INF: Propriedade de base de dados entre domínios encadeamento alterações de comportamento no SQL Server 2000 Service Pack 3

O Microsoft SQL Server Service Pack 3 (SP3) fornece um novo melhoria de segurança relacionados com a opção para configurar entre bases de dados propriedade encadeamento, Activar entre bases de dados propriedade interligação de bases de dados durante a configuração. Este artigo aborda a propriedade entre bases de dados encadeamento comportamento no SQL Server 2000 SP3. Com esta opção nova, pode controlar se ou não permitir o encadeamento de propriedade entre bases de dados. Por predefinição, esta opção está desactivada. A Microsoft recomenda que utilize a opção predefinida, que torna o servidor de base de dados mais segura.

Encadeamento de propriedade

Por predefinição, todos os objectos de base de dados têm proprietários. Quando um objecto como uma vista, um procedimento armazenado ou uma função definida pelo utilizador faz referência a outro objecto, é estabelecida uma cadeia de propriedade. Por exemplo, uma tabela que é propriedade pelo mesmo utilizador. Diz-se quando detidos pelo utilizador mesmo objecto de origem, a vista, procedimento armazenado ou função definida pelo utilizador e todos os objectos (subjacente tabelas, vistas ou outros objectos) de destino, a cadeia de propriedade que é sem interrupções. Quando a cadeia da propriedade está ininterrupta, SQL Server verifica as permissões no objecto de origem mas não nos objectos de destino.

Encadeamento de propriedade de base de dados entre

Propriedade de base de dados entre o encadeamento ocorre quando o objecto de origem depende dos objectos na outra base de dados. Uma cadeia de propriedade entre bases de dados funciona da mesma forma como propriedade encadeamento numa base de dados, mas uma corrente ininterrupta propriedade baseia-se todos os proprietários de objectos a ser mapeados para a mesma conta de início de sessão. Por este motivo, uma cadeia de propriedade entre bases de dados, se o objecto de origem na base de dados de origem e os objectos de destino nas bases de dados destino pertencem a mesma conta de início de sessão, SQL Server não verifica permissões em objectos de destino.

Se tiver mais do que uma base de dados utilizado por uma aplicação e que é utilizado chamadas de procedimentos armazenados ou vistas na base de dados baseada em objectos na outra base de dados, em seguida, entre bases de dados propriedade encadeamento de aplicações. As aplicações que dependem de encadeamento de propriedade entre bases de dados poderão gerar permissão negada erros se a propriedade entre bases de dados a interligação de opção estiver desactivada.

Riscos associados com o encadeamento de propriedade de base de dados entre

A Microsoft recomenda que desactive a propriedade entre bases de dados encadeamento opção devido as acções que podem efectuar altamente privilegiados utilizadores:

• Proprietários de base de dados e membros da db_ddladmin ou as funções de base de dados db_owners podem criar objectos pertencentes a outros utilizadores. Estes objectos podem potencialmente direccionar objectos de outras bases de dados. Isto significa que se activada entre bases de dados propriedade encadeamento, se tem total confiança estes utilizadores com dados nas bases de dados. Para identificar membros de db_ddladmin e as funções db_owners na base de dados actual, executar o Transact-SQL seguinte comandos:
  

  exec sp_helprolemember 'db_ddladmin' exec sp_helprolemember 'db_owner'

• Os utilizadores com permissão CREATE DATABASE podem criar novas bases de dados e anexar bases de dados existentes. Se a interligação entre bases de dados propriedade estiver activada, estes utilizadores podem aceder objectos de outras bases de dados a partir de bases de dados recém-criados ou ligados.

Apesar da Microsoft recomenda que desactive a interligação de propriedade entre bases de dados para máxima segurança, existem alguns ambientes em que pode confiar totalmente os utilizadores altamente privilegiados; assim, pode activar a propriedade cruzada da base de dados para bases de dados específicos cumprir os requisitos de aplicações específicas.

Como configurar a propriedade de base de dados entre encadeamento durante o programa de configuração

Em configuração do Microsoft SQL Server Service Pack 3 (SP3), foi adicionada uma nova caixa de diálogo para permitir que o administrador de sistema para controlar se encadeamento de propriedade de base de dados entre será permitido. Se seleccionar Activar entre bases de dados propriedade interligação de bases de dados durante a configuração do SQL Server 2000 SP3, está a activar esta opção em todas as bases de dados. Este era o comportamento predefinido antes de SQL Server 2000 SP3. Independentemente da opção que seleccionou durante a configuração, pode posteriormente modificar servidor e suporte da base de dados de interligação de propriedade entre bases de dados utilizando comandos de Transact-SQL ou do SQL Server Enterprise Manager.

Como configurar a propriedade de base de dados entre encadeamento após a instalação

Para alterar a configuração em cadeia de propriedade entre bases de dados, utilize as opções novas sp_configure e os procedimentos armazenados sp_dboption .

Nota Se desligar e, em seguida, volte a ligar uma base de dados, deve reactivar encadeamento de propriedade entre bases de dados.

• Configurar entre bases de dados propriedade encadeamento utilizando comandos de Transact-SQL:
  • Configure propriedade entre bases de dados a interligação de suporte para a instância do SQL Server com a nova opção de Encadeamento de propriedade de base de dados do acesso para sp_configure . Quando esta opção está definida como 0, pode controlar a interligação entre bases de dados propriedade ao nível da base de dados utilizando sp_dboption . Quando esta opção está definida como 1, não é possível restringir o encadeamento de propriedade entre bases de dados. Este é comportamento pré-SQL Server 2000 SP3. Se alterar esta opção, inclua a opção de RECONFIGURAÇÃO para reconfigurar a instância sem ser necessário reiniciá-lo. Por exemplo, utilize o seguinte comando para permitir a interligação de propriedade entre bases de dados em todas as bases de dados:
    

    EXEC sp_configure 'Cross DB Ownership Chaining', '1'; RECONFIGURE 
    

  • Configure a interligação entre bases de dados propriedade ao nível da base de dados com a nova opção de encadeamento de base de dados para sp_dboption . Quando esta opção está definida como false, a base de dados não pode participar no encadeamento de propriedade entre bases de dados como a origem ou base de dados de destino. Quando esta opção é definida como true, a base de dados pode participar de uma cadeia de propriedade entre bases de dados. Por predefinição, esta opção é false para todas as bases de dados utilizador depois de aplicar o SQL Server 2000 SP3. O seguinte comando activa a interligação de propriedade entre bases de dados para a base de dados Adamastor:
    

    EXEC sp_dboption 'Northwind', 'db chaining', 'true'

  
  Os efeitos das sp_dboption são manifested apenas quando sp_configure opção Entre encadeamento de propriedade de base de dados está definida como 0. Além disso, para activar entre bases de dados propriedade encadeamento ao nível da base de dados, tem de activar esta opção a origem e base de dados de destino.
Configurar encadeamento de propriedade entre bases de dados utilizando o SQL Enterprise Manager:
• Para definir esta opção para todas as bases de dados, siga estes passos:
  1. Clique com o botão direito do rato <server>.
  2. Clique para seleccionar Propriedades .
  3. Clique em segurança .
  4. Clique para seleccionar Permitir entre bases de dados propriedade encadeamento de encadeamento de propriedade secção.
  5. Clique em OK. É-lhe pedido para parar e reiniciar os serviços do SQL Server.
  6. Clique em OK .
• Para activar esta opção ao nível da base de dados, siga estes passos:
  1. Clique com o botão direito do rato a <database>.
  2. Clique para seleccionar Propriedades .
  3. Clique em Opções .
  4. Clique para seleccionar Permitir a base de dados entre propriedade encadeamento na secção definições