Az Access 2003 felhasználói szintű biztonságának beállítása vagy módosítása az Access jelenlegi verzióiban

A felhasználói szintű biztonság alapjai

Az Access felhasználói szintű biztonsága a kiszolgálóalapú rendszerek biztonsági mechanizmusaihoz hasonló – jelszavakat és engedélyeket használ az egyének vagy egyének csoportjainak az adatbázis objektumaihoz való hozzáférésének engedélyezésére vagy korlátozására. Az Access 2003-es vagy korábbi verzióiban, amikor felhasználói szintű biztonságot valósít meg egy Access-adatbázisban, az adatbázisgazdák vagy az objektumok tulajdonosa szabályozhatja azokat a műveleteket, amelyeket az egyes felhasználók vagy felhasználói csoportok végrehajthatnak az adatbázis tábláin, lekérdezéseiben, űrlapjain, jelentéseiben és makróiban. Egy felhasználócsoport például módosíthatja egy adatbázis objektumait, egy másik csoport csak bizonyos táblákba írhat be adatokat, egy harmadik csoport pedig csak jelentésekben tekintheti meg az adatokat.

Az Access 2003-ban és a korábbi verziókban a felhasználói szintű biztonság jelszavak és engedélyek kombinációját használja – olyan attribútumkészletet, amely meghatározza, hogy a felhasználó milyen típusú hozzáféréssel rendelkezik az adatbázis adataihoz vagy objektumaihoz. Beállíthat jelszavakat és engedélyeket egyéneknek vagy egyéni csoportoknak, és ezek a jelszavak és engedélyek kombinációi biztonsági fiókokká válnak, amelyek meghatározzák azokat a felhasználókat és felhasználói csoportokat, akik hozzáférhetnek az adatbázis objektumaihoz. A felhasználók és csoportok kombinációját munkacsoportnak nevezzük, és az Access ezeket az információkat munkacsoport-információs fájlban tárolja. Indításkor az Access beolvassa a munkacsoport-információs fájlt, és kikényszeríti az engedélyeket a fájlban lévő adatok alapján.

Alapértelmezés szerint az Access egy beépített felhasználói azonosítót és két beépített csoportot biztosít. Az alapértelmezett felhasználói azonosító Rendszergazda, az alapértelmezett csoportok pedig a Felhasználók és rendszergazdák. Alapértelmezés szerint az Access hozzáadja a beépített felhasználói azonosítót a Felhasználók csoporthoz, mert minden azonosítónak legalább egy csoporthoz kell tartoznia. A Felhasználók csoport viszont teljes körű engedélyekkel rendelkezik az adatbázis összes objektumához. A Rendszergazda-azonosító emellett a Rendszergazdák csoport tagja is. A Rendszergazdák csoportnak tartalmaznia kell legalább egy felhasználói azonosítót (adatbázis-rendszergazdának kell lennie), és a Rendszergazda-azonosító az alapértelmezett adatbázis-rendszergazda, amíg meg nem változtatja.

Amikor elindítja az Access 2003-at vagy korábbi verzióit, az Access hozzárendeli Önhöz a Rendszergazda felhasználói azonosítót, így minden alapértelmezett csoport tagja lesz. Ez az azonosító és ezek a csoportok (Rendszergazda és Felhasználók) teljes körű engedélyeket biztosítanak az összes felhasználónak az adatbázis összes objektumához – ez azt jelenti, hogy minden felhasználó megnyithatja, megtekintheti és módosíthatja az összes objektumot az összes .mdb fájlban, kivéve, ha felhasználói szintű biztonságot valósít meg.

A felhasználói szintű biztonság megvalósításának egyik módja az Access 2003-ban vagy korábbi verzióiban a Felhasználók csoport engedélyeinek módosítása és új rendszergazdák hozzáadása a Rendszergazdák csoportokhoz. Ha így tesz, az Access automatikusan új felhasználókat rendel a Felhasználók csoporthoz. Amikor megteszi ezeket a lépéseket, a felhasználóknak jelszóval kell bejelentkezniük, amikor megnyitják a védett adatbázist. Ha azonban konkrétabb biztonságot kell megvalósítania – lehetővé kell tennie, hogy az egyik felhasználócsoport adatokat adjon meg, egy másik pedig csak ezeket az adatokat olvassa be , akkor további felhasználókat és csoportokat kell létrehoznia, és adott engedélyeket kell adnia számukra az adatbázis egyes objektumaihoz vagy mindegyikéhez. Az ilyen típusú felhasználói szintű biztonság megvalósítása összetett feladattá válhat. A folyamat egyszerűsítése érdekében az Access biztosítja a User-Level Biztonsági varázslót, amely megkönnyíti a felhasználók és csoportok létrehozását egy lépésben.

A User-Level Biztonsági varázsló segítségével engedélyeket rendelhet hozzá, és felhasználói és csoportfiókokat hozhat létre. A felhasználói fiókok felhasználóneveket és egyedi személyes azonosítószámokat (PID-ket) tartalmaznak, amelyek szükségesek a felhasználó hozzáférési munkacsoportban lévő adatbázis-objektumok megtekintésére, használatára vagy módosítására vonatkozó engedélyeinek kezeléséhez. A csoportfiókok olyan felhasználói fiókok gyűjteményei, amelyek viszont munkacsoportban találhatók. Az Access egy csoportnevet és egy piD-t használ az egyes munkacsoportok azonosításához, és a csoporthoz rendelt engedélyek a csoport összes felhasználójára érvényesek. A varázsló használatáról a cikk későbbi, Felhasználói szintű biztonság beállítása című szakaszában olvashat bővebben.

A varázsló befejezése után manuálisan rendelhet hozzá, módosíthat vagy távolíthat el engedélyeket a munkacsoportban lévő felhasználói és csoportfiókokhoz egy adatbázishoz és annak meglévő tábláihoz, lekérdezéseihez, űrlapjaihoz, jelentéseihez és makróihoz. Az Access által az adatbázishoz hozzáadott új táblákhoz, lekérdezésekhez, űrlapokhoz, jelentésekhez és makrókhoz hozzárendelt alapértelmezett engedélyeket is beállíthatja.

Munkacsoportok és munkacsoport-információs fájlok

Az Access 2003-ban és a korábbi verziókban a munkacsoport egy többfelhasználós környezetben lévő felhasználók csoportja, akik adatokat osztanak meg. A munkacsoport-információs fájl tartalmazza az egyes felhasználókhoz vagy felhasználói csoportokhoz beállított felhasználói és csoportfiókokat, jelszavakat és engedélyeket. Amikor megnyit egy adatbázist, az Access beolvassa a munkacsoport-információs fájlban lévő adatokat, és kikényszeríti a fájlban található biztonsági beállításokat. A felhasználói fiók a felhasználónév és a személyes azonosító (PID) kombinációja, amelyet az Access hoz létre a felhasználó engedélyeinek kezeléséhez. A csoportfiókok felhasználói fiókok gyűjteményei, és az Access csoportnév és személyes azonosító (PID) alapján is azonosítja őket. A csoporthoz rendelt engedélyek a csoport összes felhasználójára érvényesek. Ezek a biztonsági fiókok ezután engedélyeket rendelhetnek az adatbázisokhoz és a táblákhoz, lekérdezésekhez, űrlapokhoz, jelentésekhez és makrókhoz. Maguk az engedélyek a biztonságra képes adatbázisban vannak tárolva.

Amikor egy felhasználó első alkalommal futtatja az Access 2003-at vagy korábbi verzióit, az Access automatikusan létrehoz egy Access munkacsoport-információs fájlt, amelyet a felhasználó által az Access telepítésekor megadott név és szervezeti adatok azonosítanak. Az Access 2003 esetén a telepítőprogram hozzáadja a munkacsoport-információs fájl relatív helyét a következő beállításkulcsokhoz:

HKEY_CURRENT_USER\Software\Microsoft\Office\11.0\Access\Jet\4.0\Engines\SystemDB

és

HKEY_USERS\.DEFAULT\Software\Microsoft\Office\11.0\Access\Jet\4.0\Engines\SystemDB

A későbbi felhasználók a HKEY_USERS beállításkulcsban szereplő értéktől öröklik az alapértelmezett munkacsoportfájl elérési útját. Mivel ezek az információk gyakran könnyen meghatározhatók, jogosulatlan felhasználók is létrehozhatnak egy másik verziót a munkacsoport-információs fájlból. Következésképpen a jogosulatlan felhasználók feltételezhetik egy rendszergazdai fiók (a Rendszergazdák csoport tagja) visszavonhatatlan engedélyeit a munkacsoport információs fájlja által meghatározott munkacsoportban. Ha meg szeretné akadályozni, hogy jogosulatlan felhasználók feltételezzék ezeket az engedélyeket, hozzon létre egy új munkacsoport-információs fájlt, és adjon meg egy munkacsoport-azonosítót (WID), egy kis- és nagybetűkre érzékeny, 4–20 karakter hosszúságú alfanumerikus sztringet, amelyet az új munkacsoport-információs fájl létrehozásakor kell megadnia. Az új munkacsoport létrehozása egyedileg azonosítja a munkacsoportfájl Rendszergazda csoportját. A munkacsoport-információs fájl másolatát csak azok hozhatják létre, akik ismerik a WID-t. Az új fájl létrehozásához használja a User-Level Biztonsági varázslót.

Az engedélyek működése és ki rendelheti hozzá őket

A felhasználói szintű biztonság kétféle engedélyt ismer fel: explicit és implicit. Explicit engedélyek azok az engedélyek, amelyek közvetlenül egy felhasználói fióknak vannak megadva; nincs más érintett felhasználó. Az implicit engedélyek a csoportfióknak adott engedélyek. Ha hozzáad egy felhasználót az adott csoporthoz, a csoport engedélyei az adott felhasználóhoz lesznek adva; a felhasználó csoportból való eltávolítása elveszi a csoport engedélyeit az adott felhasználótól.

Amikor egy felhasználó biztonsági szolgáltatásokat alkalmazó adatbázis-objektumon kísérel meg műveletet végrehajtani, a felhasználó engedélykészlete a felhasználó explicit és implicit engedélyeinek metszetén alapul. A felhasználó biztonsági szintje mindig a legkevésbé korlátozó az adott felhasználó explicit engedélyeinek és az összes olyan csoport engedélyeinek, amelyekhez a felhasználó tartozik. Ezért a munkacsoportok felügyeletének legkevésbé bonyolult módja az új csoportok létrehozása és engedélyek hozzárendelése a csoportokhoz, nem pedig az egyes felhasználókhoz. Ezután módosíthatja az egyes felhasználók engedélyeit, ha felveszi vagy eltávolítja ezeket a felhasználókat a csoportokból. Ha új engedélyeket is meg kell adnia, egyetlen műveletben megadhatja azokat egy csoport összes tagjának.

Az adatbázis-objektumok engedélyeit a következő lépésekkel módosíthatja:

• Az adatbázis létrehozásakor használt munkacsoport-információs fájl Rendszergazdák csoportjának tagjai.

• Az objektum tulajdonosa.

• Bármely felhasználó, aki rendszergazdai engedélyekkel rendelkezik az objektumhoz.

Annak ellenére, hogy a felhasználók jelenleg nem tudnak végrehajtani egy műveletet, előfordulhat, hogy engedélyt adhatnak maguknak a művelet végrehajtásához. Ez akkor igaz, ha a felhasználó a Rendszergazdák csoport tagja, vagy ha egy felhasználó egy objektum tulajdonosa.

A táblát, lekérdezést, űrlapot, jelentést vagy makrót létrehozó felhasználó az objektum tulajdonosa. Ezen kívül az adatbázis engedélyeit módosító felhasználók csoportja módosíthatja ezeknek az objektumoknak a tulajdonjogát is, vagy újra létrehozhatja ezeket az objektumokat, amelyek mindegyike lehetővé teszi az objektumok tulajdonjogának módosítását. Objektum újbóli létrehozásához másolatot készíthet az objektumról, vagy importálhatja vagy exportálhatja egy másik adatbázisból. Ez a legegyszerűbb módja az objektumok tulajdonjogának átadásának, beleértve magát az adatbázist is.

Biztonsági fiókok

Az Access 2003 munkacsoport-információs fájlja a következő előre definiált fiókokat tartalmazza.

Valójában az Access 2003-ban és a korábbi verziókban a biztonság mindig aktív. Amíg nem aktiválja egy munkacsoport bejelentkezési eljárását, az Access az indításkor láthatatlanul bejelentkezik az összes felhasználóra az alapértelmezett Rendszergazda felhasználói fiókkal, üres jelszóval. A színfalak mögött az Access az Rendszergazda fiókot használja a munkacsoport rendszergazdai fiókjaként. Az Access a létrehozott adatbázisok és táblák, lekérdezések, űrlapok, jelentések és makrók tulajdonosa (csoportja vagy felhasználója) mellett a Rendszergazda fiókot használja.

A rendszergazdák és a tulajdonosok azért fontosak, mert olyan engedélyekkel rendelkeznek, amelyeket nem lehet elvenni:

• A rendszergazdák (a Rendszergazdák csoport tagjai) mindig megkaphatják a munkacsoportban létrehozott objektumok teljes engedélyeit.

• A táblát, lekérdezést, űrlapot, jelentést vagy makrót birtokló fiókok mindig teljes körű engedélyeket kaphatnak az adott objektumhoz.

• Az adatbázist birtokban lévő fiókok bármikor megnyithatják az adatbázist.

Mivel a Rendszergazda felhasználói fiók pontosan ugyanaz az Access minden példányához, az adatbázis védelmének első lépése a rendszergazdai és tulajdonosi felhasználói fiókok meghatározása (vagy egyetlen felhasználói fiók használata rendszergazdai és tulajdonosi fiókként), majd a Rendszergazda felhasználói fiók eltávolítása a Rendszergazdák csoportból. Ellenkező esetben az Access egy példányával bárki bejelentkezhet a munkacsoportba a Rendszergazda-fiókkal, és teljes körű engedélyekkel rendelkezik a munkacsoport tábláihoz, lekérdezéseihez, űrlapjaihoz, jelentéseihez és makróihoz.

Annyi felhasználói fiókot rendelhet hozzá, amennyit csak szeretne a Rendszergazdák csoporthoz, de csak egy felhasználói fiók rendelkezhet az adatbázissal – a tulajdonosi fiók az a felhasználói fiók, amely aktív az adatbázis létrehozásakor vagy a tulajdonjog átadásakor egy új adatbázis létrehozásával és az adatbázis összes objektumának importálásával. A csoportfiókok azonban birtokolhatnak táblákat, lekérdezéseket, űrlapokat, jelentéseket és makrókat az adatbázisokban.

Megfontolandó szempontok a biztonsági fiókok rendszerezésénél

• Csak felhasználói fiókok jelentkezhetnek be az Accessbe; csoportfiókkal nem tud bejelentkezni.

• Az adatbázis felhasználói számára létrehozott fiókokat abban a munkacsoport-információs fájlban kell tárolni, amelyhez a felhasználók az adatbázis használatakor csatlakozni fognak. Ha egy másik fájlt használ az adatbázis létrehozásához, a fiókok létrehozása előtt módosítsa a fájlt.

• Mindenképpen hozzon létre egy egyedi jelszót a rendszergazda és a felhasználói fiókok számára. A rendszergazdai fiókkal bejelentkező felhasználók mindig teljes körű engedélyeket kaphatnak a munkacsoportban létrehozott táblákhoz, lekérdezésekhez, űrlapokhoz, jelentésekhez és makrókhoz. A tulajdonosi fiókkal bejelentkező felhasználók mindig teljes körű engedélyeket kaphatnak az adott felhasználó tulajdonában lévő objektumokhoz.

A felhasználói és csoportfiókok létrehozása után megtekintheti és kinyomtathatja a köztük lévő kapcsolatokat. Az Access kinyomtat egy jelentést a munkacsoportban lévő fiókokról, amely megjeleníti azokat a csoportokat, amelyekhez az egyes felhasználók tartoznak, valamint azokat a felhasználókat, amelyek az egyes csoportokhoz tartoznak.

A User-Level Biztonsági varázsló elindítása

1. Nyissa meg a felügyelni kívánt .mdb vagy .mde fájlt.

2. Az Adatbáziseszközök lap Felügyelet csoportjában kattintson a Felhasználók és engedélyek alatti nyílra, majd a Felhasználói szintű biztonság varázsló elemre.

3. A varázsló befejezéséhez kövesse az egyes oldalakon található lépéseket.

   Megjegyzések: 

   • A User-Level Biztonsági varázsló létrehoz egy biztonsági másolatot az aktuális Access-adatbázisról ugyanazzal a névvel és egy .bak fájlnévkiterjesztéssel, majd biztonsági intézkedéseket alkalmaz az aktuális adatbázisban kijelölt objektumokra.

   • Ha a jelenlegi Access-adatbázis jelszóval segíti a VBA-kód védelmét, a varázsló kéri a jelszót, amelyet meg kell adnia ahhoz, hogy a varázsló sikeresen végrehajthassa a műveletet.

   • A varázslóval létrehozott jelszavakat a rendszer a User-Level Biztonsági varázsló jelentésében nyomtatja ki, amely a varázsló használatának befejezésekor lesz kinyomtatva. Ezt a jelentést biztonságos helyen kell tárolnia. Ezzel a jelentéssal újra létrehozhatja a munkacsoportfájlt, ha az elveszett vagy sérült.

Mentse a fájl másolatát a fájlban. ACCDB formátum

1. Kattintson a Fájl fülre. Megnyílik a Backstage nézet.

2. A bal oldalon kattintson a Megosztás gombra.

3. A jobb oldalon kattintson az Adatbázis mentése másként elemre, majd az Access-adatbázis (*.accdb) elemre.

   Megjelenik a Mentés másként párbeszédpanel.

4. A Mentés helye listában keresse meg azt a helyet, ahová a konvertált adatbázist menteni szeretné.

5. A Fájl típusa listában válassza az Access 2007–2016-os adatbázis (*.accdb) lehetőséget.

6. Kattintson a Mentés gombra.