Гость
Войти | Профиль | Очистить
Целевая тема:
Создать новую тему:
Автор:
Действия ...
Форумы / Microsoft SQL Server [игнор отключен] [закрыт для гостей] / Нужна помощь в нескольких грантах / 10 сообщений из 10, страница 1 из 1
20.11.2019, 09:16
    #39891445
Den_KP
Den_KP
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Нужна помощь в нескольких грантах
Всем привет!
Кто сталкивался и знает чуть больше чем несколько ссылок которые мне удалось найти дайте пару мнение и советов

Вообще при новом проекте побрил ребят с sysadmin дал жесткие права для определенных юзеров.

Так они попросили еще вот это сделать
Код: sql
1.
2.
3.
1. Пометить БД как надежный источник (alter database DB1 set trustworthy on)
2. Выдать права grant AUTHENTICATE to DB1_owner grant AUTHENTICATE SERVER to DB1_owner
3. Выдать права на OPENROWSET и OPENQUERY



Вопрос: стоит ли давать такие права, что при первом погружении в них показывает что это вообще не безопасно и непонятно зачем они им.

Из того что нашел
1. Открывает потенциальное нарушение безопасности, позволяя любому коду получать доступ к внешним ресурсам в контексте олицетворения базы данных. Совершенно нормально разрешить вашей БД получать доступ к защищенным сетевым ресурсам с помощью кода, которым вы управляете, однако, возможно, было бы неразумно разрешать то же самое для любого кода.

Установка этого флага просто открывает двери для всех, кто получил разрешения dbo для конкретной БД, поскольку вы можете зарегистрировать любую сборку, и она будет иметь контекст олицетворения БД по своему усмотрению.

2. Это вообще как овнер и сисадмин я нашел
3. Вопрос видно тут будет только чтобы аудировалось это
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
20.11.2019, 10:29
    #39891484
alexeyvg
alexeyvg
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Нужна помощь в нескольких грантах
Den_KP
Вопрос: стоит ли давать такие права, что при первом погружении в них показывает что это вообще не безопасно и непонятно зачем они им.
Так спросите, зачем им это. Откуда нам знать?

Вообще, если вы рулите сервером, и управляете секюрити, то именно вы должны ребятам рассказывать, как у сиквела там всё устроено, и предлагать им решения, которые позволят работать, имея при этом минимально необходимые права.
А то вы гуглите, но всё, что вы нагуглили, никакого отношения к принятию таких решений не имеет, это просто констатация фактов; но дать права, или не дать, определяется тем, можно их "не давать", или нельзя, а не страшными фразами типа "открывает двери для всех".
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
20.11.2019, 10:36
    #39891488
Yasha123
Yasha123
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Нужна помощь в нескольких грантах
автор1. Пометить БД как надежный источник (alter database DB1 set trustworthy on)
2. Выдать права grant AUTHENTICATE to DB1_owner grant AUTHENTICATE SERVER to DB1_owner
при таком раскладе любой db_owner данной базы спокойно повышает себя до сисадмина
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
20.11.2019, 10:49
    #39891492
alexeyvg
alexeyvg
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Нужна помощь в нескольких грантах
Yasha123
автор1. Пометить БД как надежный источник (alter database DB1 set trustworthy on)
2. Выдать права grant AUTHENTICATE to DB1_owner grant AUTHENTICATE SERVER to DB1_owner

при таком раскладе любой db_owner данной базы спокойно повышает себя до сисадминаНо этот факт можно залогировать.
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
20.11.2019, 11:00
    #39891500
Yasha123
Yasha123
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Нужна помощь в нескольких грантах
куда залогируете, оттуда и потереть можно.
да и какой смысл кулаками после драки махать?
выдаешь себе права, гадишь, где надо, следы заметаешь
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
20.11.2019, 11:45
    #39891520
Den_KP
Den_KP
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Нужна помощь в нескольких грантах
alexeyvg,
Поэтому прежде чем спросить зачем им это нужно, я должен сам понять что это гранты означают. А далее уже имею понимание задам им вопрос...
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
20.11.2019, 11:46
    #39891523
Den_KP
Den_KP
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Нужна помощь в нескольких грантах
Yasha123,

При включении 1-го пункта тоже?
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
20.11.2019, 12:10
    #39891542
invm
invm
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Нужна помощь в нескольких грантах
Den_KP
При включении 1-го пункта тоже?
Чтобы член db_owner мог сделать себя сисадмином, БД должна быть trustworthy и владелец БД должен быть сисадмином.
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
20.11.2019, 13:25
    #39891625
Den_KP
Den_KP
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Нужна помощь в нескольких грантах
invm,

Понял, овнер не сисадмин.

Они сказали что будут использовать Broker-а, и я натыкался на одной статье что для брокера как раз необходимо проводить именно эти процедуры,

Вот так пишут:
1. Отметить базу как надёжный источник необходимо, т.к. есть обращения service broker к объектам за пределами базы-инициатора диалога, иначе все диалоги подвиснут в состоянии CO
2. отсутствие данных прав не позволяет обращаться к источникам через сервис брокер
3. у нас разработан стандартный механизм обращения к источникам данных через эти функции
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
20.11.2019, 13:41
    #39891638
invm
invm
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Нужна помощь в нескольких грантах
Den_KP
Вот так пишут:
1. Отметить базу как надёжный источник необходимо, т.к. есть обращения service broker к объектам за пределами базы-инициатора диалога, иначе все диалоги подвиснут в состоянии CO
2. отсутствие данных прав не позволяет обращаться к источникам через сервис брокер
3. у нас разработан стандартный механизм обращения к источникам данных через эти функции
Пускай инкапсулируют этот механизм в процедуру и подпишут ее сертификатом.
Тогда не потребуется trustworthy. Подробности в документации.
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
Форумы / Microsoft SQL Server [игнор отключен] [закрыт для гостей] / Нужна помощь в нескольких грантах / 10 сообщений из 10, страница 1 из 1
Найденые пользователи ...
Разблокировать пользователей ...
Читали тему (0):
Читали форум (0):
Пользователи онлайн (0):
x
x
Закрыть


Просмотр
0 / 0
Close
Debug Console [Select Text]