Bảo mật SQL
Lời nói đầu
SQL Server 7.0 ra đời là 1 bước nhảy vọt công nghệ CSDL so với CSDL SQL Server 6.5,
SQL Server 2000 ra đời không ngừng cung cấp cho người dùng những công cụ và những
đặc điểm mới phiên bản 7.0 còn thiếu sót.
Ngoài những đặc tính khắc phục thiếu sót của SQL Server 7.0, phiên bản SQL Server 2000
còn thay đổi 1 số cục diện khác trong các chức năng lập trình cũng giống như trong quan
hệ và ràng buộc dữ liệu.
Ngoài ra SQL Server 2000 còn cung cấp 1 số công cụ hỗ trợ khác như Phân tích xử lí trực
tuyến (OLAP), chuyển tác trực tuyến (OLPT), English Query…
Tìm hiểu về SQL Server là 1 mảng đề tài rộng, bao gồm kỹ năng lập trình, kỹ thuật ứng
dụng SQL vào ứng dụng thực tiễn, các mô hình CSDL, kĩ thuật mới của SQL Server 2000,
quản trị CSDL, bảo mật…. Trong phạm vi đề tài này chỉ tìm hiểu về bảo mật trong SQL
Server.
Trần Kỳ Nam Page 1 11/23/2012
Bảo mật SQL
Mục lục
Lời nói đầu 1
Mục lục 2
1. Giới thiệu 3
1.1. Khái niêm cơ bản về bảo mật 3
1.2. Giới thiệu chung về bảo mật trong SQL Server 4
2.Quản lí việc đăng nhập 4
2.1.Xác nhận việc đăng nhập 4
2.2.Sự xác nhận quyền 5
2.3.Tạo 1 đăng nhập 5
3.Quản lí người dùng 9
3.1Người dùng của SQL Server 9
3.2.Mối quan hệ giữa người dùng CSDL và tên đăng nhập 10
3.3.Quản lí tên người dùng và tên đăng nhập 10
4.Quyền người dùng (User Right) 10

phương tiện để bảo mật dữ liệu. Trong đề tài này sẽ tập trung vào các chính sách bảo mật
của SQL Server và thảo luận 1 cách chi tiết bảo mật được cung cấp như thế nào trong SQL
Server.
1.1.Khái niệm cơ bản về bảo mật
Bảo mật có rất nhiều khái niệm, cho phép người quản trị CSDL tự ra quyết định cho phép
hay không cho phép người dùng truy cập và thao tác trên CSDL sao cho có hiệu quả bảo
mật tốt nhất. Dưới 1 góc độ nào đó, người quản trị dựa trên nền tảng lí thuyết bảo mật của
hệ CSDL đa người dùng nhằm tìm ra những phương pháp bảo mật theo đúng với nhu cầu
của độ bảo mật dữ liệu.
Với mục đích tăng tính bảo mật dữ liệu, SQL Server 2000 hỗ trợ các tính năng cho phép
nhà quản trị thiết lập cợ chế bảo vệ CSDL trong môi trường đa người dùng, bao gồm các
yếu tố chính sau:
- Vai trò của người dùng trong hệ thống và CSDL
- Quyền sử dụng các ứng dụng CSDL trong SQL Server
- Quyền tạo và sửa đổi cấu trúc các đối tượng CSDL
- Quyền truy cập, xử lí dữ liệu
Khi đăng nhập vào 1 hệ thống CSDL đa người dùng, ngưới sử dụng cần phải cung cấp
UserID và Password. Dựa trên UserID hệ thống có khả năng kiểm soát tát cả các hành vi
của người sử dụng trên CSDL SQL Server 2000.
Để làm được chức năng này, người quản trị CSDL cần phải thiết lập các quyền xử lý và
truy cập vào CSDL khhi tạo ra UserID này, ngoài ra còn 1 số thuộc tính khác của SQL
Server như quyền bakup dữ liệu, trao đổi dữ liệu với các ứng dụng CSDL khác…
Khi nói đến bảo mật, ta cần quan tâm dến tên tài khoản, mật khảu, chiều dài, thời gian có
hiệu lực… như sau:
- Một người sử dụng chỉ có 1 UserID và 1 Password.
Trần Kỳ Nam Page 3 11/23/2012
Bảo mật SQL
- Thời gian có hiệu lực của mật khẩu.
- Chiều dài của mậ khẩu có giới hạn <= 36.
- Giới hạn người sử dụng theo license hay mở rộng.

- Windows NT Authentication : Khi 1 người dùng kết nối với SQL Server sử dụng
Windows NT authentication, SQL Server kiểm lại với Windows NT xem tài khoản
và mã đã đúng chưa.Nếu đúng thì người dùng có thể kết nôi với SQL Server.
- Mixed Mode Authentication: Người dùng có thể sử dụng 1 trong 2 loại trên.
2.2.Sự xác nhận quyền:
Trong mỗi CSDL, quyền được gán cho tài khoản của người dùng và các vai trò được tạo ra
để thực hiện ( hoặc ngăn cấm) những hành động cụ thể. SQL Server chấp nhận các lệnh
sau khi người dùng đã truy cập thành công tới CSDL.
SQL Server thực hiện các bước sau trong khi xác nhận quyền:
1. Khi người dùng thực hiện 1 hành động, ví dụ như thực hiện 1 câu lệnh T-SQL,câu
lệnh này được chuyển tới SQL Server
2. Khi SQL Server nhận được câu lệnh, nó kiểm tra em người dùng có quyền thực
hiện câu lệnh hay không.
3. Sau đó, SQL Server thực hiện 1 trong 2 hành động sau:
- Nếu người dùng có quyền, SQL Server thực hiện câu lệnh.
- Nếu người dùng không có quyền, SQL Server báo lỗi.
Sử dụng Enterprise Manager, ta có thể chọn kiểu xác nhận như là Windows Authentication
và Mixed mode authentication
2.3.Tạo 1 đăng nhập:
Sử dụng Enterprise Manager ta có thể quản lí việc đăng nhập bằng việc sử dụng Create
Login Wizard cung cấp bởi SQL Server Enterprise Manager. Quá trình(Wizard) này cung
cấp 1 sự hướng dẫn từng bước hoàn chỉnh để tạo các đăng nhập 1 cách dễ dàng và hiệu
quả.
Bên cạnh đó ta cũng có thể sử dụng các thủ tục thường trú( stored procedures) để tạo hay
xóa các đăng nhập.
Để tạo 1 đăng nhập, ta có thể sử dụng câu lệnh sau:
EXEC sp_addlogin
[@login=]<’login’>
[,@password=]<’password’>]
[,[@defdb=]<’database’>]

New Login như trong hình sau:
Trần Kỳ Nam Page 6 11/23/2012
Bảo mật SQL
Như đã trình bày ở trên, có 2 lựa chọn khi tạo một người dùng trong SQL Server 2000:
- Tương tác với hệ điều hành Windows NT/2000
- Sử dụng riêng cho SQL Server 2000
Trong hình sau, dễ dàng nhận thấ khi chọn Windows NT authentication thì tham số tên
miền của chúng yêu cầu, rõ ràng ta phải cung cấp tên miền hay địa chỉ TCP/IP của máy
chủ, mặt khác tài khoản người dùng này phải tồn tại và có hiệu lực tên mạng.
Trần Kỳ Nam Page 7 11/23/2012
Bảo mật SQL
Sau khi tạo, SQL Server 2000 kiểm tra. Tài khoản người dùng có hợp lệ hay không, có tồn
tại trên hệ điều hành Windows NT/2000 hay không. Nếu tất cả thông tin hợp lệ, đăng ký
thành công.
Trong trường hợp ta muốn tài khoản đó có giá trị hiệu lực trong SQL Server 2000, chọn
SQL Server authentication như hình sau:
Trần Kỳ Nam Page 8 11/23/2012
Bảo mật SQL
Ghi chú:
-Trong trường hợp sử dụng Tài khoản người dùng chung NT và SQL Server, nếu
người dùng sử dụng tài khoản loại này họ có thể xóa dữ liệu trên mạng.
-Tùy vào quan điểm quản lý, nhà quản trị tự thiết lập hệ thống người dùng sao cho
phù hợp với chiến lược bảo mật dữ liệu công ty.
3.Quản lí người dùng:
SQL Server cho phép 2 loại tài khoản người dùng sau:
- Người dùng hệ thống( system user)
- Người dùng CSDL(database user)
3.1Người dùng của SQL Server:
1 mã người dùng có thể được dùng để xác nhận 1 người dùng trong 1 CSDL. Tất cả các
quyền và sự sở hữu các đối tượng trong CSDL được kiểm soát bởi tài khoản người dùng.

- Quyền truy cập vào SQL Server 2000.
- Quyền truy xuất vào cơ sở dữ liệu
- Quyền thực hiện trên các đối tượng của cơ sở dữ liệu
- Quyền xử lý dữ liệu
4.1.Cấp phát quyền truy cập vào cơ sở dữ liệu:
Điều đầu tiên cần phải thực hiện khi cho phép người sử dụng truy cập vào cơ sở dữ liệu là
cấp phát quyền, có 2 cách để thực hiện việc cấp phát quyền này, bao gồm việc thực hiện 1
thủ tục có sẵn hay sử dụng trình điều khiển EM, bằng cách thêm người sử dụng vào thành
viên người dùng của cơ sở dữ liệu.
Trần Kỳ Nam Page 10 11/23/2012
Bảo mật SQL
Sử dụng thủ tục
Để cấp phát quyền người sử dụng vào truy cập cơ sở dữ liệu bằng thủ tục, phải có cú pháp
như sau:
Exec sp_grantdbaccess
[@loginname=] < ‘ login’ >
[ , [@name_in_db=] ] < ‘ name in this db’ >
Nếu không chỉ rõ cơ sở dữ liệu muốn cho phép người dùng truy cập, thì người sử dụng
được cấp phát quyền trên cơ sở dữ liệu hiện hành, với tham số @loginname là tài khoản
của người sử dụng đăng nhập vào SQL Server 2000.
Tham số @name_in_db cho phép ánh xạ hay còn gọi là bí dang tên của tài khoản người
dùng thành 1 tên khác khi truy cập vào cơ sở dữ liệu chỉ định, trong trường hợp này SQL
Server 2000 chỉ quản lý trên tên tài khoản đăng nhập.
Với cách này, khi sử dụng các ứng dụng khác truy cập vào cơ sở dữ liều SQL Server 2000,
dĩ nhiên ứng dụng sẽ kết nối cơ sở dữ liệu chỉ định, thì tài khoản dùng để kết nối vẫn là tên
Tài khoản đăng nhập vào SQL Server 2000.
Ví dụ sau đây trình bày cách cấp phát quyền truy cập của người sử dụng có tên Tài khoản
mya đổi bí danh thành myaa vào cơ sở dữ liệu account:
/* sử dụng Use */
USE Account

cơ sở dữ liệu chỉ định có dạng sau:
Trần Kỳ Nam Page 12 11/23/2012