通俗地講，資料庫是儲存具有某些特性的資料的數(shù)據(jù)庫。通常，我們把使用資料庫系統(tǒng)的用戶劃分為四類，資料庫設(shè)計(jì)者、資料庫管理者、應(yīng)用程序設(shè)計(jì)者及一般使用者。其中資料庫管理者負(fù)責(zé)賬號的管理與維護(hù)，決定所有資料庫使用者的使用權(quán)限。資料庫安全管理可說是資料庫管理者最重要的工作。SQL Server是Microsoft的企業(yè)級資料庫，它是個(gè)功能強(qiáng)大、易于使用的資料庫，可直接與Windows NT/2000的使用者賬號做安全機(jī)制整合。

        那么，到底什么是安全管理呢？簡而言之，安全管理是指對需要登入服務(wù)器的人員進(jìn)行管理。在應(yīng)用程序中，我們會對資料庫的各類使用者設(shè)置資料操作權(quán)限，通常是直接在應(yīng)用程序中做賬號與密碼的管理，但這種做法需要撰寫程序控制。而SQL Server具有親切、易操作的圖形使用界面，可以方便地管理使用者對SQL Server的存取權(quán)限。

        SQL Server 安全管理可分為3個(gè)層次，即登入賬戶、資料庫的管理與連接特定資料庫的權(quán)限和使用者對所連接資料庫部分的操作權(quán)限。下面，我們將針對這3個(gè)層次做詳細(xì)說明。

一、登入賬戶
        任何需要存取 SQL Server的使用者皆需要有一組服務(wù)器認(rèn)可的賬戶和密碼。SQL Server支持2種登入方式，一種為Windows驗(yàn)證，另一種為SQL Server驗(yàn)證。前者只要在SQL Server中建立與Windwos NT/2000對應(yīng)的登入賬戶，讓使用者登入Windows NT/2000時(shí)所用的賬戶能與在SQL Server中的賬戶相互對應(yīng)，即可順利連上SQL Server，由此，我們完成了對Windows NT/2000安全管理機(jī)制的整合。

        接下來，資料庫管理者在Windows NT上登入賬號，可直接將Windows NT中的群組加到SQL Server中，從而成為一個(gè)登入賬戶。

        通過上述操作，Windows NT登入群組中的成員皆可連接SQL Server。如果該群組中某一成員不允許其登入SQL Server，可在SQL Server中將該成員的個(gè)人賬戶設(shè)為拒絕存取。如果把SQL Server安裝在 Windows 95、Windows 98或Windows Me中，則無法使用Windows驗(yàn)證方式。

        如果使用SQL Server驗(yàn)證，必須在SQL Server中為要連接SQL Server的使用者建立登入的賬號名稱和密碼，這些賬號和密碼與Windows NT/2000的賬戶無關(guān)。

二、管理與連接特定資料庫的權(quán)限
        在建立登入賬戶后，使用者便能進(jìn)入SQL Server中，但并不代表使用者有連接SQL Server特定資料庫的權(quán)限，必須對使用者或群組設(shè)置對SQL Server的操作權(quán)限。SQL Server中對資料庫的操作權(quán)限可分為服務(wù)器自身的操作權(quán)限與資料庫的存取權(quán)限。對SQL Server的操作權(quán)限可由服務(wù)器角色來設(shè)置，資料庫的存取權(quán)限則可由角色與使用者對個(gè)別表格的存取權(quán)限來設(shè)置。那么，服務(wù)器角色與角色之間有什么不同呢？

        1. 服務(wù)器角色
        SQL Server系統(tǒng)內(nèi)建8種服務(wù)器角色(可把角色想像成Windows NT賬號中的群組)，它不能更改或新增。當(dāng)對某一使用者或群組設(shè)置好服務(wù)器角色后，其便擁有該服務(wù)器角色所擁有的權(quán)限。服務(wù)器角色是將SQL Server的各項(xiàng)管理工作加以分類，如建立賬號和資料庫備份等，它與資料庫角色不一樣，后者為對個(gè)別資料庫的操作權(quán)限。

        我們簡單列出8種服務(wù)器角色所擁有的權(quán)限。
        system administrators 表示系統(tǒng)管理員可執(zhí)行任何動(dòng)作。
        security administrators 表示管理登入賬戶。
        server administrators 表示設(shè)置SQL Server的各項(xiàng)參數(shù)。
        setup administrators  表示有關(guān)replication(復(fù)制)的設(shè)置與管理擴(kuò)充預(yù)存程序。
        PRocess administrators 表示管理SQL Server所有執(zhí)行中的程序。
        disk administrators  表示管理資料庫文件。
        database administrators 表示建立和更改資料庫屬性。
        bulk insert administrators 表示對可執(zhí)行bulk insert操作的管理。

        2. 角色
        SQL Server內(nèi)建10種資料庫角色，它不能更改或刪除，但可對個(gè)別資料庫增加角色。若給予使用者有內(nèi)建角色中的資料庫擁有者權(quán)限，它便擁有該資料庫的完整操作權(quán)。其余各角色的詳細(xì)權(quán)限說明可參考SQL Server的bol(即SQL Server books online)，通過查詢關(guān)鍵字roles，進(jìn)入標(biāo)題為roles的項(xiàng)目，其中有包含內(nèi)建服務(wù)器角色與資料庫角色的完整說明，在此不多贅述。需要注意的是，在對使用者分別設(shè)置了各種角色(每一使用者或群組可具有多種角色)后，它便擁有所有角色聯(lián)集的權(quán)限，但若其中有某一角色對某一操作權(quán)(如對某一表格的select權(quán))設(shè)置了拒絕，它將失去了該項(xiàng)權(quán)限，換句話說，拒絕權(quán)限優(yōu)于授予權(quán)限。

三、資料庫中部件的存取權(quán)限
        對于SQL Server的管理與可連接特定資料庫的權(quán)限，由SQL Server所提供的服務(wù)器角色與資料庫角色基本上可以符合我們大部份需求。另外，可直接對使用者或群組設(shè)置對資料庫中部件的個(gè)別存取權(quán)限，這些個(gè)別的存取權(quán)限有select、insert、update、delete、exec和dri，其中exec與dri分別表示對預(yù)存程序的執(zhí)行權(quán)限和對表格有效性的驗(yàn)證權(quán)限。在做直接的權(quán)限設(shè)置時(shí)，我們也可針對特殊的使用者(如內(nèi)建資料庫角色不能滿足時(shí))，當(dāng)然，如果使用相同權(quán)限方式的用戶比較多時(shí)，可以增加一個(gè)符合需求的資料庫角色，或?qū)⑦@些使用者在Windows NT/2000上先歸于某群組，再對該群組設(shè)置權(quán)限，這樣做比較方便于管理與維護(hù)。

        除上述內(nèi)容之外，在實(shí)際運(yùn)行時(shí)，筆者對于資料庫安全的把關(guān)總結(jié)出以下幾點(diǎn)建議。
        1. 除非必要，否則盡量以Windows驗(yàn)證來管理可連接SQL Server的使用者，以整合Windows NT/2000的安全機(jī)制。
        2. 善用SQL Server的服務(wù)器角色與資料庫角色功能。
        3. 善用SQL Server的加密功能。

        SQL Server提供了登入賬號、網(wǎng)絡(luò)傳輸、虛擬表和預(yù)存程序的加密功能。其中賬號的密碼加密是預(yù)設(shè)的，而網(wǎng)絡(luò)間傳輸資料則可用SSL方式進(jìn)行加密，要啟動(dòng)此功能必須啟動(dòng)net-library的加密功能，同時(shí)要配合Windows 2000的CA功能，并在服務(wù)器端與用戶端設(shè)置完成，從而雙方在傳輸資料前，便會在SSL加密后再進(jìn)行傳輸。由于虛擬表和預(yù)存程序的定義是以明碼保存在系統(tǒng)資料表中，若要將虛擬表和預(yù)存程序加密，可在其建立時(shí)在eNTerprise manager中設(shè)置加密選項(xiàng)或以 alter 敘述來設(shè)置加密。

        4. 系統(tǒng)安裝完畢后，務(wù)必更改預(yù)設(shè)的sa密碼，免得有其他使用者"義務(wù)"管理您的SQL Server。