Início / dba / Perguntas / 331020
Accepted
Zikato
Asked: 2023-09-08 17:55:42 +0800 CST

Posso alterar o proprietário do esquema CDC?

  • 772

Habilitei o Change Data Capture (CDC) em um banco de dados usandoexec sys.sp_cdc_enable_db

Isso cria um novo esquema cdc que pertence ao usuário cdc

select
    s.*
    , dp.name
from sys.schemas as s
join sys.database_principals as dp
    on dp.principal_id = s.principal_id

insira a descrição da imagem aqui

Como desejo aproveitar o encadeamento de propriedade e ler esse esquema usando um proc, posso alterar o proprietário para dbo ?

ALTER AUTHORIZATION ON SCHEMA::cdc TO dbo

Este comando funciona e muda o proprietário. Mas o CDC já está habilitado há algum tempo e estou preocupado em quebrar algo mais adiante.

security

2 respostas

  1. Best Answer

    Da documentação :

    Para que a captura de dados de alteração (CDC) funcione corretamente, você não deve modificar manualmente nenhum metadado do CDC, como esquema do CDC, tabelas de alteração, procedimentos armazenados do sistema CDC, permissões de usuário padrão do CDC (sys.database_principals) ou renomear o usuário do cdc.

    Em outra parte da mesma documentação (na seção "Fluxo de dados"), há um diagrama que implica fortemente que você deve usar cdc.fn_cdc_get_all_changes_<capture_instance>e/ou cdc.fn_cdc_get_net_changes_<capture_instance>. Na documentação desses , há um pouco sobre permissões :

    Requer associação à função de servidor fixa sysadmin ou à função de banco de dados fixa db_owner. Para todos os outros usuários, requer permissão SELECT em todas as colunas capturadas na tabela de origem e, se uma função de controle para a instância de captura tiver sido definida, associação a essa função de banco de dados.

    O que significa que a permissão SELECT na tabela subjacente deve ser suficiente e você não precisa alterar nada sobre como o CDC funciona (permissões ou não).

    • 4

  2. Solução alternativa?

    Você perguntou:

    Como desejo aproveitar o encadeamento de propriedade e ler esse esquema usando um proc, posso alterar o proprietário para dbo?

    Em vez de alterar a propriedade, por que não conceder a si mesmo ou a outros privilégios para ler o esquema? Você poderia ir direto CONTROL(mas não ALTER):

    GRANT SELECT, INSERT, UPDATE, DELETE ON SCHEMA::cdc TO <desired_principal>;

    A ideia de encadeamento de propriedade é considerada usada com cautela pela Microsoft:

    Um usuário com permissão ALTER em um esquema pode usar o encadeamento de propriedade para acessar protegíveis em outros esquemas, incluindo protegíveis aos quais esse usuário tem acesso explicitamente negado. Isso ocorre porque o encadeamento de propriedade ignora as verificações de permissões em objetos referenciados quando eles pertencem ao principal que possui os objetos que se referem a eles. Um usuário com permissão ALTER em um esquema pode criar procedimentos, sinônimos e visualizações que pertencem ao proprietário do esquema. Esses objetos terão acesso (por meio de encadeamento de propriedade) a informações em outros esquemas pertencentes ao proprietário do esquema. Quando possível, evite conceder a permissão ALTER em um esquema se o proprietário do esquema também possuir outros esquemas.

    Referência: permissões de esquema GRANT (Transact-SQL) (Microsoft Learn)

    Você possivelmente se encontraria nessa situação alterando o proprietário do esquema para dbo.

    • 1

relate perguntas