任何服務(wù)器，安全與性能是兩個永恒的主題。作為企業(yè)的信息化安全人員，其主要任務(wù)就是如何在保障服務(wù)器性能的前提下提高服務(wù)器的安全性。而要做到這一點(diǎn)，服務(wù)器的訪問權(quán)限控制策略無疑是其中的一個重要環(huán)節(jié)。筆者企業(yè)最近上了一臺新的數(shù)據(jù)庫服務(wù)器，我為他設(shè)計(jì)了一些權(quán)限控制手段。這些方法雖然不能夠百分之百的保證數(shù)據(jù)庫服務(wù)器的安全性，但是，這些仍然是數(shù)據(jù)庫服務(wù)器安全策略中必不可少的因素。他對提高數(shù)據(jù)庫服務(wù)器的安全性有著不可磨滅的作用。

其實(shí)，這些控制策略，不但對數(shù)據(jù)庫服務(wù)器有效；對其他的應(yīng)用服務(wù)器仍然具有參考價(jià)值。

一、給用戶授予其所需要的最小權(quán)限

不要給數(shù)據(jù)庫用戶提供比其需要的還要多的權(quán)限。換句話說，只給用戶真正需要的、為高效和簡潔地完成工作所需要的權(quán)限。這個道理很容易理解。這就好像防止職業(yè)貪污一樣。你若只給某個員工其完成工作所必需的費(fèi)用，一分都不多給，那其從哪里貪污呢？

如從數(shù)據(jù)庫服務(wù)器的角度來考慮這個問題，這就要求數(shù)據(jù)庫管理員在設(shè)置用戶訪問權(quán)限的時候，注意如下幾個方面的問題。

一是要限制數(shù)據(jù)庫管理員用戶的數(shù)量。在任何一個服務(wù)器中，管理員具有最高的權(quán)限。為了讓數(shù)據(jù)庫維持正常的運(yùn)轉(zhuǎn)，必須給數(shù)據(jù)庫配置管理員賬戶。否則的話，當(dāng)數(shù)據(jù)庫出現(xiàn)故障的時候，就沒有合適的用戶對其進(jìn)行維護(hù)了。但是，這個管理員賬戶的數(shù)量要嚴(yán)格進(jìn)行限制。不能為了貪圖方便，把各個用戶都設(shè)置成為管理員。如筆者企業(yè)，在一臺數(shù)據(jù)庫服務(wù)器中運(yùn)行著兩個實(shí)例，但是，只有一個數(shù)據(jù)庫管理員負(fù)責(zé)數(shù)據(jù)庫的日常維護(hù)。所以，就只有一個管理員賬戶。

二是選擇合適的賬戶連接到數(shù)據(jù)庫。一般數(shù)據(jù)庫的訪問權(quán)限可以通過兩種方式進(jìn)行控制。一是通過前臺應(yīng)用程序。也就是說，其連接到數(shù)據(jù)庫是一個統(tǒng)一的賬戶，如管理員賬戶；但是，在前臺應(yīng)用程序中設(shè)置了一些關(guān)卡，來控制用戶的訪問權(quán)限。這種方式雖然可以減少前臺程序開發(fā)的工作量，但是，對于數(shù)據(jù)庫服務(wù)器的安全是不利的。二是在前臺程序中，就直接利用員工賬戶的賬號登陸到數(shù)據(jù)庫系統(tǒng)。這種做法雖然可以提高數(shù)據(jù)庫的安全性，但是，其前臺配置的工作量會比較繁瑣。而筆者往往采用折中的方法。在數(shù)據(jù)庫中有兩類賬戶，一類是管理員賬戶，只有前臺系統(tǒng)管理員才可以利用這類賬戶登陸到數(shù)據(jù)庫系統(tǒng)。另外一類是普通賬戶，其雖然可以訪問數(shù)據(jù)庫中的所有非系統(tǒng)對象，但是，他們不能夠?qū)?shù)據(jù)庫系統(tǒng)的運(yùn)行參數(shù)進(jìn)行修改。然后具體數(shù)據(jù)對象的訪問，則通過前臺應(yīng)用程序控制。如此，前臺應(yīng)用程序普通員工只需要通過同一個賬戶連接到數(shù)據(jù)庫系統(tǒng)。而系統(tǒng)管理員若需要進(jìn)行系統(tǒng)維護(hù)，如數(shù)據(jù)庫系統(tǒng)備份與還原，則可以通過數(shù)據(jù)庫管理員賬戶連接到數(shù)據(jù)庫系統(tǒng)。則即方便了前臺應(yīng)用程序的配置效率，又提高了數(shù)據(jù)庫服務(wù)器的安全性?？傊覀兊哪康木褪且拗埔詳?shù)據(jù)庫管理員身份連接到數(shù)據(jù)庫的用戶數(shù)量。
(責(zé)任編輯：武林網(wǎng))