Security 13:SQL Server 默认的角色和用户

SQL Server在服务器级别和数据库级别都有默认的安全主体(Principal),用户经常遇到的有sa 登录,dbo 用户,guest 用户和public角色,public 角色分为服务器级别和数据库级别。

一,sa 登录

sa login 是服务器级别的特殊安全主体,登录名是sa,是服务器级别的SQL LOGIN。默认情况下,在安装SQL Server实例时,sa login就被创建了。从SQL Server 2005开始,sa login的默认数据库是master,并且是sysadmin角色的成员,因此sa login拥有服务器的最高权限,并且权限不能被限制。虽然sa login不能被删除,但是可以禁用。一旦sa被禁用,任何人都无法使用sa login来管理SQL Server实例。

二,数据库级别的特殊用户

在数据库级别,SQL Server在每个数据库中都预先创建了两个特殊的用户:dboguest,在每个数据库中都有这两个用户(User):

  • dbodatabase owner的简称):是WINDOWS_USER,数据库的所有者(Owner),每个数据库都有一个dbo用户,SQL Server把固定服务器角色 sysadmin 的成员、sa login和数据库的owner都映射到数据库用户 dbo上。
  • guest:宾客,是SQL_USER,对于任何没有映射到数据库用户的有效登陆(Login),SQL Server使用guest账户登陆数据库。在登陆数据库之前,需要分配权限给guest, 一般给guest查看(select)数据库对象的权限,默认情况下,guest是没有登录数据库的权限。

1,dbo 用户

dbo是数据库所有者(database owner)的简写,dbo用户存在于每一个数据库中,是数据库中权限最大的user,sa login,sysadmin角色的所有成员和数据库的Owner,都会以dbo身份登录到数据库 。

dbo用户拥有数据库的所有权限,权限不能被限制,不能被删除,也不能被禁用。dbo 用户并不完全等价于db_owner 角色,通常情况下,db_owner角色的成员就是数据库的所有者(Database Owner)。

2,guest 用户

每个数据库都包含一个guest用户,当一个login有权限登录SQL Server实例后,如果没有在数据库中映射响应的user账户,那么该login使用guest用户连接到数据库,同时继承guest用户的权限,以guest的身份来访问数据库。

guest用户默认存在每个数据库中,默认情况下,guest用户是禁用的,可以通过命令启用guest用户。

GRANT CONNECT TO GUEST

一旦启用guest用户,所有可以登陆到SQL Server的Login,都可以使用guest身份来访问数据库,并拥有guest用户的权限,可以通过命令禁用guest用户。guest用户不会被删除,但是可以通过回收 CONNECT 权限来禁用。

REVOKE CONNECT FROM GUEST;

注意:只能在 master 和 tempdb 以外的数据库中执行禁用GUEST帐号的操作,这是因为许多用户都需要以GUEST身份访问master 和 tempdb系统数据库,GUEST用户在master 和 tempdb数据库的权限被严格限制。

3,dbo和db_owner的区别

dbo是一个user,能够对一个数据库执行任何操作。sa login,sysadmin角色的所有成员和数据库的Owner,都会以dbo身份登录到数据库 。由于dbo user是dbo schema的owner,因此dbo user创建的数据库对象的owner都是dbo。

db_owner是一个角色,它的成员不是dbo。如果一个用户是db_owner角色的成员,该角色具有操作数据库的所有权限,甚至包括删除数据库。

三,public 角色

public是一个服务器级别的角色,同时也是一个数据库级别的角色,注意,public角色的权限不是固定的,因此public 不属于固定角色(fixed role),在 sys.server_permissions 和 sys.database_principals的 字段 is_fixed_role 是 0。

  • 对于服务器级别的public角色,每一个login 都属于public 角色,当一个login没有被授予特定的权限时,那么该login会继承public的权限。
  • 对于数据库级别的public角色,每一个user都属于public 角色,当一个user没有被授予特定的权限时,那么该user会继承public的权限。

public角色特殊之处在于:角色的权限可以被修改。当一个login 或user没有被授予特定安全对象上的权限时,该login或user会继承public角色的权限。public 角色不能被删除,但是可以对public角色的权限进行授予(Grant)、拒绝(Deny)和回收(Revoke)。

默认情况下,有一些权限会被授予到public角色上,比如, VIEW ANY DATABASE 用于查看SQL Server实例上的所有数据库。

当对public角色进行权限管理时,一定要慎重,因为这会影响所有的login或user。通常情况下,不要把对public设置deny权限,这是由于deny语句的优先级最高,deny权限会覆盖所有的grant权限。

 

每个 SQL Server 的登录(Login)均属于 public 服务器角色,所有的数据库用户(User) 都属于public数据库角色。用户不能删除public角色,但是,可以授予或收回public角色的权限。默认情况下,public角色被分配很多权限,大部分权限都跟数据库中的日常操作有关。默认情况下,

  • 数据库级别的public 角色拥有的权限:查看特定系统表
  • 服务器级别的public 角色拥有的权限:查看数据库(VIEW ANY DATABASE),链接服务器(CONNECT)

当一个对象对所有用户或登录可用时,只需把权限分配给 public 角色即可。默认情况下,所有的数据库用户都属于public角色,因此,授予或回收public角色的权限,将会影响所有的用户。

 

 

 

参考文档:

Principals (Database Engine)

作者悦光阴
本文版权归作者和博客园所有,欢迎转载,但未经作者同意,必须保留此段声明,且在文章页面醒目位置显示原文连接,否则保留追究法律责任的权利。
posted @ 2020-11-20 11:40  悦光阴  阅读(638)  评论(0编辑  收藏  举报