás és minden olyan védhető osztály, amely tartalmazza azt. Egy táblát (egy biztonságos entitást) például a séma biztonságossá tételi osztálya és az adatbázis biztonságos osztálya tartalmaz. A hozzáférést tábla-, séma-, adatbázis- és kiszolgálószintű engedélyek befolyásolhatják. További információ: Engedélyhierarchia (adatbázismotor).

• Szükséges engedély

  A szükséges engedély típusa. Például INSERT, UPDATE, DELETE, SELECT, EXECUTE, ALTER, CONTROL és így tovább.

  A hozzáféréshez több engedélyre is szükség lehet, ahogy az alábbi példákban is látható:

  • Egy tárolt eljáráshoz szükség lehet egyrészt a tárolt eljárásra vonatkozó EXECUTE engedélyre, másrészt a tárolt eljárás által hivatkozott több táblára vonatkozó INSERT engedélyre.

  • Egy dinamikus felügyeleti nézethez a VIEW SERVER STATE és a nézetre vonatkozó SELECT engedély egyaránt szükséges lehet.

Az algoritmus általános lépései

Amikor az algoritmus meghatározza, hogy engedélyezi-e a hozzáférést egy védhető objektumhoz, az általa használt pontos lépések a résztvevő szereplőktől és a védhető objektumoktól függően változhatnak. Az algoritmus azonban a következő általános lépéseket hajtja végre:

1. Az engedélyellenőrzés megkerülésével ellenőrizze, hogy a bejelentkezés a sysadmin rögzített kiszolgálói szerepkör tagja-e, vagy ha a felhasználó az aktuális adatbázis dbo-felhasználója.

2. Hozzáférés engedélyezése, ha a tulajdonjogi láncolás alkalmazható, és a lánc korábbi objektumának hozzáférés-ellenőrzése megfelelt a biztonsági ellenőrzésnek.

3. Összesíti a hívóhoz társított kiszolgálószintű, adatbázisszintű és aláírt modul-identitásokat a biztonsági környezet létrehozásához.

4. Ehhez a biztonsági környezethez gyűjtse össze az engedélyterülethez megadott vagy elutasított engedélyeket. Az engedély kifejezetten megadható így: GRANT, GRANT VAL együtt GRANT, vagy DENY; illetve az engedély lehet hallgatólagos vagy kiterjesztő engedély: GRANT vagy DENY. Például a séma CONTROL jogosultsága azt vonja maga után, hogy egy táblán is van CONTROL jogosultság. A táblán a CONTROL pedig a SELECT elemet jelenti. Ezért ha a séma CONTROL tulajdonsága meg lett adva, a rendszer a SELECT lehetőséget adja meg a táblában. Ha a CONTROL megtagadva lett a táblában, a rendszer megtagadja a SELECT lehetőséget a táblában.

   Note

   Egy GRANT oszlopszintű engedély felülbírál egy DENY objektumszinten. További információ: DENY Objektumengedélyek.

5. Azonosítsa a szükséges engedélyt.

6. Sikertelen az engedélyellenőrzés, ha a szükséges engedély közvetlenül vagy implicit módon megtagadva van-e az engedélytérben lévő objektumok biztonsági környezetében lévő identitások bármelyike számára.

7. Az engedélyellenőrzés sikeres, ha a szükséges engedélyt nem tagadták meg, és a szükséges engedély közvetlenül vagy implicit módon bármely, a biztonsági környezetben lévő identitásra bármely, a engedélytérben lévő objektum esetében tartalmaz egy GRANT vagy egy GRANT és GRANT engedélyt.

Az oszlopszintű engedélyek speciális szempontjai

Az oszlopszintű engedélyek a table_name< (>oszlop _name<) szintaxissal> vannak megadva. Például:

GRANT SELECT ON OBJECT::Customer(CustomerName) TO UserJoe;

A táblán lévő DENY beállítást felülírja az oszlopon lévő GRANT. Azonban a táblán végrehajtott későbbi DENY eltávolítja a GRANT oszlopot.

Examples

Az ebben a szakaszban szereplő példák bemutatják, hogyan kérhetők le az engedélyekkel kapcsolatos információk.

A. Adja vissza a megadható engedélyek teljes listáját

Az alábbi utasítás az fn_builtin_permissions függvény használatával visszaadja az adatbázismotor összes engedélyét. További információ: sys.fn_builtin_permissions.

SELECT * FROM fn_builtin_permissions(default);
GO

B. Adott objektumosztály engedélyeinek visszaadása

Az alábbi példa a kategóriához tartozó biztonsági objektumokhoz elérhető összes engedély megtekintésére használja a fn_builtin_permissions-t. A példa visszaadja az assembly-k engedélyeit.

SELECT * FROM fn_builtin_permissions('assembly');
GO

C. Adja vissza a végrehajtó tagnak adott engedélyeket egy objektumon

Az alábbi példa a fn_my_permissions segítségével visszaadja a hívó szerepkör által egy adott védett objektumon birtokolt érvényes engedélyek listáját. A példa egy nevű Orders55objektum engedélyeit adja vissza. További információ: sys.fn_my_permissions.

SELECT * FROM fn_my_permissions('Orders55', 'object');
GO

D. Adott objektumra vonatkozó engedélyek visszaadása

Az alábbi példa egy úgynevezett Yttriumobjektumra vonatkozó engedélyeket ad vissza. A beépített függvény OBJECT_ID az objektum Yttriumazonosítójának lekérésére szolgál.

SELECT * FROM sys.database_permissions
    WHERE major_id = OBJECT_ID('Yttrium');
GO

Kapcsolódó tartalom

• engedélyhierarchia (adatbázismotor)
• sys.database_permissions (Transact-SQL)