Реферат: Защита баз данных. Access 2000

--PAGE_BREAK--§2. Пользователи, группы и разрешения
В общем случае компьютерная система защиты может быть открытой или закрытой. В открытой системе доступ, если только он не запрещен специально, предоставляется всем пользователям (даже если они не известны системе). В закрытой системе доступ предоставляется только тем, кому он был назначен. На первый взгляд, система защиты Access кажется открытой, поскольку вы можете запускать Access без регистрации, создавать базы данных, передавав их другим пользователям, которые могут открывать и изменять их по своему усмотрению. Вы можете совсем не иметь дела с защитой. Но на самом деле система защиты Access является закрытой и кажется открытой только потом что в стандартной рабочей группе, используемой по умолчанию, всегда имеются определенные встроенные коды пользователей и групп, общие для всех устанавливаемых копии Access.


§3. Встроенные пользователи и группы
При установке Access всегда создается стандартная рабочая группа, содержащая один встроенный код пользователя и два встроенных кода групп. Код пользователя называется Admin, и для него не определен пароль. Access автоматически загружает вас с этим кодом и предоставляет вам все права к привилегии этого пользователя. При создании базы данных или нового объекта в базе данных ваш текущий код пользователя становится владельцем объекта и по умолчанию получает полные права на доступ к этому объекту. Поскольку большинство пользователей MicrosoftAccess никогда «не включают» защиту и загружаются как пользователи Admin, владельцем всего, что они создают, является универсальный код Admin.

Первой встроенной группой является группа Users. Все пользователи, в том числе и новые, становятся ее членами и не могут быть удалены из нее, Кроме того, внутренний идентификатор группы Users всегда один и тот же во всех устанавливаемых в мире копиях Access. Группе Users автоматически предоставляются полные права доступа к любому новому объекту или базе данных, которые вы создаете. Это означает, что даже если пользователь зарегистрировался с кодом иным, чем Admin, он все равно имеет полный доступ к вашим базам данных и объектам в них, поскольку пользователь всегда является членом универсальной группы Users!

Вторая встроенная группа называется Admins. Ее внутренний идентификатор уникален для каждого файла рабочей группы и определяется на основе информации, которую вы предоставляете программе администратора рабочих групп при создании файла. По умолчанию в эту группу включен только пользователь Admin. Но, как показано ниже, вы можете определить другого пользователя, включить его в группу Admins и удалить пользователя Admin. Эта группа должна содержать, по крайней мере, одного пользователя.

Группа Admins обладает двумя основными привилегиями. Во-первых, члены группы Admins могут определять и изменять учетные записи пользователей и групп, а так же устанавливать и менять пароли. (Вы всегда можете изменить собственный пароль.) Во-вторых, члены группы Adminsимеют полный доступ к любым базам данных, созданным при использовании этого файла рабочей груп­пы. Члены этой группы могут первоначально не иметь никаких разрешений на доступ кобъектам, но могут назначить себе нужные права. Для понимания этого свойства важно иметь в виду, что любая база данных, созданная при использовании конкретного файла рабочей группы, наследует код этой рабочей группы. Некто может быть членом группы Adminsв другом файле рабочей группы, но если коды рабочих групп не совпадают, этот пользователь не по­лучит прав доступа к вашей базе данных.


§4. Разрешения на доступ к объектам
В таблице 1 приведены разрешения, которые можно назначать базе данных или ее объектам. Обратите внимание, что у владельца объекта может и не быть никаких конкретных разрешений, но, пользуясь своим статусом владельца, он имеет право предоставлять любые или все разрешения любому пользователю или группе, включая себя самого.

Таблица1. Типы разрешений на доступ

Разрешение

Объект

Разрешённые действия

Открытие/запуск (Open/Run)

База данных, форма, отчет, макрос

Открытие базы данных, формы или отчета, запуск макроса. (Любой пользователь может выполнять процедуры в модулях.)

Монопольный доступ (Open Exclusive)

База данных

Открытие базы данных для монопольного доступа. Без этого разрешения пользователь не может открыть базу данных и отключить других пользователей

Чтение макета (Read Design)

Таблица, запрос, форма, отчет, макрос, модуль

Просмотр объектов в режиме конструктора. Если для таблицы или запроса предоставлен любой тип доступа к данным, автоматически дается разрешение на чтение макета, поскольку оно необходимо для корректного открытия набора записей

Изменение макета (Modify Design)

Таблица, запрос, форма, отчет, макрос, модуль

Просмотр и изменение макета объектов. Если в приложении используется программа VisualBasic, изменяющая макеты запросов во время выполнения, вы должны предоставить разрешение на изменение макета всем пользователям этих запросов

Администратора (Administer)

База данных, таблица, запрос форма, отчет, макрос, модуль

Предоставление разрешений на доступ к объекту, даже если пользователь или группа не является владельцем объекта

Чтение данных (Read Data)

Таблица, запрос

Просмотр данных таблицы. Также дает разрешение на чтение макета. В случае запроса пользователь должен иметь разрешение так же на чтение данных для всех используемых в нем таблиц или запросов

Обновление данных (Update Data)

Таблица, запрос

Обновление данных таблицы или запроса. Кроме того, предоставляет разрешения на чтение данных и макета. В случае запрос пользователь должен иметь также разрешение на обновление данных для всех таблиц, изменяемых с его помощью.

Вставка данных (Insert Data)

Таблица, запрос

Вставка данных в таблицу или запрос. Кроме того, предоставляет разрешения на чтение данных и макета. В случае запроса пользователь должен дополнительно иметь разрешение на вставку данных для всех таблиц или запросов, изменяемых с его помощью

Удаление данных  (Delete Data)

Таблица, запрос

Удаление данных из таблицы или запроса. Кроме того, предоставляет разрешения на чтение данных и макета. В случае запрос пользователь должен дополнительно иметь разрешение на удаление данных для всех таблиц, изменяемых с его помощью

    продолжение
--PAGE_BREAK--§5. Явные и неявные разрешения
Как отмечалось выше, вы можете получить доступ к объекту, благодаря разрешению, назначенному вашему коду пользователя, или через разрешения, предоставленные любой группе, к которой вы принадлежите. Access использует модель «наименее ограничительных» разрешений. Это подразумевает, что вы обладаете наибольшими правами доступа, предоставленными вашему коду пользователя и любой из групп, в которые вы включены. На рисунке 2 показано гипотетическое множество пользователей и групп вместе с разрешениями доступ к объекту Таблица, явно назначенными каждому пользователю и группе. Обратите внимание, что отдельные пользователи могут неявно наследовать дополнительные разрешения или права благодаря их членству в одной или скольких группах. Денис имеет, по крайней мере, разрешения на чтение, обновление, вставку и удаление данных, так как он является членом группы Маркетинг. Будучи владельцем объекта Таблица (как его создатель), Денис также получает права администратора и разрешение на изменение макета, так как Access назначает эти разрешения при создании объекта. А если кто-то другой создал этот объект и позднее передал права владельца Денису, то Денис моя предоставить самому себе любые отсутствующие разрешения.
<img width=«571» height=«234» src=«ref-1_370205695-7499.coolpic» v:shapes="_x0000_s1047 _x0000_s1048 _x0000_s1049 _x0000_s1050 _x0000_s1051 _x0000_s1052 _x0000_s1053 _x0000_s1054 _x0000_s1055 _x0000_s1056 _x0000_s1057 _x0000_s1058 _x0000_s1059 _x0000_s1060 _x0000_s1061">

Рис. 2. Пример, показывающий явно назначенные разрешения, а так же неявные разрешения и права каждого пользователя. Явные разрешения напечатаны обычным шрифтом, а унаследованные – курсивом.


Поскольку пользователи всегда являются членами группы Users, которой по умолчанию предоставляются все права доступа к любому новому объекту, любой другой пользователь, а не только Admin, может получить полный доступ ко всем вашим объектам. Чтобы проверить разрешения пользователя или группы, сначала откройте нужную базу данных. Вы должны быть владельцем базы данных и всех объектов, которые хотите проверить, или иметь разрешение администратора на доступ к базе данных и объектам. После выбора команды Сервис
à
Защита
à
Разрешения (
Tools

à

Security

à

User

And

Group

Permissions
) Access откроет окно диалога.

<img width=«395» height=«387» src=«ref-1_370213194-32760.coolpic» v:shapes="_x0000_i1025">

Рис. 3. Некоторые разрешения, предоставленные группу Users
В списке в левой верхней части окна отображаются пользователи или группы, определенные в базе данных. Установите переключатель Пользователи (Users) или Группы (Groups) в зависимости от того, что вы хотите увидеть. В списке Имя объекта (ObjectName) выводятся объекты базы данных. Пользуясь расположенным ниже раскрывающимся списком, можно изменить тип отображаемых объектов. После выбора нужного объекта флажки в нижней части окна отобразят явно назначенные разрешения. Если вы выберете группу Users и просмотрите объекты, то убедитесь, что она имеет полные права доступа ко всем объектам. Кроме того, имея права администратора на доступ к объектам, можно выбирать любые из этих объектов и изменять разрешения, предоставляемые пользователю или группе.
Внимание! Не пробуйте изменять разрешения или владельца объекта до тех пор, пока полностью не поймете все возможные последствия такого действия. Если вы только приступили к изучению системы защиты Access, в целях безопасности работайте с запасной копией своей базы данных. Может случиться так, что вы отмените свое разрешение и не сможете восстановить его!
На вкладке Смена владельца (ChangeOwner) для любого объекта вы можете определить, кто (пользователь или группа) является его текущим владельцем. В большинстве случаев всеми объектами владеет пользователь Admin. Вы можете выделить один или несколько объектов, выбрать другого пользователя или группу и щелкнуть на кнопке Сменить владельца (ChangeOwner), чтобы назначить нового владельца. Никогда не передавайте объект другому владельцу, если вы полностью не понимаете возможные последствия такого действия. Прежде чем назначить объекту нового владельца, вы должны твердо знать, как зарегистрироваться в качестве такого владельца. Если вы владеете объектом, то всегда можете передать права владельца другому коду пользователя или группы (или отобрать их).

§6. Использование мастера защиты
Теперь, после знакомства с системой защиты Access, должно быть очевидно, что для реальной защиты базы данных требуется немало усилий. При обычной установке Access стандартная рабочая группа создается на основе информации о пользователе Windows и названии организации. Поэтому любому человеку, имеющему доступ к вашему компьютеру, не представит особого труда выяснить эти сведения и продублировать их. Итак, для начала вам нужна уникальная рабочая группа, чтобы было трудно воспроизвести ее идентификатор, дающий всем членам группы Admins право изменять разрешения. Затем вам потребуется код пользователя, отличный от Admin, в качестве владельца вашей базы данных и всех ее объектов. Кроме этого, для всех объектов необходимо удалить разрешения из группы Users. А чтобы никто не мог изучить ваши данные и тексты процедур с помощью служебных программ для просмотра дисков, вы должны зашифровать базу данных.

Конечно, можно проделать все эти шаги «вручную», но Microsoft предоставляет мастера, помогающего установить защиту на уровне пользователя. Он выполнит за вас перечисленные выше шаги, включая шифрование базы данных. Но прежде чем воспользоваться его помощью, необходимо выполнить несколько операций.

    продолжение
--PAGE_BREAK--§7. Подготовка к установке защиты
Чтобы мастер защиты успешно выполнил свою работу по установке защиты базы данных, вы должны зарегистрироваться под именем владельца этой базы данных или в том же самом файле рабочей группы, который использовался вами при создании базы данных, и при этом быть в нем членом группы Admins. Вспомните, что одним из важнейших шагов является создание новой рабочей группы с уникальным кодом, которая, скорее всего, будет отличаться от рабочей группы, использовавшейся при создании базы данных. Кроме того, при создании базы данных вы, вероятнее всего были зарегистрированы как пользователь Admin, а для базы данных, владельцем которой является Admin, нельзя установить защиту. В этом случае вам придется назначить нового владельца.

Мастер защиты в Access 2000 позволяет защитить базу данных, даже если вы зарегистрировались как пользователь Admin в первоначальной рабочей группе. В этой ситуации мастер заставит вас создать новую рабочую группу. В новой рабочей группе мастер сделает владельцем базы данных новый код пользователя. Но это возможно только в том случае, если вы являетесь владельцем базы данных. Вы также можете перед запуском мастера создать новую рабочую группу и в ней новый код пользователя (не Admin) в группе Admins, но этот пользователь должен быть владельцем базы данных, в противном случае попытка мастера переназначить владельца кажется безуспешной.

Вы сможете лучше понять систему защиты Access, если сначала создадите новую рабочую группу, определите, по крайней мере, один код пользователя и дадите пользователя Admin из группы Admins. Найдите программу Wrkgadm.exe на своем компьютере. При установке Access она обычно помещается в папку, в которой установлен пакет MicrosoftOffice. Если MicrosoftOffice установлен в папке ProgramFiles на диске С, ярлык должен работать без каких-либо изменений. Если MicrosoftOfficeнаходится в другом месте, в Проводнике Windows  установите указатель на этом ярлыке, нажмите правую кнопку мыши, контекстном меню выберите команду Свойства (Properties) и затем на вкладке Ярлык (Shortcut) измените содержимое полей Файл (Target) и Рабочий каталог (StartIn). Дважды щелкните на ярлыке, чтобы запустить администратора рабочих групп.
<img width=«428» height=«204» src=«ref-1_370245954-19683.coolpic» v:shapes="_x0000_i1026">

Рис. 4. Начальное окно диалога администратора рабочих групп
Начальное окно диалога администратора рабочих групп для Access 2000 не отображает, в отличие от предыдущих версий, имя пользователя и название организации. Но эту важную для защиты информацию все равно можно легко найти, открыв любое приложение MicrosoftOffice на компьютере и выбрав команду Справка
à
0 программе (HelpàAbout). Здесь приведен полный путь к текущему файлу рабочей группы. Как показано на рисунке 4, стандартный файл рабочей группы называется System
.
mdw и находится в папке Office. Если вы создали другой файл рабочей группы, то в окне диалога, которое открывается щелчком на кнопке Связь (Join), можете ввести путь к этому файлу или воспользоваться кнопкой Обзор (Browse) для указания его местонахождения.

Чтобы создать и подключить новую рабочую группу, щелкните на кнопке Создать (Create). Откроется второе окно диалога администратора рабочих групп, представленное на рисунке 5. Необходимо заполнить поля Имя (Name) и Организация (Organization), а в качестве кода группы можете ввести комбинацию из букв и цифр длиной до 20 символов. Администратор рабочих групп использует содержимое трех полей для генерации уникального 64-разрядного внутреннего идентификатора. Чтобы создать другой файл рабочей группы с идентичным идентификатором, нужно ввести ту же информацию в эти три поля, причем код группы должен совпадать с точностью до регистра. Вы должны записать эту информацию и хранить ее в безопасном месте, чтобы можно было воссоздать файл рабочей группы, если он будет удален или испорчен.
<img width=«371» height=«249» src=«ref-1_370265637-25933.coolpic» v:shapes="_x0000_i1027">
Рис. 5. Информация, введенная в этом окне диалога, служит для создания уникального кода рабочей группы в новом файле рабочей группы
Щелкните на кнопке ОК, чтобы перейти в окно диалога, в котором вы можете задать имя и местонахождение нового файла рабочей группы. Если вы создаете файл в папке, в которой уже имеется файл рабочей группы, дайте новому файлу отличающееся имя, что-нибудь типа secured.mdw. Для завершения создания файла рабочей группы щелкните на кнопке ОК в этом окне диалога. Администратор изменит параметры в системном реестре, чтобы «связать» вас с только что созданной рабочей группой. Щелкните на кнопке ОК в окне подтверждения и затем  на кнопке Выход (Exit) в начальном окне диалога, чтобы закрыть окно администратора рабочих групп. Если на компьютере запущено приложение Access, нужно закрыть его и снова запустить в новой рабочей группе.

После запуска Access в новой рабочей группе вам нужно добавить нового пользователя, включить его в группу Admins, определить пароль для пользователя Admin и удалить его из группы Admins. Для этого не требуется открывать базу данных. После открытия Access выберите команду Сервис
à
Защита
à
Пользователи и группы (ToolsàSecurityàUserAndGroupAccounts), и на экране появится окно диалога Пользователи и группы (UserAndGroupAccounts), изображенное на рисунке 6. (Имейте в виду, что при открытии Access вы были зарегистрированы как пользователь Admin, который пока является единственным членом группы Admins в новой рабочей группе.)

    продолжение
--PAGE_BREAK--