Роли безопасности (Analysis Services — многомерные данные)

Применимо к: SQL Server Analysis Services Azure Analysis Services Fabric/Power BI Premium

Роли используются в службах Microsoft SQL Server Analysis Services для управления безопасностью объектов и данных SQL Server Analysis Services. Простыми словами, роль связывает идентификаторы безопасности (SID) пользователей и групп Microsoft Windows с определенными правами доступа и разрешениями, установленными для объектов, которыми управляет экземпляр служб SQL Server Analysis Services. В службах SQL Server Analysis Services предоставляются два типа ролей:

  • Роль сервера— фиксированная роль, которая предоставляет администратору доступ к экземпляру служб SQL Server Analysis Services.

  • Роли базы данных, роли, определенные администраторами для управления доступом к объектам и данным для пользователей, не являющихся администраторами.

Безопасность в microsoft SQL Server SQL Server Analysis Services управляется с помощью ролей и разрешений. Роли — это группы пользователей. Пользователи, также называемые участниками, могут быть добавлены или удалены из ролей. Разрешения для объектов задаются ролями, и все члены роли могут использовать объекты, для которых у роли есть разрешения. Все члены роли имеют равные разрешения для объектов. Разрешения, применяемые к конкретным объектам. Каждый объект имеет коллекцию разрешений с разрешениями, предоставленными для этого объекта, различные наборы разрешений могут быть предоставлены для объекта. Каждое разрешение из коллекции разрешений объекта имеет одну роль, назначенную ей.

Объекты ролей и члены ролей

Роль — это объект, содержащий коллекцию пользователей (членов). Определение роли устанавливает членство пользователей в службах SQL Server Analysis Services. Так как разрешения назначаются ролью, пользователь должен быть членом роли, прежде чем пользователь имеет доступ к любому объекту.

Role Объект состоит из параметров Name, Id и Members. Члены — это коллекция строк. Каждый член содержит имя пользователя в виде "domain\username". Имя — это строка, содержащая имя роли. Идентификатор — это строка, содержащая уникальный идентификатор роли.

Роль сервера

Роль сервера SQL Server Analysis Services определяет административный доступ пользователей и групп Windows к экземпляру служб SQL Server Analysis Services. Члены этой роли имеют доступ ко всем базам данных и объектам служб SQL Server Analysis Services в экземпляре и могут выполнять следующие задачи:

  • Выполнение административных функций на уровне сервера с помощью SQL Server Management Studio или SQL Server Data Tools, включая создание баз данных и настройку свойств уровня сервера.

  • Программное выполнение административных функций с помощью объектов управления анализом (AMO).

  • Поддержание ролей базы данных SQL Server Analysis Services.

  • Запуск трассировок (за исключением событий обработки, которые могут выполняться ролью базы данных с правами доступа на обработку).

Каждый экземпляр служб SQL Server Analysis Services имеет роль сервера, которая определяет, какие пользователи могут администрировать этот экземпляр. Имя и идентификатор этой роли — Администраторы, и в отличие от ролей в базе данных, роль сервера не может быть удалена, и к ней нельзя добавить или удалить разрешения. Другими словами, пользователь либо является, либо не является администратором экземпляра служб SQL Server Analysis Services, в зависимости от того, включен ли он в роль сервера для этого экземпляра служб SQL Server Analysis Services.

Роли базы данных

Роль базы данных SQL Server Analysis Services определяет доступ пользователей к объектам и данным в базе данных SQL Server Analysis Services. Роль базы данных создается как отдельный объект в SQL Server Analysis Services и применяется только к той базе данных, в которой создается эта роль. Пользователи и группы Windows добавляются в роль администратором, который также определяет разрешения в этой роли.

Разрешения роли могут позволить членам получать доступ к базе данных и администрировать ее в дополнение к объектам и данным в базе данных. Каждое разрешение имеет один или несколько прав доступа, связанных с ним, что, в свою очередь, дает более точное управление доступом к конкретному объекту в базе данных.

Объекты разрешений

Разрешения назначаются объекту (кубу, измерению и другим) для конкретной роли. Разрешения указывают, какие операции может выполнять член этой роли с этим объектом.

Класс Permission является абстрактным классом. Поэтому производные классы необходимо использовать для определения разрешений для соответствующих объектов. Для каждого объекта определяется производный класс разрешений.

Object Class
Database DatabasePermission
DataSource DataSourcePermission
Dimension DimensionPermission
Cube CubePermission
MiningStructure MiningStructurePermission
MiningModel MiningModelPermission

Возможные операции, разрешенные правами доступа, отображаются в списке.

Действие Ценности Explanation
Процедура {true, false}

Default=false		 Если значение true, члены могут обрабатывать объект и любой объект, содержащийся в объекте.

Разрешения процесса не применяются к моделям интеллектуального анализа данных. MiningModel разрешения всегда наследуются от MiningStructure.
ReadDefinition {Нет, Базовый, Разрешён}

Default=None		 Указывает, могут ли члены считывать определение данных (ASSL), связанное с объектом.

Если разрешено, члены могут считывать ASSL, связанный с объектом.

Базовые и допустимые наследуются объектами, содержащимися в объекте. Разрешено переопределяет Базовый и Нет.

Для DISCOVER_XML_METADATA объекта требуется Разрешено. Basic требуется для создания связанных объектов и локальных кубов.
Читайте {Нет, разрешено}

Default=None (за исключением DimensionPermission, где по умолчанию=Разрешено)		 Указывает, имеют ли члены доступ на чтение к наборам строк схемы и содержимому данных.

Разрешено предоставляет доступ на чтение в базе данных, которая позволяет обнаруживать базу данных.

Разрешение в кубе предоставляет доступ на чтение в наборах строк схемы и доступ к содержимому куба (если не ограничено условиями CellPermission и CubeDimensionPermission).

Разрешено для измерения предоставляет право чтения всех атрибутов в измерении (если не ограничено определенными ограничениями).CubeDimensionPermission Разрешение на чтение используется исключительно для статического наследования объекта CubeDimensionPermission. None на измерении скрывает измерение и дает доступ к элементу по умолчанию только для атрибутов, которые можно агрегировать; возникает ошибка, если измерение содержит неагрегируемый атрибут.

Разрешение на MiningModelPermission предоставляет права на просмотр объектов в строках схемы и выполнение предсказательных соединений.

NoteAllowed требуется для чтения или записи любых объектов в базе данных.
Напишите {Нет, разрешено}

Default=None		 Указывает, имеют ли члены доступ на запись к данным родительского объекта.

Доступ применяется к подклассам Dimension, Cube и MiningModel. Он не применяется к подклассам базы данных MiningStructure , что создает ошибку проверки.

Разрешено на Dimension предоставляет разрешение на запись всех атрибутов в измерении.

Разрешено на Cube предоставляет разрешение на запись в ячейках куба для разделов, определенных как Type=writeback.

Разрешено для предоставления разрешения на изменение содержимого MiningModel модели.

Разрешено на MiningStructure не имеет определенного значения в службах SQL Server Analysis Services.

Примечание: Параметр "Запись" не может быть установлен в «Разрешено», если параметр "Чтение" не установлен в «Разрешено».
Администрирование

Примечание: только в разрешениях в базе данных		 {true, false}

Default=false		 Указывает, могут ли члены администрировать базу данных.

True предоставляет членам доступ ко всем объектам в базе данных.

Член может иметь разрешения администрирования для определенной базы данных, но не для других пользователей.

См. также

Разрешения и права доступа (службы Analysis Services — многомерные данные)
Авторизация доступа к объектам и операциям (Analysis Services)

  • Last updated on