Arquitetura da segurança de acesso do usuário

Autenticação do Windows

O acesso ao Analysis Services se baseia na Autenticação do Microsoft Windows. Esse modelo de autenticação requer que todos os usuários sejam autenticados pelo sistema operacional Windows antes que possam acessar dados armazenados no Analysis Services e antes que possam administrar objetos do Analysis Services. Se o sistema operacional executar a autenticação, o Analysis Services poderá aproveitar os recursos de segurança do Windows, incluindo a validação da segurança e a criptografia de senhas, a expiração da senha, o comprimento mínimo da senha e o bloqueio de conta após várias solicitações de logon inválido.

Observação
Se a instância do Analysis Services estiver configurada para permitir acesso anônimo, o Windows não autenticará o usuário.

A autenticação do Windows e do Analysis Services funcionam em conjunto da seguinte forma:

1. Quando um usuário faz logon na rede do Windows, um controlador de domínio do Windows valida o nome e a senha do usuário, estabelecendo as credenciais de autenticação de rede dele.

2. Posteriormente, quando o usuário tenta se conectar ao Analysis Services, o Analysis Services valida as credenciais de autenticação de rede do usuário com um controlador de domínio do Windows.

Autorização

Após a autenticação de um usuário, o Analysis Services determina se ele tem permissões para exibir dados, atualizar dados, exibir metadados ou executar tarefas administrativas. Se o usuário, ou um grupo do qual o usuário seja membro, tiver algum tipo de permissões na instância do Analysis Services, o Analysis Services permitirá a conexão do usuário. Por padrão, o Analysis Services não permitirá que um usuário se conecte se ele não tiver o mesmo tipo de permissões na instância do Analysis Services.

No entanto, a autorização não é interrompida depois que um usuário se conecta com êxito ao Analysis Services. A autorização continua à medida que o usuário trabalha com o Analysis Services, por exemplo, quando o usuário executa procedimentos armazenados no servidor, instruções DMX, consultas MDX ou comandos Analysis Management Objects (AMO). Toda vez que o Analysis Services precisa executar uma ação ou acessar um objeto, ele verifica a autoridade do usuário para acessar os objetos ou executar o comando. Se o usuário não tiver as permissões apropriadas, o Analysis Services retornará um erro de permissões.

Funções de servidor e banco de dados

O Analysis Services tem dois tipos de funções: a função de servidor e as funções de banco de dados. A seguir é apresentada uma descrição rápida da diferença entre essas duas funções:

• Há apenas uma função de servidor e os membros dessa função têm direitos completos de administrador na instância do Analysis Services.

  Observação
  Os membros do grupo local Administradores no computador local são automaticamente membros da função de servidor em uma instância do Analysis Services.

• Pode haver várias funções de banco de dados. Os membros da função de servidor criam essas funções de banco de dados em cada banco de dados, concedem permissões administrativas ou de usuário a essas funções de banco de dados, como permissões de leitura ou leitura/gravação para cubos, dimensões, células, estruturas de mineração, modelos de mineração e objetos de fonte de dados) e adicionam usuários e grupos do Windows a essas funções de banco de dados.

  Importante

  As permissões de função são aditivas. As permissões que um usuário ou grupo do Windows tem por meio de uma função de banco de dados são adicionadas às permissões que o mesmo usuário ou grupo do Windows tem por meio de outras funções de banco de dados. Se uma função nega a um usuário ou grupo permissão para executar certas tarefas ou exibir certos dados, mas outra função concede essa permissão a esse usuário ou grupo, o usuário ou o grupo terá permissão para executar a tarefa ou exibir os dados.

Para obter mais informações:Controle de acesso e identidade (Analysis Services - Dados multidimensionais)

Direitos de administrador

Segurança no nível da dimensão

Uma função de banco de dados pode especificar se seus membros têm permissão para exibir ou atualizar membros da dimensão nas dimensões de banco de dados especificadas. Além disso, em cada dimensão para a qual uma função de banco de dados tenha recebido direitos, a função pode receber permissão para exibir ou atualizar membros específicos da dimensão somente, em vez de todos os membros da dimensão. Se uma função de banco de dados não receber permissões para exibir ou atualizar uma determinada dimensão e alguns ou todos os membros da dimensão, os membros da função de banco de dados não terão permissão para exibir a dimensão ou qualquer um de seus membros.

Observação
As permissões de dimensão concedidas a uma função de banco de dados se aplicam às dimensões de cubo com base na dimensão do banco de dados, a menos que permissões diferentes sejam explicitamente concedidas no cubo que usa a dimensão de banco de dados.

Para obter mais informações:Concedendo acesso à dimensão e Concedendo acesso personalizado a dados da dimensão.

Segurança no nível do cubo

Segurança da estrutura de mineração, do modelo de mineração e da fonte de dados

Uma função de banco de dados pode especificar se seus membros têm permissões de leitura ou leitura/gravação para estruturas e modelos de mineração. Uma função de banco de dados também pode receber permissões para detalhar para os dados de origem e permissão para pesquisar em um ou mais modelos de mineração. Por fim, uma função de banco de dados pode receber permissões de leitura/gravação nos objetos da fonte de dados. Com essa permissão, a função pode referenciar essa fonte de dados em uma cláusula OPENQUERY e usar a cadeia de conexão definida no objeto da fonte de dados.

Para obter mais informações:Concedendo acesso a estruturas e modelos de mineração e Concedendo acesso a fontes de dados.

Segurança do procedimento armazenado

Os procedimentos armazenados no Analysis Services são rotinas externas, escritas em uma linguagem de programação Microsoft .NET, que estende os recursos do Analysis Services. Os procedimentos armazenados permitem que o desenvolvedor aproveite a integração entre as linguagens, a manipulação de exceções, o suporte ao controle de versões, o suporte à implantação e o suporte à depuração.

Qualquer usuário pode chamar um procedimento armazenado. Dependendo da configuração do procedimento armazenado, ele pode ser executado no contexto do usuário chamando o procedimento ou no contexto de um usuário anônimo. Como um usuário anônimo não tem contexto de segurança, use esse recurso junto com a configuração da instância do Analysis Services para permitir o acesso anônimo.

Depois que o usuário chama um procedimento armazenado, mas antes de o Analysis Services executar o procedimento armazenado, o Analysis Services avalia as ações no procedimento armazenado. O Analysis Services avalia as ações em um procedimento armazenado com base na interseção das permissões concedidas ao usuário e o conjunto de permissões usado para executar o procedimento. Se o procedimento armazenado contiver qualquer ação que não possa ser executada pela função de banco de dados para o usuário, essa ação não será executada.

A seguir são apresentados os conjuntos de permissões usados para executar procedimentos armazenados:

• **Seguro   **Com o conjunto de permissões Seguro, um procedimento armazenado não pode acessar os recursos protegidos no Microsoft .NET Framework. Esse conjunto de permissões somente é usado para cálculos. Esse é o conjunto de permissões mais seguro; as informações não vazam para for a do Analysis Services, as permissões não podem ser elevadas e o risco de ataques de violação de dados é minimizado.

• **Acesso Externo   **Com o conjunto de permissões Acesso Externo, um procedimento armazenado pode acessar recursos externos usando código gerenciado. A definição de um procedimento armazenado para esse conjunto de permissões não causará erros de programação que poderiam levar à instabilidade do servidor. No entanto, esse conjunto de permissões pode provocar o vazamento de informações para fora do servidor, e a possibilidade de uma elevação na permissão e de ataques de violação de dados.

• **Irrestrito   **Com o conjunto de permissões Irrestrito, um procedimento armazenado pode acessar recursos externos usando qualquer código. Com esse conjunto de permissões, não há garantias de segurança ou confiabilidade para procedimentos armazenados.

Criptografia

Por padrão, o Analysis Services requer que toda a comunicação entre os clientes e a instância do Analysis Services seja criptografada.

Para obter mais informações:, Protegendo a comunicação do cliente com uma instância do Analysis Services

Desativada, por padrão.

Uma instância do Analysis Services é considerada segura por padrão. Assim, os recursos que podem comprometer a segurança são desabilitados por padrão. Os seguintes recursos são desabilitados por padrão e deverão ser habilitados especificamente se você quiser usá-los:

• Conectividade HTTP

• Rastreamento

• Procedimentos armazenados

• Partições remotas

• Objetos vinculados (para)

• Objetos vinculados (de)

• Agregador de mineração de dados

• Nível de proteção do cliente

• Nível de proteção da Web

• Autenticação necessária de cliente

• Integração do Active Directory

• Consultas OpenRowset ad hoc

• Conectividade de Cliente 8.0

• Relatórios de falha

Consulte também

Conceitos