Chương 8. Quản lý người dùng và bảo mật hệ thống

10/03/2015 1 Chương 8. Quản lý người dùng và bảo mật hệ thống TRƯỜNG CAO ĐẲNG CÔNG NGHỆ THÔNG TIN THÀNH PHỐ HỒ CHÍ MINH GV: Lê Thị Minh Nguyện Email: leminhnguyen@itc.edu.vn NỘI DUNG  Khái niệm  Chế độ bảo mật  Kiểm soát quyền truy cập trên CSDL  Vai trò của Server và Database  Quản trị người dùng 10/03/2015 2 1.Khái niệm Bảo mật cho phép người quản trị CSDL tự ra quyết định cho phép, hay không cho phép người dùng truy cập và thao tác trên CSDL sao cho có hiệu quả bảo mật dữ liệu tốt nhất. Bảo mật trong SQL Server có thể sử dụng mô hình 3 tầng. 3 1. Sử dụng thẩm định quyền (Login security) 2. Khả năng để người sử dụng sử dụng 1 hoặc nhiều CSDL(Database access security) 3. Các quyền cụ thể sử dụng bảo vệ CSDL (Permission security) 2.Chế độ bảo mật SQL Server có 2 chế độ bảo mật  Windows Authentication Mode (Windows Authentication)  Mixed Mode (Windows Authentication and SQL Server Authentication) 4 10/03/2015 3 Windows Authentication: Là chế độ bảo mật mà những User truy nhập SQL Server phải là những User của Windows. Khi Server đặt ở chế độ bảo mật này, những User phải là những User được Windows quản lý mới được truy nhập. 5 2.Chế độ bảo mật SQL Server Authentication: Khi thiết lập ở chế độ bảo mật này, những User được quyền khai thác phải là những User do quản trị SQL Server tạo ra, mà những user của Windows không được khai thác. SQL Server cho phép thiết lập hai chế độ  Windows Authentication Mode (Windows Authentication)  Mixed Mode (Windows Authentication and SQL Server Authentication) 6 2.Chế độ bảo mật 10/03/2015 4 7 3. Kiểm soát quyền truy cập trên CSDL 8 • Xét CSDL bán hàng gồm: PhongBan, SanPham, DonHang, CTDonHang, KhachHang và NhanVien. NhanVien(MaNV, HoLot, TenNV, NgayVaoLam, MaNQL, MaPB, Luong, HoaHong). Khi đó, mỗi phát biểu sau chỉ ra một mức truy cập tới CSDL trên và có thể được trao cho một nhóm user. 10/03/2015 5  User được phép truy xuất không điều kiện tới toàn bộ CSDL và thực hiện bất kỳ thao tác nào trên CSDL đó.  User không được phép truy xuất tới bất kỳ bộ phận nào của CSDL  User có thể đọc một bộ phận của CSDL nhưng không được thay đổi nội dung của bộ phận đó  User có thể đọc đúng một bộ trong bảng NhanVien nhưng không được sửa đổi bộ này  User có thể đọc đúng một bộ trong bảng NhanVien và sửa đổi nhưng không phải tất cả giá trị của bộ này. 9 3. Kiểm soát quyền truy cập trên CSDL  User có thể đọc các thuộc tính MaNV, TenNV, MaPB nhưng trong mỗi bộ chỉ được sửa giá trị của các thuộc tính MaPB  User có thể đọc các thuộc tính MaNV, TenNV, Luong nhưng trong mỗi bộ chỉ được sửa giá trị của các thuộc tính Luong trong khoảng thời gian từ 8h -> 11h từ một thiết bị đầu cuối đặt trong phòng tài vụ  User có thể đọc các thuộc tính MaNV, TenNV, Luong nhưng trong mỗi bộ chỉ được sửa giá trị của các thuộc tính Lương nếu và chỉ nếu giá trị hiện tại của thuộc tính Luong < 500 USD 10 3. Kiểm soát quyền truy cập trên CSDL 10/03/2015 6  User có thể áp dụng các phép toán thống kê cho thuộc tính Lương (như tính lương trung bình của từng phòng ban) nhưng không được đọc hay sửa đổi các giá trị cá biệt.  User có thể đọc các thuộc tính MaNV, Luong, HoaHong và trong mỗi bộ có thể sửa giá trị của thuộc tính HoaHong của nhân viên nếu và chỉ nếu người đó là trưởng phòng của phòng đó.  User có thể bổ sung thêm nhân viên vào một phòng ban nào đó hay xóa nhân viên khỏi một phòng nào đó. 11 3. Kiểm soát quyền truy cập trên CSDL  Xác nhận người dùng  Phân quyền 12 3. Kiểm soát quyền truy cập trên CSDL 10/03/2015 7 3.1. Xác nhận người dùng  Những user khác nhau tùy theo vị trí, vai trò, trách nhiệm và quyền hạn trong hệ thống sẽ có các quyền khác nhau đối với CSDL hay các bộ phận khác nhau của CSDL như các quan hệ hay thuộc tính của các quan hệ. Các quyền này bao gồm đọc, thêm, xóa hay sửa đổi các đối tượng của CSDL. 13 14 3.1. Xác nhận người dùng  Các DBMS phải đảm bảo không cho chép user thực hiện bất kỳ thao tác nào nếu không được phép. Người quản trị CSDL (DBA) là người có quyền cấp tài nguyên và quyền thao tác CSDL, nghĩa là người quản trị phải: (1) Xác nhận cho hệ thống những quyền hay cụ thể những thao tác mà mỗi user được phép thực hiện. (2) Cung cấp một phương tiện cho user để hệ thống nhận biết được họ. 10/03/2015 8 15 3.1. Xác nhận người dùng  Nhiệm vụ của DBA:  Định nghĩa lược đồ CSDL.  Định nghĩa cấu trúc lưu trữ và phương thúc truy xuất dữ liệu.  Sửa đổi lược đồ và tổ chức vật lý.  Cấp quyền User để truy xuất dữ liệu 16 3.1. Xác nhận người dùng  Nhiệm vụ của DBA:  Thực hiện vai trò liên kết các user.  Giám sát việc thực thi và đáp ứng các thay đổi phù hợp.  Quản lý không gian lưu trữ, thực hiện sao lưu dữ liệu.  Việc xác nhận user thường được sử dụng là mật khẩu. 10/03/2015 9 3.2.Phân quyền người dùng  Quyền người dùng được định nghĩa như mức độ người dùng có thể hay không thể thực thi trên CSDL, quyền được chia thành 4 loại như sau: – Quyền truy cập vào SQL Server – Quyền truy cập vào CSDL – Quyền thực hiện trên các đối tượng của CSDL – Quyền xử lý dữ liệu 17 Server role (vai trò phía Server) Database role (vai trò phía Database) 18 4.Vai trò của Server và Database 10/03/2015 10 19 Role mức server do hệ thống tạo ra không thay đổi được Được phép thực hiện Bulk Insert. Được phép tạo và sửa đổi cấu trúc CSDL. Có thể quản trị các file trên đĩa. Quản trị các dịch vụ đang chạy của SQL Server Quản trị hệ thống bảo mật Quản trị server 4.1. Server role tblEmployee(MaNV, Ten, ChucDanh, ChuyenMon, ChucVu) bulk insert tblEmployee from 'd:\employee.txt' with ( fieldterminator='|', rowterminator='\n' ) 20 10/03/2015 11 21  Database Role. - Role là đối tượng mà thông qua nó người quản trị có thể gán quyền khai thác cho người sử dụng. - Role do CSDL quản lý, khi tạo CSDL hệ thống tự đặt một số Role ngầm định. 4.2. Database role Vai trò Diễn giải Db_owner Đây là vai trò cao nhất. Người dùng có toàn quyền kiểm soát CSDL. Người dùng sa là thành viên của vai trò này. Db_securityadmin Cho phép người dùng quản lý tất cả các vai trò và các thành viên của chúng. Vai trò này cũng cho phép gán các quyền hạn cho các vai trò. Db_ accessadmin Vai trò này dùng cung cấp các quyền người dùng để thêm hoặc gỡ bỏ các người dùng trong CSDL Db_addadmin Cho phép người dùng thao tác tất cả các đối tượng trong CSDL. Ví dụ: có thể tạo lập, sửa chữa hoặc xoá các đối tượng trong CSDL. Db_backupoperator Cho phép người dùng thực hiện thao tác sao chép dự phòng 22 4.2. Database role 10/03/2015 12 Vai trò Diễn giải Db_datawriter Cho phép sửa chữa dữ liệu trong tất cả các bảng người dùng định nghĩa trong CSDL Db_datareader Cho phép người dùng hiển thị dữ liệu từ các bảng người dùng định nghĩa trong CSDL Db_denydatawriter Ngăn chặn người dùng sửa chữa dữ liệu trong bảng người dùng định nghĩa trong CSDL Db_denydatareader Ngăn chặn người dùng hiển thị dữ liệu trong bảng người dùng định nghĩa trong CSDL Public Vai trò public này hầu như không có quyền hạn ngoại trừ vài quyền rất cơ bản cho phép người dùng tạo kết nối tới CSDL 23 4.2. Database role Tạo role: trong CSDL hiện hành  Sp_addrole ‘role’ Đưa một user vào role  Sp_addrolemember ‘role’, ‘user’ Xóa nhóm  Sp_droprole ‘role’ Xóa một thành viên trong nhóm  Sp_droprolemember ‘role’, ‘user’ 24 4.2. Database role 10/03/2015 13 25 5.Quản trị người dùng  Người dùng trong SQL Server được chia thành 2 mức:  Người truy nhập vào SQL Server gọi là Login  Người khai thác CSDL gọi là User. 26 5.Quản trị người dùng  Nhà quản trị hệ thống (System administrator).  Người chủ CSDL (database owner).  Tạo login đăng nhập.  Cấp quyền truy cập vào CSDL.  Quyền thực hiện trên các đối tượng của CSDL.  Quyền xử lý dữ liệu. 10/03/2015 14 27  Nhà quản trị hệ thống có login là sa.  Có tòan quyền truy xuất đến tất cả đối tượng trong SQL Server  Không thể xóa login sa 5.1. Nhà quản trị hệ thống (System administrator)  Login dbo được gọi là database owner.  dbo là thành viên của nhóm db_owner.  Không thể xóa khỏi nhóm này. 28 5.2. Người chủ CSDL (database owner) 10/03/2015 15 5.3.Tạo login đăng nhập • Tạo login bằng phát biểu SQL – Create Login Login_name with password • Ví dụ: – Create login aido with password = ‘123456’ • Liệt kê danh sách login – Select name, createdate From syslogins 29 • Dùng sp EXEC sp_addlogin [@login= ] [,@password= ] [,@defdb= ] • Ví dụ Use QLSV EXEC sp_addlogin 'aido', '123456' 30 5.3.Tạo login đăng nhập 10/03/2015 16 5.4.Cấp quyền truy cập vào CSDL • Cú pháp SQL Create user user_name For Login • Ví dụ: Use QLSV Create user tuiday For login aido 31 • Cú pháp sp EXEC sp_grantdbaccess [@loginname= ] [,@name_in_db= ] Ví dụ: Use qlsv exec sp_grantdbaccess aido, tuiday 32 5.4.Cấp quyền truy cập vào CSDL 10/03/2015 17  Thay đổi password • Cú pháp: EXEC sp_password [@old= ] [,@new= ] [,@loginname= ] • EXEC sp_password ‘123456’, ‘123’, ‘aido’ 33 5.4.Cấp quyền truy cập vào CSDL  Xóa quyền truy cập vào csdl • Cú pháp: EXEC sp_revokedbaccess [@loginname= • Ví dụ: EXEC sp_revokedbaccess ‘tuiday’ 34 5.4.Cấp quyền truy cập vào CSDL 10/03/2015 18 • Cấp quyền tạo đối tượng – Cú pháp Grant to [tên user] • Ví dụ: Cấp quyền tạo view Use QLSV GRANT create table, create view To tuiday • Cấm quyền tạo đối tượng Deny to [tên user] • Ví dụ: DENY create table To pvn - Create database - Create table - Create View - Create proc - Create rule - Create default - Backup database - Backup log 35 5.5.Quyền thực hiện trên các đối tượng của CSDL • Cấp quyền xử lý dữ liệu Grant <ALL| các quyền ON TO • Ví dụ: GRANT INSERT, UPDATE, DELETE ON sinhvien TO lmn • Cấm quyền tạo đối tượng Deny on to [tên user] (hoặc dùng revoke) • Ví dụ: Deny insert on sinhvien to lmn - Select - Update - Insert - Delete - References - Execute 36 5.6.Quyền xử lý dữ liệu 10/03/2015 19 • Grant/ Revoke/ Deny còn cho phép cấp quyền trên từng Field của table. • Ví dụ: cho user ltm chỉ được quyền hiệu chỉnh dữ liệu trên các Field: Ho, Ten, Phai, DiaChi, NgaySinh của NHANVIEN GRANT UPDATE (Ho, Ten, Phai, DiaChi, NgaySinh) ON NHANVIEN To lmn 37 5.6.Quyền xử lý dữ liệu Ví dụ Tạo 3 login A, B, C có chung 1 password là ‘password’ làm việc trên CSDL QLTV Tạo nhóm PK và cho A,B thuộc nhóm này Use master Exec sp_addlogin ‘A’, ‘password’, ‘QLTV’ Exec sp_addlogin ‘B’, ‘password’, ‘QLTV’ Exec sp_addlogin ‘C’, ‘password’, ‘QLTV’ 38 10/03/2015 20 Ví dụ Use qltv Exec sp_grantdbaccess @loginame= ‘A’ Exec sp_grantdbaccess @loginame= ‘B’ Exec sp_grantdbaccess @loginame= ‘C’ Exec sp_addrole ‘PK’ Exec sp_addrolemember ‘PK’, ‘A’ Exec sp_addrolemember ‘PK’, ‘B’ 39 10/03/2015 21 TRƯỜNG CAO ĐẲNG CÔNG NGHỆ THÔNG TIN THÀNH PHỐ HỒ CHÍ MINH