Na bestudering van dit hoofdstuk moet je tot het onderstaande in staat zijn:

Transcriptie

1 15. Toegangsbeheer Tot nu toe heb je gewerkt met DML en DDL statements. Echter de DCL statements zijn nog niet aan bod geweest. DCL commando s gebruik je voor de beveiliging van je database. Wie mag wat waar. In hoofdstuk 13 heb je al gewerkt met het grafisch aanmaken van gebruikers. In dit hoofdstuk ga je alles nogmaals uitvoeren maar dan met SQL-commando s Na bestudering van dit hoofdstuk moet je tot het onderstaande in staat zijn: Het verschil kunnen aangeven tussen de twee authenticatie mogelijkheden. Het kunnen aanmaken van gebruikers Het kunnen aanmaken van rollen Het kunnen toekennen en ontnemen van rechten aan rollen en gebruikers Syntax Hieronder is een syntaxoverzicht van de gebruikte statements in dit hoofdstuk. Het maken van een login CREATE LOGIN <Naam> WITH PASSWORD = <Wachtwoord> MUST_CHANGE, CHECK_EXPIRATION=ON; Het wissen van een login DROP LOGIN <loginnaam>; Het maken van een gebruiker CREATE USER <Gebruikersnaam> FOR LOGIN <Loginnaam>; Het wissen van een gebruiker DROP USER <Gebruikersnaam>; Het maken van een login CREATE LOGIN <Naam> WITH PASSWORD = <Wachtwoord> MUST_CHANGE, CHECK_EXPIRATION=ON; Het aanpassen van een gebruiker ALTER USER <Gebruikersnaam> WITH NAME = <Nieuwe Gebruikersnaam>; Het maken van een role CREATE ROLE <Rolenaam>; Versie 4 Blz. 1

2 Het verwijderen van een role DROP ROLE <Rolenaam>; Een role een ander naam geven ALTER ROLE <Rolenaam> WITH NAME <Nieuwe Rolenaam>; Een login uitzetten ALTER LOGIN <Naam> DISABLE Een login weer aanzetten ALTER LOGIN <Naam> ENABLE Een login voorzien van een ander wachtwoord ALTER LOGIN <Naam> WITH PASSWORD = <Wachtwoord> Een gebruiker toevoegen aan een role EXEC SP_ADDROLEMEMBER <Rolenaam>, <Gebruikersnaam> Een gebruiker verwijderen uit een role EXEC SP_DROPROLEMEMBER <Rolenaam>, <Gebruikersnaam> Een recht toekennen aan een role GRANT <Recht> ON <Tabelnaam> (<Veldnaam>) TO <Rolenaam> Een recht ontnemen van een role REVOKE <Recht> ON <Tabelnaam>(<Veldnaam>) TO <Rolenaam> Authenticatie Voor je toegang krijgt tot een SQL server moet je je bekend maken. De manier waarop SQL Server jouw naam en wachtwoord controleert is afhankelijk van hoe de databasebeheerder de authentication-mode heeft ingesteld. SQL server 2008 R2 kent 2 soorten authentication : Windows authentication SQL Server authentication In het eerste geval worden jouw credentials (gebruikersnaam en wachtwoord) aangeleverd door het besturingssysteem. Dit betekent dat je bekent moet zijn binnen het domein / netwerk. Bij SQL Server Authentication wordt gebruik gemaakt van een gebruikersbeheer die in SQL Server zelf aanwezig is. Deze staat los van je Windowsaccount. Versie 4 Blz. 2

3 Voor welk systeem gekozen wordt is afhankelijk van de situatie. Bij het gebruik van webapplicaties wordt veelal gebruik gemaakt van SQL Server Authentication. SQL Server authenticatie levert de beheerder wel meer werk op. (er moet immers een extra gebruikersbeheer bijgehouden worden) maar biedt wel meer flexibiliteit aan de database beheerder. Bij Windows authentication dient de gebruiker bij het verbinding met de database geen gebruikersnaam en wachtwoord meer op te geven. (zijn gegevens zijn immers al door het besturingssysteem gecontroleerd). Bij SQL Server authentication zal dat uiteraard wel nog moeten gebeuren. De standaard naam van een databasebeheerder is SA (uiteraard kunnen er nog gebruikers aangemaakt worden met dezelfde rechten als SA) Wanneer je SQL Server Express hebt geïnstalleerd als onderdeel van Visual Studio, dan is automatisch Windows Authentication gekozen. Je kunt dit als volgt aanpassen: Ga met de muis op de servernaam staan in de Object Explorer en druk op de rechtermuisknop. Kies nu de optie Properties. Je komt nu in het venster Server Properties. In dit venster kun je allerlei instellingen van de SQL server aanpassen. LET OP Wanneer je zomaar in de eigenschappen van de SQL server iets gaat wijzigen, is de kans groot dat de SQL server niet meer reageert zoals het hoort of zelfs niet meer opstart. Kies uit de pagina Security de optie: SQL Server and Windows Authentication mode Versie 4 Blz. 3

4 Klik op OK. Je moet nu de SQL server opnieuw starten voordat je SQL accounts kunt gebruiken. Hieronder is het Security model van SQL server weergegeven Aanmaken van gebruikers Zoals je weet zijn er twee soorten authenticatie: Windows en SQL. Als iemand als SQL Server User toegang wilt krijgen tot een database, dan moet deze ALTIJD een login hebben voor de SQL-server. CREATE LOGIN Kees WITH PASSWORD = 'P@ssword' MUST_CHANGE; Versie 4 Blz. 4

5 Maak de Login Kees aan met als wachtwoord De eerste keer dat deze gebruiker zich aanmeld op de server, dient deze zijn / haar wachtwoord aan te passen. Als je tijdens het aanmaken van de login de onderstaande melding krijgt: Dan is er op de server of op het domein een instelling dat de wachtwoorden niet verlopen. Je kunt dit oplossen door dan het onderstaande statement te gebruiken. CREATE LOGIN Kees WITH PASSWORD = 'P@ssword' MUST_CHANGE, CHECK_EXPIRATION=ON; Mocht er een login aangemaakt zijn die gewist dient te worden, dan kun je gebruikmaken van het onderstaande statement. DROP LOGIN <loginnaam> Naast het verwijderen van een login, is het ook mogelijk om een login tijdelijk uit te schakelen. Dit kun je doen door gebruik te maken van het onderstaande statement. ALTER LOGIN <Naam> DISABLE Om een login weer actief te zetten, gebruik je de toevoeging Enable. Het Alter statement kan je ook gebruiken om het wachtwoord te wijzigen. ALTER LOGIN <Naam> WITH PASSWORD = <Wachtwoord> De gebruiker kan nu inloggen bij de databaseserver. Nu moet je hem nog toegang geven tot een database. Dit geldt voor zowel de Windows authenticatie als de SQL authenticatie. USE <databasenaam> CREATE USER Verkoop FOR LOGIN Kees; Versie 4 Blz. 5

6 Eerst zorg je ervoor dat de database waar een gebruiker toegang tot moet krijgen actief is (USE ). Daarna geef je een gebruiker toegang (Create user). Je kunt iemand binnen een database een andere naam geven dan de loginnaam. Dit komt vaak voor als iemand in verschillende databases moet kunnen werken. Op dit moment heeft de gebruiker Verkoop nog geen rechten binnen de database. In SQL is het gebruikelijk om alle rechten toe te kennen aan een groep (= Role). Een gebruiker kan als volgt verwijderd worden: DROP USER <loginnaam> Stel dat een medewerker een andere functie krijgt binnen het bedrijf. De medewerker moet nog steeds gebruik maken van de database maar hij / zij krijgt wel andere rechten. Dan kan het wenselijk zijn om de gebruikersnaam aan te passen. Onze medewerker gaat van de afdeling Verkoop naar de afdeling Inkoop. Dan kun je als volgt de username aanpassen. ALTER USER Verkoop WITH NAME = Inkoop Werken met rollen Binnen SQL wordt gewerkt met rollen i.p.v. groepen. Alle rechten die je gaat toekennen moeten dan ook op rollen worden toegepast. (Denk aan AGLP van Windows). Er zijn twee hoofdgroepen met rollen: Serverrollen Deze gelden voor de volledige server. Dus ook voor alle databases die op die betreffende server staan. Databaserollen Deze rollen gelden alleen voor één specifieke database In dit hoofdstuk worden alleen de databaserollen verder toegelicht. Versie 4 Blz. 6

7 Het is redelijk eenvoudig om zelf een rol aan te maken. Toch is dit niet altijd noodzakelijk. Er zijn al een groot aantal standaard rollen (= Fixed roles) aanwezig. In het onderstaande overzicht worden de belangrijkste besproken: db_owner De eigenaar van de database. Deze rol heeft alle rechten over de database. db_accessadmin Het toevoegen, aanpassen of wissen van database gebruikers. db_datareader Kan uit alle tabellen van de database lezen. db_datawriter Kan uit alle tabellen gegevens lezen, wissen, aanpassen, toevoegen. db_backupoperator Kan een back-up maken van de betreffende database. Als het toch nodig is om andere rechten toe te kennen, dan is het noodzakelijk om een rol aan te maken. CREATE ROLE Direct Mocht het nodig zijn om de naam achteraf aan te passen, dan kun je dit doen doormiddel van het Alter-statement. ALTER ROLE Direct WITH NAME Directie Een rol verwijderen kan door gebruik te maken van het Drop-statement. Versie 4 Blz. 7

8 15.5. Gebruikers toekennen aan een role Omdat een role eigenlijk geen standaard SQL begrip is, maar een SQL Server begrip, bestaat er geen apart statement om een gebruiker aan een role toe te voegen. Hiervoor moet je gebruik maken van een ingebouwde Stored Procedure. EXEC SP_ADDROLEMEMBER <Rolenaam>, <Gebruikersnaam> Ook voor het verwijderen van een gebruiker uit een role, bestaat een Stored Procedure. EXEC SP_DROPROLEMEMBER <Rolenaam>, <Gebruikersnaam> Rechten toekennen en ontnemen Je hebt nu een role. De volgende stap is aangeven wat een lid van deze role wel en niet mag. Binnen SQL doe je dit doormiddel van de statements GRANT (=toekennen) en REVOKE (=ontnemen). Er is ook nog de mogelijkheid om het statement DENY (=mag niet) te gebruiken. Dit moet echter altijd zoveel mogelijk voorkomen dienen te worden. Het Grant statement is een zeer uitgebreide instructie. Het gaat te ver om in deze reader alle mogelijkheden te beschrijven. Je kunt alle mogelijkheden terugvinden door de onderstaande link te gebruiken: Door het onderstaande commando te gebruiken, geef rechten: GRANT <Recht> ON <Tabelnaam> TO <Rolenaam> Je kunt de onderstaande rechten toekennen aan een rol: SELECT UPDATE DELETE INSERT ALL = Lezen = Muteren = Wissen = Toevoegen = Alle rechten Versie 4 Blz. 8

9 Het is ook mogelijk om in één keer meerdere rechten toe te kennen aan een tabel. De rechten moeten echter altijd per tabel worden toegekend. In plaats van een rolenaam, is het ook mogelijk om direct rechten toe te kennen aan een gebruiker. Dit wordt echter niet aangeraden i.v.m. de beheersbaarheid. Wil je op een bepaald veld van een tabel andere rechten toekennen dan kun je dat op de onderstaande manier uitvoeren: GRANT <Recht> ON <Tabelnaam> (<Veldnaam>) TO <Rolenaam> Het statement revoke werkt op dezelfde wijze als het grant statement. REVOKE <Recht> ON <Tabelnaam>(<Veldnaam>) TO <Rolenaam> Versie 4 Blz. 9