Discussion :

[billybob2]

Bonjour à tous ,

j'ai une question concernant la permission d'exécuter une procédure stockée qui contient un select d'une vue.
Je ne comprends pas pourquoi pour un utilisateur donné ayant le droit uniquement d'exécuter cette procédure(aucun droit sur la vue qui est utisée dans cette PS) la procédure est exécutée(normal) mais pourquoi des enregistrements sont-ils renvoyés ?


Merci d'avance si quelqu'un peut éclairer ma lanterne .


Voici un script d'exemple :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
 
 USE master;
 CREATE DATABASE DB_TEST;
 GO
 USE DB_TEST;
 CREATE TABLE T_TEST_TST
 (
	TST_ID INTEGER NOT NULL IDENTITY(1,1) CONSTRAINT PK_TST_ID PRIMARY KEY,
	TST_LIBELLE VARCHAR(10) NOT NULL
 )
 INSERT INTO T_TEST_TST
 VALUES ('TEST1'),('TEST2'),('TEST33')
 GO
 CREATE VIEW V_TEST
 AS
 SELECT * FROM T_TEST_TST
 GO
 CREATE PROCEDURE P_TEST
 AS
 BEGIN
	SET NOCOUNT ON
	SELECT * FROM V_TEST
END
GO
/******************************************************************/
/*** CREATION DES LOGIN,USER & ROLE + ATTRIBUTION DES PERMISSIONS ***/
/******************************************************************/
 CREATE LOGIN U_TEST WITH PASSWORD='TEST'
 CREATE USER USR_TEST FOR LOGIN U_TEST;
 CREATE ROLE R_TEST;
 EXEC sp_addrolemember 'R_TEST', 'USR_TEST'
 GRANT EXECUTE ON P_TEST TO R_TEST;
GO
/**********************************************************************************************/
/****** LE USER PEUT EXECUTER LA PS OK , MAIS POURQUOI DES ENREGISTREMENTS SONT-ILS RENVOYES ? ****/
/**********************************************************************************************/ 
execute as user='USR_TEST'
EXEC P_TEST

[SQLpro]

Vous exécutez une procédure. Donc celui qui l'a créé contrôle l'écriture de la requête incorporée dans la procédure. Cette requête n'est pas changeable. Au besoin elle est faiblement paramétrable. Donc sécurisée...

A +

[billybob2]

Merci pour votre réponse ,

En fait, j'ai une application pratique :
Imaginons la procédure stockée suivante(voir ci-dessous).

Pour une modification de structure , je dois intervenir dans la(les) tables référencées dans la vue V_VUE1 tout en laissant l'accès aux utilisateurs à la vue V_VUE2.

Comment faire pour bloquer l'accès à la vue V_VUE1 sans , bien sur , modifier la procédure stockée ?

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
 
 
CREATE PROCEDURE P_FORM @FAM TINYINT
AS
BEGIN
IF @FAM BETWEEN 1 AND 2
BEGIN
        IF @FAM=1
            SELECT * FROM V_VUE1
        IF @FAM=2 
            SELECT * FROM V_VUE2
END
ELSE
      RAISEERROR('LA FAMILLE  DOIT ETRE COMPRISE ENTRE 1 ET 2',16);
END

[SQLpro]

Il suffit de passer le nom d'utilisateur en variable dans votre proc

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
 
IF @FAM=1 AND USER <> 'toto'...

A +

[aieeeuuuuu]

Bonjour

Je ne comprends pas pourquoi pour un utilisateur donné ayant le droit uniquement d'exécuter cette procédure(aucun droit sur la vue qui est utisée dans cette PS) la procédure est exécutée(normal) mais pourquoi des enregistrements sont-ils renvoyés ?

Dans votre script, le propriétaire de la vue est le même que le propriétaire de la procédure stockée (utilisateur avec lequel vous lancez le script...)
Lors de l’exécution d'un procédure stockée, les privilèges de l'utilisateur exécutant la SP ne sont pas vérifiés sur les objets invoqués dans la SP qui appartiennent au propriétaire de la SP.


Si vous changez le propriétaire de votre vue ou de votre SP, le SELECT sera refusé pour l'utilisateur USR_TEST.

Voici un peu plus d'information sur le sujet

[rudib]

Vous pouvez aussi faire comme ceci :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
CREATE PROCEDURE P_FORM @FAM TINYINT
AS
BEGIN
IF @FAM BETWEEN 1 AND 2
BEGIN
        IF @FAM=1
            EXEC ('SELECT * FROM V_VUE1')
        IF @FAM=2 
            SELECT * FROM V_VUE2
END
ELSE
      RAISEERROR('LA FAMILLE  DOIT ETRE COMPRISE ENTRE 1 ET 2',16);
END

L'exécution du SQL dynamique force une vérification des permissions sur l'objet.

[Kropernic]

Soit j'ai loupé un truc, soit je ne comprends pas où est le problème.

Qu'un utilisateur puisse "accéder" à une table/vue sur laquelle il n'a aucun privilège via une procédure stockée sur laquelle il a le privilège d'exécution me semble quelque chose de parfaitement normal.

J'utilise ce principe tous les jours là où je travaille.

A part mon collègue et moi, personne n'a de privilège sur les tables/vues d'aucune DB. Les applications n'accèdent aux tables/vues que via des procédures stockées. De ce fait, les seuls privilèges octroyées aux utilisateurs (via des groupes Active Directory) sont les privilèges d'exécution sur les procédures stockées nécessaires à l'application (il y a un groupe AD par application).

De manière, il est certain qu'aucun utilisateur ne pourra effectuer d'opération malicieuse (volontaire ou non) sur une DB autrement que par l'utilisation d'une fonctionnalité demandée. Un utilisateur avec les privilège applicatif suffisant pourrait toujours bien sûr aller supprimer des données qui n'auraient pas du l'être. Mais au moins, l'intégrité des données est conservée.