具有 Azure Active Directory 身份验证的 Azure SQL - 在安全功能中用于行级安全

Question

我们有一个使用 Azure AD 身份验证的 Azure SQL 数据库。这对于会员和来宾 AD 用户以及 AD 组都适用。

我们需要对某些表应用行级安全性，基于：

1. 用户是否拥有数据库的所有权（或至少 CREATE USER 权限），或者
2. 基于 AD 组

我们创建了一个表值函数，用于适当的安全策略。 问题：

1. 我们如何确定用户是否拥有函数内数据库的所有权（必须使用模式绑定定义）？ 使用 sys.fn_my_permissions 查找权限被拒绝，因为 sys 函数无法与架构绑定一起使用。
2. 我们如何查询用户属于哪些 AD 组？

或者我们是否需要维护数据库内的关系表（伴随多个维护 - AD + 多个数据库）？

Answer 1

系统函数 is_member('') 可用于验证当前用户是否是某个 AD 组的成员，只要该 AD 组已作为 AD 组添加到数据库中即可。主要的。
此功能也适用于数据库角色。

因此，像这样的安全功能是有效的：

CREATE FUNCTION [fUserCanAccess](@Group varchar(50))
   RETURNS TABLE
   WITH SCHEMABINDING
AS RETURN (
   SELECT 1 as canAccess WHERE
      is_member('db_owner') = 1
   or
      is_member(@Group) = 1
;

第一个 is_member 测试允许访问所有行的数据库角色。第二个 is_member 测试用户是否位于同一 (AD) 组中。

is_member() 返回：

• 如果 AD 组是数据库中的用户并且登录用户是 AD 组的成员（在 Active Directory 中），则返回 1
• 如果 AD 组是 AD 组，则返回 0是数据库中的用户，并且登录的用户不是 AD 组（在 Active Directory 中）的成员
• 如果 AD 组不存在或者不是数据库中的用户，

则为 NULL 组名称不区分大小写。