|
现有的SQL Server2000用户是否有必要升级到SQL Server2005呢？以下是一个高层列表，没有特定的顺序，列出了SQL Server 2005中大概10个最显著的安全加强。以帮助您在决策的过程中作出参考。 目录表 模拟(Impersonation) 表面区域配置工具(Surface Area Configuration tool) 用户-计划分离(User-schema separation) 粒度权限集合(Granular permission sets) 密码策略(Password policies) 加密(Encryption) 受限元数据可见度(Limited metadata visibility) 安全分类视图(Security catalog views) 数据定义语言触发器(DDL triggers) Windows用户信任映射(Mapping Windows user credentials) 模拟(Impersonation ) 模拟，或者是执行环境上下文交换，指的是临时交换一个连接的安全设置的过程，为的是获得对资源的访问。这对于采用了最小权限设计的系统特别重要。假设用户只有尽可能最小的对资源的权限，并且在必要的时候使用模拟来有选择的提高权限，这样做可以帮助减少整体的暴露。 在SQL Server 2005中，EXECUTE AS 和 SETUSER 是用来控制背景环境交换的。 表面区域配置工具(Surface Area Configuration tool) SQL Server 2005是一个大的产品——大到可以包括了许多新的特性，因此潜在地，它也可以处于安全的目的用作向量。为了防止这类事件，要能够容易快捷地看到每个特性的状态——还有配置——是非常重要的。如果一个特性没有用于数据库支持的应用，为了防止滥用的可能性，就应该将其失效。 表面区域配置工具是SQL Server 2005提供的，允许数据库管理员从单个地点管理多个外部资源的工具。类似CLR集成，SQL 邮件和本地XML网络服务的特性都可以用这个工具进行配置。虽然每个特性都可以使用T-SQL 进行配置，但是表面区域配置工具提供了一种方便使用的图形化用户界面。 用户计划分离(User-schema separation) 在SQL Server 2005中，数据库中的对象没有必要再被一个用户拥有。相反，他们可以包含在一个计划中，一个可以被赋予权限的逻辑容器。这个分离的意思是当一个对象突然崩溃的时候可以给用户分配多个对象的权限，而不是像SQL Server以前的版本中，数据库管理员每次只能分配一个。此外，从数据库中删除用户也不再意味着他们拥有的对象必须被删除或者重新分配。 粒度权限集合(Granular permission sets) 在SQL Server以前的版本中，假设需要访问服务器资源的时候，数据库管理员几乎没有选择。当把整个的权限配置归结为一个严格的“固定的服务器角色”集合的时候，看起来似乎就不能完美地适合任何一个环境了。例如，不可能给开发人员权限来运行Profiler 追踪的时候，不给同一个人访问服务器上所有其他资源的权力。 幸运的是，这些固定的角色在SQL Server 2005中不再必要了，感谢新的粒度权限集合特性。现在每次给一个人实际地分配访问每个服务器资源的权限成为可能。用户可以被赋予访问任何资源的权限组合——或者仅仅是某项资源。系统像数据库管理员期望的那样灵活。 密码策略(Password policies) 当安装在Windows Server 2003系统上的时候，SQL Server 2005可以采用操作系统的密码策略登录SQL Server。它转换为更加安全的密码，减少了发生在数据库服务器上的暴力攻击的机会。SQL Server 2005不但支持密码复杂度规则(确保最小长度，加强字母和数字字符的组合，等)，还支持密码过期策略(确保古老的密码必须被修改)。 要使用这些特性，数据库管理员们可以使用ALTER LOGIN语句来设置CHECK_POLICY 和CHECK_EXPIRATION 选项。
|
