La sécurité au moyen des chaînes de propriété

La sécurité des objets d’une base de
données SQL Server repose sur le fait
que tous les objets de la base de données
ont un propriétaire et que celui-ci
contrôle l’accès en octroyant aux utilisateurs
et aux rôles des permissions
sur les objets. Quand un objet dépend
d’un autre objet, comme dans le cas où
une vue référence une table, une
chaîne de propriété est établie. Cette
chaîne reste intacte (non cassée) tant
que le même utilisateur possède tous
les objets concernés.

Un utilisateur qui a une permission
SELECT sur une vue peut extraire des
données de la vue même sans permission
sur les tables sous-jacentes, tant
que la vue et les tables ont le même
propriétaire. Une chaîne de propriété
intacte donne aux propriétaires d’objets
davantage de contrôle sur l’accès
aux données sous-jacentes, parce que
les utilisateurs n’ont besoin de permissions
que sur les objets auxquels ils accèdent
directement. Le propriétaire de
l’objet peut accorder l’accès aux données
au moyen de vues, de procédures
stockées et de fonctions, tout en empêchant
l’accès direct aux tables sousjacentes.
Mais les propriétaires d’objets
doivent savoir que l’octroi de
permissions donne aux utilisateurs
l’accès indirect aux objets référencés.

Quand les objets référençant et référencés
ont des propriétaires différents,
la chaîne de propriété est cassée,
donc SQL Server examine les permissions
d’utilisateurs courantes sur les
objets référencés pendant l’exécution
de la requête. Bien qu’un objet puisse
référencer des objets qu’un autre utilisateur
possède dans une chaîne de
propriété cassée, le propriétaire des
objets référencés doit accorder des
permissions sur ces objets. Les propriétaires
d’objets gardent ainsi la maîtrise
de l’accessibilité des objets et des
données de leurs bases de données.

Les règles qui régissent les chaînes
de propriété ne s’appliquent qu’aux
permissions d’objet, dont les permissions SELECT, INSERT, UPDATE,
DELETE et EXECUTE sur des tables,
vues, procédures et fonctions. SQL
Server recherche toujours dans les
permissions des utilisateurs, des instructions
comme BACKUP, CREATE et
autres instructions DDL (Data
Definition Language) parce que ces
permissions s’appliquent à  l’instruction
plutôt qu’à  un certain objet.