Security 10：权限管理

SQL Server 用于管理权限的TSQL命令有：GRANT用于授予权限，REVOKE 用于移除授予的权限，而DENY用于防止安全主体通过GRANT获得权限。但是，SQL Server的权限管理不是扁平的，是立体的，在不同的安全上下文（Security context）中，不同的权限空间（Permission Space）中，这三个命令的优先级是不同的。

在进行权限管理时，应遵守“最低权限”原则，即每个人只授予必需的最小权限。相对于授予的权限，数据库中还有一个特殊的权限，那就是所有权（Ownship）。

一，管理权限的规则

在管理权限时，要注意权限的上下文、权限的立体空间和权限的优先级

1，安全上下文和权限空间

安全上下文（Security Context），是跟user 或 login 相关的环境，用户可以通过EXECUTE AS 来切换安全上下文。安全上下文主要包括：Login、User、Role membership、Windows Group membership

权限空间，是指安全对象（Securable）和包含安全对象的所有安全对象类（Securable class），比如，表包含在schema 中，schema是表的安全对象类；而database包含schema，database是schema的安全对象类。访问表的权限，受到表、schema和database的权限的影响，这三个对象构成一个权限空间，访问受到权限空间的约束。

2，权限的优先级

当这三个命令作用于同一个安全对象（Securable）时，情况会变得复杂，不仅需要考虑权限空间，还需要考虑权限的优先级。

在同一个安全主体范围内对同一个安全对象设置权限，GRANT子句会移除DENY和REVOKE子句设置的权限，这三个命令的优先级相同，后执行的语句会移除先执行语句的效果。

但是，当相同的权限作用于同一安全主体的不同范围时，如果DENY 作用于更高的范围内，那么DENY优先，但是在更高的范围内，REVOKE不优先。

这里有一个例外，列级别的GRANT语句，会覆盖Object级别的DENY语句，但是后续Object级别的DENY语句会覆盖列级别的GRANT语句。

3，权限的层次结构

权限的层次结构，类似于权限空间，但是权限的层次结构是一种父子结构。

举个例子，数据库级别的权限：

在数据库级别授予操作数据库对象的权限，比如 EXECUTE、DELETE、INSERT、SELECT、UPDATE、REFERENCES、VIEW DEFINITION，实际上，授予的是操作数据库中所有对象的权限。
数据库级别独有的权限：ALTER、BACKUP DATABASE、BACKUP LOG、CHECKPOINT、CONNECT、CREATE TABLE、CREATE VIEW、CREATE PROCEDURE等

二，权限管理的实现

权限管理涉及到Principal、Securable和Permission三个概念。Principal可以是单个User，也可以是多个User构成的Windows Group；Securable可以是单个数据库对象，也可以是包含多个数据库对象的schema；同时，User也可以通过role获得数据库对象的权限。

第一种方式，为每一个User设置单个Securable的权限

第二种方式，创建Windows Group，为每一个Windows Group设置单个Securable的权限

第三种方式，通过数据库 role来设置权限

第四种方式，通过Schema来设置权限，在一个Schema下包含多个Securables。

三，所有权和所有权链

对象的所有者对一个对象拥有所有可能的权限，并且这些权限不能禁止。CONTROL权限可以执行与对象所有者几乎相同的操作，但是所有权和授权是不同的。对象的所有者通常是其创建者，但是可以在创建时使用AUTHORIZATION子句指定其他所有者，也可以把Ownship转移给其他Principal。

如何在不授予基础表访问权限的情况下，仅对视图或任何其他类型的程序授予SELECT权限呢？答案是使用所有权链（Ownership-chaining）。通常情况下，当用户从视图中查询数据时，系统做两次权限检查，第一次是检查用户是否有权限查询视图，第二次是在视图引用基础表时检查用户是否有权限查询基础表，由于用户没有基础表的权限，因此第二次权限检查失败。

所有权链（Ownership-chaining）通过绕过第二次权限检查来避免这种情况，否则将在视图引用基础表时进行第二次权限检查。当链接的对象（underlying table）与调用对象（view）具有相同的所有者时，权限检查将被完全绕开。

如果一个user在具有Ownership权限的Schema中创建视图，因为它视图的所有者，就是被视图引用的基表的所有者，这是一个链：我是Schema的所有者，那么Schema下的所有对象的Owner都是我，我有权限访问视图，但不能访问基础表。

参考文档：

Schema-Based Access Control for SQL Server Databases

Permissions (Database Engine)