Discussion :

[soazig]

Bonjour,
Il me semblait que lorsqu'on faisait un grant execute sur une procédure stockée à un user ou un rôle, il n'y avait pas besoin que l'utilisateur ait les droits d'insert/select sur les tables sous-jacentes.
Est-ce vrai ?
Car j'ai l'impression dans mon application que cela ne marche pas comme cela.

Sachant que la procédure stockée utilise des tables de différents schema.
PS: Je mettrai un exemple tout à l'heure, là j'ai une réunion dans 3 minutes.
Merci
Soazig

[soazig]

Rebonjour,
Voilà l'exemple promis

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
CREATE LOGIN user_soazig WITH PASSWORD=N'XXX', 
  DEFAULT_DATABASE=EcubeDwh, DEFAULT_LANGUAGE=[Français],       
  CHECK_EXPIRATION=OFF, CHECK_POLICY=ON
  GO
ALTER LOGIN user_soazig WITH PASSWORD=N'XXX'
GO
ALTER LOGIN user_soazig ENABLE
 
GO
 
CREATE USER user_soazig FOR LOGIN user_soazig WITH DEFAULT_SCHEMA=[dbo]
GO
 
CREATE ROLE My_test_role	
GO
 
EXEC sp_addrolemember 'My_test_role', 'user_soazig'
GO
 
Create procedure web.TestRight
AS
begin
 select * from dwh.REF_IDS
End
 
GO
Grant execute on web.TestRight to My_test_role;
GO

Et quand je me connecte avec user_soazig

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

exec web.TestRight

J'obtiens

Msg 229, Level 14, State 5, Procedure TestRight, Line 5
L'autorisation SELECT a été refusée sur l'objet 'REF_IDS', base de données 'ECubeDWH', schéma 'dwh'.

Donc il semblerait que les droits sur la PS ne suffise pas.
Mais j'aimerai bien une certitude.
Merci
Soazig

[aieeeuuuuu]

Bonjour,

En effet, les privilèges dans une procédure ne sont pas vérifiés pour les objets appartenant au propriétaire de la procédure en question .

Donc dans l'exemple, pour que ça fonctionne, il faut que le propriétaire de la procédure web.TestRight soit aussi propriétaire de dwh.REF_IDS.

cf "chaine de propriétés"
https://docs.microsoft.com/fr-fr/dot...-in-sql-server

[SQLpro]

Sinon, dépersonnalisez là avec EXECUTE AS.....

A +

[soazig]

Bonjour à tous, et grand merci
Et bien, il me semblait mal. Je pense que mon erreur vient de ce que j'ai beaucoup travaillé avec un seul propriétaire et donc pas de problème.
J'ai donné les droits unitaires qui vont bien sur les différentes PS, tables, vues et ça marche.
Cordialement
Soazig

[escartefigue]

https://docs.microsoft.com/fr-fr/dot...-in-sql-server

La traduction est pour le moins perfectible, je cite :

Chaque objet sécurisable possède des autorisations qui peuvent être accordées à une principal de sécurité à l'aide d'instructions d'autorisation.