Rola securityadmin

Rola securityadmin zarządza logowaniami i ich hasłami na poziomie instancji.

Rola serwerowa, nie bazodanowa

securityadmin to stała rola na poziomie instancji SQL Servera, definiowana obok takich ról jak sysadmin, serveradmin, dbcreator czy processadmin. Jej członkowie zarządzają loginami: mogą tworzyć nowe, zmieniać istniejące, resetować hasła loginów uwierzytelnianych przez SQL Server oraz nadawać, odbierać i blokować uprawnienia na poziomie serwera. Jeżeli mają dostęp do konkretnej bazy, mogą też sterować uprawnieniami wewnątrz niej. W praktyce jest to rola pomyślana dla osoby prowadzącej ewidencję kont użytkowników w większej organizacji, gdzie zarządzanie tożsamościami oddziela się od zarządzania samą bazą danych.

Dlaczego dokumentacja traktuje ją jak sysadmina

Kluczowy niuans polega na tym, że prawo do nadawania uprawnień obejmuje również te najwyższe. Członek securityadmin może przyznać sobie lub komukolwiek uprawnienie CONTROL SERVER, a to jest funkcjonalnie równoważne członkostwu w sysadmin. Z tego powodu Microsoft w dokumentacji wprost ostrzega, żeby traktować tę rolę jak odpowiednik pełnych praw administracyjnych. Wniosek dla praktyki jest jednoznaczny: nadanie securityadmin komuś, komu nie zaufalibyśmy roli sysadmin, jest samooszukiwaniem się. Gdy naprawdę chodzi o wąski zakres, lepiej sięgnąć po pojedyncze uprawnienia — na przykład ALTER ANY LOGIN dla kogoś, kto ma tylko zakładać konta — zamiast po całą rolę.

Skutki zbyt szerokich uprawnień w firmowej instancji

W małych wdrożeniach programów handlowych spotyka się instalacje, gdzie każdy użytkownik loguje się na konto sa albo na login należący do sysadmin, bo tak było najszybciej przy uruchomieniu. Konsekwencje ujawniają się dopiero przy incydencie: nie da się ustalić, kto usunął dokumenty, każdy może odłączyć bazę lub wykonać jej kopię i wynieść z firmy, a złośliwe oprogramowanie działające w kontekście zalogowanego użytkownika dziedziczy te same prawa. Dochodzi do tego ryzyko przypadkowego uszkodzenia — wystarczy uruchomienie polecenia UPDATE bez klauzuli WHERE na tabeli rozrachunków. Zasada minimalnych uprawnień nie jest tu formalnością: to jedyny mechanizm, który ogranicza zasięg szkody, gdy jedno konto zostanie przejęte.

Uporządkowanie kont dostępowych do bazy

Przeglądamy istniejące loginy i role w instancjach obsługujących Subiekta, systemy WAPRO i Comarch, wyprowadzamy użytkowników z ról administracyjnych na uprawnienia adekwatne do ich pracy i wdrażamy rozdzielenie konta serwisowego od kont pracowników. Przy okazji sprawdzamy, czy kopie zapasowe faktycznie powstają i czy dają się odtworzyć — bo najlepiej ustawione uprawnienia nie zastąpią działającego backupu. Pracujemy u klienta na miejscu w Warszawie lub zdalnie, także poza godzinami pracy firmy.