MSSQL数据库安全实验

实验目的

了解数据库安全的含义与内容，掌握有关安全的设置方法，具体如下：

1）掌握管理SQL Server认证模式的方法；

2）掌握管理数据库登录的方法；

3）掌握管理数据库用户的方法

4）掌握管理数据库角色的方法

5）掌握管理数据库权限的方法

预备知识

本实验要求实验者具备如下的相关知识。

1、数据库安全的概念

对任何企业组织来说，数据的安全性最为重要。安全性主要是指允许那些具有相应的数据访问权限的用户能够登录到数据库，并访问数据以及对数据库对象实施各种权限范围内的操作，但是要拒绝所有的非授权用户的非法操作。因此安全性管理与用户管理是密不可分的。

2、SQL Server的安全性

SQL Server 2000 的安全性管理是建立在认证（authentication）和访问许可（permission）两者机制上的。认证是用来确定登录SQL Server 的用户的登录账号和密码是否正确，以此来验证其是否具有连接SQL Server 的权限。但是通过认证阶段并不代表该用户能够访问SQL Server 中的数据，用户只有在获取访问数据库的权限之后，才能够对服务器上的数据库进行权限许可下的各种操作（主要是针对数据库对象，如表、视图、存储过程等），这种用户访问数据库权限的设置是通过用户账号来实现的，同时在SQL Server 中，角色作为用户组的代替物大大地简化了安全性管理。

3、SQL Server的认证模式

SQL Server提供了2种安全管理模式，即Windows 身份验证模式和混合身份验证模式，数据库设计者和数据库管理员可以根据实际情况进行选择。每个用户必须通过登录帐户建立自己的身份验证，以获得对SQL Server 实例的访问权限。

SQL Server 2000提供了两种确认用户的登录认证模式：Windows认证模式和混合认证模式。

（1）Windows认证模式

SQL Server数据库系统通常运行在NT服务器平台或基于NT 构架的Windows 2000上，而NT作为网络操作系统，本身就具备管理登录、验证用户合法性的能力，所以Windows认证模式正是利用这一用户安全性和账号管理的机制，允许SQL Server也可以使用NT的用户名和口令。在该模式下，用户只要通过Windows的认证就可连接到SQL Server，而SQL Server本身也不需要管理一套登录数据。

（2）混合认证模式

在混合认证模式下，Windows认证和SQL Server 认证这两种认证模式都是可用的。NT的用户既可以使用NT认证，也可以使用SQL Server 认证。

在SQL Server认证模式下，用户在连接SQL Server时必须提供登录名和登录密码，这些登录信息存储在系统表syslogins中，与NT的登录账号无关。SQL Server自己执行认证处理，如果输入的登录信息与系统表syslogins 中的某条记录相匹配则表明登录成功。

4、SQL Server权限管理

SQL Server数据库管理系统利用角色设置、管理用户的权限。登录名本身并不能让用户访问服务器中的数据库资源。要访问具体数据库中的资源，还必须有该数据库的用户名。新的登录创建以后，才能创建数据库用户，数据库用户在特定的数据库内创建，必须和某个登录名相关联。数据库用户创建后，通过授予用户权限来指定用户访问特定对象的权限。通过角色，可以将用户集中到一个单元中，然后对这个单元应用权限。对角色授予或收回权限时，将对其中的所有成员生效。利用角色进行权限设置可以实现对所有用户权限的设置，大大减少了管理员的工作量。

步骤一

本实验通过练习以掌握管理数据库登录的方法；掌握管理数据库用户的方法；掌握管理数据库角色的方法；掌握管理数据库权限的方法，实验任务共分为五部分，详情如下：

管理SQL Server认证模式

（1）确认 SQL Server 验证

①在桌面上单击“开始”，选择“程序”→“Microsoft SQL Server 2005” →“SQL Server Management Studio”，出现“连接到服务器”对话框。

②在“连接到服务器”对话框中，按表中的指定值进行设置，然后单击“连接”按钮，如下图。

③如果“对象资源管理器”不可见，则选择“视图”菜单上的“对象资源管理器”。

④在“对象资源管理器”中，右击服务器，然后单击“属性”。

⑤单击“安全性”。

⑥在“服务器身份验证”选项区中，可以选择身份验证模式，“Windows 身份验证模式”或“SQL Server 和Windows 身份验证模式”，本次实验选择“SQL Server 和Windows 身份验证模式”。

⑦选择身份验证模式后，单击“确定”按钮以执行该更改。有如下提示：

⑧在“对象资源管理器”中，右击服务器，然后单击“重新启动”。

如果通知“SQL Server 代理”服务也将停止时，请单击“是”。

⑨在“摘要”面板中，右击“SQL Server 代理”，然后单击“启动”。

当提示是否确实要启动SQLSERVERAGENT服务时，点击是。

步骤二

管理数据库登录

SQL Server有两个默认的用户登录账号：即sa和administrators\builtin。sa是系统管理员，它是SQL Server的一个超级登录账号，这个账号具有操作SQL Server服务器的一切权限。BUILTIN\Administrators组成员的 Windows NT 4.0 或 Windows 2000 用户自动成为 sysadmin 固有服务器角色成员。

（1）使用企业管理器管理Windows身份验证的登录帐号。

① 回到桌面，右击我的电脑，点击管理。

然后一次展开系统工具-本地用户和组-用户，此时在右边可以看到当前系统中所有的用户。

在右侧空白处右击，点击新用户。

添加一个用户WinUser，并给该用户设置一个密码，本实验使用的密码是admin，密码可随意设置，但是需要记住，在后面需要用到，把用户下次登录时须更改密码前面的勾选去掉，把密码永不过期的选项选上，然后点击创建，设置如图：

创建完后点击关闭。

此时在用户列表中可以看到该用户已经添加成功。

然后右击该用户，选择属性。

点击隶属于选项卡。

然后点击左下角的添加按钮。弹出选择组对话框。

点击左下角的高级，弹出如下对话框：

点击立即查找，在搜索结果中选择 administrators。

同样点击确定。此时，在winuser属性的隶属于选项卡下可以看到，多了一个administrators。

然后点击右下角的应用，最后点击确定。

②在SQL Server Management Studio中，右击数据库，选择新建数据库

在数据库名称内输入student新建一个student数据库，然后点击确定。

展开实例下的“安全性”，右击“登录名”按钮，在弹出的快捷菜单中选择“新建登录”。

打开SQL Server登录属性对话框。在“常规”选项卡中，单击“名称”输入框右侧的按钮。

点击高级，弹出新的对话框

点击右侧的立即查找，在搜索结果中，找到winuser并选择该用户，然后点击确定。

验证方式选择 “Windows 身份验证”。

默认数据库选择student，完成登陆账号winuser的创建。

③选择“服务器角色”选项卡。可以在服务器角色列表框中选择相应的服务器角色成员。在这里，设置登录用户winuser的服务器角色为系统管理员。

④选择“用户映射”选项卡，在列表框中列出了该账号可以访问的数据库，如果单击数据库左边的复选框，表示该用户可以访问相应的数据库。在这里，选中数据库master和student左边的复选框，表示登陆用户winuser可以访问的数据库为master和student。在下方的数据库角色成员身份都选择public。然后点击确定。

在对象资源管理器中，展开安全性-登录名，可以看到winuser已存在。

同时，展开数据库-系统数据库-student-安全性-用户，在用户列表中可以看到数据库student中已经建立一个数据库用户winuser。

验证用WinUser账号登录SQL Server：首先在操作系统中注销当前用户的登陆，将用户切换到WinUser，再用此账号连接SQL Server查询分析器，用Windows身份验证登录,可以进入查询分析器，使用数据库master和student。

由于远程桌面注销会又会自动连接，所以我们需要先修改当前用户(administrator)的登录密码。

来到桌面，右击我的电脑，点击管理，在计算机管理窗口，依次展开系统工具-本地用户和组-用户(不会的可参考之前新建winuser时的步骤)，在右侧右击administrator，选择设置密码。

会弹出如下对话框，点击继续。

然后设置一个密码(我设置的密码是admin)，可以随意设置，但是需要记住密码，后面还需要登陆该用户。

然后点击左下角的开始，选择注销

弹出确认窗口，点击注销。

然后会自动到登陆页面，输入之前新建的winuser和密码，点击确定登录。

登录后，点击左下角的开始-所有程序-Microsoft SQL Server 2005-SQL Server Management Studio 进入SQL Server Management Studio。

点击连接后，登陆成功，此时可以新建查询，使用数据库master和student。

（2）使用SQL Server Management Studio管理SQL Server身份验证的登录帐号。

注销winuser，切换到administrator用户(不会的可参考之前从administrator切换到winuser的步骤)。

①在 SQL Server Management Studio中，展开实例下的“安全性”，右击“登录名”按钮，在弹出的快捷菜单中选择“新建登录”(参考前面新建登录步骤)，

②在登录名输入框内输入需要新建的用户名，这里新建的用户名是SQLUser。验证方式选择SQL Server身份验证，然后在密码框输入SQLUser的密码。这里设置成test。把强制实施密码策略的复选框去勾选去掉，默认数据库选择master，然后点击确认。

注意：采用该方法创建的SQL Server登录账号只能用于登录SQL Server服务，与登录的计算机的Windows账号无关，不能用此账号登录Windows。

③单击“用户映射”，在“映射到此用登录名的用户”中，将所有数据库都选中，下方的数据库角色成员身份全部选择public,然后单击确定完成账号的创建。

④关闭SQL Server Management Studio重新打开，在登录页面处身份验证选择SQL Server身份验证。然后输入刚才新建的账号和密码，然后点击连接。

步骤三

管理数据库用户

数据库用户对数据的访问权限以及对数据库对象的所有关系都是通过用户账号来控制的。在数据库中，用户账号与登录账号是两个不同的概念。一个合法的登录账号只表明该账号通过了Windows认证或SQL Server 认证，但不能表明其可以对数据库数据和数据对象进行某种或某些操作，只有其同时拥有了用户账号后，才能够访问数据库。所以一个登录账号总是与一个或多个数据库用户账号（这些账号必须分别存在相异的数据库中）相对应，这样才可以访问数据库。

（1）创建数据库用户

打开SQL Server Management Studio，展开服务器-数据库，选择要创建用户的数据库，如student，展开student，用鼠标右键单击“安全性”节点，从弹出的菜单中选择“新建-用户”命令。