执行上下文与代码签名（Execution Context and Code Signing）

2017-11-13 508

在保密你的服务器和数据，防备当前复杂的攻击，SQL Server有你需要的一切。但在你能有效使用这些安全功能前，你需要理解你面对的威胁和一些基本的安全概念。这篇文章提供了基础，因此你可以对SQL Server里的安全功能充分利用，不用在面对特定威胁，不能保护你数据的功能上浪费时间。

SQL Server决定主体是否有需要的许可执行代码的基本方式是它的执行上下文角色。这都是复杂的可能性，主体有执行代码的许可，但没有代码访问的潜在对象的许可，例如表里的数据。这篇文章会探寻SQL Server执行上下文，所有权链接接，模拟，还有向你展示下如果通过T-SQL代码控制数据访问。

执行上下文

当用户执行一个存储过程或其它数据库代码时，SQL Server检查确保，不仅用户有运行存储过程的许可，而且有代码访问使用数据库对象的许可。没有这类许可检查，有些人会很容易创建可以读取表，使用执行代码访问不需要其它的对象代码。这会是重大的安全漏洞。

这个许可检查过程不发生的唯一例外是代码的所有者也是代码访问的所有潜在对象的所有者。在这个共同所有权下，SQL Server验证调用者在代码上有EXECUTE许可，不会继续检查许可。

例如，如果在存储过程中的嗲吗访问三个表和四个视图，SQL Server在执行代码前进行这些概念上的步骤：

在代码上验证调用者有EXECTUTE许可。如果调用者没有，返回一个错误并不再继续。
检查代码的所有者是否也有代码访问对象的许可。如果共同所有权（common ownership）存在的话，停止检查并执行代码。
如果共同所有权（common ownership）不存在的话，检查确保调用者代码访问的对象上有许可。如果调用者在一个或多个对象上没有许可，返回一个错误且不执行代码。
如果调用者有所有需要的许可，执行代码。否则，返回错误且不执行代码。

在代码调用其它带按摩或访问其它对象的地方，共同所有权继续检查，即轮流调用其它代码或访问其它对象。只要链里的所有对象有同样的所有者，许可检查就不需要。但只要链里的一个对象比要访问它的对象多出不同的所有者，在那个对象上的许可就检查了。

在这钟情形里的对象所有权被称为所有权链接接（ownership chain），因为你不需要担心代码执行的安全上下文。这也是SQL Server的早期版本有拥有所有对象的特定dbo角色的直接原因。但任何时候你有共同所有权和许可来访问一切，你就违法了最小特权许可，暴露你的数据在不需要的安全危机里。

幸运的是，在SQL Server里你可以修改代码的安全执行上下文。

提示：

这篇文章会探寻执行在存储过程上的执行上下文和代码签名，但它们同样对大多数用户自定义函数也支持。

修改执行上下文

一般你不想调用者的许可用来在破坏的所有权链接接里验证许可。有时你想代码好像完全被另一个用户执行一样，通过另一个用户的许可在访问的所有的对象上验证许可。这称为切换代码的执行上下文。这让你使用SQL Server颗粒度许可的优点，对潜在的对象保持完全的许可控制，但还是给不同用户执行代码的能力。

在SQL Server里，当你定义任何类型的用户自定义函数（行内表值函数除外），存储过程和触发器，你可以使用EXECUTE AS子句作为对象定义的一部分，表示这个代码应该在指定用户的安全上下文下运行。

EXECUTE AS有4个可用选项：

EXECUTE AS CALLER:默认用户向下兼容。代码在调用者的上下文里执行，调用者必须同时有执行代码和访问潜在对象的许可。实际的操作取决于所有权链接接上是否损坏或完好。
EXECUTE AS = ‘username’ and EXECUTE AS = ‘loginname’:代码在指定用户或登录的上下文里运行，因此指定的用户或登录必须在所有的潜在对象上有许可。在这个情况下，调用者必须满足下列之一：
- 在代码上有EXECUTE许可
- 是sysadmin或db_owner，或者在服务器或数据库上有CONTROL SERVER许可，或者对于用户有模仿（impersonate）许可。

使用用户名的EXECUTE AS只能应用于服务器范围的DDL触发器，且要登录到触发器。否则，提供的用户名必须是有效的数据库用户名称。

EXECUTE AS SELF:这是创建存储过程的当前用户的缩写。和EXECUTE = [myUserName]等效。SQL Server目录村里写代码的实际用户ID。
EXECUTE AS OWNER:这是在指定用户的安全上下文运行的另一个变体，在这个情况下，代码所有者在代码执行时间，而不是在创建时间。如果在数据库里，拥有者在代码创建后修改了，这表示代码会在和首次创建代码的不同用户的许可执行。

当你在SSMS里运行代码时，在会话的执行上下文里，有两种EXECUTE AS的变体可以作为语句使用。它们是EXECUTE AS LOGIN = ‘loginname’ 和EXECUTE AS USER = ‘username’。当用户登录到SQL Server实例时，会话开始，那个时候的执行上下文设置为登录的用户，用作许可检查。EXECUTE AS 修改会话期间执行上下文，直到用户执行了REVERT语句。

通过EXECUTE AS修改安全上下文的任何时间，代码创建者或会话用户在语句里指定的用户必须有模仿（impersonate）许可。你永远不需要模拟自己的许可，例如EXECUTE AS SELF。

使用EXECUTE AS子句

在数据库里，假设你有Vendor表。表在SchemaUserTable架构里定义，属于UserTable用户。代码6.1定义了范文这个表的存储过程。在SchemaUserProc定义的存储过程，属于UserProc用户。因为表和存储过程在属于不同用户的不同架构里定义，存在断开的所有权链接接。

1 USE ExecuteContextDB;
2 GO
3 CREATE PROC SchemaUserProc.VendorAccessProc @state CHAR(2)
4 AS 
5     SELECT * FROM SchemaUserTable.Vendor WHERE state = @state;
6 GO

代码6.1：创建在一个在一个架构里访问不同架构里的表的存储过程，这里架构有不同的拥有者。

提示：

下面的代码会创建登录、数据库、用户和这个部分使用的架构，同样也会在Vendor表里插入一些记录。先运行下列带代码再运行代码6.1。

 1 -- Create the logins and database for this demo
 2 USE master;
 3 GO
 4 
 5 IF SUSER_SID('UserProc') IS NOT NULL DROP LOGIN UserProc;
 6 IF SUSER_SID('UserTable') IS NOT NULL DROP LOGIN UserTable;
 7 IF SUSER_SID('RealUser') IS NOT NULL DROP LOGIN RealUser;
 8 GO
 9 CREATE LOGIN UserProc WITH password = 'Y&2!@37z#F!l1zB';
10 CREATE LOGIN UserTable WITH password = 'Y&2!@37z#F!l1zB';
11 CREATE LOGIN RealUser WITH password = 'Y&2!@37z#F!l1zB';
12 GO
13 
14 IF DB_ID('ExecuteContextDB') IS NOT NULL DROP DATABASE ExecuteContextDB;
15 CREATE DATABASE ExecuteContextDB;
16 GO
17 USE ExecuteContextDB;
18 GO
19 
20 -- Create the users 
21 CREATE USER UserProc;
22 CREATE USER UserTable;
23 CREATE USER RealUser;
24 GO
25 
26 -- Create the schemas 
27 CREATE SCHEMA SchemaUserProc AUTHORIZATION UserProc;
28 GO
29 CREATE SCHEMA SchemaUserTable AUTHORIZATION UserTable;
30 GO
31 
32 -- Create a table and a proc in different schemas to ensure that 
33 -- there is no ownerhship chaining.
34 CREATE TABLE SchemaUserTable.Vendor 
35     (ID INT, name VARCHAR(50), state CHAR(2), phno CHAR(12));
36 GO
37 SET NOCOUNT ON
38 GO
39 INSERT INTO SchemaUserTable.Vendor VALUES (1,'Vendor1','AK','123-345-1232');
40 INSERT INTO SchemaUserTable.Vendor VALUES (2,'Vendor2','WA','454-765-3233');
41 INSERT INTO SchemaUserTable.Vendor VALUES (3,'Vendor3','OR','345-776-3433');
42 INSERT INTO SchemaUserTable.Vendor VALUES (4,'Vendor4','AK','232-454-5654');
43 INSERT INTO SchemaUserTable.Vendor VALUES (5,'Vendor5','OR','454-545-5654');
44 INSERT INTO SchemaUserTable.Vendor VALUES (6,'Vendor6','HI','232-655-1232');
45 INSERT INTO SchemaUserTable.Vendor VALUES (7,'Vendor7','HI','453-454-1232');
46 INSERT INTO SchemaUserTable.Vendor VALUES (8,'Vendor8','WA','555-654-1232');
47 INSERT INTO SchemaUserTable.Vendor VALUES (9,'Vendor9','AK','555-345-1232');
48 GO

代码6.2在存储过程上授予EXECUTE许可给真正的用户，RealUser，它会运行代码。

1 -- Grant permissions on the stored procedure
2 GRANT EXECUTE ON SchemaUserProc.VendorAccessProc TO RealUser;
3 GO

代码6.2：在新的存储过程上授予EXECUTE许可。

在SSMS里，你可以运行EXECUTE AS作为临时修改安全上下文的在查询窗体里运行的代码语句。使用代码6.3修改安全上下文为RealUser来运行存储过程获得在位于阿拉斯加的供应商列表。

1 EXECUTE AS user = 'RealUser';
2 EXEC SchemaUserProc.VendorAccessProc 'AK';

代码6.3：修改执行上下文，以RealUser运行存储过程。

执行这个代码引起了下列错误：

在对象Vendor上，SELECT许可被拒绝，数据库 'ExecuteContextDB'，架构 'SchemaUserTable'。

问题是所有权链接接断开了——存储过程的所有者和表的所有者不同——RealUser在Vendor表上没有SELECT许可。这里有SQL Server如何从概念上分析情况：

调用者是RealUser，它有EXECUTE许可。通过！
存储过程的所有者是UserProc。表的所有者是UserTable。这表示有断开的所有权链接接，因此检查调用者RealUser，在代码里有进行操作的许可。
RealUser在Vendor表上没有SELECT许可，抛出错误。失败！

你可以在存储过程定义里使用EXECUTE AS子句来修正问题，假设你是存储过程的创建者，在这个情况里想允许RealUser运行代码。首先，使用代码6.1显示的REVERT语句来撤销安全上下文的RealUser切换，返回你自己的安全上下文：

1 REVERT;

代码6.4:恢复用户运行SSMS的原始安全上下文

接下来，修改存储过程来包含EXECUTE AS子句使用UserTable的安全上下文来运行存储过程，它在表上拥有SELECT许可，如代码6.5所示。

1 ALTER PROC SchemaUserProc.VendorAccessProc @state CHAR(2)
2 WITH EXECUTE AS 'UserTable'
3 AS 
4     SELECT * FROM SchemaUserTable.Vendor WHERE state = @state;
5 GO

代码6.5：修改存储过程，在运行时间使用EXECUTE AS修改运行上下文

提示：

在这个例子里，UserTable通过成员资格拥有在Vendor表上的SELECT许可。但成员资格没有必要用来执行上下文切换工作。例如，可以通过表拥有者授予用户EXECUTE AS user许可。

然后修改安全上下文为UserTable，再次尝试运行存储过程，使用代码6.6。

1 EXECUTE AS user = 'RealUser';
2 EXEC SchemaUserProc.VendorAccessProc 'AK';
3 REVERT;

代码6.6：测试修改后的存储过程来看看RealUser现在能否执行代码。

这次调用成功，因为当SQL Server在所有权链接接检查许可时——还是断开的——它发现UserTable有需要的SELECT许可。结果如插图6.1所示。

插图6.1：在不同的用户安全上下文下运行存储过程的结果

代码签名

使用EXECUTE AS子句修改T-SQL代码段的安全上下文只是解决断开所有权链接接问题的一种方法。另一个方法是使用证书或非对称匙的签名代码。这个技术授予代码本身许可，不需要你修改运行上下文或取决于调用者的许可。而且通过证书的使用或非对称匙的严格控制，你还是可以控制哪个主体能利用运行代码的许可。

这个方式的方法是你创建一个安全，加密的证书或非对称匙，然后创建与证书或匙关联的用户。这是特别的用户类型，不关联登录。你分配需要的许可来运行到用户的存储过程，然后使用ADD SIGNATURE语句分配证书或匙到存储过程。存储过程使用证书或匙关联的用户许可。

即使存储过程使用EXECUTE AS语句修改执行上下文，你还是可以使用这个技术。代码签名的常见情形是，修改执行上下文到代码需要执行的最多许可的运行上下文，然后使用代码签名添加一个或多个额外许可。

和往常一样，需要通过实例来演示下这个技术。代码6.7创建再次从ExecuteContextDB数据库的Vendor表获取数据。UnsignedProc存储过程没有签名，因此当RealUser运行它的时候会失败。SignedProc存储过程会签名，对于RealUser用户会正常运行。

 1 CREATE PROC SchemaUserProc.UnsignedProc @state CHAR(2)
 2 AS
 3     SELECT * FROM SchemaUserTable.Vendor WHERE state = @state;
 4 GO
 5 CREATE PROC SchemaUserProc.SignedProc @state CHAR(2)
 6 AS
 7     SELECT * FROM SchemaUserTable.Vendor WHERE state = @state;
 8 GO
 9 
10 GRANT EXECUTE ON SchemaUserProc.UnsignedProc TO RealUser;
11 GRANT EXECUTE ON SchemaUserProc.SignedProc TO RealUser;
12 GO

代码6.7：创建唯一的存储过程并对RealUser在它们上面授予EXECUTE许可

但这次，我们不是通过修改运行上下文授予SELECT许可，我们会创建一个证书，如代码6.8所示。代码然后创建从证书创建一个用户，对用户在Vendor表上授予SELECT许可。最后，代码使用ADD SIGNATURE语句添加证书到SignedProc存储过程。注意只有SignedProc拿到签名；UnsignedProc还是没签名。

 1 CREATE CERTIFICATE MyCertificate
 2     ENCRYPTION BY PASSWORD = 'SZ6T4O^ff&1Kr3s?m\*'
 3     WITH SUBJECT = 'Certificate to sign SignedProc';
 4 GO
 5 
 6 CREATE USER MyCertificateUser 
 7     FROM CERTIFICATE MyCertificate;
 8 
 9 GRANT SELECT ON SchemaUserTable.Vendor TO MyCertificateUser;
10 GO
11 
12 ADD SIGNATURE TO SchemaUserProc.SignedProc BY CERTIFICATE MyCertificate
13     WITH PASSWORD = 'SZ6T4O^ff&1Kr3s?m\*';
14 GO

代码6.8：实现证书和分配许可到代码的代码

最后，到测试签名架构代码的时候了，如代码6.9所示。结果如插图6.2所示，UnsignedProc有断开的所有权链接接，RealUser在Vendor表上没有SELECT许可，因此执行失败。SignedProc通过使用代码签名授予SELECT许可，成功执行返回三条阿拉斯加的数据。

1 EXECUTE AS USER = 'RealUser';
2 
3 -- Can't run UnsignedProc
4 EXEC SchemaUserProc.UnsignedProc 'AK';
5 -- Can run SignedProc
6 EXEC SchemaUserProc.SignedProc 'AK';
7 
8 REVERT;

代码6.9：测试使用证书签名的代码

插图6.2：测试在UnsignedProc和SignedProc存储过程代码签名的结果

配置这个有点复杂，但安全上受益非常值得。使用正确的话，这个技术剔除了用户在潜在对象上需要的SELECT许可和存储过程上的EXECUTE许可。很可能这不是你在存储过程或用户自定义函数里广泛使用的，但当处理断开的所有权链接接且没有方便的拥有需要许可的主体时，它漂亮的解决了一些安全问题。

小结

在SQL Server里创建存储过程和用户自定义函数的最简单方法是用完整的所有权链接接来是实现它们，代码的所有者也拥有代码访问的所有数据库对象。但通常这并不可行，当在SQL Server实例里对象的成员资格在多个主体间分发的时候。这篇文件介绍了你可以处理断开的所有权链接接的两个技术，通过修改执行上下文和使用代码签名分配许可。这些技术是免费赠送的，因此你可以对单个存储过程或函数一起使用它们。那样的话，你可以处理你面对的任何许可架构，来保持你的数据库及它的数据库尽可能的安全。

本文转自Woodytu博客园博客，原文链接：http://www.cnblogs.com/woodytu/p/5317096.html，如需转载请自行联系原作者

微信关注我们

原文链接：https://yq.aliyun.com/articles/394083

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

普元王轩：做好大数据治理，加速航空业数字化转型

9月20日，2017全球航空旅客大会在上海启幕。来自国内外政府机构、行业协会、国内外领先航空公司、机场集团等领导齐聚一堂，探讨面对全球化和数字化带来的全新挑战，在“一带一路”的时代背景下如何提高服务质量，革新航空旅客体验。普元大数据产品线总经理王轩出席会议，并发表演讲《做好大数据治理加速航空业数字化转型》，强调航空业数字化转型，需要以大数据为驱动，做好面向业务的自服务大数据治理，上衔数据，下接用户，才能保证航空大数据的有效利用。数字化时代席卷而来，航空业转型关键点浮出随着经济的发展，飞行已经日益成为一种主流的出行方式，“一带一路”倡议的推进与实施、经济一体化都在不断推动航空服务产业的发展。根据国际航空运输协会（IATA）的预测，中国将在2023年超越美国成为全球最大的民航运输市场。在获得发展机遇的同时，航空业还面临数字化转型关键年，行业内所有公司需要应对消费升级和消费习惯均已被数字化、智能化改变的巨大挑战。本届全球航空旅客大会直面行业变革，以“新模式，新服务，新体验”为主题，对航空大数据、人工智能等热点议题展开了深入讨论。 “数字化旅客”的一站式出行体验诉求，激发航空企业必须合理...

2017-11-14

580

如何组建理想SOA团队

趋向采用 SOA 软件开发领域的主要发展趋势是从传统软件体系结构过渡到面向服务的体系结构 (SOA)。在传统软件体系结构中，将项目视为单个新应用程序的交付。在SOA中，将项目视为集成服务的交付——一些是新建的，一些是现有的。无论其规模和预算如何，几乎所有信息技术(Information Technology，IT)部门当前都在进行过渡到SOA的工作。您可能已经读过多篇关于SOA采用、成熟度模型和实现的文章了。本文将描述在组织采用SOA或过渡到更高的SOA成熟度水平的过程中，您的IT团队成员中所需的一组新角色及其各自的职责。在形成SOA团队时，最大的范式转换是从组合应用程序交付过渡到服务交付。传统软件开发人员通常构建应用程序中的一个模块，或典型的三层体系结构中的单个层的一部分。开发人员的一个例子就是在模型-视图-控制器(Model-View-Controller，MVC)体系结构中负责控制器或模型层的人员。在SOA环境中，这些开发人员现在负责服务实现。他们并不需要知道何时、如何或为什么调用服务以及谁调用服务。他们所关心的就是，服务进行什么工作以及需要符合什么样的服务水平协议(Servi...

2017-11-14

566

发表评论

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。