Грантирование доступа в SQL Server без нового пользователя

Быстрый ответ

Если вы хотите, чтобы пользователь мог совершать действия чтения в экземпляре SQL Server, добавьте его к роли db_datareader:

USE [ИмяБазыДанных];
CREATE USER [ИмяПользователя] FOR LOGIN [ИмяВхода];
EXEC sp_addrolemember 'db_datareader', '[ИмяПользователя]';

Замените ИмяБазыДанных, ИмяПользователя и ИмяВхода на соответствующие значения. Это разрешит пользователю выполнять запросы типа select к любым таблицам.

Интеграция с аутентификацией Windows

Для интеграции пользователя Windows с SQL Server, создайте учётную запись, используя его существующие регистрационные данные:

CREATE LOGIN [<Домен>\<ИмяПользователя>] FROM WINDOWS;

Такая методика позволяет контролировать доступ через учётные записи Active Directory, сильно упрощая интеграцию и прокладывая путь к безопасности.

Гранулярность доступа

Углубляемся в db_datareader

Роль db_datareader предоставляет доступ к чтению всех таблиц, но бывают моменты, когда необходимо дать разрешения на отдельные таблицы для более детального и надёжного управления:

GRANT SELECT ON [ИмяТаблицы] TO [ИмяПользователя];

• Применяйте команду GRANT SELECT, если требуется ограниченный доступ.
• Обязательно помните о необходимости защиты конфиденциальности данных.
• Отделяйте права на чтение от прав на выполнение хранимых процедур.

Подробнее об этом расскажет наш спикер на видео

Удаление избыточных разрешений

Излишние привилегии могут привести к проблемам с безопасностью. Регулярный пересмотр и проверка разрешений необходимы для поддержки порядка.

Визуализация

Предоставление прав для чтения можно сравнить с выдачей библиотечной карты:

База данных (📚): Источник знаний (таблицы, представления, процедуры)

Пользователь (👤): Ищет информацию

**Предоставление прав на чтение**: 
Библиотекарь: Вот ваша карта.

Пользователь с картой может читать книги (📚👀), но не имеет права их редактировать.

Рекомендации по управлению доступом к чтению

Тонкая настройка доступа

Ваши нормы и политики могут требовать специализированных настроек:

CREATE ROLE [название_роли] AUTHORIZATION [имя_владельца]

• Создавайте подходящие роли для особых случаев доступа к данным.
• Распространяйте роли приложений для достижения контроля доступа.
• Выделяйте права доступа на уровне строк с помощью механизма уровневой безопасности.

Автоматизация управления разрешениями

Применение динамических SQL-скриптов поможет упростить управление разрешениями и обеспечить проведение аудита:

CREATE PROCEDURE [ВашаПроцедура] ...

Обеспечение безопасности в рабочей среде

При взаимодействии с рабочими базами данных остерегайтесь:

USE [ProductionDB]; 
GRANT SELECT TO [ИмяПользователя];

• Применяйте лучшие практики и стандарты управления изменениями.
• Ведите журнал работ для отслеживания всех изменений.
• Регулярно проводите аудит безопасности.

Полезные материалы

1. GRANT (Transact-SQL) – SQL Server | Microsoft Learn — подробное руководство об использовании GRANT от Microsoft.
2. Работа с базами данных SQL Server в облаке Amazon (Часть 1) — рекомендации по обеспечению безопасности для SQL Server в облачных средах.
3. Понимание встроенных ролей базы данных SQL Server — разъяснение ролей баз данных.
4. Чек-лист безопасности SQL Server — перечень проверок безопасности Брента Озара для SQL Server.