Rola bazy danych

Rola bazy danych to zbiór uprawnień działający w obrębie konkretnej bazy, w odróżnieniu od roli serwera.

Zakres działania roli bazy danych

Rola bazy danych to nazwany zestaw uprawnień obowiązujących w obrębie określonej bazy danych. Uprawnienia mogą określać, czy dana rola może odczytywać tabele, dodawać lub zmieniać wiersze, usuwać dane, wykonywać procedury, korzystać z widoków albo tworzyć obiekty w wybranym schemacie. Rola nie musi oznaczać pojedynczej osoby. W systemach zarządzania bazami danych jest często używana jako wspólny profil dostępu, który można przypisać wielu kontom użytkowników.

Istotne jest rozróżnienie zakresu bazy danych od zakresu całego serwera bazodanowego. Uprawnienie nadane do konkretnej tabeli nie daje automatycznie dostępu do tabeli o tej samej nazwie znajdującej się w innej bazie. Podobnie konto może mieć możliwość połączenia z serwerem, ale nie posiadać prawa do odczytu danych w żadnej konkretnej bazie. Szczegóły nazewnictwa i dziedziczenia uprawnień zależą od używanego silnika, dlatego podczas konfiguracji trzeba sprawdzić dokumentację danego systemu.

Dziedziczenie i łączenie uprawnień

Jedna rola może otrzymać wiele uprawnień, a użytkownik może należeć do kilku ról. Dzięki temu uprawnienia opisuje się według funkcji, na przykład osobno dla odczytu raportów, zapisu danych aplikacyjnych i wykonywania operacji administracyjnych. Końcowy zakres dostępu wynika z połączenia członkostwa użytkownika, przypisanych ról oraz bezpośrednich nadań i odebrań uprawnień. W niektórych silnikach role mogą także dziedziczyć właściwości innych ról, lecz sposób działania dziedziczenia nie jest identyczny we wszystkich produktach.

Przy analizie dostępu trzeba uwzględnić obiekt, czynność i kontekst wykonania. Prawo do odczytu tabeli nie jest tym samym co prawo do modyfikowania jej zawartości. Dostęp do widoku może zapewniać odczyt wybranych kolumn lub wierszy bez udostępniania tabel źródłowych, ale zależy to od definicji widoku i reguł bezpieczeństwa konkretnego silnika. Również możliwość wykonania procedury nie musi oznaczać prawa do bezpośredniego odczytu wszystkich tabel używanych przez tę procedurę.

Rola bazy danych a konto i rola serwera

Konto użytkownika służy do uwierzytelnienia połączenia, natomiast rola opisuje uprawnienia przypisane temu kontu lub grupie kont. W praktyce te pojęcia bywają łączone: w niektórych systemach użytkownik i rola są reprezentowane przez ten sam typ obiektu, a różnica wynika z tego, czy obiekt może się logować oraz czy jest używany jako grupa uprawnień. Nie należy jednak zakładać, że samo utworzenie roli umożliwia logowanie albo automatycznie daje dostęp do wszystkich baz.

Rola serwera działa na poziomie instancji lub całego serwera bazodanowego, a rola bazy danych odnosi się do obiektów znajdujących się w konkretnej bazie. Uprawnienia serwerowe mogą obejmować na przykład tworzenie baz, zarządzanie połączeniami lub wykonywanie operacji dotyczących całej instancji, podczas gdy uprawnienia bazodanowe dotyczą tabel, widoków, schematów, funkcji i procedur. Podział ten pozwala ograniczyć zakres zmian wykonywanych przez konto aplikacji i uniknąć nadawania mu uprawnień niezwiązanych z jego zadaniem.

Kontrola ról podczas diagnostyki dostępu

Gdy aplikacja otrzymuje komunikat o odmowie dostępu, należy ustalić, jakim kontem nawiązuje połączenie, z jaką bazą się łączy oraz jaki obiekt i operację próbuje wykonać. Sam fakt poprawnego uwierzytelnienia nie potwierdza prawa do wykonania zapytania. Trzeba sprawdzić członkostwo konta w rolach, uprawnienia dla konkretnego schematu i obiektu, ewentualne ograniczenia na poziomie wierszy oraz ustawienia dotyczące połączeń. Ważne jest także zweryfikowanie, czy aplikacja korzysta z właściwego środowiska, ponieważ identyczna nazwa konta może mieć inny zakres uprawnień w bazie testowej i produkcyjnej.

Diagnostyka powinna obejmować również przypadek nadmiarowych uprawnień. Konto aplikacji mające możliwość tworzenia tabel, zmiany struktury bazy lub wykonywania poleceń administracyjnych ma szerszy zakres działania niż konto wymagające wyłącznie odczytu i zapisu danych biznesowych. Bezpieczniejszy model polega na przypisaniu roli odpowiadającej rzeczywistej funkcji programu, udokumentowaniu jej członków i okresowym sprawdzaniu, czy uprawnienia nadal są potrzebne. Przy zmianach konfiguracji warto zapisać nazwę bazy, role, obiekty oraz typy operacji, aby później można było odtworzyć przyczynę błędu.