Πρώτα Βήματα - Βάσεις δεδομένων

Απ: Περιορισμός χρήστη να βλέπει μια μόνο βάση

Karist — Tue, 20 Sep 2011 22:28:45 GMT

George, να σε ευχαριστήσω πρώτα για το ενδιαφέρον σου και τις πολύτιμες απαντήσεις σου

Δεν μου φαινεται λογικό να φτιάξω μια βάση για τον καθένα, θα περιοριστώ στη λύση να εμφανίζονται οι άλλες βάσεις, χωρίς να έχουν δικαιώματα πρόσβασης οι συγκεκριμένοι χρήστες.

Ετσι θα καταφέρω να κρύψω το Table και να "κοψω" το design & το Edit στο View.

Ευχαριστώ και παλι

Απ: Περιορισμός χρήστη να βλέπει μια μόνο βάση

George Parissis — Tue, 20 Sep 2011 22:06:58 GMT

Όχι δεν μπορούμε δυστυχώς. Όπως θα είδες και εσύ το Management Studio δεν υποστηρίζει αυτό το Feature, δηλαδή όταν κάνει Login κάποιος στην βάση να βλέπει μόνο της βάσης στις οποίες έχει δικαίωμα. Αν και είναι ένα feature που είχε ζητηθεί πολύ παλαιότερα ούτε στον 2008 δεν έχει αλλάξει η συμπεριφορά. Και δεν γνωρίζω τι γίνεται στην νέα έκδοση.

Όπως όμως γνωρίζεις όλες οι ρυθμίσεις του SQL υπάρχουν σε πίνακες και με τα κατάλληλα SQL Statements μπορούμε να αλλάξουμε συμπεριφορά στον Server ή στην βάση. Τα ίδια Statements τρέχει και το Management Studio όταν μας δίνει UI με Properties του server ή της βάσης. Δυστυχώς στο συγκεκριμένο κομμάτι δεν υπάρχουν άλλα SQL Statements που να μας επιτρέψουν να έχουμε περισσότερο έλεγχο.

Η εντολή DENY VIEW ANY DATABASE TO δεν εμφανίζει τις υπόλοιπες βάσεις που υπάρχουν εκτός από τις System και αυτές όπου το Login είναι Owner (Αν δεν το αλλάξουν αυτό δεν γίνεται τίποτα). Και για αυτό κάναμε το Login Owner. Από την άλλη όμως δεν μπορείς να κρύψεις από τον Owner πίνακες τις βάσης του.... λίγο οξύμορο...

Δυστυχώς αυτός είναι ο τρόπος. Ή αυτόν γνωρίζω, μέχρι εδώ δηλαδή φτάνουν οι γνώσεις μου. Οπότε ή κάποιος άλλος συνάδελφος θα μπορούσε να συνεχίσει από εδώ και μπρος ή και εγώ δεν ξέρω τι μπορείς να κάνεις. Θα μπορούσες για παράδειγμα να φτιάχνεις μία βάση για κάθε πελάτη αν είναι δυνατόν και να του περνάς τα δεδομένα μέσα στην βάση του; Οπότε να μην έχεις Views με WHERE κτλ και πίνακες με δεδομένα που δεν θα πρέπει να δει; Ερώτηση κάνω για να προβληματιστείς. Έτσι θα σε βόλευε αυτή η λύση. Από την άλλη δε μπορώ να σκεφτώ κάτι άλλο.

Απ: Περιορισμός χρήστη να βλέπει μια μόνο βάση

Karist — Tue, 20 Sep 2011 21:46:01 GMT

Να συμληρώσω μια διευκρίνηση, ότι την βάση αυτή δεν θα την "χτυπάει" μονο ένας χρήστης αλλά περίπου 20 διαφορετικοί και στο security δεν θα είναι μόνο ένας, αλλά 20.

Πως θα γίνει αυτό για όλους τους χρήστες;

Η εντολή ALTER AUTHORIZATION ON DATABASE:: DataBase TO "user1" θα τρέξει και τον "user2" με τα ιδια αποτελέσματα;

Απ: Περιορισμός χρήστη να βλέπει μια μόνο βάση

Karist — Tue, 20 Sep 2011 21:39:39 GMT

Σωστά, "επαιξε", αλλά τώρα έχασα την δυνατότητα της απόκρυψης του table από τον χρήστη και τον περιορισμό στο design του View.

Ετσι, η βάση μπορεί να ειναι μονο read, αλλά το table "ανοιγει" και με ένα copy-paste πήρε δεδομένα άλλων πελατών.

Μπορούμε να το περιορίσουμε περισσότερο, ωστε το table να μην εμφανίζεται και στο View να μην έχει δυνατότητα design;

Απ: Περιορισμός χρήστη να βλέπει μια μόνο βάση

George Parissis — Tue, 20 Sep 2011 21:17:03 GMT

Έχεις δηλώσει το Login σαν User της βάσης. Βγάλε τον User από την βάση και κράτησέ τον μόνο σαν Login σε επίπεδο Server. Δεν χρειάζεται να τον δηλώσεις και σαν User στην βάση όταν τον κάνεις Owner αυτής.

Απ: Περιορισμός χρήστη να βλέπει μια μόνο βάση

Karist — Tue, 20 Sep 2011 21:12:12 GMT

Το έβαλα και μου έβγαλε το μηνυμα:

Msg 15110, Level 16, State 1, Line 3
The proposed new database owner is already a user or aliased in the database.

Απ: Περιορισμός χρήστη να βλέπει μια μόνο βάση

George Parissis — Tue, 20 Sep 2011 21:06:56 GMT

Δεν έβαλες το Login να είναι Owner της βάσης. Και αυτό θα το κάνεις μόνο με το statement που σου έδωσα.

Απ: Περιορισμός χρήστη να βλέπει μια μόνο βάση

Karist — Tue, 20 Sep 2011 20:42:19 GMT

George, όχι μόνο "έπαιξε" αλλά "παραέπαιξε" , δηλαδή οι μόνες βάσεις που "βλεπω" ειναι οι συστεμικές ( Master & TempDb ).

Ψάχνω μήπως έκανα καποιο λαθος ή χρειάζεται να κανω κατι ακόμη.

Απ: Περιορισμός χρήστη να βλέπει μια μόνο βάση

George Parissis — Tue, 20 Sep 2011 19:29:23 GMT

Ναι μπορεί να γίνει.

Θα δημιουργήσεις ένα Login κάτω από το Security Logins. (Όχι στην βάση αλλά στον Server)

Στην συνέχεια θα τρέξεις το παρακάτω.

USE <To όνομα της βάσης>
ALTER AUTHORIZATION ON DATABASE:: <Το όνομα της βάσης> TO <Το όνομα του Login που δημιούργησες>

με την παραπάνω εντολή κάνουμε το Login Owner της βάσης.

Στην συνέχεια θα τρέξεις

USE MASTER
DENY VIEW ANY DATABASE TO <Το όνομα του Login που έδωσες>

Η εντολή αυτή δεν εμφανίζει της βάσης στο Management Studio αλλά και από όπου συνδεθείς στο συγκεκριμένο Login. Εκτός από την Master, Tempdb και σε αυτές που είναι Owner. (Για αυτό τρέξαμε και την πρώτη εντολή.)

Και τέλος εφόσων θέλεις μόνο να διαβάζουν τρέχεις την παρακάτω

EXEC sp_dboption <Όνομα βάσης>, "READ ONLY", "TRUE"

Και έτσι κάνεις την βάση Read Only. Αν θέλεις να μην είναι βάζεις το τελευταίο σε FALSE. Έπειτα κάνεις Login με το Login που έφτιαξες και θα δεις μόνο την βάση που θέλεις με την ένδειξη Read Only.

Δεν μπορείς να αποφύγεις την Master και την TempDb. Νομίζω όμως ότι έφτασες εκεί που ήθελες.

Απ: Περιορισμός χρήστη να βλέπει μια μόνο βάση

Karist — Tue, 20 Sep 2011 17:07:40 GMT

Πολύ σωστά George!

Απ: Περιορισμός χρήστη να βλέπει μια μόνο βάση

George Parissis — Mon, 19 Sep 2011 23:46:03 GMT

Οπότε δεν θέλεις να εμφανίζονται καθόλου οι άλλες βάσεις που υπάρχουν στον Server εκτός από αυτήν που μόνο ο χρήστης θα έχει read persmissions. Ακόμα και αν ο χρήστης δεν έχει δικαίωμα να μπορεί να 'μπει' στις άλλες βάσεις εσύ δεν θέλεις καν να εμφανίζονται. Σωστά;

Απ: Περιορισμός χρήστη να βλέπει μια μόνο βάση

Karist — Mon, 19 Sep 2011 19:10:18 GMT

Μαρκο, υπάρχει ένα table που το ενημερώνω μόνο εγώ και οι πελατες έχουν μόνο select.

Εχω όμως και νεότερα!

Τεσταροντας αυτά που ειδα στο video, εφτιαξα ένα χρήστη "TestUser" και έκανα login στο management studio, κατάφερα τα εξης:

Στο πρωτο login, έβλεπα όλες τις βασεις, χωρίς όμως να έχω access σε αυτές, εκτός από την βάση που ειχα δωσει δικαώματα στον χρήστη "TestUser". Ομως δεν έβλεπα το table και το view.
Πρόσθεσα πάνω στο view, δεξι κλικ properties => Permissions τον χρήστη και του έδωσα Explicit Permissions να έχει select = Grant

Μετά από αυτό έκανα login και εμφανίζεται μόνο το view με μια κλειδαριά χωρίς να δίνει την δυνατότητα για Edit ή Design

Μάλλον, το ένα σκελος της ερώτησης για το πως θα εμφανιζεται μονο το view και όχι το table έχει καλυφθεί, αν συμφωνείτε και εσεις.

Μενει μονο το ερώτημα, αν μπορώ να "κρυψω" τις άλλες βασεις από τον χρήστη "TestUser".

Απ: Περιορισμός χρήστη να βλέπει μια μόνο βάση

Markos — Mon, 19 Sep 2011 18:24:51 GMT

Δεν έχω καταλάβει ακριβώς την περιγραφή... Υπάρχει κοινό table που ενημερώνουν όλοι;

Απ: Περιορισμός χρήστη να βλέπει μια μόνο βάση

Karist — Mon, 19 Sep 2011 17:57:05 GMT

Καλημέρα, καλή εβδομάδα σε όλους.

Ευχαριστώ πολύ για το ενδιαφέρον και τις απαντήσεις σας. Η επαφή μου με τον SQL βρίσκεται στα αρχικά στάδια και για τον λόγο αυτό δεν ήμουν περισσότερο διευκρινιστικός από την αρχή.

Θα σας περιγράψω το σεναριο:

Ο SQL Server με τις 7 βάσεις δεδομένων θα "βγαίνει" στο Internet ( μέσα από firewall )
Σε μια μονο βάση, θα υπαρχουν δεδομένα που θα ενημερώνονται καθημερινά και θα αφορούν διαφορετικούς πελάτες
Οι πελάτες αυτοί, θα έχουν πρόσβαση στη βάση και θα αντλούν τα δεδομένα τους μέσα από ένα view με where το SYSTEM_USER = το login που θα τους έχω δωσει. Τα δεδομένα θα τα αντλούν από δικές τους εφαρμογές. Εγώ θα τους παρέχω μόνο τα δεδομένα στη βάση. ΠΡΟΣΟΧΗ, όμως το table θα είναι το ίδιο για όλους!
Εδω πρόκύπτει ο εξής προβληματισμός: Ναι μεν το View θα τους περιορίσει να δουν τα data των άλλων, αλλά αν "χτυπήσουν" το table, μάλλον θα τα δούν όλα!
Αν καποιος χρήστης κανει login από το Management Studio του SQL, να μη μπορεί να δει τι υπόλοιπες βασεις, παρά μόνο τη δική του βάση και φυσικά ο περιορισμός αυτός να υπάρχει και για τις εφαρμογές που θυμίζω θα είναι των πελατών.

Τα ερωτήματα που προκείπτουν συνοπτικά από το παραπάνω σενάριο είναι:

Από το Management Studio ή από κάποια δική τους εφαρμογή, να μην εμφανίζονται οι άλλες βάσεις στον χρήστη, παρά μόνο αυτή που θα έχει δικαιώματα read για τον συγκεκριμένο χρήστη.
Στη βάση που θα εμφανίζεται, μπορώ να περιορίσω την πρόσβαση όλων των χρηστών στο table που θα υπάρχουν εγγραφές όλων των πελάτών και η πρόσβασή τους στα δεδομένα να γινεται αποκλειστικά μέσα από το view που θα περιέχει το where SYSTEM_USER = το login που θα του έχω δωσει;

Ευχαριστώ για το ενδιαφέρον σας.

Απ: Περιορισμός χρήστη να βλέπει μια μόνο βάση

George Parissis — Sat, 17 Sep 2011 20:27:35 GMT

Σε ευχαριστώ αλλά μετά από 15 χρόνια προγραμματισμού έχω αναπτύξει τις δικές μου μεθόδους αντικαταθλιπτικών και τονωτικών.

Το έχω μείνει με την απορία πήγαινε σε αυτόν που έκανε την ερώτηση γιατί δεν ξέρω τι εννοούσε εφόσων η ερώτηση του είναι γενική κατά το 50% οπότε δεν μπορεί να δωθεί μία σωστή απάντηση.

Αλλά ακόμα και αν για μερικούς δεν είναι και μου φάνηκε εμένα τότε η ερώτησή του είχε δύο σκέλη. Να μην φαίνονται οι 7 βάσεις και οι χρήστες να έχουν μόνο Read δικαιώματα σε αυτήν που θα βλέπουν. Η απάντησή σου τον κάλυψε στο ένα σκέλος γιατί ακόμα και με τον τρόπο που έχεις πει όταν ο χρήστης μπει στο Management Studio του SQL θα δει και τις 7 βάσεις. Το να μπει σε κάποια από αυτές δεν θα μπορεί αλλά να τις δει ότι είναι εκεί μπορεί, αυτό άλλωστε το έχω ήδη πει στο post μου. Άρα τι εννοούσε με την φράση 'Για ένα SQL χρηστη, οταν θα κανει login, θέλω να βλέπει μόνο μια βάση'. Όταν μπαίνεις στο Management Studio τις βλέπεις όλες. Σημείο ασάφειας λοιπόν και ο λόγος της απορίας μου.

Αν έγραφε 'σε έναν SQL Server 2005 υπάρχουν 7 βασεις δεδομένων. Για ένα SQL χρηστη, οταν θα κανει login, θέλω να έχει μόνο read δικαιώματα σε μία βάση' και έβγαζε έξω την λέξει να βλέπει δεν θα αναρωτιόμουν τι θέλει να πει.