Подписывание хранимых процедур в SQL Server (ADO.NET)

Статья
05/20/2011

Начиная с SQL Server 2005, хранимую процедуру можно подписать сертификатом или асимметричным ключом. Эта возможность предназначена для сценариев, в которых разрешения не могут наследоваться по цепочке владения или если цепочка владения разорвана, например в динамическом SQL. Можно создать пользователя, сопоставленного с сертификатом, предоставляя разрешения пользователя сертификата на объекты, доступ к которым нужен хранимым процедурам.

При выполнении хранимой процедуры SQL Server объединяет разрешения пользователя сертификата с разрешениями вызывающей стороны. В отличие от предложения EXECUTE AS, он не меняет контекст выполнения процедуры. Встроенные функции, которые возвращают имя входа и имена пользователей, возвращают имя вызывающей стороны, а не имя пользователя сертификата.

Цифровая сигнатура представляет собой сводку данных, зашифрованную при помощи закрытого ключа лица, ставящего свою сигнатуру. Закрытый ключ обеспечивает уникальность цифровой сигнатуры его владельцу. Можно подписывать хранимые процедуры, функции или триггеры.

Примечание
Можно создать сертификат в базе данных master, чтобы предоставить разрешения уровня сервера.

Создание сертификатов

При подписании хранимой процедуры сертификатом создается с использованием закрытого ключа сводка данных, состоящая из зашифрованного хэш-кода хранимой процедуры. Во время выполнения сводка данных расшифровывается открытым ключом и сравнивается с хэш-значением хранимой процедуры. Изменение хранимой процедуры приводит к недействительности хэш-значения, так что цифровая сигнатура больше не совпадает со сводкой данных. Это предотвращает изменение кода хранимой процедуры лицом, не имеющим доступа к закрытому ключу. Поэтому следует подписывать процедуру при каждом ее изменении.

Подписание модуля выполняется в четыре шага.

Создание сертификата с использованием инструкции Transact-SQL CREATE CERTIFICATE [certificateName]. Эта инструкция имеет несколько параметров для настройки даты начала и даты окончания, а также пароля. По умолчанию срок действия сертификата истекает через год.
Создание пользователя базы данных, связанного с этим сертификатом, с использованием инструкции Transact-SQL CREATE USER [userName] FROM CERTIFICATE [certificateName]. Этот пользователь существует только в базе данных и не связан с именем входа.
Предоставление пользователю сертификата необходимых разрешений на объекты базы данных.

Примечание
Сертификат не может предоставлять разрешения пользователю, у которого разрешения были отменены инструкцией DENY.DENY имеет преимущество над GRANT, предотвращая тем самым наследование вызывающей стороной разрешений, предоставленных пользователю сертификата.

Сертификат не может предоставлять разрешения пользователю, у которого разрешения были отменены инструкцией DENY.DENY имеет преимущество над GRANT, предотвращая тем самым наследование вызывающей стороной разрешений, предоставленных пользователю сертификата.

Подписание процедуры при помощи сертификата с использованием инструкции Transact-SQL ADD SIGNATURE TO [procedureName] BY CERTIFICATE [certificateName].

Внешние ресурсы

Дополнительные сведения см. в следующих ресурсах.

Ресурс	Описание
Подписывание модулей в электронной документации по SQL Server 2008	Описывает подписывание модулей, демонстрирует образец сценария и содержит ссылки на соответствующие разделы по языку Transact-SQL.
Подписывание модулей в электронной документации по SQL Server 2005	Описывает подписывание модулей, демонстрирует образец сценария и содержит ссылки на соответствующие разделы по языку Transact-SQL.
Подписание хранимых процедур с помощью сертификата в электронной документации по SQL Server 2005	Предоставляет учебник для подписания хранимой процедуры с помощью сертификата.