Autorizzazioni (Motore di database)

Ogni oggetto a protezione diretta di SQL Server dispone di autorizzazioni associate che possono essere concesse a un'entità di sicurezza. In questo argomento vengono fornite le informazioni seguenti:

• Convenzioni di denominazione delle autorizzazioni

• Autorizzazioni correlate a entità a protezione diretta specifiche

• autorizzazioni SQL Server

• Algoritmo di controllo delle autorizzazioni

• Examples

Convenzioni di denominazione delle autorizzazioni

Di seguito vengono descritte le convenzioni generali adottate per la denominazione delle autorizzazioni:

• CONTROLLO

  Conferisce al beneficiario capacità da proprietario. Il destinatario dell'autorizzazione dispone effettivamente di tutte le autorizzazioni definite per l'oggetto protetto. Un'entità di sicurezza a cui è stata concessa l'autorizzazione CONTROL può anche concedere autorizzazioni sull'oggetto a protezione diretta. Poiché il modello di sicurezza di SQL Server è gerarchico, CONTROL in un determinato ambito include implicitamente anche CONTROL su tutti gli oggetti a protezione diretta che rientrano in tale ambito. Un'autorizzazione CONTROL su un database, ad esempio, implica tutte le autorizzazioni sul database, su tutti gli assembly del database, su tutti gli schemi del database e sugli oggetti contenuti in tutti gli schemi del database.

• ALTER

  Conferisce la possibilità di modificare le proprietà, ad eccezione della proprietà, di un particolare elemento proteggibile. Quando l'autorizzazione ALTER viene concessa per un ambito, conferisce anche la possibilità di modificare, creare o eliminare qualsiasi oggetto a protezione diretta contenuto in tale ambito. Un'autorizzazione ALTER in uno schema, ad esempio, include la capacità di creare, modificare ed eliminare oggetti contenuti nello schema.

• ALTER ANY <Server Securable>, dove Server Securable può essere qualunque server a protezione diretta.

  Conferisce la possibilità di creare, modificare o eliminare singole istanze del Oggetto a protezione diretta del server. Ad esempio, ALTER ANY LOGIN conferisce la possibilità di creare, modificare o eliminare qualsiasi account di accesso nell'istanza di .

• ALTER ANY <Database Securable>, dove Database Securable può essere qualunque entità a protezione diretta a livello di database.

  Conferisce la possibilità di CREARE, MODIFICARE o ELIMINARE singole istanze dell'oggetto proteggibile del database. Ad esempio, ALTER ANY SCHEMA conferisce la possibilità di creare, modificare o eliminare qualsiasi schema nel database.

• ASSUMITI LA RESPONSABILITÀ

  Consente all'utente autorizzato di acquisire la proprietà dell'entità a protezione diretta su cui viene concessa.

• IMPERSONATE <Account di accesso>

  Consente di impersonare l'utente che effettua l'accesso.

• IMPERSONATE <Utente>

  Consente al beneficiario di rappresentare l'utente.

• CREATE <Entità a protezione diretta del server>

  Conferisce al beneficiario la possibilità di creare l'Server Securable.

• CREATE <Oggetto a protezione diretta del database>

  Concede al concessionario la possibilità di creare l'entità a protezione diretta del database.

• CREATE <Oggetto a protezione diretta contenuto in uno schema>

  Conferisce la possibilità di creare l'entità contenuta nello schema che può essere protetta. Tuttavia, per creare l'elemento a protezione diretta in un particolare schema, è necessario disporre dell'autorizzazione ALTER per lo schema.

• VIEW DEFINIZIONE

  Consente al beneficiario di accedere a metadati.

• REFERENCES

  L'autorizzazione REFERENCES su una tabella è necessaria per creare un vincolo FOREIGN KEY che faccia riferimento alla tabella stessa.

  L'autorizzazione REFERENCES è necessaria su un oggetto per creare un FUNCTION o un VIEW con la clausola WITH SCHEMABINDING che fa riferimento a tale oggetto.

Grafico delle autorizzazioni di SQL Server

Per un'anteprima di grandi dimensioni di tutte le autorizzazioni del motore di database in formato pdf, vedere https://github.com/microsoft/sql-server-samples/blob/master/samples/features/security/permissions-posters/Microsoft_SQL_Server_2017_and_Azure_SQL_Database_permissions_infographic.pdf.

Autorizzazioni applicabili a entità a protezione diretta specifiche

Nella tabella seguente sono elencate le classi principali di autorizzazioni e i tipi di entità a protezione diretta a cui possono essere applicati.

autorizzazioni per SQL Server e database SQL

La tabella seguente contiene un elenco completo delle autorizzazioni di SQL Server. Le autorizzazioni del database SQL sono disponibili solo per le entità a protezione diretta di base supportate. Le autorizzazioni a livello di server non possono essere concesse nel database SQL, ma in alcuni casi sono disponibili autorizzazioni per il database.

Riepilogo dell'algoritmo di controllo delle autorizzazioni

Il controllo delle autorizzazioni può essere complesso. L'algoritmo di controllo delle autorizzazioni include le appartenenze a gruppi sovrapposti e il concatenamento di proprietà, nonché autorizzazioni esplicite e implicite. È inoltre possibile che le autorizzazioni per le classi di entità a protezione diretta contenenti l'entità a protezione diretta abbiano impatto su tale algoritmo. Il processo generale dell'algoritmo consiste nel raccogliere tutte le autorizzazioni rilevanti. Se non viene trovato alcun DENY bloccante, l'algoritmo cerca un oggetto GRANT che garantisca un accesso sufficiente. L'algoritmo contiene tre elementi fondamentali, ovvero il contesto di sicurezza, lo spazio di autorizzazionee l' autorizzazione necessaria.

• Contesto di sicurezza

  Gruppo di entità che fornisce le autorizzazioni per il controllo dell'accesso. Si tratta di autorizzazioni correlate all'account di accesso o all'utente corrente, a meno che il contesto di sicurezza non sia stato modificato in un altro account di accesso o utente usando l'istruzione EXECUTE AS . Il contesto di sicurezza include le seguenti entità:

  • Account di accesso

  • L'utente

  • Appartenenza ai ruoli

  • Appartenenze a gruppi di Windows

  • Se viene utilizzata la firma del modulo, qualsiasi account di accesso o account utente relativo al certificato usato per firmare il modulo che l'utente sta attualmente eseguendo e le appartenenze ai ruoli associate a tale principale.

• Spazio autorizzazioni

  Si tratta dell'entità di protezione e di qualsiasi classe di protezione che contenga l'entità di protezione. Ad esempio, una tabella (entità a protezione diretta) è contenuta nella classe di entità a protezione diretta dello schema e nella classe di entità a protezione diretta del database. Sull'accesso possono influire le autorizzazioni a livello di tabella, schema, database e server. Per altre informazioni, vedere Gerarchia delle autorizzazioni (motore di database).

• Autorizzazione richiesta

  Il tipo di autorizzazione richiesto. Ad esempio, INSERT, UPDATE, DELETE, SELECT, EXECUTE, ALTER, CONTROL e così via.

  L'accesso può richiedere più autorizzazioni, come negli esempi seguenti:

  • Una procedura memorizzata può richiedere sia l'autorizzazione EXECUTE sulla procedura memorizzata sia INSERT l'autorizzazione su diverse tabelle a cui la procedura memorizzata fa riferimento.

  • Una visualizzazione a gestione dinamica può richiedere sia l'autorizzazione SERVER STATE che VIEW SELECT per la visualizzazione.

Passaggi generali dell'algoritmo

Quando l'algoritmo determina se consentire l'accesso a un oggetto protetto, i passaggi precisi che utilizza possono variare a seconda delle entità di sicurezza e degli oggetti protetti coinvolti. L'algoritmo, tuttavia, effettua i passaggi generali indicati di seguito:

1. Ignora il controllo delle autorizzazioni se l'account di accesso è un membro del ruolo predefinito del server sysadmin o se l'utente è l'utente dbo nel database corrente.

2. Consente l'accesso se la catena di proprietà è applicabile e se il controllo di accesso sull'oggetto precedente nella catena ha superato il controllo di sicurezza.

3. Aggrega le identità a livello di server, a livello di database e dei moduli firmati associate al chiamante per creare il contesto di sicurezza.

4. Per il contesto di sicurezzaraccoglie tutte le autorizzazioni concesse o negate per lo spazio di autorizzazione. Il permesso può essere esplicitamente indicato come GRANT, GRANT WITH GRANT o DENY; oppure i permessi possono essere un permesso implicito o generale GRANT o DENY. L'autorizzazione CONTROL per uno schema implica ad esempio l'autorizzazione CONTROL per una tabella, E l'autorizzazione CONTROL su una tabella implica l'autorizzazione SELECT. Se è stata pertanto concessa l'autorizzazione CONTROL per lo schema, viene concessa anche l'autorizzazione SELECT per la tabella. Se CONTROL è stato negato sulla tabella, anche SELECT viene negato sulla tabella.

   Note

   Un GRANT di un'autorizzazione a livello di colonna ha la precedenza su un DENY a livello dell'oggetto.

5. Identifica l' autorizzazione necessaria.

6. Considera non superato il controllo delle autorizzazioni se l'autorizzazione richiesta è negata direttamente o implicitamente a una qualsiasi delle identità nel contesto di sicurezza per gli oggetti nello spazio di autorizzazioni.

7. Passare il controllo dell'autorizzazione se l'autorizzazione richiesta non è stata negata e l'autorizzazione richiesta contiene un'autorizzazione GRANTGRANT WITH GRANT direttamente o implicitamente a una delle identità nel contesto di sicurezza per qualsiasi oggetto nello spazio di autorizzazione.

Examples

Negli esempi inclusi in questa sezione viene illustrato come recuperare le informazioni sulle autorizzazioni.

A. Restituzione dell'elenco completo delle autorizzazioni concesse

L'istruzione seguente restituisce tutte le autorizzazioni del motore di database tramite la funzione fn_builtin_permissions. Per altre informazioni, vedere sys.fn_builtin_permissions (Transact-SQL).

SELECT * FROM fn_builtin_permissions(default);  
GO  

B. Restituzione delle autorizzazioni per una determinata classe di oggetti

L'esempio seguente usa fn_builtin_permissions per visualizzare tutte le autorizzazioni disponibili per una categoria di oggetti a protezione diretta. Nell'esempio vengono restituite le autorizzazioni per gli assembly.

SELECT * FROM fn_builtin_permissions('assembly');  
GO    

C. Restituzione delle autorizzazioni concesse all'entità di esecuzione in un oggetto

Nell'esempio seguente si usa fn_my_permissions per restituire un elenco delle autorizzazioni effettive di cui dispone il principale chiamante per un securable specificato. Nell'esempio vengono restituite le autorizzazioni per un oggetto denominato Orders55. Per altre informazioni, vedere sys.fn_my_permissions (Transact-SQL).

SELECT * FROM fn_my_permissions('Orders55', 'object');  
GO  

D. Restituzione delle autorizzazioni applicabili a un oggetto specificato

Nell'esempio seguente vengono restituite le autorizzazioni applicabili a un oggetto denominato Yttrium. Si noti che la funzione OBJECT_ID predefinita viene usata per recuperare l'ID dell'oggetto Yttrium.

SELECT * FROM sys.database_permissions   
    WHERE major_id = OBJECT_ID('Yttrium');  
GO  

Vedere anche

Gerarchia delle autorizzazioni (motore di database)
sys.database_permissions (Transact-SQL)