Архитектура защиты

Службы Microsoft SQL Server 2005 Analysis Services (SSAS) для проверки подлинности пользователей используют Microsoft Windows. По умолчанию только прошедшие проверку подлинности пользователи, обладающие правами в службах Analysis Services, могут устанавливать подключение к службам Analysis Services. После того, как пользователь подключится к службам Analysis Services, разрешения, которыми пользователь обладает в рамках служб Analysis Services, определяются правами, назначенными ролям служб Analysis Services, к которым принадлежит пользователь, напрямую или через членство в роли Windows.

• Службы Analysis Services содержат одну постоянную серверную роль, которая предоставляет членам этой роли разрешение на выполнение любой задачи в рамках всего экземпляра.
• Пользователям, которые не являются членами постоянной серверной роли, может быть предоставлено членство в одной или нескольких ролях базы данных. У каждой роли имеется настроенный для пользователя набор разрешений, позволяющий пользователям получать доступ к данным и выполнять задачи в рамках определенной базы данных.
• Роли базы данных могут быть предоставлены разрешения администратора, разрешения на обработку объектов, разрешения на просмотр метаданных объектов и разрешения на просмотр или изменение данных на нескольких уровнях в рамках каждой базы данных служб Analysis Services.
• Члены роли базы данных, обладающие разрешениями администратора, могут просматривать или обновлять все данные в рамках базы данных. Члены других ролей базы данных могут просматривать или обновлять только те объекты данных, для которых им были предоставлены соответствующие разрешения.
• Разрешения в рамках базы данных служб Analysis Services сначала предоставляются на уровне базы данных. Если у роли базы данных имеются разрешения на уровне базы данных, то такой роли должны быть предоставлены конкретные разрешения для каждого объекта в рамках базы данных. В состав объектов, для работы с которыми роли могут быть предоставлены разрешения, входят измерения базы данных и куба, отдельные элементы измерения, кубы, отдельные ячейки в рамках куба, структуры интеллектуального анализа данных, модели интеллектуального анализа данных, источники данных и хранимые процедуры.
• Кроме указанных компонентов архитектуры безопасности службы Analysis Services шифруют все соединения клиент/сервер с целью уменьшения риска несанкционированного доступа к конфиденциальным данным. По умолчанию отключены функции служб Analysis Services, которые в случае неправильной настройки или использования в неподходящей среде могут снизить безопасность системы. Например, можно позволить пользователям подключаться к службам Analysis Services без проверки подлинности или можно принимать данные проверки подлинности, предоставленные в виде открытого текста. Но поскольку все действия, перечисленные выше, могут при неправильном выполнении снизить безопасность системы, для запуска связанных с ними функций необходимо изменить настройки по умолчанию.

Проверка подлинности Windows

Доступ к службам Analysis Services основан на проверке подлинности Microsoft Windows. Данная модель проверки подлинности требует, чтобы все пользователи проходили проверку подлинности в операционной системе Windows, прежде чем получить возможность доступа к данным, хранимым в службах Analysis Services, и возможность управления объектами служб Analysis Services. Если для проверки подлинности используется операционная система, то службы Analysis Services получают доступ к функциям безопасности Windows, включая безопасную проверку достоверности паролей и их шифровку, аудит, поддержку сроков действия паролей, минимальную длину паролей и блокировку учетной записи после нескольких недопустимых запросов входа в систему.

Примечание.
Если настройки экземпляра служб Analysis Services разрешают анонимный доступ, то Windows не выполняет проверку подлинности пользователя.

Совместная работа проверки подлинности Windows и служб Analysis Services выглядит следующим образом:

1. При входе пользователя в сеть Windows контроллер домена Windows проверяет имя пользователя и пароль, устанавливая тем самым учетные данные пользователя для проверки подлинности в сети.
2. Позже, при подключении пользователя к службам Analysis Services, службы Analysis Services проверяют учетные данные пользователя для проверки подлинности в сети при помощи контроллера домена Windows.

Авторизация

После проверки подлинности пользователя службы Analysis Services определяют, есть ли у пользователя разрешения на просмотр и обновление данных, просмотр метаданных или выполнение задач администрирования. В случае, если у пользователя или группы, к которой принадлежит пользователь, есть разрешения на определенные действия в рамках экземпляра служб Analysis Services, службы Analysis Services разрешают пользователю установить соединение. По умолчанию службы Analysis Services не позволяют пользователю устанавливать подключение, если у пользователя нет никаких разрешений на действия в рамках экземпляра служб Analysis Services.

Однако процесс авторизации не останавливается после успешного подключения пользователя к службам Analysis Services. Авторизация продолжает действовать во время работы пользователя в рамках служб Analysis Services, например при выполнении им серверных хранимых процедур, инструкций расширений интеллектуального анализа данных, запросов многомерных выражений или команд объектов AMO. Каждый раз при необходимости выполнить действие или получить доступ к объекту службы Analysis Services проверяют полномочия пользователя на доступ к объектам или выполнение команды. Если у пользователя нет соответствующих разрешений, то службы Analysis Services выведут сообщение, уведомляющее об отсутствии нужных разрешений.

Серверная роль и роли базы данных

Службы Analysis Services имеют два вида ролей: серверная роль и роли базы данных. Ниже кратко описана разница между данными видами ролей:

• Существует только одна серверная роль — члены данной роли наделены всеми правами администратора в рамках экземпляра служб Analysis Services.

  Примечание.
  Члены локальной группы администраторов на локальном компьютере автоматически являются членами серверной роли в экземпляре служб Analysis Services.

• Может быть несколько ролей базы данных. Члены серверной роли создают роли базы данных в рамках каждой базы данных, предоставляют данным ролям такие административные или пользовательские разрешения, как разрешение на запись или чтение и запись в кубы, измерения, ячейки, структуры интеллектуального анализа данных, модели интеллектуального анализа данных и объекты источника данных, а затем добавляют пользователей Windows и группы к указанным ролям базы данных.

  Важно!

  Разрешения роли носят аддитивный характер. Разрешения, предоставленные пользователю или группе Windows в рамках одной роли базы данных, добавляются к разрешениям, предоставленным тому же пользователю или группе Windows в рамках других ролей базы данных. Если одна роль запрещает пользователю или группе выполнять определенные задачи или просматривать определенные данные, а другая роль предоставляет такое разрешение указанному пользователю или группе, то этому пользователю или группе будет разрешено выполнять упомянутые задачи или просматривать упомянутые данные.

Дополнительные сведения см. в разделе Настройка доступа к службам Analysis Services

Права администратора

В то время как члены серверной роли автоматически получают права администратора, такого не происходит с членами роли базы данных. Роли базы данных могут быть предоставлены права «Полный доступ» (иначе именуемые правами администратора) или более ограниченный набор прав администратора из следующего списка:

• обработка базы данных;
• чтение метаданных базы данных;
• обработка одного или более измерений;
• чтение определения одного или более измерений;
• обработка одного или более кубов;
• чтение определения одного или более кубов;
• обработка одной или нескольких структур интеллектуального анализа данных;
• обработка одной или нескольких моделей интеллектуального анализа данных;
• чтение определения одной или нескольких структур интеллектуального анализа данных;
• чтение определения одной или нескольких моделей; интеллектуального анализа данных
• чтение определения одного или нескольких источников данных.

Только члены серверной роли и члены роли базы данных, наделенные разрешением «Полный доступ», имеют разрешение на чтение данных служб Analysis Services без дополнительных разрешений. Другие пользователи имеют разрешение на чтение данных служб Analysis Services только в том случае, если их роль базы данных явным образом предоставляет им разрешения на чтение или чтение и запись в такие объекты данных служб Analysis Services, как измерения, кубы, ячейки и модели интеллектуального анализа данных.

Дополнительные сведения см. в разделе Предоставление административных разрешений уровня сервера

Безопасность на уровне измерения

В роли базы данных может указываться, имеют ли ее члены разрешение на просмотр или обновление элементов измерения в конкретных измерениях базы данных. Более того, в рамках каждого измерения, для работы с которым роли базы данных предоставлены права, роли может быть предоставлено разрешение на просмотр или обновление отдельных, а не всех элементов измерения. Если у роли базы данных нет разрешений на просмотр или обновление определенного измерения, а также некоторых или всех элементов такого измерения, то и у членов такой роли базы данных нет разрешения на просмотр измерения или любого из его элементов.

Примечание.
Разрешения на доступ к измерению, предоставляемые роли базы данных, применяются в отношении измерений куба, основанных на измерении базы данных, если только иные разрешения явно не предоставляются в рамках куба, использующего измерение базы данных.

Дополнительные сведения см. в разделах Предоставление доступа к измерениям и Предоставление пользовательского доступа к данным измерения.

Безопасность на уровне куба

В роли базы данных может указываться, имеют ли ее члены разрешение на чтение или чтение и запись в один или несколько кубов базы данных. Если роли базы данных не предоставлены разрешения на чтение или чтение и запись по крайней мере в один куб, то у членов роли базы данных не будет разрешения на просмотр каких-либо кубов в базе данных даже в случае наличия каких-либо связанных с ролью прав на просмотр элементов измерения.

Дополнительные сведения см. в разделе Предоставление доступа к кубу.

Безопасность на уровне ячейки

В роли базы данных может указываться, имеют ли ее члены разрешения на чтение, чтение и запись или на производное чтение в отношении некоторых или всех ячеек куба. Если роли базы данных не предоставлены разрешения на доступ к ячейкам куба, то у членов роли базы данных не будет разрешения на просмотр каких бы то ни было данных куба. Если роли базы данных запрещен просмотр определенных измерений на основании параметров безопасности измерения, то безопасность на уровне ячейки не может расширить права членов роли базы данных за счет включения элементов ячейки из такого измерения. С другой стороны, если роли базы данных предоставляется разрешение на просмотр элементов измерения, то безопасность на уровне ячейки может быть использована для ограничения элементов ячейки из измерения, доступных для просмотра членами роли базы данных.

Дополнительные сведения см. в разделе Предоставление специального доступа к данным ячеек.

Безопасность структуры интеллектуального анализа данных, модели интеллектуального анализа данных и источника данных

В роли базы данных может указываться, имеют ли ее члены разрешения на чтение или чтение и запись в структуры и модели интеллектуального анализа данных. Роли базы данных может быть предоставлено разрешение на детализацию данных источника, а также разрешение на просмотр данных в рамках одной или нескольких моделей интеллектуального анализа данных. Наконец, роли базы данных могут быть предоставлены разрешения на чтение и запись в рамках объектов источника данных. Данное разрешение позволяет роли указывать такой источник данных в предложении OPENQUERY и использовать строку соединения, определенную в объекте источника данных.

Дополнительные сведения см. в разделах Предоставление доступа к структурам и моделям интеллектуального анализа данных и Предоставление доступа к источникам данных.

Безопасность хранимых процедур

В службах Analysis Services хранимые процедуры представляют собой внешние подпрограммы, написанные на языке программирования Microsoft .NET, которые расширяют возможности служб Analysis Services. Хранимые процедуры позволяют разработчику использовать преимущества межъязыковой интеграции, обработки исключений, контроля версий, поддержки развертывания и отладки.

Хранимая процедура может быть вызвана любым пользователем. В зависимости от своих настроек хранимая процедура может выполняться либо в контексте вызывающего процедуру пользователя, либо в контексте анонимного пользователя. Поскольку у анонимного пользователя нет контекста безопасности, то используйте эту возможность вместе с настройкой экземпляра служб Analysis Services, чтобы разрешить анонимный доступ.

После того, как пользователь вызовет хранимую процедуру, но до того, как службы Analysis Services запустят хранимую процедуру, службы Analysis Services выполняют оценку действий в рамках хранимой процедуры. Службы Analysis Services оценивают действия в хранимой процедуре на основании пересечения разрешений, предоставленных пользователю, и набора разрешений, используемых для выполнения процедуры. Если в хранимой процедуре содержится какое-либо действие, которое не может быть выполнено ролью базы данных для пользователя, то оно не будет выполнено.

Ниже указываются наборы разрешений, используемых для выполнения хранимых процедур:

• **Безопасно   **Набор разрешений «Безопасно» не позволяет хранимой процедуре получить доступ к защищенным ресурсам на платформе Microsoft .NET Framework. Данный набор разрешений разрешает только вычисления. Это наиболее безопасный набор разрешений. Данные не уходят за пределы служб Analysis Services, разрешения не могут быть расширены, а риск нанесения намеренного ущерба данным минимален.
• **Внешний доступ   ** Набор разрешений «Внешний доступ» позволяет хранимой процедуре получать доступ к внешним ресурсам при помощи управляемого кода. Использование хранимой процедурой данного набора разрешений исключает появление ошибок программирования, которые могут привести к нестабильной работе сервера. Однако данный набор разрешений может привести к утечке данных за пределы сервера, расширению разрешений и искажению данных.
• **Неограниченно   ** Набор разрешений «Неограниченно» позволяет хранимой процедуре получать доступ к внешним ресурсам при помощи любого кода. Данный набор разрешений не обеспечивает для хранимых процедур гарантии безопасности или надежности.

Дополнительные сведения см. в разделе Работа с хранимыми процедурами (службы Analysis Services)

Шифрование

По умолчанию службы Analysis Services требуют шифрования всех соединений между клиентами и экземпляром служб Analysis Services.

Дополнительные сведения см. в разделе Безопасность взаимодействия клиентов с экземпляром служб Analysis Services

Отключено по умолчанию

Экземпляр служб Analysis Services по умолчанию поддерживает параметры, обеспечивающие его безопасность. Следовательно, функции, которые способны снизить безопасность, по умолчанию отключены. Ниже указываются отключенные по умолчанию функции, которые при необходимости их использования должны быть специально включены.

• Подключение по HTTP
• Трассировка
• Хранимые процедуры
• Удаленные секции
• Связанные объекты (к)
• Связанные объекты (от)
• Механизм статистической обработки интеллектуального анализа данных
• Уровень защиты клиента
• Уровень защиты сети Интернет
• Обязательная проверка подлинности клиента
• Интеграция Active Directory
• Нерегламентированные запросы OpenRowset
• Подключение клиента 8.0
• Отчет об аварийных отказах

См. также

Основные понятия

Защита экземпляра служб Analysis Services

Другие ресурсы

Настройка доступа к службам Analysis Services

Справка и поддержка

Получение помощи по SQL Server 2005