为多种情况设置Sql服务器安全权限

Question

我们有一个应用程序，它在本地为其后端存储使用Sql Server实例。管理员的Windows登录已撤销其sysadmin权限，而创建了两个sql登录名;一个用于秘密密码的应用程序和一个只读登录，我们让用户查看原始数据。

这是工作正常，直到我们移动FileStreams，这需要集成的Windows身份验证。所以现在必须更换sql服务器登录名。

因此，我现在正在检查我们所有的登录信息，但我不确定它是如何实现的。看来应用程序需要完整的读/写访问权限，但我仍然需要锁定对表的写入操作，以便用户无法登录数据库并随机删除数据。有没有人有任何建议使用集成的Windows登录设置多级安全，或者你可以指导我进一步阅读？

一些答案，也可以在serverfault发现：https://serverfault.com/questions/138763/setting-sql-server-security-rights-for-multiple-situations

Answer 1

您可以授予数据读取权限的Windows登录的用户将使用（即实际用户，一组或内置组类似用户。或每个人）。您的申请可以使用带有“秘密”密码的批准文件，并授予该批准文件的必要写入权限。您的应用程序以Windows用户身份登录，但随后它会模拟该批准。见Application Roles。

一些注意事项：

• 管理员可以随时访问。它只需要按照KB 937682的步骤进行操作：How to add a Windows user to the sysadmin fixed server role in SQL Server 2005 as a failure recovery mechanism
• 您永远无法在应用程序中嵌入“秘密”。您最多可以对它们进行混淆，但可以找到隐藏在代码或配置中的任何秘密。