Security 10：权限管理
- 2020 年 7 月 1 日
- 笔记
- Security, SQL Server 安全
SQL Server 用于管理权限的TSQL命令有：GRANT用于授予权限，REVOKE 用于移除授予的权限，而DENY用于防止安全主体通过GRANT获得权限。但是，SQL Server的权限管理不是扁平的，是立体的，在不同的安全上下文（Security context）中，不同的权限空间（Permission Space）中，这三个命令的优先级是不同的。
在进行权限管理时，应遵守“最低权限”原则，即每个人只授予必需的最小权限。相对于授予的权限，数据库中还有一个特殊的权限，那就是所有权（Ownship）。
一，管理权限的规则
在管理权限时，要注意权限的上下文、权限的立体空间和权限的优先级
1，安全上下文和权限空间
安全上下文（Security Context），是跟user 或 login 相关的环境，用户可以通过EXECUTE AS 来切换安全上下文。安全上下文主要包括：Login、User、Role membership、Windows Group membership
权限空间，是指安全对象（Securable）和包含安全对象的所有安全对象类（Securable class），比如，表包含在schema 中，schema是表的安全对象类；而database包含schema，database是schema的安全对象类。访问表的权限，受到表、schema和database的权限的影响，这三个对象构成一个权限空间，访问受到权限空间的约束。
2，权限的优先级
当这三个命令作用于同一个安全对象（Securable）时，情况会变得复杂，不仅需要考虑权限空间，还需要考虑权限的优先级。
在同一个安全主体范围内对同一个安全对象设置权限，GRANT子句会移除DENY和REVOKE子句设置的权限，这三个命令的优先级相同，后执行的语句会移除先执行语句的效果。
但是，当相同的权限作用于同一安全主体的不同范围时，如果DENY 作用于更高的范围内，那么DENY优先，但是在更高的范围内，REVOKE不优先。
这里有一个例外，列级别的GRANT语句，会覆盖Object级别的DENY语句，但是后续Object级别的DENY语句会覆盖列级别的GRANT语句。
3，权限的层次结构
权限的层次结构，类似于权限空间，但是权限的层次结构是一种父子结构。
举个例子，数据库级别的权限：
- 在数据库级别授予操作数据库对象的权限，比如 EXECUTE、DELETE、INSERT、SELECT、UPDATE、REFERENCES、VIEW DEFINITION，实际上，授予的是操作数据库中所有对象的权限。
- 数据库级别独有的权限：ALTER、BACKUP DATABASE、BACKUP LOG、CHECKPOINT、CONNECT、CREATE TABLE、CREATE VIEW、CREATE PROCEDURE等
二，权限管理的实现
权限管理涉及到Principal、Securable和Permission三个概念。Principal可以是单个User，也可以是多个User构成的Windows Group；Securable可以是单个数据库对象，也可以是包含多个数据库对象的schema；同时，User也可以通过role获得数据库对象的权限。
第一种方式，为每一个User设置单个Securable的权限
第二种方式，创建Windows Group，把User分组，为每一个Windows Group设置单个Securable的权限，简少了授权用户的数量。
第三种方式，通过数据库 role来设置权限，通过Role来组织Securable，减少了授权对象的数量。
第四种方式，通过Schema来设置权限，在一个Schema下包含多个Securables，并通过Role来管理Scurable，通过Windows Group来管理User，这种方式虽然复杂，但是权限的管理非常精细和灵活。
三，所有权和所有权链
对象的所有者对一个对象拥有所有可能的权限，并且这些权限不能禁止。CONTROL权限可以执行与对象所有者几乎相同的操作，但是所有权和授权是不同的。对象的所有者通常是其创建者，但是可以在创建时使用AUTHORIZATION子句指定其他所有者，也可以把Ownship转移给其他Principal。
如何在不授予基础表访问权限的情况下，仅对视图或任何其他类型的程序授予SELECT权限呢？答案是使用所有权链（Ownership-chaining）。通常情况下，当用户从视图中查询数据时，系统做两次权限检查，第一次是检查用户是否有权限查询视图，第二次是在视图引用基础表时检查用户是否有权限查询基础表，由于用户没有基础表的权限，因此第二次权限检查失败。
所有权链（Ownership-chaining）通过绕过第二次权限检查来避免这种情况，否则将在视图引用基础表时进行第二次权限检查。当链接的对象（underlying table）与调用对象（view）具有相同的所有者时，权限检查将被完全绕开。
如果一个user在具有Ownership权限的Schema中创建视图，因为它视图的所有者，就是被视图引用的基表的所有者，这是一个链：我是Schema的所有者，那么Schema下的所有对象的Owner都是我，我有权限访问视图，但不能访问基础表。
参考文档：
Schema-Based Access Control for SQL Server Databases
