ReSQL.ru
     
powered by simpleCommunicator - 2.0.59     © 2026 Programmizd 02
Мобильная версия    Контакт    Правила    FAQ    Помощь
Целевая тема:
Создать новую тему:
Автор:
Закрыть
Цитировать
Доб. в избранное | Игнор. тему | Прикреп. тему | Пометить прочит. / непрочит. | Фильтр
Форумы / Microsoft SQL Server [игнор отключен] [закрыт для гостей] / Нужна помощь в нескольких грантах
10 сообщений из 10, страница 1 из 1
Нужна помощь в нескольких грантах
    #39891445
Фотография Den_KP
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Den_KP
Участник
Всем привет!
Кто сталкивался и знает чуть больше чем несколько ссылок которые мне удалось найти дайте пару мнение и советов

Вообще при новом проекте побрил ребят с sysadmin дал жесткие права для определенных юзеров.

Так они попросили еще вот это сделать
Код: sql
1.
2.
3.
1. Пометить БД как надежный источник (alter database DB1 set trustworthy on)
2. Выдать права grant AUTHENTICATE to DB1_owner grant AUTHENTICATE SERVER to DB1_owner
3. Выдать права на OPENROWSET и OPENQUERY



Вопрос: стоит ли давать такие права, что при первом погружении в них показывает что это вообще не безопасно и непонятно зачем они им.

Из того что нашел
1. Открывает потенциальное нарушение безопасности, позволяя любому коду получать доступ к внешним ресурсам в контексте олицетворения базы данных. Совершенно нормально разрешить вашей БД получать доступ к защищенным сетевым ресурсам с помощью кода, которым вы управляете, однако, возможно, было бы неразумно разрешать то же самое для любого кода.

Установка этого флага просто открывает двери для всех, кто получил разрешения dbo для конкретной БД, поскольку вы можете зарегистрировать любую сборку, и она будет иметь контекст олицетворения БД по своему усмотрению.

2. Это вообще как овнер и сисадмин я нашел
3. Вопрос видно тут будет только чтобы аудировалось это
...
Рейтинг: 0 / 0
20.11.2019, 09:16
| Ответить | Цитировать | Написать  
Нужна помощь в нескольких грантах
    #39891484
Фотография alexeyvg
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
alexeyvg
Участник
Den_KP
Вопрос: стоит ли давать такие права, что при первом погружении в них показывает что это вообще не безопасно и непонятно зачем они им.
Так спросите, зачем им это. Откуда нам знать?

Вообще, если вы рулите сервером, и управляете секюрити, то именно вы должны ребятам рассказывать, как у сиквела там всё устроено, и предлагать им решения, которые позволят работать, имея при этом минимально необходимые права.
А то вы гуглите, но всё, что вы нагуглили, никакого отношения к принятию таких решений не имеет, это просто констатация фактов; но дать права, или не дать, определяется тем, можно их "не давать", или нельзя, а не страшными фразами типа "открывает двери для всех".
...
Рейтинг: 0 / 0
20.11.2019, 10:29
| Ответить | Цитировать | Написать  
Нужна помощь в нескольких грантах
    #39891488
Фотография Yasha123
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Yasha123
Участник
автор1. Пометить БД как надежный источник (alter database DB1 set trustworthy on)
2. Выдать права grant AUTHENTICATE to DB1_owner grant AUTHENTICATE SERVER to DB1_owner
при таком раскладе любой db_owner данной базы спокойно повышает себя до сисадмина
...
Рейтинг: 0 / 0
20.11.2019, 10:36
| Ответить | Цитировать | Написать  
Нужна помощь в нескольких грантах
    #39891492
Фотография alexeyvg
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
alexeyvg
Участник
Yasha123
автор1. Пометить БД как надежный источник (alter database DB1 set trustworthy on)
2. Выдать права grant AUTHENTICATE to DB1_owner grant AUTHENTICATE SERVER to DB1_owner

при таком раскладе любой db_owner данной базы спокойно повышает себя до сисадминаНо этот факт можно залогировать.
...
Рейтинг: 0 / 0
20.11.2019, 10:49
| Ответить | Цитировать | Написать  
Нужна помощь в нескольких грантах
    #39891500
Фотография Yasha123
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Yasha123
Участник
куда залогируете, оттуда и потереть можно.
да и какой смысл кулаками после драки махать?
выдаешь себе права, гадишь, где надо, следы заметаешь
...
Рейтинг: 0 / 0
20.11.2019, 11:00
| Ответить | Цитировать | Написать  
Нужна помощь в нескольких грантах
    #39891520
Фотография Den_KP
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Den_KP
Участник
alexeyvg,
Поэтому прежде чем спросить зачем им это нужно, я должен сам понять что это гранты означают. А далее уже имею понимание задам им вопрос...
...
Рейтинг: 0 / 0
20.11.2019, 11:45
| Ответить | Цитировать | Написать  
Нужна помощь в нескольких грантах
    #39891523
Фотография Den_KP
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Den_KP
Участник
Yasha123,

При включении 1-го пункта тоже?
...
Рейтинг: 0 / 0
20.11.2019, 11:46
| Ответить | Цитировать | Написать  
Нужна помощь в нескольких грантах
    #39891542
invm
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
invm
Участник
Den_KP
При включении 1-го пункта тоже?
Чтобы член db_owner мог сделать себя сисадмином, БД должна быть trustworthy и владелец БД должен быть сисадмином.
...
Рейтинг: 0 / 0
20.11.2019, 12:10
| Ответить | Цитировать | Написать  
Нужна помощь в нескольких грантах
    #39891625
Фотография Den_KP
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Den_KP
Участник
invm,

Понял, овнер не сисадмин.

Они сказали что будут использовать Broker-а, и я натыкался на одной статье что для брокера как раз необходимо проводить именно эти процедуры,

Вот так пишут:
1. Отметить базу как надёжный источник необходимо, т.к. есть обращения service broker к объектам за пределами базы-инициатора диалога, иначе все диалоги подвиснут в состоянии CO
2. отсутствие данных прав не позволяет обращаться к источникам через сервис брокер
3. у нас разработан стандартный механизм обращения к источникам данных через эти функции
...
Рейтинг: 0 / 0
20.11.2019, 13:25
| Ответить | Цитировать | Написать  
Нужна помощь в нескольких грантах
    #39891638
invm
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
invm
Участник
Den_KP
Вот так пишут:
1. Отметить базу как надёжный источник необходимо, т.к. есть обращения service broker к объектам за пределами базы-инициатора диалога, иначе все диалоги подвиснут в состоянии CO
2. отсутствие данных прав не позволяет обращаться к источникам через сервис брокер
3. у нас разработан стандартный механизм обращения к источникам данных через эти функции
Пускай инкапсулируют этот механизм в процедуру и подпишут ее сертификатом.
Тогда не потребуется trustworthy. Подробности в документации.
...
Рейтинг: 0 / 0
20.11.2019, 13:41
| Ответить | Цитировать | Написать  
10 сообщений из 10, страница 1 из 1
Форумы / Microsoft SQL Server [игнор отключен] [закрыт для гостей] / Нужна помощь в нескольких грантах
Найденые пользователи ...
Разблокировать пользователей ...
Читали тему (0):
Читали форум (0):
Пользователи онлайн (0):
x
x
Закрыть


Просмотр
0 / 0
Close
Debug Console [Select Text]