主页 / dba / 问题 / 83028
Accepted
Kahn
Asked: 2014-11-20 00:22:34 +0800 CST

SQL 状态查询的过程权限问题

  • 772

我们有一个带有 DBO 的登录/用户到单个数据库，现在我们正在添加一个查询，该查询提供一些基本的监控信息，需要将权限稍微扩展到系统管理员端。

基本上，查询需要能够运行（只读）以下命令：

DBCC SQLPERF(logspace)
EXEC master..xp_fixeddrives
dbo.sysfiles
sys.master_files
tempdb.sys.database_files
tempdb.sys.dm_db_file_space_usage
sys.dm_exec_requests
sys.dm_tran_locks
sys.partitions
sys.indexes
sys.dm_os_waiting_tasks
sys.dm_os_tasks
sys.dm_exec_sessions
sys.dm_exec_sql_text

其中大部分内容都需要诸如查看服务器状态、查看任何定义等权限，所有这些都可以用于授予所需的权限，而无需进入系统管理员服务器角色。但是我们只想将这些权限限制在这个单一的查询中。

所以我们正在寻找的是选项。我最后的首选选项是向登录名/用户添加各种权限，因为这样它就可以访问超出其需要的权限（sysadmin 服务器角色的各种子权限），所以我尝试使用 EXECUTE AS 创建一个过程子句，显然只是因为内部的动态 SQL（我们需要将 DBCC SQLPERF 的结果输出到表变量中），所有权链接变得困难。即便如此，允许使用边界系统管理员凭据执行过程似乎也很棘手。

我浏览了更多关于这个主题的内容，但我无法理解，但我仍然无法让它发挥作用。基本上，你们能告诉我如何在不产生安全漏洞的情况下做到这一点吗？

只是一个运行这个查询的批处理，只能由系统管理员更改，并且可以被任何有权运行它的人读取/执行？谢谢！

编辑：

我目前正在研究创建代理登录和/或使用证书签署程序的可能性。似乎是一个很有趣的选项。

sql-server sql-server-2012

1 个回答

  1. Best Answer

    我认为你最简单的选择是一份工作。

    您可以通过 msdb 中的 SQLAgentOperatorRole 角色授予启动作业的权限。该角色的成员可以启动系统管理员登录所拥有的作业，该作业可以执行您需要的命令。

    这是根据您的要求的示例：

    USE master
GO

CREATE LOGIN testUser WITH PASSWORD = 'strongPassword' , CHECK_POLICY = OFF
GO

USE msdb
GO

CREATE USER testUser FOR LOGIN testUser
GO

EXEC sp_addrolemember 'SQLAgentOperatorRole', 'testUser'
GO

DECLARE @jobId uniqueidentifier

EXEC sp_add_job @job_name=N'test', 
        @enabled=1, 
        @owner_login_name=N'sa',
        @job_id = @jobId OUTPUT

EXEC msdb.dbo.sp_add_jobserver @job_id=@jobid, @server_name = @@SERVERNAME


EXEC sp_add_jobstep @job_id=@jobId, @step_name=N'step1', 
    @subsystem=N'TSQL', 
    @command=N'DBCC SQLPERF(logspace)
EXEC master..xp_fixeddrives
SELECT * FROM dbo.sysfiles
SELECT * FROM sys.master_files
SELECT * FROM tempdb.sys.database_files
SELECT * FROM tempdb.sys.dm_db_file_space_usage
SELECT * FROM sys.dm_exec_requests
SELECT * FROM sys.dm_tran_locks
SELECT * FROM sys.partitions
SELECT * FROM sys.indexes
SELECT * FROM sys.dm_os_waiting_tasks
SELECT * FROM sys.dm_os_tasks
SELECT * FROM sys.dm_exec_sessions
'
GO


EXECUTE AS LOGIN = 'testUser'

EXEC msdb.dbo.sp_start_job @job_name = 'test'

REVERT
GO


-- CLEANUP:
-----------
-- EXEC msdb.sys.sp_executesql N'DROP USER testUser'
-- DROP LOGIN testUser
-- EXEC msdb.dbo.sp_delete_job @job_name = 'test'

    虽然授予 SQLAgentOperatorRole 仍然是一个（次要的）安全问题，但我发现它比其他解决方案更令人担忧。

    • 1

相关问题