3.2. Роли в sql Server

Роли — это средство объединения учетных записей в группы с целью упрощения администрирования. Включив учетную запись в ту или иную роль сервера, можно предоставить ей определенный набор прав по администрированию сервера и доступа к базе данных.

Роли SQL Server делятся на три группы:

• фиксированные серверные роли;

• фиксированные роли в базах данных;

• пользовательские роли в базах данных.

Ни одну из фиксированных ролей нельзя удалить.

В SQL Server определено восемь фиксированных серверных ролей. Каждой из них назначены разрешения, позволяющие выполнять определенные действия на уровне сервера: управлять учетными записями, создавать базы данных и т.д. Разрешения фиксированной серверной роли нельзя изменить; невозможно также создать новую серверную роль. Если учетная запись принадлежит некоторой роли, она имеет все ее разрешения.

Далее приведены фиксированные серверные роли.

Bulkadmin – выполняет инструкции BULK INSERT.

Dbcreator – создает и модифицирует базу данных.

Diskadmin – управляет дисковыми файлами.

Processadmin – управляет процессами SQL Server.

Securityadmin – администрирует объекты login.

Serveradmin – настраивает опции сервера.

Setupadmin – настраивает репликацию и управляет расширенными процедурами.

Sysadmin – выполняет на сервере любые операции.

По умолчанию, В SQL Server используется учетная запись под именем «sa». Она принадлежит фиксированной серверной роли «sysadmin», имеющей доступ ко всем объектам SQL Server.

Роли базы данных позволяют объединять пользователей в одну административную единицу и работать с ней как с обычным пользователем. Правами доступа к объектам базы данных определенной роли, автоматически наделяются все пользователи, включенные в эту роль.

Для каждой базы данных в SQL Server определено по десять фиксированных ролей. Все системные роли в базе данных, за исключением роли public, имеют фиксированные наборы разрешений, которые нельзя изменять.

Фиксированные роли в базе данных следующие:

Db_accessadmin – добавляет новых пользователей базы данных и удалять существующих.

Db_backupoperator – выполняет резервное копирование базы данных.

Db_datareader – читает все данные во всех пользовательских таблицах базы данных.

Db_datawriter – добавляет, обновляет и удаляет данные любых таблиц базы данных.

Db_ddladmin – создает, изменяет и удаляет объекты базы данных

Db_danydatareader – устанавливает запрет на считывание данных, хранящихся в таблице базы данных

Db_danydatawriter – устанавливает запрет на модификацию данных, хранящихся в базе данных

Db_owner – выполняет в базе данных любые операции

Db_securityadmin – управляет всеми разрешениями базы данных

Public – выполняет только те операции, на которые этой роли предоставлены явные разрешения.

В любой базе данных автоматически создаются два пользователя:

• dbo (database owner). Это специальный пользователь базы данных, являющийся ее владельцем. Владелец базы данных имеет абсолютные права по ее управлению. Пользователя dbo нельзя удалить. По умолчанию в пользователя dbo отображается учетная запись sa, которой тем самым предоставляются максимальные права в базе данных. Кроме того, все члены роли базы данных db_owner также считаются владельцами базы данных. Пользователь dbo включен в роль db_owner и не может быть удален из нее;

• guest. Если учетной записи явно не предоставлен доступ к базе данных, то она автоматически отображается сервером в пользователя guest. С помощью этого пользователя можно предоставлять разрешения на доступ к объектам базы данных, необходимые любому пользователю. Разрешив доступ пользо­вателю guest, вы, тем самым, даете аналогичные права доступа всем учетным записям, сконфигурированным на SQL Server 2000. Для повышения безопасности хранящейся информации рекомендуется удалять пользователя guest из базы данных.

Владелец базы данных или авторизированный пользователь может создавать пользовательские роли и назначать этим ролям разрешения на доступ к объектам, а также на выполнение инструкций. Каждый новый пользователь базы данных автоматически становится членом системной роли public. Пользовательские роли в базах данных могут быть вложенными.

Каждой роли устанавливаются определенные права на доступ к объектам базы данных. Объектами являются таблицы, столбцы таблиц, представления, хранимые процедуры. Таким образом, контролируется возможность выполнения пользователем команд SELECT, INSERT, UPDATE, DELETE для таблиц и представлений, и команды EXECUTE для хранимых процедур.