Autorizzazioni (Motore di database)

Si applica a:SQL ServerDatabase SQL di AzureIstanza gestita di SQL di AzureAzure Synapse AnalyticsPiattaforma di analisi (PDW)Endpoint di analisi SQL in Microsoft FabricMagazzino in Microsoft FabricDatabase SQL in Microsoft Fabric

Ogni oggetto a protezione diretta di SQL Server dispone di autorizzazioni associate che possono essere concesse a un'entità di sicurezza. Le autorizzazioni nel motore di database vengono gestite a livello di server, assegnate agli account di accesso e ai ruoli del server, e a livello di database assegnate agli utenti e ai ruoli del database. Il modello per il Database SQL di Azure ha lo stesso sistema di autorizzazioni del database, ma le autorizzazioni a livello di server non sono disponibili. Questo articolo contiene l'elenco completo delle autorizzazioni. Per un'implementazione tipica delle autorizzazioni, vedere Introduzione alle autorizzazioni del motore di database.

Il numero totale di autorizzazioni per SQL Server 2022 (16.x) è 292. Il Database SQL di Azure espone 292 autorizzazioni. La maggior parte delle autorizzazioni si applica a tutte le piattaforme, mentre alcune non si applicano a tutte le piattaforme. Ad esempio, la maggior parte delle autorizzazioni a livello di server non possono essere concesse nel Database SQL di Azure e alcune autorizzazioni hanno senso solo nel Database SQL di Azure. Con i nuovi rilasci verranno introdotte gradualmente nuove autorizzazioni. SQL Server 2019 (15.x) espone 248 autorizzazioni. SQL Server 2017 (14.x) ha esposto 238 autorizzazioni. SQL Server 2016 (13.x) ha esposto 230 autorizzazioni. SQL Server 2014 (12.x) ha esposto 219 autorizzazioni. SQL Server 2012 (11.x) ha esposto 214 autorizzazioni. SQL Server 2008 R2 (10.50.x) ha esposto 195 autorizzazioni. L'articolo sys.fn_builtin_permissions specifica le nuove autorizzazioni nelle versioni recenti.

Nel database SQL in Microsoft Fabric sono supportati solo utenti e ruoli a livello di database. Gli account di accesso a livello di server, i ruoli e l'account sa non sono disponibili. Nel database SQL in Microsoft Fabric, l'ID Microsoft Entra per gli utenti del database è l'unico metodo di autenticazione supportato. Per altre informazioni, vedere Autorizzazione nel database SQL in Microsoft Fabric.

Dopo aver compreso le autorizzazioni necessarie, è possibile applicare le autorizzazioni a livello di server agli account di accesso o ai ruoli del server e le autorizzazioni a livello di database per gli utenti o i ruoli del database usando le GRANTistruzioni , REVOKEe DENY . Per esempio:

GRANT SELECT ON SCHEMA::HumanResources TO role_HumanResourcesDept;
REVOKE SELECT ON SCHEMA::HumanResources TO role_HumanResourcesDept;

Per suggerimenti sulla pianificazione di un sistema di autorizzazioni, vedere Introduzione alle autorizzazioni del motore di database.

Convenzioni di denominazione delle autorizzazioni

Di seguito vengono descritte le convenzioni generali adottate per la denominazione delle autorizzazioni:

• CONTROL

  Conferisce al beneficiario capacità da proprietario. Il destinatario dell'autorizzazione dispone effettivamente di tutte le autorizzazioni definite per l'oggetto protetto. Un'entità di sicurezza a cui è stata concessa l'autorizzazione CONTROL può anche concedere autorizzazioni sull'oggetto a protezione diretta. Poiché il modello di sicurezza di SQL Server è gerarchico, CONTROL in un determinato ambito include implicitamente anche CONTROL su tutti gli oggetti a protezione diretta che rientrano in tale ambito. Un'autorizzazione CONTROL su un database, ad esempio, implica tutte le autorizzazioni sul database, su tutti gli assembly del database, su tutti gli schemi del database e sugli oggetti contenuti in tutti gli schemi del database.

• ALTER

  Conferisce la possibilità di modificare le proprietà, ad eccezione della proprietà, di un particolare elemento proteggibile. Quando l'autorizzazione ALTER viene concessa per un ambito, conferisce anche la possibilità di modificare, creare o eliminare qualsiasi oggetto a protezione diretta contenuto in tale ambito. Un'autorizzazione ALTER in uno schema, ad esempio, include la capacità di creare, modificare ed eliminare oggetti contenuti nello schema.

• ALTER ANY <Server Securable>, dove Server Securable può essere qualunque server a protezione diretta.

  Conferisce la possibilità di creare, modificare o eliminare singole istanze del Oggetto a protezione diretta del server. Ad esempio, ALTER ANY LOGIN conferisce la possibilità di creare, modificare o eliminare qualsiasi account di accesso nell'istanza di .

• ALTER ANY <Database Securable>, dove Database Securable può essere qualunque entità a protezione diretta a livello di database.

  Conferisce la possibilità di CREARE, MODIFICARE o ELIMINARE singole istanze dell'oggetto proteggibile del database. Ad esempio, ALTER ANY SCHEMA conferisce la possibilità di creare, modificare o eliminare qualsiasi schema nel database.

• ASSUMITI LA RESPONSABILITÀ

  Consente al beneficiario di acquisire la proprietà dell'oggetto di protezione su cui è stata concessa.

• IMPERSONATE <Account di accesso>

  Consente di impersonare l'utente che effettua l'accesso.

• IMPERSONATE <Utente>

  Consente al beneficiario di rappresentare l'utente.

• CREATE <Entità a protezione diretta del server>

  Conferisce al beneficiario la possibilità di creare l'Server Securable.

• CREATE <Oggetto a protezione diretta del database>

  Concede al concessionario la possibilità di creare l'entità a protezione diretta del database.

• CREATE <Oggetto a protezione diretta contenuto in uno schema>

  Conferisce la possibilità di creare l'entità contenuta nello schema che può essere protetta. Tuttavia, per creare l'elemento a protezione diretta in un particolare schema, è necessario disporre dell'autorizzazione ALTER per lo schema.

• VIEW DEFINIZIONE

  Consente al beneficiario di accedere a metadati.

• REFERENCES

  L'autorizzazione REFERENCES su una tabella è necessaria per creare un vincolo FOREIGN KEY che faccia riferimento alla tabella stessa.

  L'autorizzazione REFERENCES è necessaria su un oggetto per creare un FUNCTION o un VIEW con la clausola WITH SCHEMABINDING che fa riferimento a tale oggetto.

Grafico delle autorizzazioni di SQL Server

La figura seguente illustra le autorizzazioni e le relative relazioni tra loro. Alcune delle autorizzazioni di livello superiore (ad esempio CONTROL SERVER) sono elencate più volte. In questo articolo, la locandina è troppo piccola per essere letta. È possibile scaricare il Poster relativo alle autorizzazioni del motore di database a dimensione intera in formato PDF.

Autorizzazioni applicabili a specifici oggetti a protezione diretta

La tabella seguente elenca le classi principali di autorizzazioni e i tipi di oggetti a protezione diretta a cui possono essere applicate.

Autorizzazioni di SQL Server

La tabella seguente contiene un elenco completo delle autorizzazioni di SQL Server. Le autorizzazioni di database SQL di Azure sono disponibili solo per gli oggetti a protezione diretta di base supportati. Non è possibile concedere autorizzazioni a livello di server nel Database SQL di Azure, ma in alcuni casi sono disponibili autorizzazioni di database.

Nuove autorizzazioni granulari aggiunte a SQL Server 2022

A SQL Server 2022 sono aggiunte le autorizzazioni seguenti:

• Sono state aggiunte 10 nuove autorizzazioni per consentire l'accesso ai metadati di sistema.

• Sono state aggiunte 18 nuove autorizzazioni per gli eventi estesi.

• Sono state aggiunte 9 nuove autorizzazioni in relazione agli oggetti correlati alla sicurezza.

• Sono state aggiunte 4 autorizzazioni per Ledger.

• 3 autorizzazioni aggiuntive per il database.

Per altre informazioni, vedere Nuove autorizzazioni granulari per SQL Server 2022 e Azure SQL per migliorare l'aderenza a PoLP.

Autorizzazioni per l’accesso ai metadati di sistema

Livello server:

• VIEW QUALSIASI DEFINIZIONE DI SICUREZZA
• VIEW QUALSIASI DEFINIZIONE DI PRESTAZIONI
• VIEW STATO DI SICUREZZA DEL SERVER
• VIEW STATO DELLE PRESTAZIONI DEL SERVER
• VIEW QUALSIASI DEFINIZIONE PROTETTA DAL PUNTO DI VISTA CRITTOGRAFICO

Livello di database:

• VIEW DATABASE STATO DI SICUREZZA
• VIEW DATABASE STATO PRESTAZIONI
• VIEW DEFINIZIONE DI SICUREZZA
• VIEW DEFINIZIONE DELLE PRESTAZIONI
• VIEW DEFINIZIONE PROTETTA IN MODO CRITTOGRAFICO

Autorizzazioni di eventi estesi

Livello server:

• CREA QUALSIASI EVENT SESSION
• RILASCIA QUALSIASI EVENT SESSION
• MODIFICA QUALSIASI OPZIONE EVENT SESSION
• ALTER ANY EVENT SESSION ADD EVENT
• ALTER ANY EVENT SESSION DROP EVENT
• MODIFICARE QUALSIASI EVENT SESSION ABILITARE
• MODIFICA QUALSIASI EVENT SESSION DISABILITA
• ALTER ANY EVENT SESSION ADD TARGET
• ALTER ANY EVENT SESSION DROP TARGET

Tutte queste autorizzazioni rientrano nella stessa autorizzazione padre: ALTER ANY EVENT SESSION

Livello di database:

• CREA QUALSIASI DATABASEEVENT SESSION
• RILASCIA QUALSIASI DATABASEEVENT SESSION
• MODIFICA QUALSIASI DATABASEEVENT SESSION OPZIONE
• ALTER ANY DATABASEEVENT SESSION ADD EVENT
• ALTER ANY DATABASEEVENT SESSION DROP EVENT
• ALTER ANY DATABASEEVENT SESSION ABILITA
• ALTER ANY DATABASEEVENT SESSION DISABLE
• ALTER ANY DATABASEEVENT SESSION ADD TARGET
• MODIFICARE QUALSIASI DATABASEEVENT SESSION ELIMINARE DESTINAZIONE

Tutte queste autorizzazioni rientrano nella stessa autorizzazione principale: ALTER ANY DATABASEEVENT SESSION

Autorizzazioni di oggetti correlati alla sicurezza

• CONTROLLO (CREDENTIAL)
• CREATE LOGIN
• CREATE USER
• RIFERIMENTI (CREDENTIAL)
• UNMASK (OBJECT)
• UNMASK (SCHEMA)
• VIEW QUALSIASI REGISTRO DEGLI ERRORI
• VIEW Audit di sicurezza del server
• VIEW DATABASE CONTROLLO DI SICUREZZA

Permessi del ledger

• ALTER LEDGER
• MODIFICA CONFIGURAZIONE LIBRO MASTRO
• ENABLE LEDGER
• VIEW CONTENUTO DEL REGISTRO

Altre autorizzazioni del database

• MODIFICARE QUALSIASI LAVORO ESTERNO
• ALTERARE QUALSIASI FLUSSO ESTERNO
• ESEGUI QUALSIASI ESTERNO ENDPOINT

Riepilogo dell'algoritmo di controllo delle autorizzazioni

Il controllo delle autorizzazioni può essere complesso. L'algoritmo di controllo delle autorizzazioni include le appartenenze a gruppi sovrapposti e il concatenamento di proprietà, nonché autorizzazioni esplicite e implicite. È inoltre possibile che le autorizzazioni per le classi di entità a protezione diretta contenenti l'entità a protezione diretta abbiano impatto su tale algoritmo. Il processo generale dell'algoritmo consiste nel raccogliere tutte le autorizzazioni rilevanti. Se non viene trovato alcun DENY bloccante, l'algoritmo cerca un oggetto GRANT che garantisca un accesso sufficiente. L'algoritmo contiene tre elementi fondamentali, ovvero il contesto di sicurezza, lo spazio di autorizzazionee l' autorizzazione necessaria.

• Contesto di sicurezza

  Gruppo di entità che fornisce le autorizzazioni per il controllo dell'accesso. Si tratta di autorizzazioni correlate all'account di accesso o all'utente corrente, a meno che il contesto di sicurezza non sia stato modificato in un altro account di accesso o utente usando l'istruzione EXECUTE AS . Il contesto di sicurezza include le seguenti entità:

  • Account di accesso

  • L'utente

  • Appartenenza ai ruoli

  • Appartenenze a gruppi di Windows

  • Se viene utilizzata la firma del modulo, qualsiasi account di accesso o account utente relativo al certificato usato per firmare il modulo che l'utente sta attualmente eseguendo e le appartenenze ai ruoli associate a tale principale.

• Spazio autorizzazioni

  Si tratta dell'entità di protezione e di qualsiasi classe di protezione che contenga l'entità di protezione. Ad esempio, una tabella (entità a protezione diretta) è contenuta nella classe di entità a protezione diretta dello schema e nella classe di entità a protezione diretta del database. Sull'accesso possono influire le autorizzazioni a livello di tabella, schema, database e server. Per altre informazioni, vedere Gerarchia delle autorizzazioni (motore di database).

• Autorizzazione richiesta

  Il tipo di autorizzazione richiesto. Ad esempio, INSERT, UPDATE, DELETE, SELECT, EXECUTE, ALTER, CONTROL e così via.

  L'accesso può richiedere più autorizzazioni, come negli esempi seguenti:

  • Una procedura memorizzata può richiedere sia l'autorizzazione EXECUTE sulla procedura memorizzata sia INSERT l'autorizzazione su diverse tabelle a cui la procedura memorizzata fa riferimento.

  • Una visualizzazione a gestione dinamica può richiedere sia l'autorizzazione SERVER STATE che VIEW SELECT per la visualizzazione.

Passaggi generali dell'algoritmo

Quando l'algoritmo determina se consentire l'accesso a un oggetto protetto, i passaggi precisi che utilizza possono variare a seconda delle entità di sicurezza e degli oggetti protetti coinvolti. L'algoritmo, tuttavia, effettua i passaggi generali indicati di seguito:

1. Ignora il controllo delle autorizzazioni se l'account di accesso è un membro del ruolo predefinito del server sysadmin o se l'utente è l'utente dbo nel database corrente.

2. Consente l'accesso se la catena di proprietà è applicabile e se il controllo di accesso sull'oggetto precedente nella catena ha superato il controllo di sicurezza.

3. Aggrega le identità a livello di server, a livello di database e dei moduli firmati associate al chiamante per creare il contesto di sicurezza.

4. Per il contesto di sicurezzaraccoglie tutte le autorizzazioni concesse o negate per lo spazio di autorizzazione. Il permesso può essere esplicitamente indicato come GRANT, GRANT WITH GRANT o DENY; oppure i permessi possono essere un permesso implicito o generale GRANT o DENY. L'autorizzazione CONTROL per uno schema implica ad esempio l'autorizzazione CONTROL per una tabella, E l'autorizzazione CONTROL su una tabella implica l'autorizzazione SELECT. Se è stata pertanto concessa l'autorizzazione CONTROL per lo schema, viene concessa anche l'autorizzazione SELECT per la tabella. Se CONTROL è stato negato sulla tabella, anche SELECT viene negato sulla tabella.

   Note

   Un GRANT di un'autorizzazione a livello di colonna ha la precedenza su un DENY a livello dell'oggetto. Per altre informazioni, vedere DENY Autorizzazioni per gli oggetti.

5. Identifica l' autorizzazione necessaria.

6. Considera non superato il controllo delle autorizzazioni se l'autorizzazione richiesta è negata direttamente o implicitamente a una qualsiasi delle identità nel contesto di sicurezza per gli oggetti nello spazio di autorizzazioni.

7. Superare il controllo delle autorizzazioni se il permesso richiesto non è stato negato e il permesso richiesto contiene un GRANT o un GRANT WITH GRANT permesso, direttamente o implicitamente, per una qualsiasi delle identità nel contesto di sicurezza per qualsiasi oggetto nello spazio dei permessi.

Considerazioni speciali per le autorizzazioni a livello di colonna

Le autorizzazioni a livello di colonna vengono concesse con la sintassi <table_name>(<column_name>). Per esempio:

GRANT SELECT ON OBJECT::Customer(CustomerName) TO UserJoe;

Un DENY oggetto nella tabella viene sottoposto a override da un oggetto GRANT in una colonna. Tuttavia, un successivo DENY nella tabella rimuoverà la colonna GRANT.

Examples

Negli esempi inclusi in questa sezione viene illustrato come recuperare le informazioni sulle autorizzazioni.

A. Restituzione dell'elenco completo delle autorizzazioni concedibili

L'istruzione seguente restituisce tutte le autorizzazioni del motore di database tramite la funzione fn_builtin_permissions. Per altre informazioni, vedere sys.fn_builtin_permissions.

SELECT * FROM fn_builtin_permissions(default);
GO

B. Restituzione delle autorizzazioni per una particolare classe di oggetti

L'esempio seguente usa fn_builtin_permissions per visualizzare tutte le autorizzazioni disponibili per una categoria di oggetti a protezione diretta. Nell'esempio vengono restituite le autorizzazioni per gli assembly.

SELECT * FROM fn_builtin_permissions('assembly');
GO

C. Restituisce le autorizzazioni concesse al principale di sicurezza che esegue l'operazione su un oggetto

Nell'esempio seguente si usa fn_my_permissions per restituire un elenco delle autorizzazioni effettive di cui dispone il principale chiamante per un securable specificato. Nell'esempio vengono restituite le autorizzazioni per un oggetto denominato Orders55. Per altre informazioni, vedere sys.fn_my_permissions.

SELECT * FROM fn_my_permissions('Orders55', 'object');
GO

D. Restituzione delle autorizzazioni applicabili a un oggetto specificato

Nell'esempio seguente vengono restituite le autorizzazioni applicabili a un oggetto denominato Yttrium. La funzione predefinita OBJECT_ID viene usata per recuperare l'ID dell'oggetto Yttrium.

SELECT * FROM sys.database_permissions
    WHERE major_id = OBJECT_ID('Yttrium');
GO

Contenuti correlati

• Gerarchia delle autorizzazioni (motore di database)
• sys.database_permissions (Transact-SQL)