В компании есть несколько БД, разработанные под определенные приложения. С каждой из БД имеет право работать определенные сотрудники (из написаных Клиентских приложений). Для того, чтобы не дублировать пользователей в каждой из Баз, собираюсь вынести их в отдельную БД и запрашивать их права оттуда соответственно.
На данный момент пользователи хранятся в отдельной табличке в каждой из Баз (на фирме нет домена). Хотел поменять данную структуру хранения и создавать под каждого пользователя свой логин в MS SQL и соответственно его правам задавать права доступа только на необходимые ему таблицы.
Но в некоторых довольно сложных системах встречал другой подход: создается пользователь в БД от которого и выполняются все запросы, а ограничения вынесены только в пользовательский интерфейс.

Хотел попросить совета: где можно почитать полезную информацию по проектированию БД пользователей?
Какой Вы применяете подход?
Опишите подводные камни...

В ближайшее время планируется создание домена, после чего используя Актив Директори будут автоматически импортироваться новые пользователи в БД...

Буду благодарен за все советы :)

Kirillich,

Не дошел я еще до репликаций :) Пока просто хотел упростить себе и другим работу.

1 час простоя для нас сейчас не сверх критичен, так что сейчас это не учитываем.

А на счет работы с пользователями? Не могли бы вы описать создаете ли для каждого виндового своего пользователя в СКЛ или там есть один, а доступ регламентируется внутренними правами в клиентском приложении? (Возможно есть еще варианты?)

В одной СРМ видел, что пользователь заходило со своими правами только на стартовую страничку, а дальше работал от админского пользователя.

Модератор: Тема перенесена из форума "Microsoft SQL Server".

Злой БобрNew_Frozen,

Видимо если то что у вас сейчас есть работает в такой схеме, то на это были причины. Вы уверены что удалив пользователей в этих БД приложения будут корректно работать?
Если вам лень в каждой БД создавать пользователя - можете создавать их скриптом сразу в нужных БД. Т.е. сделать управление пользователями по всем БД. Это будет и наглядно и удобно. Дальше нужно смотреть что и как использует данные о пользователях. Если все работающие у вас приложения написаны по одному принципу (в чем я лично очень сомневаюсь), то тогда стоит сделать копии и попробовать в тестовом режиме поганять данные.
А если к примеру у вас приложения работают с распределенными узлами - удаление пользователей из базы сразу тормознет всю работу.

Сто раз отмерь - один отрежь.

То есть, насколько я понял:
1. Пользователи автоматически импортируются в какую-то БД из домена.
2. Автоматическое создание таких пользователей по всем задействованным БД.
3. Задание прав пользователям для определенных приложений.
4. В дальнейшем пользователь будет работать под своей учёткой при запросах к определенной БД и иметь только круг своих полномочий.

Сейчас в наших приложениях не пользователи - это записи в таблицах Users :) А на самом деле приложение выполняет запросы под админом, регламентируются только права на интерфейс приложения по сути. Поскольку такую систему трудно назвать защищенной, то я хотел переделать работу с пользователями и для этого узнаю какие подходы используются и кому что из них нравиться больше :)

Злой БобрNew_Frozen,

Вы поняли неправильно. Мое мнение сводится к тому что сначала необходимо разобраться с приложениями и только потом пытаться что-то оптимизировать. В идеале приложение должно слать запрос с параметрами на сервер, а там уже выполняться (или невыполняться) какие-то действия. Т.е. никакого доступа к БД из приложения напрямую быть недолжно, т.к. заведется какой-то партизан и нагадит где только можно.
Поэтому начинайте с изучения приложений. Поднимите информацию о задачах которые ставились в процессе внедрения приложений. Короче, когда будете знать ответы на все вопросы по вашей ИС, только тогда можно что-то думать менять.

Часть из этих приложений написаны или доработаны мной.

Я недостаточно хорошо знаю как правильно спроектировать БД и связи между ними, чтобы уменьшить количество дублирующей информации/работы.

В моем понимании:
1. Сис админ заводит пользователя в домене.
2. Пользователь автоматом импортируется в БД.
3. Отдел кадров вносит информацию о пользователе.
4. Данный пользователь становится доступный во всех приложениях, используемых на фирме.
5. Начальники отделов выдают права новому пользователю в своих системах.

Насколько я понимаю при такой организации достигается определенный уровень безопасности, нет необходимости в участии программиста в процессе добавления нового пользователя, легко прикрутить новое приложение (БД) для использования текущего списка пользователей.

Что неправильного в размышлениях?

МОЖЕТЕ ЛИ ПОСОВЕТОВАТЬ ЧТО-ТО ПОЧИТАТЬ ПО ПРОЕКТИРОВАНИЮ СЛОЖНЫХ И МАСШТАБИРУЕМЫХ СИСТЕМ?

baracs,

Опишите Вашу идею как это организовать, потому что я ищу дополнительную информацию и хочу в этом разобраться.

softwarer,

Возможно :)
Для этого и вынес на обсуждение, чтобы ткнули носом :)