数据库管理系统的安全功能-.ppt

第第7章章安全性安全性1第第7章章安全性安全性安全性概述安全性概述SQLServer的安全控制的安全控制其他安全其他安全问题问题27.1安全性概述安全性概述37.1.1安全性措施的安全性措施的层次次物理物理层人人员层操作系操作系统层网网络层数据数据库系系统层47.1.2数据数据库管理系管理系统的安全功能的安全功能安全性控制是数据安全性控制是数据库管理管理员（或系（或系统管理管理员）的一个重要）的一个重要任任务，他要充分利用数据，他要充分利用数据库管理系管理系统的安全功能，保的安全功能，保证数数据据库和数据和数据库中数据的安全。中数据的安全。数据数据库关系管理系关系管理系统的安全功能可以划分的安全功能可以划分为用用户管理管理和和数数据据库操作操作权限管理限管理两部分。两部分。安全系安全系统的核心的核心问题是是身份身份识别。几个概念几个概念用用户权限限用用户组角色角色57.1.3自主存取控制与自主存取控制与强制存取控制制存取控制对数据数据库对象的操作象的操作权限或存取控制分限或存取控制分为自主存取控制自主存取控制强制存取控制制存取控制6自主存取控制自主存取控制自主存取控制就是由用自主存取控制就是由用户户（如数据（如数据库库管理管理员员）自主控制）自主控制对对数据数据库对库对象的操作象的操作权权限，限，哪些用哪些用户户可以可以对对哪些哪些对对象、象、进进行哪些操作，行哪些操作，完全取决于用完全取决于用户户之之间间的授的授权权。目前大多数数据目前大多数数据库库管理系管理系统统都支持的是自都支持的是自主存取控制方式。主存取控制方式。7强制存取控制制存取控制强制存取控制的思路是，制存取控制的思路是，为每一个数据每一个数据库对象象标以一定的以一定的密密级（Classificationlevel），），对每一个用每一个用户都确定一个都确定一个许可可级别（Clearancelevel）。）。如密如密级可以分可以分为绝密、机密、机密、保密、秘密、公开等若干密、保密、秘密、公开等若干级别；而用；而用户可以划分可以划分为一一级用用户（可以操作所有数据）、二（可以操作所有数据）、二级用用户（可以操作除（可以操作除绝密以外的所有数据）、三密以外的所有数据）、三级用用户等。等。强制存取控制本制存取控制本质上具有分上具有分层的特点，通常具有静的特点，通常具有静态的、的、严格的分格的分层结构，与构，与现实世界的世界的层次管理也相吻合。次管理也相吻合。这种种强制存取控制特制存取控制特别适合适合层次次严明的明的军方和政府等数据管理。方和政府等数据管理。87.2SQLServer的安全控制的安全控制SQLServer2005SQLServer的的认证过程程管理管理SQLServer的登的登录帐户管理数据管理数据库用用户管理管理权限限角色角色97.2.1SQLServer的的认证过程程连接接权认证访问权认证操作操作权认证SQlServer服服务器器系系统数据数据库操作操作权认证用用户数据数据库1用用户数据数据库2访问权认证用用户数据数据库2连接接权认证登登录帐户A10SQLServer的的认证过程程连接接权认证管理管理SQLServer的登的登录帐户访问权认证管理数据管理数据库用用户操作操作权认证管理管理权限限117.2.2管理管理SQLServer的登的登录帐户功能功能登登录帐户来源来源三种身份三种身份验证模式模式连接接权认证步步骤图用用户的分的分类登登录帐户的管理的管理121.功能功能功能：用于功能：用于连接接权认证SQlServer服服务器器连接接权认证登登录帐户A登登录帐户名？名？密密码？132登登录帐户的来源的来源登登录帐户主要来源主要来源Windows授授权用用户：来源于来源于Windows的用的用户或或组；SQL授授权用用户：来源于非来源于非Windows的用的用户，我，我们将将这种用种用户称称为SQL用用户。143三种身份三种身份验证模式模式三种身份三种身份验证模式模式标准模式（也称准模式（也称为SQLServer登登录模式）模式）Windows身份身份验证模式模式混合混合验证模式模式15身份身份验证模式模式标准模式准模式Windows身份身份验证模式模式混合模式混合模式16标准身份准身份验证模式模式在在这种种模模式式下下，由由数数据据库管管理理系系统独独立立来来管管理理自己的数据自己的数据库安全。安全。数数据据库管管理理系系统把把用用户登登录的的ID号号和和口口令令存存储在在特特定定的的系系统表表中中，当当用用户试图登登录到到数数据据库系系统时，数数据据库管管理理系系统查询有有效效的的登登录ID和和口令，以决定是否允口令，以决定是否允许用用户登登录。17身份身份验证模式模式标准模式准模式Windows身份身份验证模式模式混合模式混合模式18Windows身份身份验证模式模式集成身份集成身份验证模式也称模式也称为Windows身份身份验证模式，模式，用用户通通过WindowsNT或或Windows2000（以下以下简称称Windows）的身份的身份验证后后则自自动进行行SQLServer身份身份验证。即当用。即当用户通通过Windows用用户账户进行行连接接时，SQLServer通通过回叫回叫Windows以以获得信息，重新得信息，重新验证账户名和密名和密码。19SQLServer的安全体系的安全体系图7-1 SQL Server安全体系20身份身份验证模式模式标准模式准模式集成模式集成模式混合模式混合模式21混合身份混合身份验证模式模式混合模式使用混合模式使用户户得以使用得以使用Windows身份身份验证验证或或SQLServer身份身份验证验证与与SQLServer实实例例连连接接。22混合身份混合身份验证模式的登模式的登录决策决策过程程23使用客使用客户应用程序用程序连接到接到SQLServer身份身份验证模式？模式？混合模式混合模式SQLServer登登录连接接吗？WindowsNT身份身份验证模式模式WindowsNT账户连接接吗？NONO有效登有效登录？Yes密密码正确？正确？Yes连接接许可？可？YesSQLServer接受接受连接接YesYesNOSQLServer拒拒绝连接接NOSQLServer拒拒绝连接接NO4连接接权认证步步骤图245用用户的分的分类系系统管理管理员用用户数据数据库管理管理员用用户数据数据库对象用象用户数据数据库访问用用户25建立新的登建立新的登录帐户sp_addloginloginname=login_id-登登录名称名称,passwd=passwd-登登录密密码,defdb=defdb-默默认数据数据库,deflanguage=deflanguage-默默认语言言,sid=sid-安全安全标识号号,encryptopt=encryption_option-密密码是否加密是否加密Sql Server 2005Sql Server 2005里提供了里提供了Create loginCreate login语句句CREATELOGINlogin_nameWITH|FROM26例：建立登例：建立登录帐户建立登建立登录帐户manager、test1sp_addloginmanager，123sp_addlogintest1，123操作操作员：系：系统管理管理员27例：建立登例：建立登录帐户建立登建立登录帐户test1Create login test1Create login test1With passwordWith password=12328修改登修改登录密密码sp_passwordold=old_password,-旧登旧登录密密码new=new_password-新登新登录密密码,loginame=login-登登录名称名称或或ALTERLOGINlogin_name|WITH,.操作操作员：该登登录账户29删除登除登录帐户sp_droploginloginame=login-登登录名称名称或或DROPLOGINlogin_name操作操作员：系：系统管理管理员306管理管理SQLServer的登的登录帐户（1）建立新的登）建立新的登录帐户“LoginUser”系系统管理管理员身份身份Sp_addloginLoginUser,abc已已创建新登建新登录316管理管理SQLServer的登的登录帐户登登录帐户名名登登录帐户密密码 （2）以登）以登录帐户LoginUser的身份来登的身份来登录LoginUser*326管理管理SQLServer的登的登录帐户SQlServer服服务器器系系统数据数据库学生学生库（用（用户数据数据库）用用户数据数据库2连接接权认证LoginUser访问权认证？337.2SQLServer的的认证过程程连接接权认证管理管理SQLServer的登的登录帐户访问权认证管理数据管理数据库用用户操作操作权认证管理管理权限限347.2.3 管理数据管理数据库用用户功能功能数据数据库库用用户户的管理的管理351.功能功能SQlServer服服务器器系系统数据数据库学生学生库（用（用户数据数据库）用用户数据数据库2访问权认证连接接权认证LoginUserLoginUser的数据的数据库用用户学生学生库（用（用户数据数据库）要要访问哪个数据哪个数据库，就必，就必须在此数据在此数据库下建立与下建立与帐户相相对应的数据的数据库用用户36授授权登登录用用户为当前数据当前数据库用用户sp_grantdbaccessloginame=login,name_in_db=name_in_db或或CREATEUSERuser_nameFOR|FROMLOGINlogin_name|CERTIFICATEcert_name|ASYMMETRICKEYasym_key_name|WITHOUTLOGINschema_name37授授权某登某登录用用户为数据数据库用用户CREATELOGINtest3withpassword123Use订货管理管理CREATEUSERtest3userforlogintest3操作操作员：系：系统管理管理员383.管理数据管理数据库用用户登登录帐户数据数据库用用户映射映射39从当前数据从当前数据库中中删除用除用户sp_revokedbaccessname_in_db=name或或DROPUSERuser_name操作操作员：系：系统管理管理员403.管理数据管理数据库用用户（1 1）在）在“学生学生库”下，下，为登登录帐户“LoginUser”LoginUser”建建立数据立数据库用用户“DbUser”DbUser”Sp_grantdbaccessLoginUser,DbUser已向已向LoginUser授予数据授予数据库访问权413.管理数据管理数据库用用户（2）以登）以登录帐户LoginUser的身份来登的身份来登录LoginUser*423.管理数据管理数据库用用户（3）访问学生学生库433.管理数据管理数据库用用户（4）查询“学生学生库”中的中的“学生表学生表”的全部的全部信息信息思考思考能否能否对“学生学生”库进行操作？行操作？为什么？什么？44SQlServer服服务器器系系统数据数据库用用户数据数据库2访问权认证连接接权认证LoginUserDBUser学生学生库（用（用户数据数据库）无操作无操作权LoginUser？3.管理数据管理数据库用用户查询？添加数据？添加数据？45SQLServer的的认证过程程连接接权认证管理管理SQLServer的登的登录帐户访问权认证管理数据管理数据库用用户操作操作权认证管理管理权限限467.2.4权限管理限管理授予授予权限限授予授予语句句权限限授予授予对象象权限限隐含含授授权收回收回权限限禁止禁止权限限471授予授予权限限授予授予语句句权限限GRANTALL|statement_listTOname_liststatement_list给出授出授权的的语句列表，可以是：句列表，可以是：BACKUPDATABASEBACKUPLOGCREATEDATABASECREATEDEFAULTCREATEFUNCTIONCREATEPROCEDURECREATERULECREATETABLECREATEVIEWwP159481授予授予权限限授予授予权限限授予授予语句句权限限授予授予对象象权限限查询授授权收回收回权限限禁止禁止权限限角色与存取控制角色与存取控制491授予授予权限限授予授予对象象权限限处理数据或理数据或执行存行存储过程程时需要有相需要有相应对象的操作或象的操作或执行行权限，限，这些些权限可以划分限可以划分为：SELECT、INSERT、UPDATE和和DELETE语句句权限，限，它它们可以可以应用到整个表或用到整个表或视图上。上。SELECT和和UPDATE语句句权限，它限，它们可以有可以有选择性地性地应用到表或用到表或视图中的中的单个列上。个列上。INSERT和和DELETE语句句权限，它限，它们会影响整行，因此会影响整行，因此只可以只可以应用到表或用到表或视图中，而不能中，而不能应用到用到单个列上。个列上。EXECUTE语句句权限，即限，即执行存行存储过程和函数的程和函数的权限。限。501授予授予权限限授予授予对象象权限限GRANTALLPRIVILEGES|permission_list(column_list)ONtable|view|ONtable|view(column_list)|ONstored_procedure|ONuser_defined_function TOname_list WITHGRANTOPTIONASgroup|role P160161511授予授予权限限授予授予权限限授予授予语句句权限限授予授予对象象权限限查询授授权收回收回权限限禁止禁止权限限角色与存取控制角色与存取控制521授予授予权限限查询授授权使用系使用系统存存储过程程sp_helprotect查询授授权的的情况情况531授予授予权限限（1）授予）授予DbUser用用户对学生表的学生表的查询权grantselecton学生表学生表toDbUser命令已命令已经成功完成成功完成541授予授予权限限（2）以登）以登录帐户LoginUser的身份来登的身份来登录LoginUser*551授予授予权限限（3）查询“学生学生库”中的中的“学生表学生表”的全部的全部信息信息561授予授予权限限SQlServer服服务器器系系统数据数据库用用户数据数据库2访问权认证连接接权认证LoginUserDBUser学生学生库（用（用户数据数据库）查询成成功功577.2.4权限管理限管理授予授予权限限授予授予语句句权限限授予授予对象象权限限查询授授权收回收回权限限禁止禁止权限限582收回收回权限限收回收回语句授句授权REVOKEALL|statement_listFROMname_list收回收回对象授象授权REVOKEGRANTOPTIONFORALLPRIVILEGES|permission_list(column_list)ONtable|view|ONtable|view(column_list)|ONstored_procedure|ONuser_defined_function FROMname_listCASCADEASgroup|role wP161162597.2.4权限管理限管理授予授予权限限授予授予语句句权限限授予授予对象象权限限查询授授权收回收回权限限禁止禁止权限限603禁止禁止权限限禁止禁止语句句权限限DENYALL|statement_listTOname_list禁止禁止对象象权限限DENYALLPRIVILEGES|permission_list(column_list)ONtable|view|ONtable|view(column_list)|ONstored_procedure|ONuser_defined_function TOname_list CASCADE61举例例1、用、用sa登登录sqlserver，建立登，建立登录用用户test1Create login test1Create login test1With passwordWith password=1232、用、用test1登登录到到sqlserver，访问订货管理数据管理数据库Use订货管理管理3、用、用sa登登录sqlserver，指定用，指定用户test1可以可以访问当前数据当前数据库(订货管理管理)Use订货管理管理CREATEUSERDB1forlogintest14、用、用test1登登录到到sqlserver，访问订货管理数据管理数据库5、查询职工表里的数据。工表里的数据。Select*from职工工8、用、用sa登登录sqlserver，给test1可以可以查询职工表的工表的权限。限。Grantselecton职工工toDB19、用、用test1登登录到到sqlserver，访问订货管理数据管理数据库，查询职工表里的数据工表里的数据成功成功失失败失失败成功成功62思考思考80个用个用户相同或相相同或相似的似的权限限一个个授予一个个授予权限么？限么？637.2.5角色管理角色管理用用户组和角色和角色定定义角色角色为数据数据库用用户指定角色指定角色取消数据取消数据库用用户的角色的角色删除角色除角色SqlServer的的预定定义角色角色64用用户组和角色和角色按用按用户分分组：先定：先定义用用户组，然后按用，然后按用户组管理管理权限；限；按按职责划分角色：先定划分角色：先定义权限，然后限，然后为用用户指定角色。指定角色。657.2.5角色管理角色管理用用户组和角色和角色定定义角色角色为数据数据库用用户指定角色指定角色取消数据取消数据库用用户的角色的角色删除角色除角色SqlServer的的预定定义角色角色66定定义角色角色sp_addrolerolename=role,ownername=owner或或CREATEROLErole_name操作者：数据操作者：数据库管理管理员67举例：例：建立新角色建立新角色operate在在订货数据数据库下下CREATEROLEoperate68用用户只能只能创建数据建数据库一一级的角色。的角色。697.2.5角色管理角色管理用用户组和角色和角色定定义角色角色为数据数据库用用户指定角色指定角色取消数据取消数据库用用户的角色的角色删除角色除角色SqlServer的的预定定义角色角色70为数据数据库用用户指定角色指定角色sp_addrolememberrolename=role,membername=user_account操作者：角色所有者操作者：角色所有者71举例：指定例：指定DbUser为角色角色operate的成的成员切切换到到订货管理数据管理数据库sp_addrolememberoperate,Db1727.2.5角色管理角色管理用用户组和角色和角色定定义角色角色为数据数据库用用户指定角色指定角色取消数据取消数据库用用户的角色的角色删除角色除角色SqlServer的的预定定义角色角色73取消用取消用户的角色的角色sp_droprolememberrolename=role,membername=user_account74例：例：取消取消DbUser的的operate角色角色sp_droprolememberoperate,Db1757.2.5角色管理角色管理用用户组和角色和角色定定义角色角色为数据数据库用用户指定角色指定角色取消数据取消数据库用用户的角色的角色删除角色除角色SqlServer的的预定定义角色角色76删除角色除角色sp_droprolerolename=role或或DROPROLErole_name删除角色需要先除角色需要先删除角色的成除角色的成员77举例例DROPROLEoperate,DbUser错误：DROPROLEoperate正确：正确：sp_droprolememberoperate,DbUserDROPROLEoperate787.2.5角色管理角色管理用用户组和角色和角色定定义角色角色为数据数据库用用户指定角色指定角色取消数据取消数据库用用户的角色的角色删除角色除角色SqlServer的的预定定义角色角色79SQLServer的的预定定义角色角色public角色角色系系统预定定义角色角色使用使用sp_helpsrvrole获得各种系得各种系统管理管理员角色的描述角色的描述使用使用sp_srvrolepermission得到每种系得到每种系统管理管理员角色的角色的特定特定权限（可以限（可以执行的命令、系行的命令、系统存存储过程或程或说明）明）数据数据库预定定义角色角色使用使用sp_helpdbfixedrole获得数据得数据库上各种上各种预定定义角色角色的描述的描述使用使用sp_dbfixedrolepermission得到每种数据得到每种数据库预定定义角色的特定角色的特定权限（可以限（可以执行的命令、系行的命令、系统存存储过程或程或说明）明）80public角色角色public角色是一个特殊的数据角色是一个特殊的数据库角色，每个数据角色，每个数据库用用户都是都是该角色的成角色的成员。public角色具有如下特点：角色具有如下特点：public角色自角色自动获得数据得数据库中用中用户的所有默的所有默认权限；限；不需要、也无法将用不需要、也无法将用户指派指派给public角色，角色，因因为默默认情况下所有用情况下所有用户都属于都属于该角色；角色；每个数据每个数据库（包括所有系（包括所有系统数据数据库和所有用和所有用户数据数据库）都有）都有public角色；角色；不可以不可以删除除public角色。角色。81SQLServer的的预定定义角色角色public角色角色系系统预定定义角色角色使用使用sp_helpsrvrole获得各种系得各种系统管理管理员角色的描述角色的描述使用使用sp_srvrolepermission得到每种系得到每种系统管理管理员角色的角色的特定特定权限（可以限（可以执行的命令、系行的命令、系统存存储过程或程或说明）明）数据数据库预定定义角色角色使用使用sp_helpdbfixedrole获得数据得数据库上各种上各种预定定义角色角色的描述的描述使用使用sp_dbfixedrolepermission得到每种数据得到每种数据库预定定义角色的特定角色的特定权限（可以限（可以执行的命令、系行的命令、系统存存储过程或程或说明）明）82系系统预定定义角色角色sysadmin：具有系具有系统管理管理员全部全部权限的角色。限的角色。serveradmin：负责配置数据配置数据库服服务器的器的设置。置。setupadmin：负责添加和添加和删除除链接的服接的服务器。器。securityadmin：负责管理服管理服务器的登器的登录。processadmin：负责管理在管理在SQLServer实例中运行的例中运行的进程。程。dbcreator：负责创建和改建和改变数据数据库。bulkadmin：可以可以执行行BULKINSERT语句（数据句（数据库数据的数据的装装载）。）。83举例：指定例：指定manager用用户为dbcreator角色角色sp_addsrvrolemembermanager,dbcreatorsp_addsrvrolemember：将登：将登录账户添加到固添加到固定服定服务器角色器角色。84SQLServer的的预定定义角色角色public角色角色系系统预定定义角色角色使用使用sp_helpsrvrole获得各种系得各种系统管理管理员角色的描述角色的描述使用使用sp_srvrolepermission得到每种系得到每种系统管理管理员角色的角色的特定特定权限（可以限（可以执行的命令、系行的命令、系统存存储过程或程或说明）明）数据数据库预定定义角色角色使用使用sp_helpdbfixedrole获得数据得数据库上各种上各种预定定义角色角色的描述的描述使用使用sp_dbfixedrolepermission得到每种数据得到每种数据库预定定义角色的特定角色的特定权限（可以限（可以执行的命令、系行的命令、系统存存储过程或程或说明）明）85数据数据库预定定义角色角色db_owner：在数据在数据库中有全部中有全部权限，即具有数据限，即具有数据库管理管理员全部全部权限的角限的角色。色。db_accessadmin：负责数据数据库用用户的管理。的管理。db_securityadmin：负责数据数据库的安全管理，如的安全管理，如负责权限管理、角色和限管理、角色和角色成角色成员资格管理等。格管理等。db_ddladmin：主要主要负责数据数据库的完整性和一致性的完整性和一致性检查及管理。及管理。db_backupoperator：主要主要负责数据数据库的的备份。份。db_datareader：可以可以查询数据数据库中任何用中任何用户表中的所有数据。表中的所有数据。db_datawriter：可以更改数据可以更改数据库中任何用中任何用户表中的所有数据。表中的所有数据。db_denydatareader：不能不能查询数据数据库中任何用中任何用户表中的任何数据。表中的任何数据。db_denydatawriter：不能更改数据不能更改数据库中任何用中任何用户表中的任何数据。表中的任何数据。86举例：指定例：指定test1用用户为当前数据当前数据库(订货管管理理)的的db_owner角色角色Use订货管理管理CREATEUSERDB1forlogintest1sp_addrolememberdb_owner,Db187角色与角色与权限的限的问题只要只要权权限没有被拒限没有被拒绝过绝过，则则角色中的成角色中的成员员的的权权限就是角色的限就是角色的权权限加上它限加上它们们自己所具有的自己所具有的权权限。限。如果某个如果某个权权限在角色中是拒限在角色中是拒绝绝的，的，则则角色中角色中的成的成员员将不能再将不能再拥拥有此有此权权限，即使限，即使为为此成此成员员授予了此授予了此权权限。限。88角色与角色与权限的限的问题假假设用用户user为角色角色role的成的成员权限限为：对表表x的的查询权role授予授予 收回收回 禁止禁止 授予授予 收回收回 禁止禁止 授予授予 收回收回 禁止禁止user 授予授予 授予授予 授予授予 收回收回 收回收回 收回收回 禁止禁止 禁止禁止 禁止禁止user的的实际权限限89综合合举例例1、Createlogintest2withpassword=123Createlogintest3withpassword=1232、Use订货管理管理CREATEUSERDB2forlogintest2CREATEUSERDB3forlogintest390综合合举例例3、禁止、禁止Db3查询（订购单）表）表DENYSELECTON订购单TODB34、建立新角色、建立新角色operaterCreateroleoperater5、授、授权角色角色operater可以可以对供供应商和商和订购单表表进行行查询和更和更新新GRANTSELECT,UPDATEON供供应商商TOoperaterWITHGRANTOPTIONGRANTSELECT,UPDATEON订购单TOoperaterWITHGRANTOPTION91综合合举例例6、指定、指定Db3为角色角色operate的成的成员sp_addrolememberoperater,Db37、Db3尝试对订购单表表进行行查询8、授、授权DB3可以可以订购单表表进行行查询GRANTSELECTON订购单TODb39、再次、再次尝试Db3对订购单表表进行行查询失失败成功成功92综合合举例例10、Db3授授权Db2可以可以查询供供应商表商表GRANTSELECTON供供应商商TODb2GRANTSELECTON供供应商商TODb2ASoperater11、test2查询仓库表表12、test2查询供供应商表商表失失败成功成功失失败成功成功93综合合举例例13、从、从operate角色收回授角色收回授权的的权限限REVOKEGRANTOPTIONFORSELECT,UPDATEON订购单FROMoperateCASCADE14、Db2查询订购单表表15、Db3查询订购单表表select*from订购单失失败成功成功94练习：下面下面说法法错误的是的是_。1 1、只要、只要权限没有被拒限没有被拒绝过，则角色中的成角色中的成员的的权限就是角色限就是角色的的权限加上它限加上它们自己所具有的自己所具有的权限。限。2 2、如果某个、如果某个权限在角色中是拒限在角色中是拒绝的，的，则角色中的成角色中的成员就不能就不能再再拥有此有此权限，即使限，即使为此成此成员授予了此授予了此权限。限。3 3、如果某个、如果某个权限在角色中是拒限在角色中是拒绝的，但是角色中的成的，但是角色中的成员被授被授予了此予了此权限，限，则此成此成员就可以就可以拥有此有此权限。限。4 4、如果某个、如果某个权限在角色中是允限在角色中是允许的，的，虽然角色中的成然角色中的成员被收被收回了此回了此权限，但是此成限，但是此成员仍可以仍可以拥有此有此权限。限。395练习下面下面说法正确的是法正确的是_。1 1、角色中的成、角色中的成员的的权限限总是角色的是角色的权限加上它限加上它们自己自己所具有的所具有的权限。限。2 2、如果某个、如果某个权限在角色中是拒限在角色中是拒绝的，的，则角色中的成角色中的成员就不能再就不能再拥有此有此权限，即使限，即使为此成此成员授予了此授予了此权限。限。3 3、如果某个、如果某个权限在角色中是拒限在角色中是拒绝的，但是角色中的成的，但是角色中的成员被授予了此被授予了此权限，限，则此成此成员就可以就可以拥有此有此权限。限。4 4、如果某个、如果某个权限在角色中是允限在角色中是允许的，且角色中的成的，且角色中的成员被收回了此被收回了此权限，限，则此成此成员不能不能拥有此有此权限。限。296角色与存取控制角色与存取控制系系统管理管理员或数据或数据库管理管理员可以按可以按层次定次定义角色，并角色，并为角色定角色定义权限，例如定限，例如定义角色角色A、B、C、D和和E，角色之角色之间的的权限关系是限关系是ABCDE；然后然后为不同不同级别的用的用户指定指定不同的角色；从而达到按不同的角色；从而达到按层次管理数据的目次管理数据的目的。的。977.3其他安全其他安全问题数据加密数据加密审计统计数据数据库用用户定定义的安全性措施的安全性措施98数据加密数据加密数据加密数据加密标标准准DES公开密公开密钥钥加密体制加密体制RSA明文明文密文密文加密加密密密钥解密解密DES明文明文密文密文加密加密加密密加密密钥解密解密解密密解密密钥RSA99其他安全其他安全问题数据加密数据加密审计统计数据数据库用用户定定义的安全性措施的安全性措施100审计用用户管管理理和和权限限控控制制解解决决了了非非法法用用户不不能能通通过合合法法途途径径接接触触数数据据的的问题，但但是是对合合法法用用户的的使使用用没没有有任任何何监督督能能力力。任任何何时候候都都不不能能排排除除有有失失职和和渎职现象象的的发生生，为此此需需要要有有一一种种方方式式可可以以记录下下对数数据据库的的所所有有操操作作活活动和和轨迹，迹，这种功能称种功能称为审计（Audit）。）。系系统管管理理员（或或数数据据库管管理理员）可可以以通通过审计日日志志审计、跟跟踪踪所所有有用用户对数数据据库的的操操作作活活动，可可以以确确定定哪哪些些客客户、什什么么时间、进行行了了哪哪些些操操作作等等，从从而而为“合合法法”的的“意意外外”安全安全问题提供保障。提供保障。101其他安全其他安全问题数据加密数据加密审计统计数据数据库用用户定定义的安全性措施的安全性措施102统计数据数据库在有些数据在有些数据库应用中只允用中只允许查询统计信息而不信息而不允允许查询明明细信息，提供信息，提供这类服服务的数据的数据库称称为统计数据数据库。在在统计数据数据库中存在着特殊的中存在着特殊的安全安全问题，即可能存在着，即可能存在着隐蔽的信息通道，使蔽的信息通道，使得可以从合法的得可以从合法的查询中推中推导出不合法的信息出不合法的信息。综合信息合信息总是是带有原始信息的痕迹，利用足有原始信息的痕迹，利用足够的的综合信息合信息总能推能推导出原始信息。也就是出原始信息。也就是说，统计数据数据库不管采取什么不管采取什么样的安全手段，的安全手段，总可可以从以从综合信息得到原始信息，但是好的技合信息得到原始信息，但是好的技术可可以使以使恶意用意用户付出足付出足够高的代价，从而自愿放高的代价，从而自愿放弃弃恶意的攻意的攻击。103其他安全其他安全问题数据加密数据加密审计统计数据数据库用用户定定义的安全性措施的安全性措施104用用户定定义的安全性措施的安全性措施除了利用数据除了利用数据库库管理系管理系统统提供的安全功能外，提供的安全功能外，还还可以使用触可以使用触发发器定器定义义一些用一些用户级户级的安全性的安全性措施。例如，最典型的用措施。例如，最典型的用户户定定义义安全性控制安全性控制是，可以是，可以规规定用定用户户只在指定的只在指定的时间时间允允许对许对表表进进行更新操作。行更新操作。105用用户定定义的安全性措施的安全性措施CREATETRIGGERsecure_whON仓库FORINSERT,DELETE,UPDATEASIFDATENAME(weekday,getdate()=星期六星期六ORDATENAME(weekday,getdate()=星期日星期日OR(convert(INT,DATENAME(hour,getdate()NOTBETWEEN9AND17)BEGINRAISERROR(只只许在工作在工作时间操作！操作！,16,1)ROLLBACKTRANSACTIONEND106【本章小【本章小节】数据数据库安全控制安全控制问题的核心是身份的核心是身份识别，通，通过用用户管理和管理和权限管理限管理实现对数据数据库的安全的安全管理。管理。数据加密数据加密审计统计数据数据库107