什么是基于角色的安全?

介绍

安全角色可以简化SQL Server中的权限。在本文中,解释了固定的服务器和数据库角色

管理SQL Server的安全是非常重要的。作为DBA或安全管理员，您需要为登录用户和数据库用户提供访问SQL Server中的资源的权限。SQL Server同时拥有服务器和数据库资源，其中可能需要授予访问权限。可以将对这些资源的访问权限授予单个登录用户或数据库用户，也可以授予角色(登录用户或数据库用户可以是角色的成员)。通过角色授予访问权称为基于角色的安全。

两种类型的角色:固定的或用户定义的。在本文中，我将讨论SQL server提供的不同的固定服务器和数据库角色，以及如何使用这些角色来支持基于角色的安全性，从而简化对不同SQL server资源的访问。在以后的文章中，我将讨论用户定义的服务器和数据库角色。

什么是基于角色的安全?

基于角色的安全是通过角色的成员来提供登录和/或数据库用户访问SQL Server资源的概念。角色是SQL Server中包含成员的对象，很像Windows组包含成员。当登录用户或数据库用户是角色的成员时，他们继承角色的权限。当使用基于角色的安全时，对SQL Server资源的实际访问权限被授予一个角色，而不是特定的登录或用户。当多个登录或用户需要对SQL Server资源进行相同的访问时，基于角色的安全性减少了授予和管理安全性所需的管理工作量。一旦设置了角色，并向其授予了适当的权限，只需将登录或用户添加到角色，就可以为其提供与角色相同的访问权限。如果不使用角色，管理员将需要向每个登录用户或数据库用户授予相同的权限，从而导致额外的管理工作。还可能会出现错误，导致一些登录和用户获得错误的权限集。SQL Server中有两种固定角色:服务器和数据库。固定的服务器角色提供对服务器资源的特定安全访问。相比之下，固定的数据库角色提供对数据库资源的访问。

固定的服务器角色

Fixed Server roles have server-wide scope. They come with a set of canned permissions tied to them. The permissions for server roles can’t be changed or extended.

There are nine different fixed server roles provided with SQL Server, which are shown in Table 1, along with a description. The information in the table is directly from the Microsoft SQL Server documentation.

固定的服务器角色具有服务器范围的作用域。它们附带了一组固定的权限。服务器角色的权限不能更改或扩展。

SQL server提供了9种不同的固定服务器角色，如表1所示，并提供了描述。表中的信息直接来自Microsoft SQL Server 文档

Table 1: 固定服务器橘色

每个固定的服务器角色提供一组唯一的固定权限，这些权限可以提供对服务器资源的不同类型的访问。固定服务器角色(公共服务器角色除外)关联的权限集不能修改。公共角色与所有其他固定服务器角色略有不同，因为您可以向该角色授予权限。当将权限授予该公共角色时，所有访问SQL Server的用户将继承该公共角色的权限。公共角色是为每次登录提供一些默认权限的好方法。当登录、Windows帐户或Windows组成为这些服务器角色之一的成员时，它们将继承与该角色关联的权限。如果某人需要与服务器角色拥有相同的权限，那么让他们成为角色的成员要比授予他们对与角色关联的每个权限的访问权限容易得多。此外，当您希望向多个登录授予相同的服务器权限时，将每个登录放在相同的服务器角色中可以很容易地实现这一点，确保它们获得完全相同的权限。用户定义的角色也可以添加为服务器角色的成员。关于用户定义角色的讨论将留到另一篇文章中讨论。有许多不同的存储过程、视图和函数可用于处理固定的服务器角色。

如果不确定与服务器角色关联的权限，可以使用系统存储过程sp_srvrolepermission来显示分配给单个固定服务器角色或所有固定服务器角色的权限。清单1中的代码显示了如何使用这个存储过程的两个不同示例。

Listing 1: 使用sp_srvrolepermission 展示单个或者全部角色权限

-- Displaying all server role permissions
EXEC sp_srvrolepermission;
GO
-- Displaying permissions for only the dbcreator role
EXEC sp_srvrolepermission @srvrolename = 'dbcreator';

可以使用SQL server Management Studio (SSMS)或TSQL向固定服务器角色添加登录。要使用SSMS，请遵循以下步骤:

连接到一个实例

1. 展开Security项
2. 展开“服务器角色”项
3. 右键单击固定服务器角色，然后单击属性选项
4. 单击服务器角色属性页面上的Add按钮
5. 选择要添加到固定服务器角色中的登录或自定义服务器角色
6. 单击一系列Ok按钮，完成向角色添加新成员的操作

如下：

Figure 1: 添加一个新的成员到固定服务器角色

Alternatively, you can use the TSQL code to add a login to a fixed server role. The code in Listing 2 adds the Red-Gate login to the sysadmin fixed server role.

或者采用下面listing 2 的脚本添加。

Listing 2: 添加新的角色成员.

ALTER SERVER ROLE sysadmin ADD MEMBER [Red-Gate];

Listing 3: 删除成员

ALTER SERVER ROLE sysadmin DROP MEMBER [Red-Gate];

固定服务器角色是一种很好的方式，可以让dba、安全管理员和操作人员访问他们执行工作职责所需的服务器资源。通过使用服务器角色，可以简化对服务器资源的权限授予。除了固定的服务器角色外，还有固定的数据库角色。