Définir ou modifier la sécurité au niveau utilisateur d’Access 2003 dans les versions actuelles d’Access

Principes de base de la sécurité au niveau de l’utilisateur

La sécurité au niveau de l’utilisateur dans Access ressemble aux mécanismes de sécurité sur les systèmes basés sur serveur : elle utilise des mots de passe et des autorisations pour autoriser ou restreindre l’accès d’individus, ou de groupes d’individus, aux objets de votre base de données. Dans Access 2003 ou les versions antérieures, lorsque vous implémentez la sécurité au niveau de l’utilisateur dans une base de données Access, un administrateur de base de données ou le propriétaire d’un objet peut contrôler les actions que des utilisateurs individuels, ou des groupes d’utilisateurs, peuvent effectuer sur les tables, requêtes, formulaires, rapports et macros de la base de données. Par exemple, un groupe d’utilisateurs peut modifier les objets d’une base de données, un autre groupe peut uniquement entrer des données dans certaines tables et un troisième groupe peut uniquement afficher les données dans un ensemble de rapports.

La sécurité au niveau de l’utilisateur dans Access 2003 et les versions antérieures utilise une combinaison de mots de passe et d’autorisations, un ensemble d’attributs qui spécifient les types d’accès dont dispose un utilisateur aux données ou aux objets d’une base de données. Vous pouvez définir des mots de passe et des autorisations pour des individus ou des groupes d’individus, et ces combinaisons de mots de passe et d’autorisations deviennent des comptes de sécurité qui définissent les utilisateurs et les groupes d’utilisateurs autorisés à accéder aux objets de votre base de données. À son tour, la combinaison d’utilisateurs et de groupes est appelée groupe de travail, et Access stocke ces informations dans un fichier d’informations de groupe de travail. Au démarrage, Access lit le fichier d’informations du groupe de travail et applique les autorisations en fonction des données contenues dans le fichier.

Par défaut, Access fournit un ID utilisateur intégré et deux groupes intégrés. L’ID d’utilisateur par défaut est Administration, et les groupes par défaut sont Utilisateurs et Administrateurs. Par défaut, Access ajoute l’ID utilisateur intégré au groupe Utilisateurs, car tous les ID doivent appartenir à au moins un groupe. À son tour, le groupe Utilisateurs dispose d’autorisations complètes sur tous les objets d’une base de données. En outre, l’ID Administration est également membre du groupe Administrateurs. Le groupe Administrateurs doit contenir au moins un ID utilisateur (il doit y avoir un administrateur de base de données), et l’ID Administration est l’administrateur de base de données par défaut jusqu’à ce que vous le modifiiez.

Lorsque vous démarrez Access 2003 ou les versions antérieures, Access vous attribue l’ID utilisateur Administration et vous rend ainsi membre de chaque groupe par défaut. Cet ID et ces groupes (Administration et Utilisateurs) donnent à tous les utilisateurs des autorisations complètes sur tous les objets d’une base de données, ce qui signifie que tout utilisateur peut ouvrir, afficher et modifier tous les objets dans tous les fichiers .mdb, sauf si vous implémentez la sécurité au niveau de l’utilisateur.

Une façon d’implémenter la sécurité au niveau de l’utilisateur dans Access 2003 ou les versions antérieures consiste à modifier les autorisations du groupe Utilisateurs et à ajouter de nouveaux administrateurs aux groupes Administrateurs. Dans ce cas, Access attribue automatiquement de nouveaux utilisateurs au groupe Utilisateurs. Lorsque vous effectuez ces étapes, les utilisateurs doivent se connecter avec un mot de passe chaque fois qu’ils ouvrent la base de données protégée. Toutefois, si vous devez implémenter une sécurité plus spécifique (autoriser un groupe d’utilisateurs à entrer des données et un autre à lire uniquement ces données, par exemple), vous devez créer des utilisateurs et des groupes supplémentaires et leur accorder des autorisations spécifiques sur tout ou partie des objets de la base de données. L’implémentation de ce type de sécurité au niveau de l’utilisateur peut devenir une tâche complexe. Pour simplifier le processus, Access fournit l’Assistant Sécurité User-Level, qui facilite la création d’utilisateurs et de groupes dans un processus en une seule étape.

L’Assistant Sécurité User-Level vous permet d’attribuer des autorisations et de créer des comptes d’utilisateur et de groupe. Les comptes d’utilisateur contiennent des noms d’utilisateur et des numéros d’identification personnels uniques (PID) nécessaires pour gérer les autorisations d’un utilisateur pour afficher, utiliser ou modifier des objets de base de données dans un groupe de travail Access. Les comptes de groupe sont une collection de comptes d’utilisateur qui, à leur tour, résident dans un groupe de travail. Access utilise un nom de groupe et un PID pour identifier chaque groupe de travail, et les autorisations attribuées à un groupe s’appliquent à tous les utilisateurs du groupe. Pour plus d’informations sur l’utilisation de l’Assistant, consultez Définir la sécurité au niveau de l’utilisateur, plus loin dans cet article.

Une fois l’Assistant terminé, vous pouvez attribuer, modifier ou supprimer manuellement des autorisations pour les comptes d’utilisateur et de groupe dans votre groupe de travail pour une base de données et ses tables, requêtes, formulaires, états et macros existants. Vous pouvez également définir les autorisations par défaut qu’Access attribue pour les nouvelles tables, requêtes, formulaires, états et macros que vous ou un autre utilisateur ajoutez à une base de données.

Fichiers d’informations sur les groupes de travail et les groupes de travail

Dans Access 2003 et les versions antérieures, un groupe de travail est un groupe d’utilisateurs dans un environnement multi-utilisateur qui partagent des données. Un fichier d’informations de groupe de travail contient les comptes d’utilisateur et de groupe, les mots de passe et les autorisations définis pour chaque utilisateur ou groupe d’utilisateurs. Lorsque vous ouvrez une base de données, Access lit les données dans le fichier d’informations du groupe de travail et applique les paramètres de sécurité que contient le fichier. À son tour, un compte d’utilisateur est une combinaison de nom d’utilisateur et d’ID personnel (PID) qu’Access crée pour gérer les autorisations de l’utilisateur. Les comptes de groupe sont des collections de comptes d’utilisateur, et Access les identifie également par le nom du groupe et un ID personnel (PID). Les autorisations attribuées à un groupe s’appliquent à tous les utilisateurs du groupe. Ces comptes de sécurité peuvent ensuite se voir attribuer des autorisations pour les bases de données et leurs tables, requêtes, formulaires, rapports et macros. Les autorisations elles-mêmes sont stockées dans la base de données avec sécurité.

La première fois qu’un utilisateur exécute Access 2003 ou des versions antérieures, Access crée automatiquement un fichier d’informations de groupe de travail Access identifié par le nom et organization informations que l’utilisateur spécifie lorsqu’il installe Access. Pour Access 2003, le programme d’installation ajoute l’emplacement relatif de ce fichier d’informations de groupe de travail aux clés de Registre suivantes :

HKEY_CURRENT_USER\Software\Microsoft\Office\11.0\Access\Jet\4.0\Engines\SystemDB

et

HKEY_USERS\.DEFAULT\Software\Microsoft\Office\11.0\Access\Jet\4.0\Engines\SystemDB

Les utilisateurs suivants hériteront du chemin d’accès au fichier de groupe de travail par défaut de la valeur dans la clé de Registre HKEY_USERS. Étant donné que ces informations sont souvent faciles à déterminer, il est possible pour les utilisateurs non autorisés de créer une autre version de ce fichier d’informations de groupe de travail. Par conséquent, les utilisateurs non autorisés peuvent assumer les autorisations irréversibles d’un compte administrateur (membre du groupe Administrateurs) dans le groupe de travail défini par ce fichier d’informations de groupe de travail. Pour empêcher les utilisateurs non autorisés d’assumer ces autorisations, créez un fichier d’informations de groupe de travail et spécifiez un ID de groupe de travail (WID), une chaîne alphanumérique respectant la casse de 4 à 20 caractères que vous entrez lorsque vous créez un fichier d’informations de groupe de travail. La création d’un groupe de travail identifie de façon unique le groupe de Administration pour ce fichier de groupe de travail. Seule une personne qui connaît le WID peut créer une copie du fichier d’informations du groupe de travail. Pour créer le fichier, utilisez l’Assistant Sécurité User-Level.

Fonctionnement des autorisations et qui peut les attribuer

La sécurité au niveau de l’utilisateur reconnaît deux types d’autorisations : explicite et implicite. Les autorisations explicites sont les autorisations qui sont accordées directement à un compte d’utilisateur . aucun autre utilisateur n’est affecté. Les autorisations implicites sont les autorisations accordées à un compte de groupe. L’ajout d’un utilisateur à ce groupe accorde les autorisations du groupe à cet utilisateur ; La suppression d’un utilisateur du groupe supprime les autorisations du groupe à cet utilisateur.

Lorsqu’un utilisateur tente d’effectuer une opération sur un objet de base de données qui utilise des fonctionnalités de sécurité, le jeu d’autorisations de cet utilisateur est basé sur l’intersection des autorisations explicites et implicites de cet utilisateur. Le niveau de sécurité d’un utilisateur est toujours le moins restrictif des autorisations explicites de cet utilisateur et des autorisations de tous les groupes auxquels cet utilisateur appartient. Pour cette raison, la façon la moins compliquée d’administrer un groupe de travail consiste à créer des groupes et à attribuer des autorisations aux groupes, plutôt qu’à des utilisateurs individuels. Vous pouvez ensuite modifier les autorisations des utilisateurs individuels en ajoutant ou en supprimant ces utilisateurs des groupes. En outre, si vous avez besoin d’accorder de nouvelles autorisations, vous pouvez les accorder à tous les membres d’un groupe en une seule opération.

Les autorisations peuvent être modifiées pour un objet de base de données en :

• Membres du groupe Administrateurs du fichier d’informations du groupe de travail en cours d’utilisation lors de la création de la base de données.

• Propriétaire de l’objet.

• Tout utilisateur disposant d’autorisations d’administration pour l’objet .

Même si les utilisateurs peuvent ne pas être en mesure d’effectuer une action actuellement, ils peuvent être en mesure de s’accorder des autorisations pour effectuer l’action. Cela est vrai si un utilisateur est membre du groupe Administrateurs ou si un utilisateur est le propriétaire d’un objet.

L’utilisateur qui crée une table, une requête, un formulaire, un état ou une macro est le propriétaire de cet objet. En outre, le groupe d’utilisateurs qui peuvent modifier les autorisations dans la base de données peut également modifier la propriété de ces objets, ou ils peuvent recréer ces objets, ces deux méthodes permettant de modifier la propriété des objets. Pour recréer un objet, vous pouvez effectuer une copie de l’objet, ou l’importer à partir d’une autre base de données ou l’exporter vers une autre base de données. Il s’agit du moyen le plus simple de transférer la propriété des objets, y compris la base de données elle-même.

Comptes de sécurité

Un fichier d’informations de groupe de travail Access 2003 contient les comptes prédéfinis suivants.

En effet, la sécurité dans Access 2003 et les versions antérieures est toujours active. Jusqu’à ce que vous activiez la procédure d’ouverture de session pour un groupe de travail, Access enregistre de manière invisible tous les utilisateurs au démarrage en utilisant le compte d’utilisateur Administration par défaut avec un mot de passe vide. En arrière-plan, Access utilise le compte Administration comme compte d’administrateur pour le groupe de travail. Access utilise le compte Administration en plus du propriétaire (groupe ou utilisateur) des bases de données et des tables, requêtes, formulaires, états et macros créés.

Les administrateurs et les propriétaires sont importants, car ils disposent d’autorisations qui ne peuvent pas être supprimées :

• Les administrateurs (membres du groupe Administrateurs) peuvent toujours obtenir des autorisations complètes pour les objets créés dans le groupe de travail.

• Un compte propriétaire d’une table, d’une requête, d’un formulaire, d’un état ou d’une macro peut toujours obtenir des autorisations complètes pour cet objet.

• Un compte propriétaire d’une base de données peut toujours ouvrir cette base de données.

Étant donné que le compte d’utilisateur Administration est exactement le même pour chaque copie d’Access, les premières étapes pour sécuriser votre base de données sont de définir les comptes d’utilisateur d’administrateur et de propriétaire (ou d’utiliser un seul compte d’utilisateur comme compte d’administrateur et de propriétaire), puis de supprimer le compte d’utilisateur Administration du groupe Administrateurs. Sinon, toute personne disposant d’une copie d’Access peut se connecter à votre groupe de travail à l’aide du compte Administration et disposer des autorisations complètes pour les tables, requêtes, formulaires, rapports et macros du groupe de travail.

Vous pouvez attribuer autant de comptes d’utilisateur que vous le souhaitez au groupe Administrateurs, mais un seul compte d’utilisateur peut être propriétaire de la base de données : le compte propriétaire est le compte d’utilisateur actif lors de la création de la base de données ou lorsque la propriété est transférée en créant une base de données et en y important tous les objets d’une base de données. Toutefois, les comptes de groupe peuvent posséder des tables, des requêtes, des formulaires, des rapports et des macros au sein d’une base de données.

Considérations relatives à l’organisation des comptes de sécurité

• Seuls les comptes d’utilisateur peuvent se connecter à Access ; vous ne pouvez pas vous connecter à l’aide d’un compte de groupe.

• Les comptes que vous créez pour les utilisateurs de la base de données doivent être stockés dans le fichier d’informations de groupe de travail que ces utilisateurs rejoindront lorsqu’ils utiliseront la base de données. Si vous utilisez un autre fichier pour créer la base de données, modifiez le fichier avant de créer les comptes.

• Veillez à créer un mot de passe unique pour vos comptes d’administrateur et d’utilisateur. Un utilisateur qui peut se connecter à l’aide du compte administrateur peut toujours obtenir des autorisations complètes pour toutes les tables, requêtes, formulaires, rapports et macros qui ont été créés dans le groupe de travail. Un utilisateur qui peut se connecter à l’aide d’un compte de propriétaire peut toujours obtenir des autorisations complètes pour les objets appartenant à cet utilisateur.

Après avoir créé des comptes d’utilisateur et de groupe, vous pouvez afficher et imprimer les relations entre eux. Access imprime un rapport des comptes dans le groupe de travail qui affiche les groupes auxquels appartient chaque utilisateur et les utilisateurs qui appartiennent à chaque groupe.

Démarrer l’Assistant Sécurité User-Level

1. Ouvrez le fichier .mdb ou .mde que vous souhaitez administrer.

2. Sous l’onglet Outils de base de données , dans le groupe Administrer , cliquez sur la flèche sous Utilisateurs et autorisations, puis cliquez sur Assistant Sécurité au niveau de l’utilisateur.

3. Suivez les étapes de chaque page pour terminer l’Assistant.

   Remarques : 

   • L’Assistant Sécurité User-Level crée une copie de sauvegarde de la base de données Access actuelle portant le même nom et une extension de nom de fichier .bak, puis utilise des mesures de sécurité pour les objets sélectionnés dans la base de données active.

   • Si votre base de données Access actuelle permet de protéger le code VBA à l’aide d’un mot de passe, l’Assistant vous invite à entrer le mot de passe, que vous devez entrer pour que l’Assistant termine son opération correctement.

   • Tous les mots de passe que vous créez via l’Assistant sont imprimés dans le rapport de l’Assistant Sécurité User-Level, qui est imprimé lorsque vous avez terminé d’utiliser l’Assistant. Vous devez conserver ce rapport dans un emplacement sécurisé. Vous pouvez utiliser ce rapport pour recréer votre fichier de groupe de travail s’il est perdu ou endommagé.

Enregistrez une copie du fichier dans . Format ACCDB

1. Cliquez sur l’onglet Fichier. La vue Backstage s’ouvre.

2. Sur la gauche, cliquez sur Partager.

3. Sur la droite, cliquez sur Enregistrer la base de données sous, puis cliquez sur Base de données Access (*.accdb).

   La boîte de dialogue Enregistrer sous s’affiche.

4. Utilisez la liste Enregistrer dans pour rechercher un emplacement dans lequel enregistrer la base de données convertie.

5. Dans la liste Type de fichier, sélectionnez Base de données Access 2007-2016 (*.accdb).

6. Cliquez sur Enregistrer.