1、1,本章教学目标,了解SQL Server 2005安全性概述 掌握SQL Server 2005登录用户介绍 掌握SQL Server 2005权限管理 学习SQL Server 2005密码策略和证书。,2,SQL Server 2005安全性概述,了解数据库安全性的产生；了解安全措施的五个级别；可以区分windows认证模式和SQL Serve混合认证模式的区别；SQL Server2005安全性概述；掌握用户身份认证，主体和安全对象的内涵。,3,SQL Server 2005安全性概述,一、数据库的安全性的概念：是指在信息系统的不同层次保护数据库，防止未授权的数据访问，避免数据的泄漏、
2、不合法的修改或对数据的破坏。,1、典型的数据库安全性问题是没有进行有效的用户权限控制引起的数据泄露。,2、数据库系统的安全级别从低到高的五个级别上设置各种安全措施。 （1）环境级：计算机系统的机房和设备应加以保护，防止有人进行物理破坏。 （2）职员级：工作人员应清正廉洁，正确授予用户访问数据库的权限。 （3）OS级：应防止未经授权的用户从OS处着手访问数据库。 （4）网络级：由于大多数DBS都允许用户通过网络进行远程访问，因此网络软件内部的安全性至关重要。 （5）DBS级：DBS的职责是检查用户的身份是否合法及使用数据库的权限是否正确。,4,SQL Server 2005安全性概述,二、SQL
3、 Server2005安全性概述 ：SQL Server 2005数据库中的数据必须经过三个级别的认证过程 ：第一个认证过程是Windows级别，即Windows身份验证，需通过登录账户来标识用户。身份验证只验证用户是否具有连接到SQL Server数据库服务器的资格。第二个级别的认证是SQL Server级别的认证，该认证过程是当用户访问数据库时，必须具有对具体数据库的访问权，即验证用户是否是数据库的合法用户。第三个级别是数据库级，该级别是指当用户操作数据库中的数据对象时，必须具有相应的操作权，即验证用户是否具有操作权限。,5,SQL Server 2005安全性概述,二、SQL Serve
4、r2005安全性概述 ：,这就好比一幢大楼，身份认证的用户是进入SQL Server数据库软件的第一道大门，要想进楼首先必须有这栋大楼的钥匙，这就是第一把钥匙身份认证权限；进入大楼后，如果你想进某一家的门，就好比开始具体操纵某个数据库，那么你必须有第二把钥匙数据库的访问权；进入某家后，如果你想具体操纵某张表、视图或者其他数据库里面的对象，就好比获取这家保险柜的文件就必须有保险柜的钥匙一样，这就是第三把钥匙操作权。,6,SQL Server 2005安全性概述,二、SQL Server2005安全性概述 ：,1用户身份认证类别SQL Server 的用户有两种类型： （1）Windows 授权用
5、户：来自于Windows的用户或组。 （2）SQL授权用户：来自于非Windows的用户，称其为SQL用户。,（1）Windows身份验证模式 Windows身份验证模式使用户得以通过Microsoft Windows server用户帐户进行连接SQL Server。用户必须首先登录到Windows中，然后再登录到SQL Server。用户登录到SQL Server时，只需选择Windows身份验证模式，无需再提供登录帐户和密码，系统会从用户登录到Windows时提供的用户名和密码中查找用户的登录信息，以判断其是否为SQL Server的合法用户。,7,SQL Server 2005安全性概
6、述,二、SQL Server2005安全性概述 ：,1用户身份认证类别,（2）混合验证模式混合验证模式表示SQL Server接受Windows授权用户和SQL授权用户。如果不是Windows操作系统的用户或者是Windows 客户端操作系统的用户使用SQL Server，则应该选择混合验证模式。如果在混合模式下选择使用SQL授权用户登录SQL Server，则用户必须提供登录名和密码，SQL Server使用这两部分内容来验证用户，SQL Server通过检查是否已设置SQL Server登录账户，以及指定的密码是否与记录的密码匹配，进行身份验证。,8,SQL Server 2005安全性概
7、述,二、SQL Server2005安全性概述 ：,2主体,“主体”是SQL Server 2005的术语，表示可以请求SQL Server资源的个体、组和过程。与SQL Server授权模型的其他组件一样，“主体”也可以按层次结构排列。每个主体都有一个唯一的安全标识符(SID)，可为其授权访问数据库系统中的对象权限。主体存在三个级别：Windows级别的主体，SQL Server级别的主体，数据库级别的主体。,9,SQL Server 2005安全性概述,二、SQL Server2005安全性概述 ：,3安全对象,SQL Server 2005存在三种安全对象的作用域范围：服务器、数据库和架
8、构。,10,5-2 SQL Server 2005登录用户,掌握建立windows认证模式下的用户登录掌握建立sa用户登录掌握建立SQL Server用户登录掌握通过命令方式授权windows用户登录SQL Server掌握通过命令方式创建SQL Server登录帐户学习查看SQL Server登录帐户学习修改和删除SQL Server登录帐户信息,11,5-2 SQL Server 2005登录用户,5-2-1 建立SQL Server2005安全用户实验,实验1：建立windows认证模式下的用户登录实验,第一步：在操作系统的计算机管理界面下，展开本地用户和组，在用户下建立三个用户u1，u
9、2，u3，密码与用户名相同，如图所示。然后新建一个组叫QQ，并将u2和u1放到该组下面。放置一个用户在一个组里面的具体步骤是：鼠标右键单击u1用户，在弹出的界面中选中隶属于界面，将QQ组添加进来。,12,5-2 SQL Server 2005登录用户,5-2-1 建立SQL Server2005安全用户实验,实验1：建立windows认证模式下的用户登录实验,第二步：展开数据库管理界面，右键点击安全性的登录名，在弹出的快捷菜单中选择新建登录名。,13,5-2 SQL Server 2005登录用户,5-2-1 建立SQL Server2005安全用户实验,实验1：建立windows认证模式下的
10、用户登录实验,第三步：在展开的新建登录名界面中，点击搜索按钮，会弹出选择用户和组对话框。在该对话框内点击对象类型按钮，而后在弹出的对象类型窗口中选择全部的类型，也包括组。确定对象类型后，点击选择用户和组界面中的“高级”按钮，选择组用户qq后，返回选择用户和组界面，点击确定后建立登录名工作完成。,14,5-2 SQL Server 2005登录用户,5-2-1 建立SQL Server2005安全用户实验,实验1：建立windows认证模式下的用户登录实验,第四步：测试。切换windows用户，以u1用户的身份进入操作系统后，启动SQL Server2005数据库，查看是否可以凭windows用
11、户的身份认证登录。当然，此时你登录成功后发现将什么也做不了，因为没有授权操作具体的数据库和表，如同仅有楼钥匙而没有家门和保险柜的钥匙一样 。,实验2：建立sa用户登录实验,Sa用户是SQL Server的超级管理员用户，由于该用户的特殊性，往往容易成为被攻击的漏洞对象，因此建议不要轻易启动该用户。下面讲述如何以Sa用户的身份登录当前的SQL Server系统。,15,5-2 SQL Server 2005登录用户,5-2-1 建立SQL Server2005安全用户实验,实验2：建立sa用户登录实验,第一步：鼠标右键点击当前的实例，在弹出的快捷菜单中选择属性。在弹出的服务器属性对话框中，选择“
12、选择页”中的安全性，将服务器安全认证改为SQL Server和Windows身份认证 。,16,5-2 SQL Server 2005登录用户,5-2-1 建立SQL Server2005安全用户实验,实验2：建立sa用户登录实验,第二步：展开安全性的登录名文件夹，右键点击下面的sa用户，然后在登录属性 - Sa对话框中选择状态页并将登录设为启用，最后点击应用、确定按钮，保存设置。如图所示。这里建议回到常规界面，设置sa用户的密码并强制实施密码策略，起到对该用户的最后一道密码保护作用。,17,5-2 SQL Server 2005登录用户,5-2-1 建立SQL Server2005安全用户实
13、验,实验2：建立sa用户登录实验,第三步：测试。选择新建一个实例连接，在弹出的对话框中选择身份认证为“SQL Server身份认证”，键入用户名sa和密码后测试连接 。,18,5-2 SQL Server 2005登录用户,5-2-1 建立SQL Server2005安全用户实验,实验2：建立sa用户登录实验,问题：按照上述步骤配置后依然无法成功使得sa用户登录数据库系统，应如何处理呢？,第一步： 打开SQL Server外围应用配置器，选择服务器和连接的外围应用配置器，然后在服务器和连接的外围应用配置器对话框中选择远程连接页并将本地连接和远程连接设为同时使用TCP/IP和Named Pipe
14、s，最后点击应用、确定按钮，保存设置。,19,5-2 SQL Server 2005登录用户,5-2-1 建立SQL Server2005安全用户实验,实验2：建立sa用户登录实验,问题：按照上述步骤配置后依然无法成功使得sa用户登录数据库系统，应如何处理呢？,第二步： 然后打开SQL Server Configuration Manager点击SQL Server2005服务，右击SQL server（MSSQLSERVER）选择重新启动，如图所示：,20,5-2 SQL Server 2005登录用户,5-2-1 建立SQL Server2005安全用户实验,实验3：建立SQL Serve
15、r用户登录实验,第一步：鼠标右键点击安全性中的登录名，在弹出的快捷菜单中选择新建登录名。,第二步：在展开的新建登录名对话框之中的常规选项页里面，键入登录名为qq，选择SQL Server身份认证，并输入密码和确认密码，将强制实施密码策略的选项去掉。最后在状态选项中确定授权都已经授权和启用后，点击确定建立qq用户。,21,5-2 SQL Server 2005登录用户,5-2-1 建立SQL Server2005安全用户实验,实验3：建立SQL Server用户登录实验,第三步：测试。新建一个用户连接，以SQL Server身份认证登录，用户名称为qq，键入密码后登录SQL Server系统。但
16、是你将发现，无论是查询还是删除等操作，你都将被禁止完成，同样你没有被授权就不可以进行任何的操作 。,22,5-2 SQL Server 2005登录用户,5-2-2 通过命令方式建立SQL Server2005安全用户实验,登录帐户和数据库用户之间的区别和联系是什么？,登录帐户是访问SQL Server的通行证，但并不能访问服务器中的数据库；即没有权限的数据库用户才是一个登录帐户，而登录帐户是成为数据库用户的前提。2. 要访问特定的数据库必须要有用户名，用户名的信息存放在该数据库的SysUsers表中，该用户名是没有密码的，我们将这个可以访问数据库的用户名称为是数据库用户。数据库用户是一个登录
17、帐户在某个数据库中的映射；一个登录帐户可以同时与多个数据库发生关联；只有登录帐户创建完成后，才能为其创建数据库用户名。,23,5-2 SQL Server 2005登录用户,5-2-2 通过命令方式建立SQL Server2005安全用户实验,实验1：授权windows用户登录SQL Server实验,我们可以利用系统存储过程sp_grantlogin实现windows用户登录授权，语法如下： sp_grantlogin loginame = login 系统存储过程sp_revokelogin实现收回windows用户登录权限，语法如下： sp_revokelogin loginame =
18、login 系统存储过程sp_denylogin实现拒绝windows用户登录，语法如下： sp_denylogin loginame = login,24,5-2 SQL Server 2005登录用户,5-2-2 通过命令方式建立SQL Server2005安全用户实验,实验1：授权windows用户登录SQL Server实验,-管理windows用户和组需要使用sp_grantlogin EXEC sp_grantlogin TEACHER9u1 -删除windows登陆 EXEC sp_revokelogin TEACHER9u1 -拒绝windows登陆 EXEC sp_denyl
19、ogin TEACHER9u1 -更改windows登陆 EXEC sp_change_users_login TEACHER9u1,25,5-2 SQL Server 2005登录用户,5-2-2 通过命令方式建立SQL Server2005安全用户实验,实验2：创建SQL Server登录帐户实验,我们可以利用系统存储过程sp_addlogin创建SQL Server登录帐户，语法如下：sp_addlogin loginame = login , passwd = password , defdb = database , deflanguage = language , sid = si
20、d , encryptopt = encryption_option 一般的语法书写格式如下所示： sp_addlogin 用户名,密码 ,登录用户使用的默认数据库,26,5-2 SQL Server 2005登录用户,5-2-2 通过命令方式建立SQL Server2005安全用户实验,实验2：创建SQL Server登录帐户实验,例如：创建一个登录帐户：名为u3，密码为u3，使用的默认数据库为school EXEC sp_addlogin u3,u3,school,注意：执行后将出现下列错误：,-密码有效性验证失败。该密码不够复杂，不符合Windows 策略要求；即要求密码的复杂度必须提高
21、，更改后的代码如下所示： EXEC sp_addlogin u3,123456,school,27,5-2 SQL Server 2005登录用户,5-2-2 通过命令方式建立SQL Server2005安全用户实验,实验3：查看SQL Server登录帐户实验,我们可以利用系统存储过程sp_helplogins查看SQL Server登录帐户，该存储过程将提供有关每个数据库中的登录及相关用户的信息。语法如下： sp_helplogins LoginNamePattern = login 需要注意的是:如果指定该参数，则login用户必须存在。如果未指定login，则返回有关所有登录的信息。,
22、28,5-2 SQL Server 2005登录用户,5-2-2 通过命令方式建立SQL Server2005安全用户实验,实验3：查看SQL Server登录帐户实验,例如：查看sa用户的详细登录信息 EXEC sp_helplogins sa -执行结果见图,29,5-2 SQL Server 2005登录用户,5-2-2 通过命令方式建立SQL Server2005安全用户实验,实验4：修改SQL Server登录帐户信息实验,1 sp_defaultdb 系统存储过程sp_defaultdb可以更改SQL Server 登录名的默认数据库，语法格式如下： sp_defaultdb lo
23、giname= login, defdb= database 2 sp_defaultlanguage 系统存储过程sp_defaultlanguage可以更改SQL Server登录后默认语言，但需要注意的是SQL Server2005的后续版本将删除该功能，语法格式如下： sp_defaultlanguage loginame= login , language= language 3 sp_password 系统存储过程sp_password可以更改SQL Server 登录用户的登录密码，同样SQL Server2005的后续版本将删除该功能，语法格式如下： sp_password old = old_password , new = new_password , loginame = login ,
