Справочная информация: У меня есть сторонний разработчик, для которого мы создали логин в нашем SQL Server с минимальными разрешениями, необходимыми для их выполнения. Мы дали им «deny datareader» и «deny datawriter», хотя мы предоставили им разрешения на выполнение двух хранимых процедур, которые им требуются.Разрешения SQL Server для SP_LINKEDSERVER
Вопрос: Было доведено до моего сведения, что некоторые отверстия в нашей установке будут уязвимы для этого нового пользователя, если они хотят действовать злонамеренно. У нас есть доступ с этого сервера к другим серверам SQL через связанные серверы. Вход на удаленные серверы не использует вход в систему для пользователей (логин как «я» является ложным), скорее у нас есть связанные с сервером логины. Следовательно, если они сталкиваются с именами связанных серверов, они смогут иметь неограниченный доступ к связанным серверам. Я отменил доступ к «sp_linkedservers» к роли «public», чтобы они не увидели список.
Вопрос: Пока мы не исправим ситуацию со связанными серверами, есть ли у нас возможность исправить это отверстие? Что-то вроде отказа в доступе к связанным серверам было бы неплохо, хотя из того, что я понимаю, это было бы невозможно ... любая помощь была бы высоко оценена!
Отказ от ответственности: Хотя я не подозреваю этого пользователя в злонамеренном поведении, я хочу предотвратить эту возможность и в то же время изучить еще одну часть разрешений SQL Server.
Большое спасибо!
~ Эли
Я работаю с сторонними разработчиками все время. Им не нужны разрешения на выполнение. Хранимые процедуры должны быть настроены как EXECUTE как OWNER. Затем дайте им ТОЛЬКО данные datareader и datawriter для базы данных или конкретных таблиц. Вам также может потребоваться предоставить им представление «Определение», если им нужно прочитать схему. Это очень хорошо блокирует систему. – JVC
Это звучит для меня как проблема с конфигурацией безопасности связанного сервера (в отличие от безопасности для входа стороннего разработчика). Вы можете посмотреть свойства одного из связанных серверов и опубликовать снимок экрана «Безопасность»? Размыть любую конфиденциальную информацию. – DMason
@ JVC - Я был более осторожен, чем это. Я дал им denydatareader и denydatawriter с явным разрешением на выполнение двух SP, которые требуются. Это блокирует все на нашей стороне, в стороне для связанных серверов. – Eli