Подключиться
Yandex Managed Service for SQL Server™

Назначение привилегий и ролей пользователям

Статья создана

Атомарные полномочия в SQL Server называются привилегиями, группы полномочий — ролями. Managed Service for SQL Server поддерживает предопределенные роли. Подробнее об организации прав доступа читайте в документации SQL Server.

Пользователь, создаваемый вместе с кластером Managed Service for SQL Server, автоматически получает роль владельца (DB_OWNER) первой базы данных в кластере. После этого вы можете создавать других пользователей и настраивать их права по своему усмотрению:

Изменить список ролей пользователя

Для назначения роли пользователю используйте консоль управления или API Yandex.Cloud: назначение роли запросом GRANT отменится при следующей операции с базой.

Чтобы изменить список ролей пользователя:

  1. Перейдите на страницу каталога и выберите сервис Managed Service for SQL Server.
  2. Нажмите на имя нужного кластера и выберите вкладку Пользователи.
  3. Нажмите значок и выберите пункт Настроить.
  4. При необходимости добавьте пользователю нужные базы данных:
    1. Нажмите кнопку Добавить базу данных.
    2. Выберите базу данных из выпадающего списка.
    3. Повторите два предыдущих шага, пока не будут выбраны все требуемые базы данных.
    4. Чтобы отозвать доступ к определенной базе, удалите ее из перечня, нажав значок справа от имени базы данных.
  5. Задайте нужные роли пользователя для каждой из баз данных пользователя:
    1. Нажмите значок в столбце Роли.
    2. Выберите роль, которую вы хотите добавить пользователю из выпадающего списка.
    3. Повторите два предыдущих шага, пока не будут добавлены все требуемые роли.
  6. Чтобы отозвать роль, нажмите значок справа от ее имени.
  7. Нажмите кнопку Сохранить.

  1. Откройте актуальный конфигурационный файл Terraform с планом инфраструктуры.

    О том, как создать такой файл, см. в разделе Создание кластера SQL Server.

  2. Найдите в описании кластера Managed Service for SQL Server блок user для нужного пользователя.

  3. Измените значение поля roles в блоках permission для нужных баз данных.

    resource "yandex_mdb_sqlserver_cluster" "<имя кластера>" {
  ...
  user {
    ...
    permission {
      database_name = "<имя базы>"
      roles         = ["<список ролей пользователя>"]
    }
    ...
  }
}

    Список предопределенных ролей пользователя см. ниже. В конфигурационном файле с планом инфраструктуры их следует указывать без префикса, например, OWNER, DDLADMIN, DATAREADER.

  4. Проверьте корректность настроек.

    1. В командной строке перейдите в каталог, в котором вы создали конфигурационный файл.

    2. Выполните проверку с помощью команды:

      terraform plan

    Если конфигурация описана верно, в терминале отобразится список изменяемых ресурсов и их параметров. Если в конфигурации есть ошибки, Terraform на них укажет. Это проверочный этап: ресурсы не будут изменены.

  5. Подтвердите изменение ресурсов.

    1. Если в конфигурации нет ошибок, выполните команду:

      terraform apply

    2. Подтвердите изменение ресурсов.

Подробнее см. в документации провайдера Terraform.

Воспользуйтесь методом API update и передайте в запросе:

Важно

Этот метод API сбросит все настройки пользователя, которые не были явно переданы в запросе, на значения по умолчанию. Чтобы избежать этого, обязательно передайте название поля подлежащего изменению (в данном случае — permissions) в параметре updateMask.

Выдать привилегию пользователю

  1. Подключитесь к базе данных с помощью учетной записи владельца базы данных.
  2. Выполните команду GRANT. Подробное описание синтаксиса команды смотрите в документации SQL Server.

Отозвать привилегию у пользователя

  1. Подключитесь к базе данных с помощью учетной записи владельца базы данных.
  2. Выполните команду REVOKE. Подробное описание синтаксиса команды смотрите в документации SQL Server.

Примеры

Добавить пользователя с правами только на чтение

Чтобы добавить в существующий кластер нового пользователя user2 с доступом только на чтение к базе данных db1:

  1. Создайте пользователя с именем user2. При этом выберите базы данных, к которым должен иметь доступ пользователь.

  2. Подключитесь к базе данных db1 с помощью учетной записи владельца БД.

  3. Чтобы выдать права доступа только к таблице Products в схеме по умолчанию dbo, выполните команду:

    GRANT SELECT ON dbo.Products TO user2;
GO

  4. Чтобы выдать права доступа ко всем таблицам схемы myschema, выполните команду:

    GRANT SELECT, INSERT, UPDATE, DELETE ON SCHEMA::myschema TO user2;
GO

Для отзыва выданных привилегий выполните команды:

REVOKE SELECT ON dbo.Products FROM user2;
REVOKE SELECT, INSERT, UPDATE, DELETE ON SCHEMA::myschema FROM user2;
GO

Чтобы добавить в существующий кластер нового пользователя user2 с доступом только на чтение к базе данных db1:

  1. Откройте актуальный конфигурационный файл Terraform с планом инфраструктуры.

    О том, как создать такой файл, см. в разделе Создание кластера SQL Server.

  2. Добавьте к описанию кластера блок user:

    resource "yandex_mdb_sqlserver_cluster" "<имя кластера>" {

  user {
    name     = "user2"
    password = "<пароль>"

    permission {
      database_name = "db1"
      roles         = ["DATAREADER"]
    }
  }
}

  3. Проверьте корректность настроек.

    1. В командной строке перейдите в каталог, в котором вы создали конфигурационный файл.

    2. Выполните проверку с помощью команды:

      terraform plan

    Если конфигурация описана верно, в терминале отобразится список изменяемых ресурсов и их параметров. Если в конфигурации есть ошибки, Terraform на них укажет. Это проверочный этап: ресурсы не будут изменены.

  4. Подтвердите изменение ресурсов.

    1. Если в конфигурации нет ошибок, выполните команду:

      terraform apply

    2. Подтвердите изменение ресурсов.

Подробнее см. в документации провайдера Terraform.

Описание предопределенных ролей

  • DB_OWNER — владелец базы данных. Пользователи, обладающие этой ролью, могут выполнять все действия по настройке и обслуживанию базы данных, удалять базу данных в SQL Server.
  • DB_SECURITYADMIN — администратор безопасности. Пользователи, обладающие этой ролью, могут управлять привилегиями. Имеют возможность повышать собственные права доступа, поэтому необходимо отслеживать их действия.
  • DB_ACCESSADMIN — администратор доступов. Пользователи, обладающие этой ролью, могут выдавать или отзывать права удаленного доступа к базе данных для пользователей и групп Windows и пользователей SQL Server.
  • DB_BACKUPOPERATOR — оператор резервных копий. Пользователи, обладающие этой ролью, могут создавать резервные копии базы данных.
  • DB_DDLADMIN — администратор DDL. Пользователи, обладающие этой ролью, могут выполнять любые команды языка описания данных (DDL).
  • DB_DATAWRITER — пользователь с правом на запись. Пользователи, обладающие этой ролью, могут добавлять, удалять или изменять данные во всех пользовательских таблицах.
  • DB_DATAREADER — пользователь с правом на чтение. Пользователи, обладающие этой ролью, могут считывать все данные из всех пользовательских таблиц.
  • DB_DENYDATAWRITER — пользователь без права на запись. Пользователи, обладающие этой ролью, не могут добавлять, изменять или удалять данные в пользовательских таблицах базы данных.
  • DB_DENYDATAREADER — пользователь без права на чтение. Пользователи, обладающие этой ролью, не могут считывать данные из пользовательских таблиц базы данных.
В этой статье: