Erteilen von Berechtigungen für ein Datenquellenobjekt (Analysis Services)

Artikel
11/10/2015

Im Normalfall benötigen die meisten Benutzer von Analysis Services keinen Zugriff auf die Datenquellen, die einem Analysis Services-Projekt zugrunde liegen. Sie fragen die Daten in der Regel nur in Analysis Services ab. Allerdings muss ein Benutzer im Zusammenhang mit dem Data Mining, z. B. beim Ausführen von Vorhersagen auf der Basis eines Miningmodells, die aus einem Miningmodell abgeleiteten Daten mit den vom Benutzer bereitgestellten Daten verknüpfen. Um eine Verbindung mit der Datenquelle, in der sich die vom Benutzer bereitgestellten Daten befinden, herstellen zu können, verwendet der Benutzer eine DMX-Abfrage (Data Mining Extensions), die sowohl die OPENQUERY (DMX)-Klausel als auch die OPENROWSET (DMX)-Klausel enthält.

Zum Ausführen einer DMX-Abfrage, die eine Verbindung mit einer Datenquelle herstellt, muss der Benutzer Zugriff auf das Datenquellenobjekt innerhalb der Analysis Services-Datenbank haben. Standardmäßig haben nur Serveradministratoren oder Datenbankadministratoren Zugriff auf Datenquellenobjekte. Dies bedeutet, dass ein Benutzer nur dann auf ein Datenquellenobjekt zugreifen kann, wenn er von einem Administrator die entsprechende Berechtigung erhalten hat.

Wichtig
Aus Sicherheitsgründen ist das Übermitteln von DMX-Abfragen mithilfe einer offenen Verbindungszeichenfolge in der OPENROWSET-Klausel deaktiviert.

Festlegen von Leseberechtigungen für eine Datenquelle

Einer Datenbankrolle können entweder keine Zugriffsberechtigungen für ein Datenquellenobjekt oder Leseberechtigungen erteilt werden.

Stellen Sie in SQL Server Management Studio eine Verbindung mit einer Instanz von Analysis Services her, erweitern Sie im Objekt-Explorer das Rollen-Element für die entsprechende Datenbank, und klicken Sie dann auf eine Datenbankrolle (oder erstellen Sie eine neue Datenbankrolle).
Suchen Sie das Datenquellenobjekt in der Liste Datenquelle im Bereich Datenquellenzugriff, und wählen Sie anschließend in der Liste Zugriff für diese Datenquelle die Option Lesen. Wenn diese Option nicht zur Verfügung steht, prüfen Sie im Bereich Allgemein, ob Vollzugriff ausgewählt ist. Mit Vollzugriff ist die Berechtigung bereits gegeben, und Sie können keine Berechtigungen für die Datenquelle überschreiben.

Arbeiten mit der Verbindungszeichenfolge, die von einem Datenquellenobjekt verwendet wird

Das Datenquellenobjekt enthält die Verbindungszeichenfolge, die zum Verbindungsaufbau mit der zugrunde liegenden Datenquelle verwendet wird. Diese Verbindungszeichenfolge kann die folgenden Angaben enthalten:

Angabe eines Benutzernamens und eines Kennworts

Wenn die von einem Datenquellenobjekt verwendete Verbindungszeichenfolge einen Benutzernamen und ein Kennwort angibt, kann es sinnvoll sein, mehrere Datenquellenobjekte zu erstellen, von denen jedes unterschiedliche Benutzerkonten hat. Durch das Erstellen mehrerer Datenquellenobjekte können Benutzer auf bestimmte Datenquellenobjekte zugreifen, während der Zugriff auf andere Datenquellenobjekte verhindert wird. Diese anderen Datenquellenobjekte können von Analysis Services selbst zum Verarbeiten von Objekten wie z. B. Cubes und Miningmodellen verwendet werden.
Angabe der Windows-Authentifizierung

Wenn die von einem Datenquellenobjekt verwendete Verbindungszeichenfolge die Windows-Authentifizierung angibt, muss Analysis Services in der Lage sein, die Identität des Clients anzunehmen. Wenn sich die Datenquelle jedoch auf einem Remotecomputer befindet, müssen die beiden Computer mithilfe der Kerberos-Authentifizierung als vertrauenswürdig für den Identitätswechsel eingestuft werden, weil ansonsten die Abfrage zumeist fehlschlägt. Weitere Informationen finden Sie unter Konfigurieren von Analysis Services für die eingeschränkte Kerberos-Delegierung.

Wenn der Client den Identitätswechsel nicht zulässt (durch die Identitätswechselebene-Eigenschaft in OLE DB und anderen Clientkomponenten), versucht Analysis Services, eine anonyme Verbindung zur zugrunde liegenden Datenquelle herzustellen. Anonyme Verbindungen zu entfernten Datenquellen sind selten erfolgreich, da die meisten Quellen keine anonymen Verbindungen akzeptieren.