Machtigingen (database-engine)

Van toepassing op:SQL ServerAzure SQL DatabaseAzure SQL Managed InstanceAzure Synapse AnalyticsAnalytics Platform System (PDW)SQL Analytics-eindpunt in Microsoft FabricMagazijn in Microsoft FabricSQL-database in Microsoft Fabric

Elk beveiligbaar SQL Server heeft gekoppelde machtigingen die aan een principal kunnen worden verleend. Machtigingen in de database-engine worden beheerd op serverniveau dat is toegewezen aan aanmeldingen en serverfuncties, en op databaseniveau dat is toegewezen aan databasegebruikers en databaserollen. Het model voor Azure SQL Database heeft hetzelfde systeem voor de databasemachtigingen, maar de machtigingen op serverniveau zijn niet beschikbaar. Dit artikel bevat de volledige lijst met machtigingen. Zie Aan de slag met database-enginemachtigingen voor een typische implementatie van de machtigingen.

Het totale aantal machtigingen voor SQL Server 2022 (16.x) is 292. Azure SQL Database biedt 292 machtigingen. De meeste machtigingen zijn van toepassing op alle platforms, maar sommige niet. De meeste machtigingen op serverniveau kunnen bijvoorbeeld niet worden verleend in Azure SQL Database en een paar machtigingen zijn alleen zinvol voor Azure SQL Database. Nieuwe machtigingen worden geleidelijk geïntroduceerd met nieuwe releases. SQL Server 2019 (15.x) biedt 248 machtigingen. SQL Server 2017 (14.x) heeft 238 machtigingen weergegeven. SQL Server 2016 (13.x) heeft 230 machtigingen weergegeven. SQL Server 2014 (12.x) heeft 219 machtigingen weergegeven. SQL Server 2012 (11.x) heeft 214 machtigingen beschikbaar gesteld. SQL Server 2008 R2 (10.50.x) heeft 195 machtigingen beschikbaar gesteld. Het sys.fn_builtin_permissions artikel geeft aan welke machtigingen nieuw zijn in recente versies.

In SQL Database in Microsoft Fabric worden alleen gebruikers en rollen op databaseniveau ondersteund. Aanmeldingen, rollen en het sa account op serverniveau zijn niet beschikbaar. In SQL Database in Microsoft Fabric is Microsoft Entra ID voor databasegebruikers de enige ondersteunde verificatiemethode. Zie Autorisatie in SQL Database in Microsoft Fabricvoor meer informatie.

Zodra u de vereiste machtigingen begrijpt, kunt u machtigingen op serverniveau toepassen op aanmeldingen of serverfuncties, en machtigingen op databaseniveau voor gebruikers of databaserollen, met behulp van de GRANTREVOKE, en DENY instructies. Voorbeeld:

GRANT SELECT ON SCHEMA::HumanResources TO role_HumanResourcesDept;
REVOKE SELECT ON SCHEMA::HumanResources TO role_HumanResourcesDept;

Zie Aan de slag met database-enginemachtigingen voor tips over het plannen van een machtigingssysteem.

Naamconventies voor machtigingen

Hieronder worden de algemene conventies beschreven die worden gevolgd voor naamgevingsmachtigingen:

• CONTROL

  Verleent eigendomsachtige mogelijkheden aan de grantee. De grantee heeft in feite alle gedefinieerde machtigingen voor het beveiligbaar. Een principal waaraan CONTROL is toegewezen, kan ook machtigingen verlenen voor de beveiligbare eenheid. Omdat het SQL Server-beveiligingsmodel hiërarchisch is, bevat CONTROL in een bepaald bereik impliciet CONTROL voor alle beveiligbare elementen onder dat bereik. Control voor een database impliceert bijvoorbeeld alle machtigingen voor de database, alle machtigingen voor alle assembly's in de database, alle machtigingen voor alle schema's in de database en alle machtigingen voor objecten binnen alle schema's in de database.

• ALTER

  Geeft de mogelijkheid om de eigenschappen, met uitzondering van eigendom, van een bepaald beveiligbaar object te wijzigen. Wanneer aan een bereik wordt verleend, krijgt ALTER ook de mogelijkheid om een beveiligbaar te wijzigen, te maken of te verwijderen dat binnen dat bereik is opgenomen. De machtiging ALTER voor een schema bevat bijvoorbeeld de mogelijkheid om objecten uit het schema te maken, te wijzigen en neer te zetten.

• ALTER ANY <Server Securable>, waarbij Server Securable elke server beveiligbaar kan zijn.

  Verleent de mogelijkheid om afzonderlijke exemplaren van het Server-beveiligd object te maken, te wijzigen of te verwijderen. ALTER ANY LOGIN verleent bijvoorbeeld de mogelijkheid om op het exemplaar alle aanmeldaccounts te maken, te wijzigen of te verwijderen.

• ALTER ANY <Database Securable>, waarbij een Database Securable iets beveiligbaars kan zijn op databaseniveau.

  Biedt de mogelijkheid om afzonderlijke exemplaren van het database-object te maken, wijzigen of verwijderen. ALTER ANY SCHEMA biedt bijvoorbeeld de mogelijkheid om een schema in de database te maken, te wijzigen of te verwijderen.

• NEEM EIGENAARSCHAP

  Hiermee kan de grantee eigenaar worden van het beveiligbare waarvoor deze wordt verleend.

• IMITEREN <Inloggen>

  Hiermee kan de grantee de aanmelding imiteren.

• IMITEER <Gebruiker>

  Hiermee kan de grantee de gebruiker imiteren.

• CREATE Server <Beveiligbaar>

  Verleent de grante de mogelijkheid om de server te beveiligen.

• CREATE Database <Beveiligbaar>

  Verleent de ontvanger de mogelijkheid om de Database Securable te creëren.

• CREATE <Schema-beveiligbaar object>

  Geeft de mogelijkheid om beveiligbare objecten binnen het schema te creëren. Alter-machtigingen voor het schema zijn echter vereist om het beveiligbaar te maken in een bepaald schema.

• VIEW DEFINITIE

  Hiermee kan de grantee toegang krijgen tot metagegevens.

• REFERENCES

  Voor het creëren van een FOREIGN KEY-constraint die naar die tabel verwijst, is toestemming voor referenties op een tabel nodig.

  De machtiging REFERENCES is vereist voor een object om een FUNCTION of VIEW aan te maken met de WITH SCHEMABINDING-clausule die naar dat object verwijst.

Grafiek met SQL Server-machtigingen

In de volgende afbeelding ziet u de machtigingen en de bijbehorende relaties met elkaar. Sommige machtigingen op een hoger niveau (zoals CONTROL SERVER) worden vaak vermeld. In dit artikel is de poster veel te klein om te lezen. U kunt de Database Engine Permissions Poster in volledige grootte in PDF-formaat downloaden.

Machtigingen die van toepassing zijn op specifieke beveiligbare objecten

De volgende tabel bevat de belangrijkste klassen machtigingen en de soorten beveiligbare items waarop ze kunnen worden toegepast.

SQL Server-machtigingen

De volgende tabel bevat een volledige lijst met SQL Server-machtigingen. Azure SQL Database-machtigingen zijn alleen beschikbaar voor basisveiligbare objecten die worden ondersteund. Machtigingen op serverniveau kunnen niet worden verleend in Azure SQL Database, maar in sommige gevallen zijn databasemachtigingen beschikbaar.

Nieuwe gedetailleerde machtigingen toegevoegd aan SQL Server 2022

De volgende machtigingen worden toegevoegd aan SQL Server 2022:

• Er zijn 10 nieuwe machtigingen toegevoegd om toegang tot systeemmetagegevens toe te staan.

• Er zijn 18 nieuwe machtigingen toegevoegd voor uitgebreide gebeurtenissen.

• Er zijn 9 nieuwe machtigingen toegevoegd met betrekking tot beveiligingsgerelateerde objecten.

• Er zijn 4 machtigingen toegevoegd voor Ledger.

• 3 extra databasemachtigingen.

Zie nieuwe gedetailleerde machtigingen voor SQL Server 2022 en Azure SQL om de naleving van PoLP te verbeteren voor meer informatie.

Toegang tot machtigingen voor systeemmetagegevens

Serverniveau:

• VIEW ELKE BEVEILIGINGSDEFINITIE
• VIEW ELKE PRESTATIEDEFINITIE
• VIEW BEVEILIGINGSSTATUS VAN DE SERVER
• VIEW SERVERPRESTATIESTATUS
• VIEW IEDERE CRYPTOGRAFISCH BEVEILIGDE DEFINITIE

Databaseniveau:

• VIEW DATABASE BEVEILIGINGSSTATUS
• VIEW DATABASE PRESTATIESTATUS
• VIEW BEVEILIGINGSDEFINITIE
• VIEW PRESTATIEDEFINITIE
• VIEW CRYPTOGRAFISCH BEVEILIGDE DEFINITIE

Uitgebreide gebeurtenissenmachtigingen

Serverniveau:

• MAAK ELKE EVENT SESSION
• LAAT HIER IETS LOS EVENT SESSION
• EVENT SESSION ELKE OPTIE WIJZIGEN
• EEN WILLEKEURIGE EVENT SESSION TOEVOEGGEBEURTENIS WIJZIGEN
• EVENT SESSION ELKE DROP-GEBEURTENIS WIJZIGEN
• ALLE EVENT SESSION INSCHAKELEN WIJZIGEN
• ALTER ANY EVENT SESSION UITSCHAKELEN
• EEN WILLEKEURIG EVENT SESSION DOEL TOEVOEGEN WIJZIGEN
• ELK EVENT SESSION VERWIJDERDOEL WIJZIGEN

Al deze machtigingen vallen onder dezelfde bovenliggende machtiging: ALTER ANY EVENT SESSION

Databaseniveau:

• MAAK ELKE DATABASEEVENT SESSION
• DROP ANY DATABASEEVENT SESSION
• DATABASE EVENT SESSION ELKE OPTIE WIJZIGEN
• ELKE DATABASEEVENT SESSION ADD-GEBEURTENIS WIJZIGEN
• DATABASE EVENT SESSION ELKE DROP-GEBEURTENIS WIJZIGEN
• DATABASE EVENT SESSION ALLE INSCHAKELEN WIJZIGEN
• DATABASE EVENT SESSION UITSCHAKELEN WIJZIGEN
• ELK DATABASEEVENT SESSION DOEL TOEVOEGEN WIJZIGEN
• WIJZIG ELK DATABASEEVENT SESSION DROP TARGET

Al deze machtigingen vallen onder dezelfde bovenliggende machtiging: ALTER ANY DATABASEEVENT SESSION

Machtigingen voor beveiligingsgerelateerde objecten

• CONTROL (CREDENTIAL)
• CREATE LOGIN
• CREATE USER
• REFERENTIES (CREDENTIAL)
• DEMASKEREN (OBJECT)
• DEMASKEREN (SCHEMA)
• VIEW elk foutenlogboek
• VIEW SERVERBEVEILIGINGSAUDIT
• VIEW DATABASE BEVEILIGINGSCONTROLE

Grootboekmachtigingen

• ALTER LEDGER
• WIJZIGEN VAN GROOTBOEKCONFIGURATIE
• GROOTBOEK INSCHAKELEN
• VIEW GROOTBOEKINHOUD

Andere databasemachtigingen

• Elke externe taak wijzigen
• EEN EXTERNE STREAM WIJZIGEN
• EEN EXTERN COMMANDO UITVOEREN ENDPOINT

Samenvatting van het algoritme voor machtigingscontrole

Het controleren van machtigingen kan complex zijn. Het algoritme voor machtigingscontrole omvat overlappende groepslidmaatschappen en eigendomsketens, zowel expliciete als impliciete machtigingen, en kan worden beïnvloed door de machtigingen voor beveiligbare klassen die de beveiligbare entiteit bevatten. Het algemene proces van het algoritme is het verzamelen van alle relevante machtigingen. Als er geen blokkering DENY wordt gevonden, zoekt het algoritme naar een GRANT algoritme dat voldoende toegang biedt. Het algoritme bevat drie essentiële elementen, de beveiligingscontext, de machtigingsruimte en de vereiste machtiging.

• Beveiligingscontext

  Dit is de groep gebruikers die machtigingen verlenen voor de toegangscontrole. Dit zijn machtigingen die zijn gerelateerd aan de huidige aanmelding of gebruiker, tenzij de beveiligingscontext is gewijzigd in een andere aanmelding of gebruiker met behulp van de EXECUTE AS instructie. De beveiligingscontext bevat de volgende principals:

  • De aanmelding

  • De gebruiker

  • Rollidmaatschappen

  • Windows-groepslidmaatschappen

  • Als moduleondertekening wordt gebruikt, worden aanmeldings- of gebruikersaccounts voor het certificaat gebruikt om de module te ondertekenen die de gebruiker momenteel uitvoert en de bijbehorende rollidmaatschappen van die principal.

• Toestemmingsruimte

  Dit is de beveiligbare entiteit en eventuele beveiligbare klassen die de beveiligbare entiteit bevatten. Een tabel (een beveiligbare entiteit) is bijvoorbeeld opgenomen in de beveiligbare klasse van het schema en door de beveiligbare klasse van de database. Toegang kan worden beïnvloed door machtigingen op tabel-, schema-, database- en serverniveau. Zie Machtigingenhiërarchie (database-engine) voor meer informatie.

• Vereiste machtiging

  Het type machtiging dat is vereist. Bijvoorbeeld, INSERT, UPDATE, DELETE, SELECT, EXECUTE, ALTER, CONTROL, enzovoort.

  Access kan meerdere machtigingen vereisen, zoals in de volgende voorbeelden:

  • Een opgeslagen procedure kan zowel de EXECUTE-machtiging voor de opgeslagen procedure als de machtiging INSERT vereisen voor verschillende tabellen waarnaar de opgeslagen procedure verwijst.

  • Een dynamische beheerweergave kan zowel VIEW SERVERSTATUS als SELECT-machtiging vereisen voor de weergave.

Algemene stappen van het algoritme

Wanneer het algoritme bepaalt of toegang tot een object dat beveiligd kan worden is toegestaan, kunnen de exacte stappen die het gebruikt variëren, afhankelijk van de betrokken partijen en de beveiligbare objecten. Het algoritme voert echter de volgende algemene stappen uit:

1. Overslaan van de machtigingscontrole of de aanmelding lid is van de vaste serverfunctie sysadmin of als de gebruiker de dbo-gebruiker in de huidige database is.

2. Toegang toestaan als eigendomsketen van toepassing is en de toegangscontrole van het eerdere object in de keten de beveiligingscontrole heeft doorstaan.

3. Aggregeren de identiteiten op serverniveau, databaseniveau en ondertekende module die zijn gekoppeld aan de aanroeper om de beveiligingscontext te maken.

4. Verzamel voor deze beveiligingscontext alle machtigingen die worden verleend of geweigerd voor de machtigingsruimte. De toestemming kan expliciet worden vermeld als een GRANT, GRANT MET GRANT, of DENY; of de toestemmingen kunnen een impliciete of overkoepelende toestemming GRANT of DENY zijn. Control-machtiging voor een schema impliceert bijvoorbeeld CONTROL in een tabel. En CONTROL in een tabel impliceert SELECT. Als CONTROL voor het schema is verleend, wordt SELECT in de tabel daarom verleend. Als CONTROL op de tabel wordt geweigerd, wordt SELECT ook op de tabel geweigerd.

   Note

   Een GRANT machtiging op kolomniveau overschrijft een DENY op objectniveau. Zie DENY Objectmachtigingen voor meer informatie.

5. Identificeer de vereiste machtiging.

6. Mislukt de machtigingscontrole als de vereiste machtiging rechtstreeks of impliciet wordt geweigerd voor een van de identiteiten in de beveiligingscontext voor de objecten in de machtigingsruimte.

7. Doorsta de machtigingscontrole als de vereiste machtiging niet is afgewezen en de vereiste machtiging een GRANT of een GRANT met GRANT-machtiging bevat, die rechtstreeks of impliciet is verleend aan een van de identiteiten in de beveiligingscontext voor elk object in de machtigingsruimte.

Speciale overwegingen voor machtigingen op kolomniveau

Machtigingen op kolomniveau worden verleend met de syntaxis <table_name>(<kolom _name>). Voorbeeld:

GRANT SELECT ON OBJECT::Customer(CustomerName) TO UserJoe;

Een DENY op de tabel wordt overschreven door een GRANT op een kolom. Een volgende DENY op de tabel zal echter de kolom GRANT verwijderen.

Examples

In de voorbeelden in deze sectie ziet u hoe u informatie over machtigingen ophaalt.

A. De volledige lijst met toekenningsmachtigingen retourneren

De volgende instructie retourneert alle machtigingen van de database-engine met behulp van de functie fn_builtin_permissions. Zie sys.fn_builtin_permissions voor meer informatie.

SELECT * FROM fn_builtin_permissions(default);
GO

B. De machtigingen voor een bepaalde klasse objecten retourneren

Het volgende voorbeeld gebruikt fn_builtin_permissions om alle machtigingen te bekijken die beschikbaar zijn voor een categorie beveiligbaar. In het voorbeeld worden machtigingen voor assembly's geretourneerd.

SELECT * FROM fn_builtin_permissions('assembly');
GO

C. Geef de machtigingen terug die zijn verleend aan de uitvoerende instantie op een object

Het volgende voorbeeld gebruikt fn_my_permissions om een lijst met effectieve machtigingen te retourneren die worden gehouden door de aanroepende principal op een bepaald beveiligbaar object. In het voorbeeld worden machtigingen geretourneerd voor een object met de naam Orders55. Zie sys.fn_my_permissions voor meer informatie.

SELECT * FROM fn_my_permissions('Orders55', 'object');
GO

D. De machtigingen retourneren die van toepassing zijn op een opgegeven object

In het volgende voorbeeld worden machtigingen geretourneerd die van toepassing zijn op een object met de naam Yttrium. De ingebouwde functie OBJECT_ID wordt gebruikt om de id van het object Yttriumop te halen.

SELECT * FROM sys.database_permissions
    WHERE major_id = OBJECT_ID('Yttrium');
GO

Verwante inhoud

• Machtigingshiërarchie (Database Engine)
• sys.database_permissions (Transact-SQL)