Безопасность сборщика данных
Сборщик данных использует основанную на ролях модель безопасности, реализованную агентом SQL Server. Эта модель позволяет администратору базы данных запускать различные задачи сборщика данных в контексте безопасности, имеющем только те разрешения, которые необходимы для выполнения задачи. Этот подход также используется для операций, затрагивающих внутренние таблицы, доступ к которым можно осуществить только с помощью хранимой процедуры или представления. Внутренним таблицам разрешения не предоставляются. Вместо этого они проверяются у пользователя хранимой процедуры или у представления, которое используется для обращения к таблице.
.gif "Важное примечание") Важно! |
|---|
Еще одним ключевым аспектом данной модели безопасности являются вложенные разрешения. При использовании вложенных разрешений роли с более широкими правами наследуют разрешения ролей с менее широкими правами на объекты (включая предупреждения, операторы, задания, расписания и учетные записи-посредники). Дополнительные сведения см. в разделе Предопределенные роли базы данных агента SQL Server. |
В следующих разделах в общих чертах описывается безопасность сбора данных, а также те роли, которые необходимо предоставлять пользователям, чтобы они могли настроить и использовать сборщик данных и осуществлять выполнение задач, связанных с хранилищем управляющих данных.
Общая безопасность
Сборщик данных устанавливается в соответствии с документированными стандартами для SQL Server 2008. Дополнительные сведения см. в разделе Безопасное развертывание (компонент Database Engine).
Сетевая безопасность
Конфиденциальные данные могут передаваться между целевыми экземплярами, реляционным экземпляром, связанным с сервером конфигурации, на котором работают наборы сбора, и сервером, на котором расположено хранилище управляющих данных.
Для защиты любых данных, передаваемых по сети, были введены стандартные механизмы безопасности, такие как шифрование протокола для Transact-SQL.
Разрешения для настройки и использования сборщика данных
В зависимости от задачи пользователи должны быть участниками одной или нескольких фиксированных ролей базы данных, предоставленных для сборщика данных. Далее представлены роли в порядке уменьшения прав доступа:
dc_admin
dc_operator
dc_proxy
Эти роли хранятся в базе данных msdb. По умолчанию ни один из пользователей ни в одну из этих ролей не входит. Членство в этих ролях необходимо предоставлять явным образом.
Пользователи, которые являются членами предопределенной роли сервера sysadmin, имеют полный доступ к объектам агента SQL Server и представлениям сборщика данных. Однако они должны быть явно добавлены в роли сборщика данных.
| Важно! |
|---|
Члены роли db_ssisadmin и роли dc_admin могут повысить свои права доступа до sysadmin. Такое повышение права доступа происходит из-за того, что эти роли могут изменять пакеты служб Integration Services, а пакеты Integration Services могут выполняться SQL Server при помощи контекста безопасности sysadmin агента SQL Server. Для предотвращения такого повышения прав доступа во время выполнения планов обслуживания, наборов сбора данных и других пакетов служб Integration Services настройте в заданиях агента SQL Server, выполняющих пакеты, использование учетной записи-посредника с ограниченными правами доступа или добавляйте членов sysadmin только в роли db_ssisadmin и dc_admin. |
Роль dc_admin
Пользователи, являющиеся членами фиксированной серверной роли dc_admin, имеют полный административный доступ (на создание, чтение, обновление и удаление) к конфигурации сборщика данных на экземпляре сервера. Члены этой роли могут выполнять следующие операции:
задавать свойства уровня сборщика;
добавлять новые наборы сбора;
устанавливать новые типы сбора;
выполнять все действия, разрешенные роли dc_operator.
Роль dc_admin является членом следующих ролей.
SQLAgentUserRole. Необходима для создания расписаний и запуска заданий.
.gif "Примечание")
ПримечаниеУчетные записи-посредники, созданные для сборщика данных, должны предоставлять доступ к роли dc_admin, чтобы можно было создавать и использовать их в любых шагах задания, где они необходимы.
dc_operator. Участники роли dc_admin наследуют разрешения, предоставляемые роли dc_operator.
Роль dc_operator
Члены роли dc_operator имеют доступ на чтение и обновление. Эта роль поддерживает задачи, связанные с выполнением и настройкой наборов сбора. Члены этой роли могут выполнять следующие операции:
запускать или останавливать набор сбора;
перечислять существующие наборы сбора;
просматривать подробные сведения (например, элементы сбора и частоту сбора), связанные с набором сбора;
изменять частоту загрузки для существующих наборов сбора;
изменять частоту сбора для элементов сбора, являющихся частью существующего набора сбора;
Роль dc_operator является членом следующих ролей.
- db_ssisltduser. Членство в этой роли необходимо, чтобы перечислять и просматривать пакеты сборщика данных. Дополнительные сведения см. в разделе Использование ролей служб Integration Services.
Роль dc_proxy
Члены роли dc_proxy имеют доступ на чтение всех наборов сбора сборщика данных и свойств уровня сборщика. Члены этой роли могут также выполнять задания, владельцами которых они являются, и создавать шаги задания, которые выполняются от имени существующей учетной записи-посредника.
Члены этой роли могут выполнять следующие операции:
просматривать сведения о конфигурации набора сбора (например, входные параметры для элементов сбора и их частоту);
получать внутренние зашифрованные данные, доступ к которым можно получить только с помощью подписанной хранимой процедуры (например, сведения о соединении с хранилищем данных, используемым для передачи данных);
вести журнал событий времени исполнения наборов сбора.
Роль dc_proxy является членом следующей роли.
- db_ssisltduser. Членство в этой роли необходимо, чтобы перечислять и просматривать пакеты сборщика данных. Дополнительные сведения см. в разделе Использование ролей служб Integration Services.
Разрешения для настройки и использования хранилища управляющих данных
В зависимости от задачи пользователи должны быть членами одной или нескольких фиксированных ролей базы данных, предоставленных для доступа к хранилищу управляющих данных. Далее представлены роли в порядке уменьшения прав доступа:
mdw_admin
mdw_writer
mdw_reader
Эти роли хранятся в базе данных msdb. По умолчанию ни один из пользователей ни в одну из этих ролей не входит. Членство в этих ролях необходимо предоставлять явным образом.
Пользователи, которые являются членами предопределенной роли сервера sysadmin, имеют полный доступ к представлениям сборщика данных. Однако для выполнения этих действий они должны быть явно добавлены в роли базы данных.
Роль mdw_admin
Члены роли mdw_admin имеют доступ на чтение, запись, обновление и удаление данных в хранилище управляющих данных.
Члены этой роли могут выполнять следующие операции:
изменять при необходимости схему хранилища управляющих данных (например, добавлять новую таблицу при установке нового типа сбора);
ПримечаниеДля изменения схемы пользователь также должен быть членом роли dc_admin, чтобы установить новый тип сборщика, поскольку для данной операции требуется разрешение на обновление конфигурации сборщика данных в базе данных msdb.
запускать обслуживающие задания для хранилища управляющих данных, например архивацию или очистку.
Роль mdw_writer
Члены роли mdw_writer могут передавать и записывать данные в хранилище управляющих данных. Любой сборщик данных, хранящий данные в хранилище управляющих данных, должен быть членом данной роли.
Роль mdw_reader
Члены роли mdw_reader имеют доступ на чтение к хранилищу управляющих данных. Эта роль предназначена для помощи при устранении неполадок путем предоставления доступа к данным с предысторией; ее члены не могут просматривать другие элементы схемы хранилища данных управления.