Posredovanje identitete in identitete podatkovne zbirke

Pravila in odgovori, ko prehod izvaja stavke pod prijavo osebe (Impersonate) ali dodeljene skupne prijave. Model pojasnjuje Prijava in posredovanje identitete.

"Databases": [
  { "Name": "fachdaten", "Provider": "sqlserver", "ConnectionString": "…",
    "Persons": "Impersonate",       // Service | Impersonate; privzeto Service
    "DenyImpersonate": [
      { "Logins": [ "sa", "FIRMA\\Datenbankbetrieb" ] },                 // nikoli
      { "Roles": [ "sysadmin" ], "ExceptFrom": [ "192.168.0.0/16" ] }    // sysadmini samo iz lastnega omrežja
    ] }
],
"Security": {
  "AuthMode": "ApiKey, Windows",
  "TrustedProxies": [ "10.0.0.5" ]  // samo od tod se X-Forwarded-For upošteva
}

Prijava aliasa za to v SQL Serverju potrebuje:

GRANT IMPERSONATE ANY LOGIN TO [<prijava aliasa>];
-- dodatno mogoče, glejte spodaj: DENY IMPERSONATE ON LOGIN::[sa] TO [<prijava aliasa>];

Odgovori pri zavrnitvi ne navajajo pravila; kateri vnos je veljal, za koga in iz katerega izvora, je kot opozorilo zapisano v dnevniku storitve pod korelacijsko oznako.

V mnogih namestitvah osebe v podatkovni zbirki nimajo lastnih dovoljenj. Delajo prek skupne prijave za oddelek, na primer vertrieb ali marketing, katere geslo poznajo vsi. Kdo spada h kateri prijavi, odloči stranka. Prehod to preslika v skrbniško shrambo: vsaka oseba se prijavi kot ona sama, prehod pa zanjo preklopi na skupno prijavo. Gesla skupne prijave pri tem nihče ne potrebuje.

Dve množici skrbniškega vmesnika:

Identiteta in dodelitev imata vsaka stikalo Enabled. Oseba ima dodatno privzeto vrednost (DefaultRole v Persons).

Katera identiteta velja – za vsako zahtevo, takoj ko je alias znan:

Dodelitev zadene prek osebe, ki ji prijava pripada (prek ključa ali njenega lastnega računa Windows), prek samega ključa ali prek računa Windows in vsake njegove skupine. Imena v X-Wkl-Role in X-Wkl-Roles so odstotno kodiran UTF-8 (Au%C3%9Fendienst); seznam je ločen z vejicami.

Preverjanje ob shranjevanju. Vklopljeno identiteto vrste Login prehod shrani šele po preizkusnem preklopu: odpre povezavo vira podatkov, preklopi na prijavo in preklop takoj povrne. Zavrne jo z 422 in sporočilom za skrbništvo, če prijava manjka (ali je skupina Windows), če jo navaja vnos iz DenyImpersonate – ob shranjevanju šteje vsak vnos, tudi tisti z omrežnim pogojem –, če pripada tam navedeni strežniški vlogi, če nima dostopa do podatkovne zbirke vira podatkov ali če SQL Server preklop zavrne (na primer ker manjka IMPERSONATE). Prijava vira podatkov za to v SQL Serverju potrebuje:

GRANT IMPERSONATE ON LOGIN::[vertrieb] TO [<prijava vira podatkov>];   -- za vsako skupno prijavo

Same skupne prijave in njihova dovoljenja stranka ustvari v SQL Serverju; prehod jih ne upravlja. Skupna prijava, ki si jo osebe delijo prek Basic s skupnim geslom, ni priporočljiva: prehod oseb takrat ne more razlikovati.

Odjemalci. Gonilnik ODBC za OData (Wkl.Data.OData.Odbc) izbira s ključno besedo ROLE= ali – kjer aplikacija dovoli pogovorno okno – s spustnim seznamom, ki prikaže seznam iz X-Wkl-Roles. Access in DAO si delita povezavo med vsemi povezavami procesa z isto vrednostjo DATABASE, tudi če se njihov ROLE= razlikuje: tam za vse te povezane tabele velja identiteta prve povezave. Druga identiteta v isti seji Accessa potrebuje lastno vrednost DATABASE v svojem nizu povezave; pravilo opisuje dokumentacija gonilnika (ključne besede povezave).

• Posredovanje identitete oseb strežniku SQL Server
• „Nastavitev identitet podatkovne zbirke“ (dokumentacija aplikacije za upravljanje)