Архитектура безопасности доступа пользователей
Службы Microsoft SQL Server Службы Analysis Services используют проверку подлинности пользователей Microsoft Windows. По умолчанию только прошедшие проверку подлинности пользователи, обладающие правами в службах Службы Analysis Services, могут устанавливать соединение со службами Службы Analysis Services. После того, как пользователь подключится к службам Службы Analysis Services, разрешения, которыми пользователь обладает в рамках служб Службы Analysis Services, определяются правами, назначенными ролям служб Службы Analysis Services, к которым принадлежит пользователь, напрямую или через членство в роли Windows.
Службы Службы Analysis Services содержат одну предопределенную роль сервера, которая предоставляет своим членам разрешение на выполнение любой задачи в рамках всего экземпляра.
Пользователям, которые не являются членами предопределенной роли сервера, может быть предоставлено членство в одной или нескольких ролях базы данных. У каждой роли имеется настроенный для пользователя набор разрешений, позволяющий пользователям получать доступ к данным и выполнять задачи в рамках определенной базы данных.
Роли базы данных могут быть предоставлены разрешения администратора, разрешения на обработку объектов, разрешения на просмотр метаданных объектов и разрешения на просмотр или изменение данных на нескольких уровнях в рамках каждой базы данных служб Службы Analysis Services.
Члены роли базы данных, обладающие разрешениями администратора, могут просматривать или обновлять все данные в рамках базы данных. Члены других ролей базы данных могут просматривать или обновлять только те объекты данных, для которых им были предоставлены соответствующие разрешения.
Разрешения в рамках базы данных служб Службы Analysis Services сначала предоставляются на уровне базы данных. Если у роли базы данных имеются разрешения на уровне базы данных, то такой роли должны быть предоставлены конкретные разрешения для каждого объекта в рамках базы данных. В состав объектов, для работы с которыми роли могут быть предоставлены разрешения, входят измерения базы данных и куба, отдельные элементы измерения, кубы, отдельные ячейки в рамках куба, структуры интеллектуального анализа данных, модели интеллектуального анализа данных, источники данных и хранимые процедуры.
Кроме указанных компонентов архитектуры безопасности службы Службы Analysis Services шифруют все соединения клиент/сервер с целью уменьшения риска несанкционированного доступа к конфиденциальным данным. По умолчанию отключены функции служб Службы Analysis Services, которые в случае неправильной настройки или использования в неподходящей среде могут снизить безопасность системы. Например, можно позволить пользователям подключаться к службам Службы Analysis Services без проверки подлинности или можно принимать данные проверки подлинности, предоставленные в виде открытого текста. Но поскольку все действия, перечисленные выше, могут при неправильном выполнении снизить безопасность системы, для запуска связанных с ними функций необходимо изменить настройки по умолчанию.
Проверка подлинности Windows
Доступ к службам Службы Analysis Services основан на проверке подлинности Microsoft Windows. Данная модель проверки подлинности требует, чтобы все пользователи проходили проверку подлинности в операционной системе Windows, прежде чем получить возможность доступа к данным, хранимым в службах Службы Analysis Services, и возможность управления объектами служб Службы Analysis Services. Если для проверки подлинности используется операционная система, то службы Службы Analysis Services получают доступ к функциям безопасности Windows, включая безопасную проверку достоверности паролей и их шифровку, аудит, поддержку сроков действия паролей, минимальную длину паролей и блокировку учетной записи после нескольких недопустимых запросов входа в систему.
.gif "Примечание") Примечание |
|---|
Если настройки экземпляра служб Службы Analysis Services разрешают анонимный доступ, то Windows не выполняет проверку подлинности пользователя. |
Совместная работа проверки подлинности Windows и служб Службы Analysis Services выглядит следующим образом:
При входе пользователя в сеть Windows контроллер домена Windows проверяет имя пользователя и пароль, устанавливая тем самым учетные данные пользователя для проверки подлинности в сети.
Позже, при подключении пользователя к службам Службы Analysis Services, службы Службы Analysis Services проверяют учетные данные пользователя для проверки подлинности в сети при помощи контроллера домена Windows.
Авторизация
После проверки подлинности пользователя службы Службы Analysis Services определяют, есть ли у пользователя разрешения на просмотр и обновление данных, просмотр метаданных или выполнение задач администрирования. В случае, если у пользователя или группы, к которой принадлежит пользователь, есть разрешения на определенные действия в рамках экземпляра служб Службы Analysis Services, службы Службы Analysis Services разрешают пользователю установить соединение. По умолчанию службы Службы Analysis Services не позволяют пользователю устанавливать подключение, если у пользователя нет никаких разрешений на действия в рамках экземпляра служб Службы Analysis Services.
Однако процесс авторизации не останавливается после успешного подключения пользователя к службам Службы Analysis Services. Авторизация продолжает действовать во время работы пользователя в рамках служб Службы Analysis Services, например при выполнении им серверных хранимых процедур, инструкций расширений интеллектуального анализа данных, запросов многомерных выражений или команд объектов AMO. Каждый раз при необходимости выполнить действие или получить доступ к объекту службы Службы Analysis Services проверяют полномочия пользователя на доступ к объектам или выполнение команды. Если у пользователя нет соответствующих разрешений, то службы Службы Analysis Services выведут сообщение, уведомляющее об отсутствии нужных разрешений.
Роль сервера и роли базы данных
Службы Службы Analysis Services имеют два вида ролей: роль сервера и роли базы данных. Ниже кратко описана разница между данными видами ролей:
Существует только одна роль сервера — члены данной роли наделены всеми правами администратора в рамках экземпляра служб Службы Analysis Services.
ПримечаниеЧлены локальной группы администраторов на локальном компьютере автоматически являются членами роли сервера в экземпляре служб Службы Analysis Services.
Может быть несколько ролей базы данных. Члены роли сервера создают роли базы данных в рамках каждой базы данных, предоставляют данным ролям такие административные или пользовательские разрешения, как разрешение на запись или чтение и запись в кубы, измерения, ячейки, структуры интеллектуального анализа данных, модели интеллектуального анализа данных и объекты источника данных, а затем добавляют пользователей Windows и группы к указанным ролям базы данных.
.gif "Важное примечание")
Важно!Разрешения роли носят аддитивный характер. Разрешения, предоставленные пользователю или группе Windows в рамках одной роли базы данных, добавляются к разрешениям, предоставленным тому же пользователю или группе Windows в рамках других ролей базы данных. Если одна роль запрещает пользователю или группе выполнять определенные задачи или просматривать определенные данные, а другая роль предоставляет такое разрешение указанному пользователю или группе, то этому пользователю или группе будет разрешено выполнять упомянутые задачи или просматривать упомянутые данные.
Дополнительные сведения см. в разделахУправление доступом и удостоверениями (службы Analysis Services — многомерные данные)
Права администратора
В то время как члены роли сервера автоматически получают права администратора, такого не происходит с членами роли базы данных. Роли базы данных могут быть предоставлены права «Полный доступ» (иначе именуемые правами администратора) или более ограниченный набор прав администратора из следующего списка:
обработка базы данных;
чтение метаданных базы данных;
обработка одного или более измерений;
чтение определения одного или более измерений;
обработка одного или более кубов;
чтение определения одного или более кубов;
обработка одной или нескольких структур интеллектуального анализа данных;
обработка одной или нескольких моделей интеллектуального анализа данных;
чтение определения одной или нескольких структур интеллектуального анализа данных;
чтение определения одной или нескольких моделей; интеллектуального анализа данных
чтение определения одного или нескольких источников данных.
Только члены роли сервера и члены роли базы данных, наделенные разрешением «Полный доступ», имеют разрешение на чтение данных служб Службы Analysis Services без дополнительных разрешений. Другие пользователи имеют разрешение на чтение данных служб Службы Analysis Services только в том случае, если их роль базы данных явным образом предоставляет им разрешения на чтение или чтение и запись в такие объекты данных служб Службы Analysis Services, как измерения, кубы, ячейки и модели интеллектуального анализа данных.
Дополнительные сведения см. в разделахПредоставление административного доступа
Безопасность на уровне измерения
В роли базы данных может указываться, имеют ли ее члены разрешение на просмотр или обновление элементов измерения в конкретных измерениях базы данных. Более того, в рамках каждого измерения, для работы с которым роли базы данных предоставлены права, роли может быть предоставлено разрешение на просмотр или обновление отдельных, а не всех элементов измерения. Если у роли базы данных нет разрешений на просмотр или обновление определенного измерения, а также некоторых или всех элементов такого измерения, то и у членов такой роли базы данных нет разрешения на просмотр измерения или любого из его элементов.
| Примечание |
|---|
Разрешения на доступ к измерению, предоставляемые роли базы данных, применяются в отношении измерений куба, основанных на измерении базы данных, если только иные разрешения явно не предоставляются в рамках куба, использующего измерение базы данных. |
Дополнительные сведения см. в разделахПредоставление доступа к измерениям и Предоставление пользовательского доступа к данным измерения.
Безопасность на уровне куба
В роли базы данных может указываться, имеют ли ее члены разрешение на чтение или чтение и запись в один или несколько кубов базы данных. Если роли базы данных не предоставлены разрешения на чтение или чтение и запись по крайней мере в один куб, то у членов роли базы данных не будет разрешения на просмотр каких-либо кубов в базе данных даже в случае наличия каких-либо связанных с ролью прав на просмотр элементов измерения.
Дополнительные сведения см. в разделахПредоставление доступа к кубу.
Безопасность на уровне ячейки
В роли базы данных может указываться, имеют ли ее члены разрешения на чтение, чтение и запись или на производное чтение в отношении некоторых или всех ячеек куба. Если роли базы данных не предоставлены разрешения на доступ к ячейкам куба, то у членов роли базы данных не будет разрешения на просмотр каких бы то ни было данных куба. Если роли базы данных запрещен просмотр определенных измерений на основании параметров безопасности измерения, то безопасность на уровне ячейки не может расширить права членов роли базы данных за счет включения элементов ячейки из такого измерения. С другой стороны, если роли базы данных предоставляется разрешение на просмотр элементов измерения, то безопасность на уровне ячейки может быть использована для ограничения элементов ячейки из измерения, доступных для просмотра членами роли базы данных.
Дополнительные сведения см. в разделахПредоставление специального доступа к данным ячеек.
Безопасность структуры интеллектуального анализа данных, модели интеллектуального анализа данных и источника данных
В роли базы данных может указываться, имеют ли ее члены разрешения на чтение или чтение и запись в структуры и модели интеллектуального анализа данных. Роли базы данных может быть предоставлено разрешение на детализацию данных источника, а также разрешение на просмотр данных в рамках одной или нескольких моделей интеллектуального анализа данных. Наконец, роли базы данных могут быть предоставлены разрешения на чтение и запись в рамках объектов источника данных. Данное разрешение позволяет роли указывать такой источник данных в предложении OPENQUERY и использовать строку соединения, определенную в объекте источника данных.
Дополнительные сведения см. в разделахПредоставление доступа к структурам и моделям интеллектуального анализа данных и Предоставление доступа к источникам данных.
Безопасность хранимых процедур
В службах Службы Analysis Services хранимые процедуры представляют собой внешние подпрограммы, написанные на языке программирования Microsoft .NET, которые расширяют возможности служб Службы Analysis Services. Хранимые процедуры позволяют разработчику использовать преимущества межъязыковой интеграции, обработки исключений, контроля версий, поддержки развертывания и отладки.
Хранимая процедура может быть вызвана любым пользователем. В зависимости от своих настроек хранимая процедура может выполняться либо в контексте вызывающего процедуру пользователя, либо в контексте анонимного пользователя. Поскольку у анонимного пользователя нет контекста безопасности, то используйте эту возможность вместе с настройкой экземпляра служб Службы Analysis Services, чтобы разрешить анонимный доступ.
После того, как пользователь вызовет хранимую процедуру, но до того, как службы Службы Analysis Services запустят хранимую процедуру, службы Службы Analysis Services выполняют оценку действий в рамках хранимой процедуры. Службы Службы Analysis Services оценивают действия в хранимой процедуре на основании пересечения разрешений, предоставленных пользователю, и набора разрешений, используемых для выполнения процедуры. Если в хранимой процедуре содержится какое-либо действие, которое не может быть выполнено ролью базы данных для пользователя, то оно не будет выполнено.
Ниже указываются наборы разрешений, используемых для выполнения хранимых процедур:
**Безопасно **Набор разрешений «Безопасно» не позволяет хранимой процедуре получить доступ к защищенным ресурсам на платформе Microsoft .NET Framework. Данный набор разрешений разрешает только вычисления. Это наиболее безопасный набор разрешений. Данные не уходят за пределы служб Службы Analysis Services, разрешения не могут быть расширены, а риск нанесения намеренного ущерба данным минимален.
**Внешний доступ ** Набор разрешений «Внешний доступ» позволяет хранимой процедуре получать доступ к внешним ресурсам при помощи управляемого кода. Использование хранимой процедурой данного набора разрешений исключает появление ошибок программирования, которые могут привести к нестабильной работе сервера. Однако данный набор разрешений может привести к утечке данных за пределы сервера, расширению разрешений и искажению данных.
**Неограниченно ** Набор разрешений «Неограниченно» позволяет хранимой процедуре получать доступ к внешним ресурсам при помощи любого кода. Данный набор разрешений не обеспечивает для хранимых процедур гарантии безопасности или надежности.
Шифрование
По умолчанию службы Службы Analysis Services требуют шифрования всех соединений между клиентами и экземпляром служб Службы Analysis Services.
Дополнительные сведения см. в разделахБезопасность взаимодействия клиентов с экземпляром служб Analysis Services
Отключено по умолчанию
Экземпляр служб Службы Analysis Services по умолчанию поддерживает параметры, обеспечивающие его безопасность. Следовательно, функции, которые способны снизить безопасность, по умолчанию отключены. Ниже указываются отключенные по умолчанию функции, которые при необходимости их использования должны быть специально включены.
Подключение по HTTP
Трассировка
Хранимые процедуры
Удаленные секции
Связанные объекты (к)
Связанные объекты (от)
Механизм статистической обработки интеллектуального анализа данных
Уровень защиты клиента
Уровень защиты сети Интернет
Обязательная проверка подлинности клиента
Интеграция Active Directory
Нерегламентированные запросы OpenRowset
Подключение клиента 8.0
Отчет об аварийных отказах