SQL Server EXECUTE AS на FN_TRACE_GETTABLE

Question

Я пытаюсь разрешить пользователю просматривать данные трассировки SQL Server из файла .trc без предоставления им ALTER TRACE разрешений (SQL Server 2008 R2). Таким образом, я завернул его в хранимой процедуре, используя мой сисадмин счет:

CREATE PROCEDURE test_trace 
as 
SELECT * FROM FN_TRACE_GETTABLE(N'C:\temp\trace1.trc', 1) 

Если я выполнить эту хранимую процедуру, используя мой сисадмин счет, он прекрасно работает, как ожидалось. Если я попытаюсь запустить это под учетной записью domain1 \ user1, она не запускается с ошибкой "You do not have permission to run 'FN_TRACE_GETTABLE'". Это снова ожидается.

Так что теперь я хочу, чтобы domain1\user1 запустить хранимую процедуру, так что я изменить хранимую процедуру для выполнения под сисадмином счетов:

CREATE PROCEDURE test_trace 
WITH EXECUTE AS 'domain1\sysadmin1' 
as 
SELECT * FROM FN_TRACE_GETTABLE(N'C:\temp\trace1.trc', 1) 

Теперь, когда я выполнить хранимую процедуру, я получаю "You do not have permission to run 'FN_TRACE_GETTABLE'" независимо от счет я его выполню! Я ожидал, что смогу выполнить его как по счетам , так и domain1\sysadmin1.

Может ли кто-нибудь помочь в том, что я пропустил? Моя цель - разрешить domain1\user1 читать trace1.trc файл без предоставления ALTER TRACE разрешений.

Answer 1

В соответствии с documentation вы можете указать только имя пользователя (базы данных) в execute as для хранимых процедур. Тем не менее, я думаю, что это должно нормально работать, но, пожалуйста, измените SP с учетной записью sysadmin и укажите EXECUTE AS SELF вместо имени пользователя.

Если это все еще не работает, попробуйте предоставить исполняющему пользователю права на чтение в файле трассировки, возможно, сервер игнорирует execute as для доступа к файлу (который я бы рассматривал как ошибку).

Answer 2

Чтобы повысить привилегии контролируемым образом, необходимо использовать code signing. Хотя в контексте процедуры EXECUTE AS вы изолированы и не можете использовать привилегию на уровне сервера (например, разрешения, связанные с трассировкой), прочитайте Extending Database Impersonation by Using EXECUTE AS. Подписание кода - это правильное решение этой проблемы. См. full example here.