Роли приложений

Область применения: SQL Server База данных SQL Azure Управляемый экземпляр SQL Azure

Роль приложения — это участник базы данных, позволяющий приложению выполняться со своими, подобными пользовательским, правами доступа. Роли приложений можно использовать для разрешения доступа к определенным данным только тем пользователям, которые подключены посредством конкретного приложения. В отличие от ролей баз данных, роли приложений не содержат элементов и по умолчанию находятся в неактивном состоянии. Роли приложений активируются с помощью процедуры sp_setapprole, которая требует указания пароля. Так как роли приложений являются участниками на уровне базы данных, они имеют доступ к другим базам данных только с разрешениями, предоставленными учетной записи пользователя guestв этих базах данных. Таким образом, любая база данных, в которой гость отключена, недоступна для ролей приложений в других базах данных.

В SQL Server роли приложений не могут получить доступ к метаданным уровня сервера, так как они не связаны с субъектом уровня сервера. Чтобы отключить это ограничение и разрешить ролям приложений доступ к метаданным уровня сервера, задайте глобальный флаг трассировки 4616 с помощью -T4616 или DBCC TRACEON (4616, -1). Если вы предпочитаете не включать этот флаг трассировки, можно использовать хранимую процедуру, подписанную сертификатом, чтобы разрешить ролям приложений просматривать состояние сервера. Пример кода см. в этом примере скрипта на GitHub.

Подключиться с использованием роли приложения

Ниже представлены этапы процесса, при помощи которого роль приложения переключает контексты безопасности.

1. Пользователь выполняет клиентское приложение.

2. Клиентское приложение подключается к экземпляру SQL Server в качестве пользователя.

3. Затем приложение выполняет sp_setapprole хранимую процедуру с паролем, известным только для приложения.

4. Если имя роли приложения и пароль верны, роль приложения активируется.

5. На этом этапе соединение утрачивает права пользователя и принимает на себя права роли приложения.

Разрешения, полученные через роль приложения, действуют в течение всего соединения.

В более ранних версиях SQL Server для пользователя единственный способ повторно получить исходный контекст безопасности после запуска роли приложения — отключиться от SQL Server и снова подключиться к нему. Начиная с SQL Server 2005 (9.x), sp_setapprole есть параметр, который создает файл cookie. Файл cookie содержит информацию о контексте до включения роли приложения. Затем хранимая sp_unsetapprole процедура использует файл cookie для возврата сеанса в исходный контекст. Сведения об этом новом параметре и примере см. в статьях sp_setapprole (Transact-SQL) и sp_unsetapprole (Transaction-SQL).

Внимание

Параметр encrypt ODBC не поддерживается в SqlClient. При передаче конфиденциальных сведений по сети следует пользоваться протоколом TLS (ранее — SSL) или IPSec для шифрования канала. Если необходимо сохранить учетные данные в клиентском приложении, следует зашифровать их при помощи функций API шифрования. В SQL Server 2005 (9.x) и более поздних версиях параметр password сохраняется в виде однонаправленного хэша.

Связанные задачи

Задача	Тип
Создайте роль приложения.	Создать роль приложения и CREATE APPLICATION ROLE (Transact-SQL)
Изменение роли приложения.	ALTER APPLICATION ROLE (Transact-SQL)
Удалить роль приложения.	DROP APPLICATION ROLE (Transact-SQL)
Использование роли приложения.	sp_setapprole (Transact-SQL)

См. также

Обеспечение безопасности SQL Server