Autorizzazioni (Motore di database)

Si applica a:SQL ServerDatabase SQL di AzureIstanza gestita di SQL di AzureAzure Synapse AnalyticsPiattaforma di analisi (PDW)Endpoint di analisi SQL in Microsoft FabricMagazzino in Microsoft FabricDatabase SQL in Microsoft Fabric

A ogni entità a protezione diretta di SQL Server sono associate autorizzazioni che possono essere concesse a un'entità di sicurezza. Le autorizzazioni nel motore di database vengono gestite a livello di server, assegnate agli account di accesso e ai ruoli del server, e a livello di database assegnate agli utenti e ai ruoli del database. Il modello per il Database SQL di Azure ha lo stesso sistema di autorizzazioni del database, ma le autorizzazioni a livello di server non sono disponibili. Questo articolo contiene l'elenco completo delle autorizzazioni. Per un'implementazione tipica delle autorizzazioni, vedere Introduzione alle autorizzazioni del motore di database.

Il numero totale di autorizzazioni per SQL Server 2022 (16.x) è 292. Il Database SQL di Azure espone 292 autorizzazioni. La maggior parte delle autorizzazioni si applica a tutte le piattaforme, mentre alcune non si applicano a tutte le piattaforme. Ad esempio, la maggior parte delle autorizzazioni a livello di server non possono essere concesse nel Database SQL di Azure e alcune autorizzazioni hanno senso solo nel Database SQL di Azure. Con i nuovi rilasci verranno introdotte gradualmente nuove autorizzazioni. SQL Server 2019 (15.x) espone 248 autorizzazioni. SQL Server 2017 (14.x) ha esposto 238 autorizzazioni. SQL Server 2016 (13.x) ha esposto 230 autorizzazioni. SQL Server 2014 (12.x) ha esposto 219 autorizzazioni. SQL Server 2012 (11.x) ha esposto 214 autorizzazioni. SQL Server 2008 R2 (10.50.x) ha esposto 195 autorizzazioni. L'articolo sys.fn_builtin_permissions specifica le nuove autorizzazioni nelle versioni recenti.

Nel database SQL in Microsoft Fabric sono supportati solo utenti e ruoli a livello di database. Gli account di accesso a livello di server, i ruoli e l'account sa non sono disponibili. Nel database SQL in Microsoft Fabric, l'ID Microsoft Entra per gli utenti del database è l'unico metodo di autenticazione supportato. Per altre informazioni, vedere Autorizzazione nel database SQL in Microsoft Fabric.

Dopo aver compreso le autorizzazioni necessarie, è possibile applicare le autorizzazioni a livello di server agli account di accesso o ai ruoli del server e le autorizzazioni a livello di database per gli utenti o i ruoli del database usando le GRANTistruzioni , REVOKEe DENY . Per esempio:

GRANT SELECT ON SCHEMA::HumanResources TO role_HumanResourcesDept;
REVOKE SELECT ON SCHEMA::HumanResources TO role_HumanResourcesDept;

Per suggerimenti sulla pianificazione di un sistema di autorizzazioni, vedere Introduzione alle autorizzazioni del motore di database.

Convenzioni di denominazione delle autorizzazioni

Di seguito vengono descritte le convenzioni generali adottate per la denominazione delle autorizzazioni:

• CONTROL

  Conferisce al beneficiario capacità da proprietario. In pratica il beneficiario dispone di tutte le autorizzazioni definite sull'entità a protezione diretta. Un'entità a cui è stata conferita un'autorizzazione CONTROL può a sua volta concedere autorizzazioni sull'entità a protezione diretta. Poiché il modello di sicurezza di SQL Server è di tipo gerarchico, CONTROL in un particolare ambito include implicitamente CONTROL su tutte le entità a protezione diretta in tale ambito. Un'autorizzazione CONTROL su un database, ad esempio, implica tutte le autorizzazioni sul database, su tutti gli assembly del database, su tutti gli schemi del database e sugli oggetti contenuti in tutti gli schemi del database.

• ALTER

  Conferisce la capacità di modificare le proprietà, eccetto il diritto di proprietà, di una particolare entità a protezione diretta. Quando viene concessa in un ambito, l'autorizzazione ALTER concede la capacità di modificare, creare o eliminare una qualsiasi entità a protezione diretta contenuta in tale ambito. Un'autorizzazione ALTER in uno schema, ad esempio, include la capacità di creare, modificare ed eliminare oggetti contenuti nello schema.

• ALTER ANY <Server Securable>, dove Server Securable può essere qualunque server a protezione diretta.

  Conferisce la capacità di creare, modificare o eliminare singole istanze dell' Entità a protezione diretta del server. Ad esempio, ALTER ANY LOGIN conferisce la possibilità di creare, modificare o eliminare qualsiasi account di accesso nell'istanza di .

• ALTER ANY <Database Securable>, dove Database Securable può essere qualunque entità a protezione diretta a livello di database.

  Conferisce la capacità di creare, modificare o eliminare singole istanze dell' Entità a protezione diretta del database. Ad esempio, ALTER ANY SCHEMA conferisce la possibilità di creare, modificare o eliminare qualsiasi schema nel database.

• PRENDITI LA PROPRIETÀ

  Consente al beneficiario di acquisire la proprietà dell'oggetto di protezione su cui è stata concessa.

• IMPERSONATE <Account di accesso>

  Consente al beneficiario di rappresentare l'account di accesso.

• IMPERSONATE <Utente>

  Consente al beneficiario di rappresentare l'utente.

• CREATE <Entità a protezione diretta del server>

  Conferisce al beneficiario la capacità di creare l' Entità a protezione diretta del server.

• CREATE <Entità a protezione diretta del database>

  Conferisce al beneficiario la capacità di creare l' Entità a protezione diretta del database.

• CREATE <Entità a protezione diretta contenuta in uno schema>

  Conferisce la capacità di creare un'entità a protezione diretta contenuta in uno schema. Per creare un'entità a protezione diretta in un particolare schema, è però necessario avere un'autorizzazione ALTER sullo schema.

• VIEW DEFINIZIONE

  Consente al beneficiario di accedere a metadati.

• REFERENCES

  L'autorizzazione REFERENCES su una tabella è necessaria per creare un vincolo FOREIGN KEY che faccia riferimento alla tabella stessa.

  L'autorizzazione REFERENCES è necessaria per un oggetto per creare un FUNCTION oggetto o VIEW con la WITH SCHEMABINDING clausola che fa riferimento a tale oggetto.

Grafico delle autorizzazioni di SQL Server

La figura seguente illustra le autorizzazioni e le relative relazioni tra loro. Alcune delle autorizzazioni di livello superiore (ad esempio CONTROL SERVER) sono elencate più volte. In questo articolo l'anteprima è molto piccola e non può essere consultata. È possibile scaricare il Poster relativo alle autorizzazioni del motore di database a dimensione intera in formato PDF.

Autorizzazioni applicabili a particolari entità a protezione diretta

Nella tabella seguente vengono elencate le classi principali di autorizzazione e i tipi di entità a protezione diretta a cui possono essere applicati.

Autorizzazioni di SQL Server

La tabella seguente contiene un elenco completo delle autorizzazioni di SQL Server. Le autorizzazioni del Database SQL di Azure sono disponibili solo per le entità a protezione diretta di base che sono supportate. Non è possibile concedere autorizzazioni a livello di server nel Database SQL di Azure, ma in alcuni casi sono disponibili autorizzazioni di database.

Nuove autorizzazioni granulari aggiunte a SQL Server 2022

A SQL Server 2022 sono aggiunte le autorizzazioni seguenti:

• Sono state aggiunte 10 nuove autorizzazioni per consentire l'accesso ai metadati di sistema.

• Sono state aggiunte 18 nuove autorizzazioni per gli eventi estesi.

• Sono state aggiunte 9 nuove autorizzazioni in relazione agli oggetti correlati alla sicurezza.

• Sono state aggiunte 4 autorizzazioni per Ledger.

• 3 autorizzazioni aggiuntive per il database.

Per altre informazioni, vedere Nuove autorizzazioni granulari per SQL Server 2022 e Azure SQL per migliorare l'aderenza a PoLP.

Autorizzazioni per l’accesso ai metadati di sistema

Livello server:

• VIEW QUALSIASI DEFINIZIONE DI SICUREZZA
• VIEW QUALSIASI DEFINIZIONE DI PRESTAZIONI
• VIEW STATO DI SICUREZZA DEL SERVER
• VIEW STATO PRESTAZIONI SERVER
• VIEW QUALSIASI DEFINIZIONE PROTETTA DAL PUNTO DI VISTA CRITTOGRAFICO

Livello di database:

• VIEW DATABASE STATO DI SICUREZZA
• VIEW DATABASE STATO PRESTAZIONI
• VIEW DEFINIZIONE DI SICUREZZA
• VIEW DEFINIZIONE DELLE PRESTAZIONI
• VIEW DEFINIZIONE PROTETTA IN MODO CRITTOGRAFICO

Autorizzazioni di eventi estesi

Livello server:

• CREATE ANY EVENT SESSION
• DROP ANY EVENT SESSION
• ALTER ANY EVENT SESSION OPTION
• ALTER ANY EVENT SESSION ADD EVENT
• ALTER ANY EVENT SESSION DROP EVENT
• ALTER ANY EVENT SESSION ENABLE
• ALTER ANY EVENT SESSION DISABLE
• ALTER ANY EVENT SESSION ADD TARGET
• ALTER ANY EVENT SESSION DROP TARGET

Tutte queste autorizzazioni si trovano nella stessa autorizzazione padre: ALTER ANY EVENT SESSION

Livello di database:

• CREATE ANY DATABASEEVENT SESSION
• DROP ANY DATABASEEVENT SESSION
• ALTER ANY DATABASEEVENT SESSION OPTION
• ALTER ANY DATABASEEVENT SESSION ADD EVENT
• ALTER ANY DATABASEEVENT SESSION DROP EVENT
• ALTER ANY DATABASEEVENT SESSION ENABLE
• ALTER ANY DATABASEEVENT SESSION DISABLE
• ALTER ANY DATABASEEVENT SESSION ADD TARGET
• ALTER ANY DATABASEEVENT SESSION DROP TARGET

Tutte queste autorizzazioni si trovano nella stessa autorizzazione padre: ALTER ANY DATABASEEVENT SESSION

Autorizzazioni di oggetti correlati alla sicurezza

• CONTROL (CREDENTIAL)
• CREATE LOGIN
• CREATE USER
• RIFERIMENTI (CREDENTIAL)
• UNMASK (OBJECT)
• UNMASK (SCHEMA)
• VIEW QUALSIASI LOG DEGLI ERRORI
• VIEW CONTROLLO SICUREZZA SERVER
• VIEW DATABASE CONTROLLO DI SICUREZZA

Permessi del ledger

• ALTER LEDGER
• MODIFICA CONFIGURAZIONE LIBRO MASTRO
• ENABLE LEDGER
• VIEW CONTENUTO LIBRO MASTRO

Altre autorizzazioni del database

• MODIFICARE QUALSIASI LAVORO ESTERNO
• ALTERARE QUALSIASI FLUSSO ESTERNO
• EXECUTE ANY EXTERNAL ENDPOINT

Riepilogo dell'algoritmo di controllo delle autorizzazioni

Il controllo delle autorizzazioni può essere complesso. L'algoritmo di controllo delle autorizzazioni include le appartenenze a gruppi sovrapposti e il concatenamento di proprietà, nonché autorizzazioni esplicite e implicite. È inoltre possibile che le autorizzazioni per le classi di entità a protezione diretta contenenti l'entità a protezione diretta abbiano impatto su tale algoritmo. Il processo generale dell'algoritmo consiste nel raccogliere tutte le autorizzazioni rilevanti. Se non viene trovato alcun blocco DENY , l'algoritmo cerca un GRANT oggetto che fornisce un accesso sufficiente. L'algoritmo contiene tre elementi fondamentali, ovvero il contesto di sicurezza, lo spazio di autorizzazionee l' autorizzazione necessaria.

• Contesto di sicurezza

  Gruppo di entità che fornisce le autorizzazioni per il controllo dell'accesso. Si tratta di autorizzazioni correlate all'account di accesso o all'utente corrente, a meno che il contesto di sicurezza non sia stato modificato in un altro account di accesso o utente usando l'istruzione EXECUTE AS . Il contesto di sicurezza include le seguenti entità:

  • Account di accesso

  • L'utente

  • Appartenenze ai ruoli

  • Appartenenze a gruppi di Windows

  • Se si usano la firma del modulo, qualsiasi account utente o di accesso tiene conto del certificato usato per firmare il modulo attualmente eseguito dall'utente e delle appartenenze a ruoli associate di tale entità.

• Spazio autorizzazioni

  L'entità a protezione diretta e qualsiasi classe di entità a protezione diretta in cui è contenuta. Ad esempio, una tabella (entità a protezione diretta) è contenuta nella classe di entità a protezione diretta dello schema e nella classe di entità a protezione diretta del database. Sull'accesso possono influire le autorizzazioni a livello di tabella, schema, database e server. Per altre informazioni, vedere Gerarchia delle autorizzazioni (motore di database).

• Autorizzazione richiesta

  Il tipo di autorizzazione richiesto. Ad esempio, INSERT, UPDATE, DELETE, SELECT, EXECUTE, ALTER, CONTROL e così via.

  L'accesso può richiedere più autorizzazioni, come negli esempi seguenti:

  • Una stored procedure può richiedere sia l'autorizzazione EXECUTE per la stored procedure che INSERT l'autorizzazione per diverse tabelle a cui fa riferimento la stored procedure.

  • Una visualizzazione a gestione dinamica può richiedere sia l'autorizzazione SERVER STATE che VIEW SELECT per la visualizzazione.

Passaggi generali dell'algoritmo

I passaggi precisi usati dall'algoritmo per determinare se consentire l'accesso a un'entità a protezione diretta possono variare in base alle entità e alle entità a protezione diretta coinvolte. L'algoritmo, tuttavia, effettua i passaggi generali indicati di seguito:

1. Ignora il controllo delle autorizzazioni se l'account di accesso è un membro del ruolo predefinito del server sysadmin o se l'utente è l'utente dbo nel database corrente.

2. Consente l'accesso se il concatenamento della proprietà è applicabile e il controllo dell'accesso sul primo oggetto nella catena ha superato il controllo della sicurezza.

3. Aggrega le identità del modulo firmato a livello di database e a livello di server associate al chiamante per creare il contesto di scurezza.

4. Per il contesto di sicurezzaraccoglie tutte le autorizzazioni concesse o negate per lo spazio di autorizzazione. L'autorizzazione può essere dichiarata in modo esplicito come , WITH o DENYoppure le autorizzazioni possono essere un'autorizzazione GRANT implicita o di copertura o DENY.GRANTGRANTGRANT L'autorizzazione CONTROL per uno schema implica ad esempio l'autorizzazione CONTROL per una tabella, così come l'autorizzazione CONTROL per una tabella implica l'autorizzazione SELECT. Se è stata pertanto concessa l'autorizzazione CONTROL per lo schema, viene concessa anche l'autorizzazione SELECT per la tabella. Se l'autorizzazione CONTROL è stata negata per la tabella, viene negata anche l'autorizzazione SELECT per la tabella.

   Note

   Un GRANT oggetto di un'autorizzazione a livello di colonna esegue l'override di un DENY oggetto a livello di oggetto. Per altre informazioni, vedere DENY Autorizzazioni per gli oggetti.

5. Identifica l' autorizzazione necessaria.

6. Restituisce un esito negativo per il controllo delle autorizzazioni se l' autorizzazione necessaria è negata in modo diretto o implicito per un'identità nel contesto di sicurezza degli oggetti nello spazio di autorizzazione.

7. Passare il controllo dell'autorizzazione se l'autorizzazione richiesta non è stata negata e l'autorizzazione richiesta contiene un'autorizzazione GRANT WITH GRANT direttamente GRANT o implicitamente a una delle identità nel contesto di sicurezza per qualsiasi oggetto nello spazio di autorizzazione.

Considerazioni speciali per le autorizzazioni a livello di colonna

Le autorizzazioni a livello di colonna vengono concesse con la sintassi <table_name>(<column_name>). Per esempio:

GRANT SELECT ON OBJECT::Customer(CustomerName) TO UserJoe;

Un DENY oggetto nella tabella viene sottoposto a override da un oggetto GRANT in una colonna. Tuttavia, un successivo DENY nella tabella rimuoverà la colonna GRANT.

Examples

Negli esempi inclusi in questa sezione viene illustrato come recuperare le informazioni sulle autorizzazioni.

A. Restituzione dell'elenco completo delle autorizzazioni concedibili

L'istruzione seguente restituisce tutte le autorizzazioni del motore di database tramite la funzione fn_builtin_permissions. Per altre informazioni, vedere sys.fn_builtin_permissions.

SELECT * FROM fn_builtin_permissions(default);
GO

B. Restituzione delle autorizzazioni per una particolare classe di oggetti

Nell'esempio seguente viene usata la funzione fn_builtin_permissions per visualizzare tutte le autorizzazioni disponibili per una categoria di entità a protezione diretta. Nell'esempio vengono restituite le autorizzazioni per gli assembly.

SELECT * FROM fn_builtin_permissions('assembly');
GO

C. Restituzione delle autorizzazioni concesse all'entità di sicurezza in esecuzione su un oggetto

Nell'esempio seguente viene usata la funzione fn_my_permissions per restituire un elenco delle autorizzazioni valide assegnate all'entità chiamante per un'entità a protezione diretta specificata. Nell'esempio vengono restituite le autorizzazioni per un oggetto denominato Orders55. Per altre informazioni, vedere sys.fn_my_permissions.

SELECT * FROM fn_my_permissions('Orders55', 'object');
GO

D. Restituzione delle autorizzazioni applicabili a un oggetto specificato

Nell'esempio seguente vengono restituite le autorizzazioni applicabili a un oggetto denominato Yttrium. La funzione predefinita OBJECT_ID viene usata per recuperare l'ID dell'oggetto Yttrium.

SELECT * FROM sys.database_permissions
    WHERE major_id = OBJECT_ID('Yttrium');
GO

Contenuti correlati

• Gerarchia delle autorizzazioni (motore di database)
• sys.database_permissions (Transact-SQL)