Verrouillage de votre base de données

Article
04/11/2008

Ces informations s'adressent à tous les utilisateurs Visual SourceSafe (VSS) qui créent une base de données VSS, accordent à d'autres utilisateurs des autorisations d'accès à un partage de fichier et à la base de données VSS, ou gèrent d'une façon ou d'une autre les autorisations dans le programme Administrateur de VSS.

Dans un premier temps, utilisez les procédures de la section Protection de votre base de données pour créer deux groupes d'utilisateurs VSS et leur accorder les autorisations appropriées sur la base de données VSS et les dossiers de programmes. Puis, lorsque des utilisateurs rejoignent ou quittent vos équipes, utilisez les procédures de la section Administration de la sécurité en cours pour ajouter ou supprimer des utilisateurs VSS spécifiques. Qu'il s'agisse d'une première installation de VSS et d'une création de base de données ou que vous disposiez d'une installation VSS existante, suivez les instructions consultez la section Considérations supplémentaires de Sécurité de base de données pour protéger VSS et votre base de données. Après avoir verrouillé votre base de données, utilisez la liste de vérification pour vérifier qu'elle est protégée avant d'informer vos utilisateurs que VSS est prêt à être utilisé.

Pour protéger une base de données Visual SourceSafe (VSS) et les fichiers qui contrôlent et gèrent VSS, vous devez utiliser les autorisations de sécurité Windows pour en limiter l'accès. En suivant les procédures suivantes, vous verrouillez votre base de données. Ainsi :

seuls les membres du groupe des administrateurs de la base de données VSS pour les dossiers VSS Windows peuvent effectuer des tâches administratives, y compris l'analyse et la restauration des fichiers et projets VSS archivés,
tous les administrateurs et utilisateurs VSS peuvent continuer à travailler avec VSS comme ils le faisaient avant que vous ne le protégiez et
les personnes qui ne sont pas des utilisateurs VSS n'ont pas d'autorisations d'accès au partage réseau sur lequel se trouve VSS, et n'ont donc pas accès à la base de données.

Le verrouillage de la base de données ne concerne pas :

Sécurité au niveau du projet. Vous pouvez utiliser le programme Administrateur VSS pour définir les droits et assignations pour des projets VSS ou des utilisateurs VSS spécifiques mais tous les utilisateurs VSS doivent disposer des mêmes autorisations sur les dossiers Windows. Ainsi, tous les utilisateurs VSS, quels que soient leurs droits au niveau du projet tels qu'ils sont spécifiés dans le programme Administrateur VSS, peuvent accéder aux dossiers partagés et disposent d'un contrôle total sur toutes les données VSS mais pas sur les fichiers qui contrôlent et gèrent le programme et la base de données. N'utilisez pas la base de données partagée pour stocker des fichiers contenant des informations sensibles, des informations concernant la paye ou des documents légaux par exemple.
Utilisateurs VSS en lecture seule. Si vous voulez que certains utilisateurs VSS ne puissent que lire les fichiers de la base de données VSS, il est recommandé de ne pas leur accorder le statut d'utilisateurs VSS mais de créer un dossier caché et de leur donner accès à ce dossier.

Groupes et utilisateurs Windows

Le programme Administrateur de VSS fournit des outils permettant de gérer vos utilisateurs VSS en spécifiant les droits d'accès pour des utilisateurs individuels ou pour des projets VSS individuels de la base VSS. Pour protéger votre base de données, vous devez utiliser la sécurité intégrée de Windows pour restreindre l'accès aux dossiers VSS en définissant les autorisations de sécurité et de partage sur ces dossiers.

Dans Windows, vous pouvez créer des groupes d'utilisateurs. En ajoutant un utilisateur Windows à un groupe, vous accordez à l'utilisateur toutes les autorisations et droits utilisateur assignés à ce groupe. Un utilisateur Windows qui utilise un ordinateur connecté à un réseau peut accéder aux programmes et fichiers qui se trouvent sur l'ordinateur ainsi qu'aux programmes et fichiers qui se trouvent sur le réseau, en fonction des limites déterminées par l'administrateur réseau. En regroupant des utilisateurs Windows dans un groupe, un administrateur peut accorder les mêmes autorisations à tous les utilisateurs, ce qui simplifie les tâches administratives. Les informations relatives aux groupes ou utilisateurs Windows disposant d'autorisations d'accès ou de modification d'une ressource ou d'un fichier se trouvent dans la liste de contrôle d'accès de cette ressource ou de ce fichier. Pour plus d'informations concernant le contrôle d'accès, consultez l'Aide de Windows.

Pour verrouiller votre base de données VSS, vous devez créer deux groupes d'utilisateurs Windows : un groupe pour les administrateurs VSS et un groupe pour les utilisateurs VSS.

Protection de votre base de données

Pour pouvoir verrouiller votre base de données en utilisant cette procédure, votre base de données doit être installée sur un système de fichiers NTFS (NT File System). En effet, NTFS permet d'accorder des autorisations individuellement pour des fichiers et des dossiers. Le système de fichiers FAT (File Allocation Table) applique les mêmes autorisations à l'ensemble d'un partage. Pour partager des dossiers vous devez être administrateur Windows de l'ordinateur.

Remarque Si vous déplacez une base de données, les autorisations Windows ne sont pas déplacées. Vous devez verrouiller de nouveau votre base de données dans son nouvel emplacement.

Création de groupes d'utilisateurs Windows

Organiser vos utilisateurs au sein de groupes Windows permet de simplifier et d'accélérer vos tâches administratives. Vous devez créer deux groupes d'utilisateurs Windows : un groupe pour les administrateurs VSS et un groupe pour les utilisateurs VSS. Par exemple, créez des groupes nommés VSS_DB1_Admin et VSS_DB1_User. Les administrateurs peuvent utiliser le programme Administrateur VSS pour gérer les utilisateurs VSS, définir les options de projet pour tous les projets et utilisateurs VSS, et effectuer des activités de maintenance. Les utilisateurs VSS peuvent travailler avec VSS en utilisant l'Explorateur VSS et la ligne de commande. Ils peuvent également personnaliser VSS en utilisant la boîte de dialogue Options de SourceSafe ou en modifiant le fichier Ss.ini qui se trouve dans chaque dossier Users/nomutilisateur.

Remarque Le nom d'utilisateur Admin de VSS est le seul nom d'utilisateur VSS permettant de se connecter au programme Administrateur VSS. Tous les membres du groupe VSS_DB1_Admin doivent se connecter en utilisant le nom d'utilisateur VSS Admin et le mot de passe correspondant.

Tous les utilisateurs VSS doivent disposer des mêmes autorisations Windows sur les dossiers VSS, ainsi que d'autorisations individuelles supplémentaires sur le dossier Users/nomutilisateur correspondant. Si vous voulez que certains utilisateurs VSS ne puissent que lire les fichiers de la base de données VSS, il est recommandé de ne pas leur accorder le statut d'utilisateurs VSS et membres du groupe VSS_DB1_Users mais de créer un dossier caché et de leur donner accès à ce dossier. Pour plus d'informations sur les dossiers cachés, consultez Créer des dossiers cachés.

Remarque sur la sécurité Tous les utilisateurs VSS ont accès aux dossiers VSS et peuvent supprimer des informations essentielles de la base de données.

Pour plus d'informations sur la création et l'utilisation de groupes d'utilisateurs Windows, consultez l'Aide de Windows.

Pour créer les groupes d'administrateurs et les groupes d'utilisateurs VSS

Créez deux groupes d'utilisateurs Windows sur votre serveur de base de données VSS, VSS_DB1_Admin et VSS_DB1_User par exemple.

Si une deuxième base de données existe sur ce serveur, créez deux autres groupes, VSS_DB2_Admin et VSS_DB2_User par exemple.
Ajouter chaque utilisateur de la liste des utilisateurs VSS à l'un des groupes.

Suppression du groupe Tout le monde du partage

Si une base de données partagée a été créée lors de l'installation de VSS ou à l'aide de l'outil Administrateur VSS, les fichiers et dossiers de la base de données ont été installés dans le dossier de la base de données VSS. Lorsque vous avez partagé le dossier de la base de données, le groupe d'utilisateurs Windows Tout le monde a été ajouté au partage. Il est recommandé de supprimer le groupe Tout le monde.

Remarque sur la sécurité Les utilisateurs Windows peuvent se connecter à l'ordinateur sur lequel la base VSS se trouve et accéder directement aux dossiers VSS au lieu d'accéder au dossier de la base de donnés partagée. Vérifiez les autorisations accordées sur les dossiers VSS et empêchez les utilisateurs non autorisés d'accéder aux dossiers.

Pour supprimer le groupe Tout le monde du partage

Dans l'Explorateur Windows, accédez au dossier de la base de données VSS (dossier contenant le fichier Srcsafe.ini de la base de données) puis sélectionnez le dossier.
Dans le menu Fichier, sélectionnez Propriétés, puis cliquez sur l'onglet Partage.
Sélectionnez Partager ce dossier.
Entrez un nouveau Nom de partage si vous ne souhaitez pas utiliser le nom par défaut.
Cliquez sur Autorisations.
Si Noms d'utilisateur ou de groupe contient Tout le monde, cliquez sur Supprimer puis sur OK.
Sélectionnez le groupe VSS_DB1_Admin puis activez la case à cocher Autoriser de Contrôle total.
Sélectionnez le groupe VSS_DB1_User puis activez la case à cocher Autoriser de Modifier.

Ajout et affectation d'autorisations pour les groupes VSS

Vous allez ajouter les deux groupes VSS au dossier de la base de données, supprimer toutes les autorisations héritées des autres groupes et utilisateurs, et accorder aux deux groupes VSS les autorisations appropriées sur le dossier de la base de données et les autres dossiers VSS. Pour pouvoir ajouter et accorder des autorisations en utilisant cette procédure, votre base de données doit être installée sur un système de fichiers NTFS (NT File System). En effet, NTFS permet d'accorder des autorisations individuellement pour des fichiers et des dossiers. Le système de fichiers FAT (File Allocation Table) applique les mêmes autorisations à l'ensemble d'un partage. Pour partager des dossiers vous devez être administrateur Windows de l'ordinateur.

Pour ajouter les groupes VSS au dossier de la base de données

Dans l'Explorateur Windows, accédez au dossier de la base de données VSS puis sélectionnez le dossier.
Dans le menu Fichier, sélectionnez Propriétés, puis cliquez sur l'onglet Sécurité.
Cliquez sur Ajouter.
Dans la boîte de dialogue Sélectionner les utilisateurs, les ordinateurs ou les groupes, cliquez sur Emplacements.
Localisez et cliquez sur l'emplacement contenant les groupes VSS_DB1_Admin et VSS_DB1_User, puis cliquez sur OK.

L'emplacement est le nom de l'ordinateur contenant les groupes VSS_DB1_Admin et VSS_DB1_User.
Ajoute les groupes VSS_DB1_Admin et VSS_DB1_User à Entrez les noms des objets à sélectionner.
Cliquez sur OK pour ajouter les groupes à la zone Noms d'utilisateur ou de groupe de l'onglet Sécurité.
Sélectionnez le groupe VSS_DB1_Admin puis activez la case à cocher Autoriser de Contrôle total.
Sélectionnez le groupe VSS_DB1_User puis activez la case à cocher Autoriser de Affichage du contenu du dossier et Lecture.

Pour vous assurer que seules les autorisations définies explicitement pour les deux groupes VSS seront appliquées au dossier, vous allez supprimer les autorisations héritées précédemment appliquées à partir du dossier parent.

Pour supprimer les autorisations héritées du dossier de la base de données

Cliquez sur Avancées.
Sur l'onglet Autorisations, désactivez la case à cocher Hérite de l'objet parent les entrées d'autorisation qui s'appliquent aux objets enfants. Cela inclut les objets dont les entrées sont spécifiquement définies ici.
Cliquez sur Supprimer.
Sur l'onglet Autorisations, cliquez sur OK.

Seuls les groupes VSS_DB1_Admin et VSS_DB1_User sont répertoriés dans la zone Noms d'utilisateur ou de groupe.

Le groupe des administrateurs de la base de données VSS (VSS_DB1_Admin par exemple) doit disposer des autorisations Contrôle total sur tous les dossiers VSS, mais le groupe des utilisateurs VSS doit se voir accorder des autorisations plus restreintes. Dans le dossier de la base de données VSS se trouve un dossier Users contenant un dossier pour chaque utilisateur VSS. Vous devez accorder à chaque utilisateur VSS des droits en lecture et en écriture sur le dossier Users/nomutilisateur lui correspondant.

Pour accorder des autorisations aux groupes VSS

Accordez aux deux groupes les autorisations suivantes sur le dossier de la base de données VSS :

VSS_DB1_Admin Contrôle total

VSS_DB1_Users Lecture et Affichage du contenu du dossier
Sélectionnez le dossier Data et définissez les autorisations sur Modifier pour VSS_DB1_Users.
Sélectionnez le dossier Temp et définissez les autorisations sur Modifier pour VSS_DB1_Users.
Pour chaque dossier Users/nomutilisateur, ajoutez l'utilisateur Windows qui utilisera l'identifiant de connexion VSS correspondant. Par exemple, ajoutez Domaine\BenSmith à Users\BenSmith. Définissez les autorisations de cet utilisateur sur ce dossier sur Modifier.
Si vous voulez que vos utilisateurs VSS exécutent NetSetup, sélectionnez le fichier Netsetup.exe et définissez les autorisations pour VSS_DB1_Users sur Exécuter.

Administration de la sécurité en cours

Lorsque des utilisateurs rejoignent ou quittent vos équipes, vous devez ajouter ou supprimer des utilisateurs avec le programme Administrateur VSS et les autorisations Windows.

Ajout d'utilisateurs VSS à une base de données existante

Tous les nouveaux utilisateurs doivent être ajoutés à la liste des utilisateurs VSS à l'aide du programme Administrateur VSS puis ajoutés à l'un des groupes Windows (VSS_DB1_Admin ou VSS_DB1_User par exemple). Vous devez également leur attribuer des autorisations pour le Users/nomutilisateur correspondant.

Lorsque vous créez une base de données VSS, le nom d'utilisateur VSS Admin est automatiquement créé et ne peut pas être supprimé. Le nom d'utilisateur Admin de VSS est le seul nom d'utilisateur VSS permettant de se connecter au programme Administrateur VSS et seuls les membres du groupe VSS_DB1_Admin disposent des autorisations permettant d'exécuter le programme Administrateur VSS. Ainsi, tous les membres du groupe VSS_DB1_Admin doivent se connecter en utilisant le nom d'utilisateur VSS Admin et le mot de passe correspondant.

Pour ajouter des administrateurs VSS

Sélectionnez la base de données à l'aide du programme Administrateur VSS. Pour plus d'informations, consultez Ouvrir une base de données SourceSafe.
Dans le menu Utilisateurs du programme Administrateur VSS, cliquez sur Ajouter un utilisateur.
Entrez le premier nom utilisateur dans la zone Nom d'utilisateur.

Les noms d'utilisateurs ne doivent pas dépasser 31 caractères, ne doivent ni commencer ni finir par un espace et ne doivent comprendre aucun signe de ponctuation.
Entrez le mot de passe de l'utilisateur dans la zone Mot de passe.

Les mots de passe peuvent comporter jusqu'à 15 caractères et peuvent être constitués de n'importe quels caractères. Ne saisissez pas de mot de passe si l'utilisateur doit se connecter automatiquement avec son nom réseau.
Pour attribuer à l'utilisateur des droits VSS en lecture seule, activez la case à cocher Lecture seule.

Remarque Si vous activez la case à cocher Lecture seule, l'utilisateur peut accéder en lecture seule aux fichiers de la base de données VSS lorsqu'il travaille avec l'Explorateur VSS, mais dispose des mêmes autorisations Windows que tous les autres administrateurs VSS sur les autres dossiers VSS.
Cliquez sur OK.
Ajoutez l'utilisateur Windows correspondant au groupe Windows VSS_DB1_Admin.

Pour plus d'informations sur l'ajout d'utilisateurs à un groupe Windows, consultez l'Aide de Windows.

Tous les utilisateurs VSS doivent être ajoutés au groupe VSS_DB1_Users et disposer des mêmes autorisations Windows sur les dossiers VSS, ainsi que d'autorisations individuelles supplémentaires sur le dossier Users/nomutilisateur correspondant. Vous pouvez utiliser les commandes des droits et des assignations du programme Administrateur VSS pour gérer vos utilisateurs en spécifiant des droits d'accès pour des utilisateurs out des projets VSS spécifiques dans la base de données VSS. Ces droits d'accès s'appliquent lorsqu'un utilisateur utilise l'Explorateur VSS.

Pour ajouter des utilisateurs VSS

Sélectionnez la base de données à l'aide du programme Administrateur VSS. Pour plus d'informations, consultez Ouvrir une base de données SourceSafe..
Dans le menu Utilisateurs du programme Administrateur VSS, cliquez sur Ajouter un utilisateur.
Entrez le premier nom utilisateur dans la zone Nom d'utilisateur.

Les noms d'utilisateurs ne doivent pas dépasser 31 caractères, ne doivent ni commencer ni finir par un espace et ne doivent comprendre aucun signe de ponctuation.
Entrez le mot de passe de l'utilisateur dans la zone Mot de passe.

Les mots de passe peuvent comporter jusqu'à 15 caractères et peuvent être constitués de n'importe quels caractères.
Pour attribuer à l'utilisateur des droits en lecture seule, activez la case à cocher Lecture seule.

Remarque Si vous activez la case à cocher Lecture seule, l'utilisateur peut accéder en lecture seule aux fichiers de la base de données VSS lorsqu'il travaille avec l'Explorateur VSS, mais dispose des mêmes autorisations Windows que tous les autres utilisateurs VSS sur les autres dossiers VSS. Si vous voulez que l'utilisateur soit un utilisateur VSS en lecture seule, consultez Pour ajouter des utilisateurs VSS en lecture seule.
Cliquez sur OK.
Ajoutez l'utilisateur au groupe Windows VSS_DB1_Users.
Accordez à l'utilisateur les autorisations Contrôle total sur le dossier Users/nomutilisateur approprié.

Pour ajouter des utilisateurs VSS en lecture seule

Remarque sur la sécurité Tous les utilisateurs VSS ont accès aux dossiers VSS et peuvent supprimer des informations essentielles de la base de données.

Suppression d'utilisateurs VSS

Pour interdire l'accès, vous devez supprimer l'utilisateur de la liste des utilisateurs VSS, le supprimer de l'un des groupes VSS Windows et supprimer ses autorisations pour tous les fichiers et dossiers associés à VSS (dossiers cachés pour des projets par exemple).

Remarque Vous ne pouvez pas supprimer le nom d'utilisateur VSS Admin.

Pour supprimer des administrateurs VSS

Sélectionnez l'utilisateur dans la liste des utilisateurs du programme Administrateur VSS.
Dans le menu Utilisateurs, cliquez sur Supprimer un utilisateur.

VSS affiche un avertissement demandant « Êtes-vous sûr de vouloir effacer ? »
Cliquez sur OK.

Le dossier Users/nomutilisateur de cet utilisateur, qui contient le fichier Ss.ini, est supprimé.
Supprimez l'utilisateur du groupe Windows VSS_DB1_Admin.
Supprimez tous les dossiers cachés créés par cet administrateur et qui ne sont plus nécessaires.

Les emplacements des dossiers cachés se trouvent dans le fichier Srcsafe.ini : recherchez Shadow = dossier caché.
Si l'administrateur dispose d'autorisations sur les dossiers et fichiers suivants, supprimez ces autorisations.

Les emplacements des dossiers et fichiers se trouvent dans Srcsafe.ini.
- Dossiers cachés (Shadow = dossier caché)
- Dossiers de déploiement Web (Deploy_Path = dossier)
- Fichier journal (Journal_File = nom de fichier).
Si l'administrateur a déployé des projets Web sur un emplacement distant, en utilisant FTP (File Transfer Protocol), changez le mot de passe associé au chemin de déploiement. Pour plus d'informations, consultez Projets Web, onglet.

Lorsque vous supprimez un utilisateur VSS, le dossier Users/nomutilisateur correspondant, qui contient le fichier Ss.ini, est automatiquement supprimé.

Pour supprimer des utilisateurs VSS

Sélectionnez l'utilisateur dans la liste des utilisateurs du programme Administrateur VSS.
Dans le menu Utilisateurs, cliquez sur Supprimer un utilisateur.

VSS affiche un avertissement demandant « Êtes-vous sûr de vouloir effacer ? »
Cliquez sur OK.
Supprimez l'utilisateur du groupe d'utilisateurs Windows VSS_DB1_Users.
Si l'utilisateur Windows dispose d'autorisations sur les dossiers et fichiers suivants, supprimez ces autorisations.

Les emplacements des dossiers et fichiers se trouvent dans Srcsafe.ini.
- Dossiers cachés (Shadow = dossier caché)
- Dossiers de déploiement Web (Deploy_Path = dossier)
- Fichier journal (Journal_File = nom de fichier).
Si l'utilisateur VSS a déployé des projets Web sur un emplacement distant, en utilisant FTP (File Transfer Protocol), changez le mot de passe associé au chemin de déploiement. Pour plus d'informations, consultez Projets Web, onglet.

Pour supprimer des utilisateurs VSS en lecture seule

Si, comme conseillé, l'utilisateur VSS en lecture seule ne dispose d'autorisations que pour le dossier caché, supprimez les autorisations de partage de cet utilisateur sur le dossier caché.

Gestion des droits de projets et des assignations des utilisateurs à l'aide du programme Administrateur VSS

Vous pouvez gérer les utilisateurs VSS en utilisant les commandes des droits et des assignations du programme Administrateur VSS pour définir des droits pour des utilisateurs spécifiques, de nouveaux utilisateurs ou des projets. Vous pouvez modifier les attributs d'un utilisateur en lecture seule ou lecture-écriture. Cependant, vous devez accorder les mêmes autorisations à tous les utilisateurs sur les dossiers Windows afin qu'ils puissent exécuter VSS. Ne modifiez donc pas les autorisations d'un utilisateur sur les dossiers Windows lorsque vous changez des droits de projets ou des assignations d'utilisateurs dans VSS.

Liste de vérification

Avant d'informer vos utilisateurs VSS qu'ils peuvent utiliser VSS, assurez-vous d'avoir verrouiller la base de données et l'installation VSS. Contrôlez les éléments suivants :

Le groupe d'utilisateurs Windows Tout le monde a été supprimé du dossier de la base de données VSS.
Seuls les groupes et utilisateurs VSS disposent d'autorisations sur les dossiers VSS. Aucun autre groupe ou utilisateur n'est répertorié sur l'onglet Sécurité du dossier de la base VSS pour cette base de données et ne dispose d'autorisations héritées.
Deux groupes d'utilisateurs Windows ont été créés pour VSS : administrateurs et utilisateurs VSS.

Les autorisations accordées pour les dossiers VSS et héritées par les sous-dossiers ont été correctement définies :

Fichier ou dossier Windows	Administrateurs	Utilisateurs VSS
Dossier de la base de données VSS	Contrôle total	Lecture Affichage du contenu du dossier
Data	Contrôle total (hérité)	Modifier
Temp	Contrôle total (hérité)	Modifier
Users/nomutilisateur	Contrôle total (hérité)	Modifier
Netsetup.exe	Contrôle total (hérité)	Exécuter

Si certains utilisateurs VSS ne nécessitent qu'un accès en lecture à certains éléments de la base de données VSS, ils disposent d'autorisations d'accès au dossier caché du projet mais ne figurent pas dans le groupe des utilisateurs VSS.
Les autorisations du groupe d'utilisateurs VSS ont été supprimées pour les dossiers dont l'accès est réservé aux administrateurs.
Les Considérations supplémentaires de la Sécurité de base de données ont été contrôlées et implémentées en fonction des choix effectués.
Les documents contenant des informations sensibles ou confidentielles ne devant pas être disponibles pour tous les utilisateurs de la base de données VSS ont été supprimés.
L'administrateur de la base VSS a préparé des instructions comprenant les procédures d'ajout et de suppression d'utilisateurs VSS afin de garantir la sécurité de la base de données.

Voir aussi

Sécurité de base de données | Créer des dossiers cachés | Droits d'accès

Partager via