Izin (Mesin Basis Data)

Berlaku untuk:SQL ServerAzure SQL DatabaseAzure SQL Managed InstanceAzure Synapse AnalyticsSistem Platform Analitik (PDW)Titik akhir analitik SQL di Microsoft FabricGudang di Microsoft FabricDatabase SQL di Microsoft Fabric

Setiap objek securable di SQL Server memiliki izin terkait yang dapat diberikan kepada prinsipal. Izin di Mesin Database dikelola di tingkat server yang ditetapkan untuk login dan peran server, dan pada tingkat database yang ditetapkan untuk pengguna database dan peran database. Model untuk Azure SQL Database memiliki sistem yang sama untuk izin database, tetapi izin tingkat server tidak tersedia. Artikel ini berisi daftar lengkap izin. Untuk implementasi umum izin, lihat Mulai menggunakan izin Mesin Database.

Jumlah total izin untuk SQL Server 2022 (16.x) adalah 292. Azure SQL Database menyediakan 292 izin. Sebagian besar izin berlaku untuk semua platform, tetapi beberapa tidak. Misalnya, sebagian besar izin tingkat server tidak dapat diberikan di Azure SQL Database, dan beberapa izin hanya masuk akal di Azure SQL Database. Izin baru diperkenalkan secara bertahap seiring rilis versi baru. SQL Server 2019 (15.x) mengekspos 248 izin. SQL Server 2017 (14.x) mengekspos 238 izin. SQL Server 2016 (13.x) memiliki 230 izin. SQL Server 2014 (12.x) memiliki 219 izin. SQL Server 2012 (11.x) memiliki 214 izin. SQL Server 2008 R2 (10.50.x) memiliki 195 izin. Artikel sys.fn_builtin_permissions menentukan izin mana yang baru dalam versi terbaru.

Dalam database SQL di Microsoft Fabric, hanya pengguna dan peran tingkat database yang didukung. Login tingkat server, peran, dan akun sa tidak tersedia. Dalam database SQL di Microsoft Fabric, ID Microsoft Entra untuk pengguna database adalah satu-satunya metode autentikasi yang didukung. Untuk informasi selengkapnya, lihat Otorisasi dalam database SQL di Microsoft Fabric.

Setelah memahami izin yang diperlukan, Anda dapat menerapkan izin tingkat server kepada login atau peran server, dan izin tingkat database kepada pengguna atau peran database, dengan menggunakan pernyataan GRANT, REVOKE, dan DENY. Contohnya:

GRANT SELECT ON SCHEMA::HumanResources TO role_HumanResourcesDept;
REVOKE SELECT ON SCHEMA::HumanResources TO role_HumanResourcesDept;

Untuk tips merencanakan sistem izin, lihat Mulai menggunakan izin Mesin Database.

Konvensi penamaan izin

Berikut ini menjelaskan konvensi umum yang diikuti untuk izin penamaan:

• CONTROL

  Menganugerah kemampuan seperti kepemilikan pada penerima hibah. Penerima izin secara efektif memiliki semua izin yang ditentukan atas objek yang diamankan. Prinsipal yang telah diberi CONTROL juga dapat memberikan izin pada objek yang dapat diamankan. Karena model keamanan SQL Server bersifat hierarkis, CONTROL pada cakupan tertentu secara implisit mencakup CONTROL atas semua objek yang dapat diamankan di bawah cakupan tersebut. Misalnya, CONTROL pada database menyiratkan semua izin pada database, semua izin pada semua rakitan dalam database, semua izin pada semua skema dalam database, dan semua izin pada objek dalam semua skema dalam database.

• ALTER

  Memberikan kemampuan untuk mengubah properti, kecuali kepemilikan, dari objek tertentu yang dapat diamankan. Saat diberikan pada suatu cakupan, ALTER juga memberikan kemampuan untuk mengubah, membuat, atau menghapus objek yang dapat diamankan yang berada dalam cakupan tersebut. Misalnya, izin UBAH pada skema mencakup kemampuan untuk membuat, mengubah, dan menghilangkan objek dari skema.

• ALTER ANY <Server Securable>, di mana Server Securable dapat menjadi server apa pun yang dapat diamankan.

  Menganugerahkan kemampuan untuk membuat, mengubah, atau menghilangkan masing-masing instans Server Securable. Misalnya, UBAH ANY LOGIN menganugerahkan kemampuan untuk membuat, mengubah, atau menghilangkan login apa pun dalam instans.

• ALTER ANY <Sekurabel Database>, dengan Sekurabel Database dapat berupa sekurabel apa pun pada tingkat database.

  Menganugerahkan kemampuan untuk MEMBUAT, MENGUBAH, atau MENGHILANGKAN masing-masing instans Database Securable. Misalnya, ALTER ANY SCHEMA menganugerahkan kemampuan untuk membuat, mengubah, atau menghilangkan skema apa pun dalam database.

• AMBIL KEPEMILIKAN

  Memungkinkan penerima hak untuk mengambil alih kepemilikan sarana yang ditentukan dalam pemberian hak tersebut.

• SAMAR SEBAGAI <Login>

  Memungkinkan penerima izin untuk meniru login.

• MENYAMAR SEBAGAI <Pengguna>

  Memungkinkan penerima hibah untuk meniru pengguna.

• BUAT <Server yang Dapat Diamankan>

  Menganugerahkan kepada penerima izin kemampuan untuk membuat Server Securable.

• CREATE <Database Securable>

  Menganugerahkan kepada penerima izin kemampuan untuk membuat Database Securable.

• BUAT <Securable yang Berisi Skema>

  Memberikan kemampuan untuk membuat sekurabel yang terkandung dalam skema. Namun, izin ALTER pada skema diperlukan untuk membuat sekurabel dalam skema tertentu.

• VIEW DEFINISI

  Memungkinkan penerima hibah mengakses metadata.

• REFERENCES

  Izin REFERENCES pada tabel diperlukan untuk membuat batasan KUNCI ASING yang mereferensikan tabel tersebut.

  Izin REFERENSI diperlukan pada objek untuk membuat FUNCTION atau VIEW dengan klausa yang mereferensikan objek tersebut WITH SCHEMABINDING .

Diagram hak akses SQL Server

Gambar berikut menunjukkan izin dan hubungannya satu sama lain. Beberapa izin tingkat yang lebih tinggi (seperti CONTROL SERVER) dicantumkan berkali-kali. Dalam artikel ini, poster terlalu kecil untuk dibaca. Anda dapat mengunduh Poster Izin Mesin Database ukuran penuh dalam format PDF.

Izin yang berlaku untuk jaminan tertentu

Tabel berikut mencantumkan kelas utama izin dan jenis keamanan yang mungkin diterapkan.

Izin SQL Server

Tabel berikut ini menyediakan daftar lengkap izin SQL Server. Izin Azure SQL Database hanya tersedia untuk keamanan dasar yang didukung. Izin tingkat server tidak dapat diberikan di Azure SQL Database, namun dalam beberapa kasus izin database tersedia sebagai gantinya.

Izin terperinci baru ditambahkan ke SQL Server 2022

Izin berikut ditambahkan ke SQL Server 2022:

• 10 izin baru telah ditambahkan untuk mengizinkan akses ke metadata sistem.

• 18 izin baru telah ditambahkan untuk peristiwa yang diperluas.

• 9 izin baru telah ditambahkan sehubungan dengan objek terkait keamanan.

• 4 izin telah ditambahkan untuk Ledger.

• 3 izin basis data tambahan

Untuk informasi selengkapnya, lihat Izin terperinci baru untuk SQL Server 2022 dan Azure SQL untuk meningkatkan kepatuhan dengan PoLP.

Akses ke izin metadata sistem

Tingkat server:

• VIEW DEFINISI KEAMANAN APA SAJA
• VIEW DEFINISI PERFORMA APA PUN
• VIEW STATUS KEAMANAN SERVER
• VIEW STATUS KINERJA SERVER
• VIEW SETIAP DEFINISI YANG DIAMANKAN SECARA KRIPTOGRAFIS

Tingkat database:

• VIEW DATABASE STATUS KEAMANAN
• VIEW DATABASE STATUS KINERJA
• VIEW DEFINISI KEAMANAN
• VIEW DEFINISI KINERJA
• VIEW DEFINISI YANG DIAMANKAN SECARA KRIPTOGRAFIS

Izin kejadian yang diperluas

Tingkat server:

• BUAT APA PUN EVENT SESSION
• LEPASKAN APA SAJA EVENT SESSION
• UBAH OPSI APA SAJA EVENT SESSION
• UBAH SEMBARANG EVENT SESSION TAMBAHKAN PERISTIWA
• MENGUBAH EVENT HAPUS APA PUN EVENT SESSION
• UBAH PENGAKTIFAN APA PUN EVENT SESSION
• MENGUBAH APA PUN EVENT SESSION NONAKTIFKAN
• MENGUBAH APA PUN EVENT SESSION MENAMBAHKAN TARGET
• MENGUBAH TARGET PENURUNAN APA PUN EVENT SESSION

Semua izin ini berada di bawah izin induk yang sama: UBAH ANY EVENT SESSION

Tingkat database:

• BUAT APA SAJA DATABASEEVENT SESSION
• LETAKKAN APA SAJA DATABASEEVENT SESSION
• UBAH OPSI APA PUN DATABASEEVENT SESSION
• MENGUBAH EVENT TAMBAHKAN APA PUN DATABASEEVENT SESSION
• MENGUBAH EVENT DROP APA PUN DATABASEEVENT SESSION
• UBAH SEMBARANG DATABASEEVENT SESSION AKTIFKAN
• MENGUBAH NONAKTIFKAN APA PUN DATABASEEVENT SESSION
• UBAH TARGET TAMBAHKAN APA PUN DATABASEEVENT SESSION
• UBAH TARGET DROP APA PUN DATABASEEVENT SESSION

Semua izin ini berada di bawah izin induk yang sama: UBAH ANY DATABASEEVENT SESSION

Hak akses objek yang terkait dengan keamanan

• KONTROL (CREDENTIAL)
• CREATE LOGIN
• CREATE USER
• RUJUKAN (CREDENTIAL)
• UNMASK (OBJEK)
• UNMASK (SCHEMA)
• VIEW log kesalahan apa pun
• VIEW AUDIT KEAMANAN SERVER
• VIEW DATABASE AUDIT KEAMANAN

Hak Akses Buku Besar

• UBAH LEDGER
• UBAH KONFIGURASI LEDGER
• AKTIFKAN LEDGER
• VIEW KONTEN BUKU BESAR

Izin database lainnya

• UBAH SEMUA TUGAS EKSTERNAL
• Ubah aliran eksternal apa pun
• JALANKAN FILE EKSTERNAL APA PUN ENDPOINT

Ringkasan algoritma pemeriksaan izin

Memeriksa izin bisa kompleks. Algoritma pemeriksaan izin mencakup keanggotaan grup yang tumpang tindih dan rantai kepemilikan, izin eksplisit dan implisit, dan dapat dipengaruhi oleh izin pada kelas yang dapat diamankan yang berisi entitas yang dapat diamankan. Proses umum algoritma adalah mengumpulkan semua izin yang relevan. Jika tidak ada pemblokiran DENY yang ditemukan, algoritma mencari GRANT yang menyediakan akses yang memadai. Algoritma berisi tiga elemen penting, konteks keamanan, ruang izin, dan izin yang diperlukan.

• Konteks keamanan

  Ini adalah grup prinsipal yang menyumbangkan izin untuk pemeriksaan akses. Ini merupakan izin yang terkait dengan login atau pengguna yang sedang aktif, kecuali konteks keamanan telah diubah menjadi login atau pengguna lain dengan menggunakan pernyataan EXECUTE AS. Konteks keamanan mencakup prinsipal berikut:

  • Masuk

  • Pengguna

  • Keanggotaan peran

  • Keanggotaan grup Windows

  • Jika penandatanganan modul digunakan, setiap login atau akun pengguna untuk sertifikat yang digunakan guna menandatangani modul yang sedang dijalankan pengguna saat ini, serta keanggotaan peran yang terkait dengan prinsipal tersebut.

• Ruang izin

  Ini adalah entitas yang dapat diamankan dan kelas yang dapat diamankan apa pun yang memuat entitas yang dapat diamankan tersebut. Misalnya, tabel (entitas yang dapat diamankan) dimuat oleh kelas yang dapat diamankan skema dan oleh kelas yang dapat diamankan database. Akses dapat dipengaruhi oleh izin tingkat tabel, skema, database, dan server. Untuk informasi selengkapnya, lihat Hierarki Izin (Mesin Database).

• Izin yang diperlukan

  Jenis izin yang diperlukan. Misalnya, INSERT, UPDATE, DELETE, SELECT, EXECUTE, ALTER, CONTROL, dan sebagainya.

  Access dapat memerlukan beberapa izin, seperti dalam contoh berikut:

  • Prosedur tersimpan dapat memerlukan baik izin EXECUTE pada prosedur tersimpan maupun izin INSERT pada beberapa tabel yang direferensikan oleh prosedur tersimpan.

  • Tampilan manajemen dinamis dapat memerlukan izin VIEW SERVER STATE dan SELECT pada tampilan tersebut.

Langkah-langkah umum algoritma

Ketika algoritma menentukan apakah akan mengizinkan akses ke objek yang dapat diamankan, langkah-langkah tepat yang digunakan dapat bervariasi, bergantung pada prinsipal dan objek yang dapat diamankan yang terlibat. Namun, algoritma melakukan langkah-langkah umum berikut:

1. Lewati pemeriksaan izin jika login merupakan anggota peran server tetap sysadmin atau jika pengguna adalah pengguna dbo di database saat ini.

2. Izinkan akses jika rantai kepemilikan berlaku dan pemeriksaan akses pada objek sebelumnya dalam rantai melewati pemeriksaan keamanan.

3. Gabungkan identitas tingkat server, tingkat database, dan modul yang ditandatangani yang terkait dengan pemanggil untuk membuat konteks keamanan.

4. Untuk konteks keamanan tersebut, kumpulkan semua izin yang diberikan atau ditolak untuk ruang izin. Izin dapat secara eksplisit dinyatakan sebagai GRANT, GRANT WITH GRANT, atau DENY; atau izin dapat berupa izin GRANT tersirat atau mencakup atau DENY. Misalnya, izin CONTROL pada skema menyiratkan CONTROL pada tabel. Dan CONTROL pada tabel menyiratkan SELECT. Oleh karena itu, jika CONTROL pada skema diberikan, maka SELECT pada tabel juga diberikan. Jika CONTROL ditolak pada tabel, SELECT pada tabel ditolak.

   Note

   GRANT izin tingkat kolom mengesampingkan DENY di tingkat objek. Untuk informasi selengkapnya, lihat DENY Izin Objek.

5. Identifikasi izin yang diperlukan.

6. Gagalkan pemeriksaan izin jika izin yang diperlukan secara langsung atau implisit ditolak untuk salah satu identitas dalam konteks keamanan untuk objek dalam ruang izin.

7. Loloskan pemeriksaan izin jika izin yang diperlukan tidak ditolak dan izin yang diperlukan berisi GRANT atau GRANT dengan izin GRANT, baik secara langsung maupun secara implisit, kepada salah satu identitas dalam konteks keamanan untuk objek apa pun dalam ruang izin.

Pertimbangan khusus untuk izin tingkat kolom

Izin pada tingkat kolom diberikan dengan sintaks <table_name>(<column _name>). Contohnya:

GRANT SELECT ON OBJECT::Customer(CustomerName) TO UserJoe;

DENY pada tabel ditimpa oleh GRANT pada kolom. Namun, DENY berikutnya pada tabel akan menghapus kolom GRANT.

Examples

Contoh di bagian ini menunjukkan cara mengambil informasi izin.

A. Mengembalikan daftar lengkap izin yang dapat diberikan

Pernyataan berikut mengembalikan semua izin Mesin Database dengan menggunakan fn_builtin_permissions fungsi . Untuk informasi selengkapnya, lihat sys.fn_builtin_permissions.

SELECT * FROM fn_builtin_permissions(default);
GO

B. Mengembalikan izin pada kelas objek tertentu

Contoh berikut menggunakan fn_builtin_permissions untuk melihat semua izin yang tersedia untuk kategori objek yang dapat diamankan. Contoh ini menampilkan izin pada assembly.

SELECT * FROM fn_builtin_permissions('assembly');
GO

C. Mengembalikan izin yang diberikan kepada prinsipal pelaksana pada objek

Contoh berikut menggunakan fn_my_permissions untuk mengembalikan daftar izin efektif yang dimiliki oleh prinsipal pemanggil pada objek yang dapat diamankan yang ditentukan. Contoh mengembalikan izin pada objek bernama Orders55. Untuk informasi selengkapnya, lihat sys.fn_my_permissions.

SELECT * FROM fn_my_permissions('Orders55', 'object');
GO

D. Mengembalikan izin yang berlaku untuk objek tertentu

Contoh berikut mengembalikan izin yang berlaku untuk objek yang disebut Yttrium. Fungsi bawaan OBJECT_ID digunakan untuk mengambil ID objek Yttrium.

SELECT * FROM sys.database_permissions
    WHERE major_id = OBJECT_ID('Yttrium');
GO

Konten terkait

• Hierarki Izin (Mesin Basis Data)
• sys.database_permissions (Transact-SQL)