Rola db_datareader

Rola db_datareader nadaje uprawnienie do odczytu wszystkich tabel w bazie.

Wbudowana rola bazy danych o zakresie odczytu

Rola db_datareader należy do zestawu ról wbudowanych w bazie danych serwera Microsoft SQL Server. Członkostwo w niej daje użytkownikowi prawo wykonywania zapytań odczytujących dane ze wszystkich tabel i widoków w danej bazie, także tych utworzonych już po nadaniu roli. To istotna cecha, bo uprawnienia nadane pojedynczym obiektom trzeba by uzupełniać po każdej zmianie struktury, a rola obejmuje nowe obiekty automatycznie.

Jej odpowiednikiem po stronie zapisu jest db_datawriter, pozwalająca wstawiać, modyfikować i usuwać wiersze. Warto podkreślić, że są to role poziomu bazy, nie serwera, więc przypisuje się je osobno w każdej bazie, a użytkownik bazy musi być wcześniej powiązany z loginem serwera.

Do czego się to stosuje w firmie

Typowe zastosowanie to konta raportowe. Program analityczny, arkusz kalkulacyjny pobierający dane przez połączenie zewnętrzne albo narzędzie do wizualizacji nie potrzebują niczego poza odczytem, a nadanie im szerszych uprawnień jest niepotrzebnym ryzykiem. Podobnie wygląda sytuacja z integracjami odczytującymi stany magazynowe do sklepu internetowego.

Rola nie obejmuje wszystkiego. Nie daje prawa wykonywania procedur składowanych, nie pozwala oglądać definicji obiektów ani planów zapytań i nie obejmuje uprawnień poziomu serwera, takich jak podgląd stanu instancji. Jeżeli raport korzysta z procedury, samo członkostwo w roli odczytu nie wystarczy i trzeba nadać osobne uprawnienie wykonania.

Gdzie ta rola bywa nadużywana

Największym nieporozumieniem jest traktowanie jej jako bezpiecznej z definicji. Odczyt wszystkich tabel oznacza także dostęp do danych kadrowych, cen zakupu i danych osobowych kontrahentów, jeśli znajdują się w tej samej bazie. Zawężenie widoczności wymaga wtedy udostępnienia wybranych widoków zamiast całej roli. Drugi problem to nadawanie roli grupie domenowej rozrastającej się z czasem, przez co dostęp zyskują osoby, o których nikt już nie pamięta. Trzeci dotyczy przenoszenia baz: po odtworzeniu kopii na innym serwerze użytkownicy bazy tracą powiązanie z loginami i pojawiają się jako osierocone konta, które wyglądają na uprawnione, ale nie działają.

Uporządkowanie dostępów do bazy

Przy wdrażaniu i serwisowaniu oprogramowania handlowego zajmujemy się również konfiguracją serwera bazy: tworzeniem kont o ograniczonym zakresie dla raportów i integracji, naprawą osieroconych użytkowników po przeniesieniu bazy, ustawianiem kopii zapasowych i planów konserwacji oraz odtwarzaniem danych po awarii sprzętu. Obsługujemy firmy i klientów indywidualnych, a sprzęt odbieramy i zwracamy własnymi kierowcami, bez korzystania z firm kurierskich.