如何给开发者授予权限，给用户授予权限？

Question

有没有一种方法可以让开发人员授予用户对对象的权限，而不给他们创建用户或函数的选项？

我正在尝试限制开发人员权限，最近发现开发人员在开发和生产环境中拥有 db_owner 权限！ 所以我正在尽力阻止这种疯狂行为。

关于这个问题有什么好的文章吗？

Answer 1

您可以使它们成为“db_securityadmin”数据库角色的成员

Answer 2

如前所述，如果有人可以分发权限，他们就可以向自己（或虚拟帐户）分发权限。 我不确定SQL Server中是否有一个技巧来提供“给予用户权限少于我”。

我的方法是使用存储过程。

创建一个存储过程，为指定用户授予特定权限或一组权限（这些权限是允许普通用户拥有的权限）。 然后授予开发人员对此存储过程的执行访问权限。 实际上，您使用存储过程来创建 GRANT 的有限版本，同时保留完整的 GRANT 命令。

Answer 3

如果某人可以授予别人权限，他也可以授予自己做他想做的事情的权限。 那么这有什么用呢？ 可能我不明白你的处境。

Answer 4

对象的所有者可以授予这些对象的权限。 如果您的开发人员不需要授予诸如 CREATE TABLE 权限之类的权限，您也许可以向他们授予您希望他们授予权限的对象的所有权。

Answer 5

正如斯特凡所说，给予他们授予权限将有效地授予他们所有权限，因为如果他们想做某事，他们所要做的就是授予自己执行该操作的权限。

不过，您可能需要考虑为开发人员提供第二个用于管理数据库的用户帐户，而不是将开发人员视为敌人。 不向开发人员授予任何生产权限是很常见的，至少在他们的开发帐户上是这样。

Answer 6

对存储过程等对象的权限设置可以通过“GRANT EXECUTE ON . to ”来完成；

但是，您可能还希望在登录级别和用户级别授予安全权限。您将希望确定并仅授予对象所需的权限考虑使用“EXECUTE AS”功能，该功能可以模拟另一个用户来验证执行代码所需的权限，而无需向所有底层对象授予所有必要的权限（ EXECUTE AS 可以添加到存储过程、函数、触发器等中。

在存储过程中添加如下代码： CREATE PROCEDURE dbo.MyProcedure WITH EXECUTE AS OWNER

在这种情况下，您将模拟 的所有者。您还可以模拟 SELF，或者创建或更改模块的用户，或者...模拟 CALLER ，这将使模块能够获取当前用户的权限，或者...模拟 OWNER，这将采取根据被调用过程所有者的许可或...模拟“user_name”，这将模拟特定用户或...模拟“login_name”将模拟特定登录。

大多数时候，您只需要向存储过程授予 EXECUTE 权限，然后向存储过程中引用的所有对象授予权限。

这样，您不需要授予隐式权限（例如：更新数据或调用其他过程）。 所有权链可以为您处理这个问题。 这对于动态 SQL 或需要创建提升安全性的任务（例如 CREATE TABLE）特别有用。 EXECUTE AS 是解决这些问题的一个方便的工具。

这个例子可能有助于澄清所有这些：

创建一个名为 NoPrivUser 的用户，可以公开访问数据库（例如 dbadb）

USE [master] GO CREATE LOGIN [NoPrivUser] WITH PASSWORD=N'ABC5%', DEFAULT_DATABASE=[dbadb], CHECK_EXPIRATION =ON, CHECK_POLICY=ON GO USE [DBAdb] GO CREATE USER [NoPrivUser] FOR LOGIN [NoPrivUser] GO

注意：此过程的创建者或所有者将需要在目标数据库中创建表的权限。

使用 DBAdb go CREATE PROCEDURE dbo.MyProcedure WITH EXECUTE AS OWNER AS IF NOT EXISTS (SELECT * FROM sys.objects WHERE object_id = OBJECT_ID(N'[dbo].MyTable') AND type in (N'U')) CREATE TABLE MyTable (PKid int, column1 char(10)) INSERT INTO MyTable VALUES (1,'ABCDEF')

GO

GRANT EXEC ON dbo.MyProcedure TO NoPrivUser; 开始

——现在以 NoPrivUser 身份登录到数据库服务器并运行以下命令。

use dbadb go

EXEC dbo.MyProcedure

（1 行受影响）

现在尝试在以 NoPrivuser 身份登录时从新表中进行选择。

您将得到以下信息：

select * from MyTable go

Msg 229, Level 14, State 5, Line 1 对对象“MyTable”、数据库“DBAdb”、模式“dbo”的 SELECT 权限被拒绝。

这是预期的，因为您仅在以 NoPrivUser 身份登录时在 Owner 的安全上下文下运行该过程。
NoPrivUser 因为没有实际读取该表的权限。 只是执行创建和插入行的过程。

使用 EXECUTE AS 子句，存储过程在对象所有者的上下文中运行。 此代码成功创建 dbo.MyTable 并成功插入行。 在此示例中，用户“NoPrivUser”绝对没有被授予修改该表、或者读取或修改该表中的任何数据的权限。
它仅具有完成此过程上下文中编码的特定任务所需的权限。

这种创建存储过程的方法非常有用，这些存储过程可以执行需要提升安全权限的任务，而无需永久分配这些权限。

Answer 7

我发现 db_owner 角色最危险的方面是，如果您对权限发出拒绝，那么该角色的成员可以将其授予给自己。 我刚刚开始阅读此内容，并且正在对此进行测试。

Create role db_ControlDatabase

grant control to db_ControlDatabase

deny backup database to db_ControleDatabase

alter role db_ControlDatabase add member TestUser

到目前为止，我发现主题 TestUser 具有权限，但无法添加或删除固定数据库角色的成员。 您应该能够拒绝此时所需的任何内容，例如备份证书、备份主密钥等。

这里是可以拒绝或授予的权限列表：