Ustawianie lub zmienianie zabezpieczeń na poziomie użytkownika programu Access 2003 w bieżących wersjach programu Access

Podstawy zabezpieczeń na poziomie użytkownika

Zabezpieczenia na poziomie użytkownika w programie Access przypominają mechanizmy zabezpieczeń w systemach opartych na serwerze — używają haseł i uprawnień, aby zezwolić obiektom w bazie danych na dostęp do obiektów w bazie danych lub ograniczyć do nich dostęp. W programie Access 2003 lub starszych wersjach po zaimplementowaniu zabezpieczeń na poziomie użytkownika w bazie danych programu Access administrator bazy danych lub właściciel obiektu może kontrolować akcje, które poszczególni użytkownicy lub grupy użytkowników mogą wykonywać w tabelach, zapytaniach, formularzach, raportach i makrach w bazie danych. Na przykład jedna grupa użytkowników może zmieniać obiekty w bazie danych, inna może wprowadzać dane tylko do niektórych tabel, a trzecia grupa może wyświetlać dane tylko w zbiorze raportów.

Zabezpieczenia na poziomie użytkownika w programie Access 2003 i wcześniejszych wersjach używają kombinacji haseł i uprawnień — zestawu atrybutów określającego rodzaje dostępu użytkownika do danych lub obiektów w bazie danych. Możesz ustawić hasła i uprawnienia dla poszczególnych osób lub grup osób, a te kombinacje haseł i uprawnień staną się kontami zabezpieczeń definiującymi użytkowników i grupy użytkowników mających dostęp do obiektów w bazie danych. Z kolei połączenie użytkowników i grup jest nazywane grupą roboczą, a program Access przechowuje te informacje w pliku informacyjnym grupy roboczej. Podczas uruchamiania program Access odczytuje plik informacji grupy roboczej i wymusza uprawnienia na podstawie danych zawartych w pliku.

Domyślnie program Access udostępnia wbudowany identyfikator użytkownika i dwie wbudowane grupy. Domyślny identyfikator użytkownika to Administracja, a grupy domyślne to Użytkownicy i Administratorzy. Domyślnie program Access dodaje wbudowany identyfikator użytkownika do grupy Użytkownicy, ponieważ wszystkie identyfikatory muszą należeć do co najmniej jednej grupy. Z kolei grupa Użytkownicy ma pełne uprawnienia do wszystkich obiektów w bazie danych. Ponadto identyfikator Administracja jest również członkiem grupy Administratorzy. Grupa Administratorzy musi zawierać co najmniej jeden identyfikator użytkownika (musi być administrator bazy danych), a identyfikator Administracja jest domyślnym administratorem bazy danych do czasu jego zmiany.

Po uruchomieniu programu Access 2003 lub starszej wersji program Access przypisuje Ci identyfikator użytkownika Administracja, co powoduje, że jesteś członkiem każdej grupy domyślnej. Ten identyfikator i te grupy (Administracja i Użytkownicy) dają wszystkim użytkownikom pełne uprawnienia do wszystkich obiektów w bazie danych — oznacza to, że każdy użytkownik może otwierać, wyświetlać i zmieniać wszystkie obiekty we wszystkich .mdb plikach, chyba że zaimplementujesz zabezpieczenia na poziomie użytkownika.

Jednym ze sposobów wdrożenia zabezpieczeń na poziomie użytkownika w programie Access 2003 lub starszych wersjach jest zmiana uprawnień grupy Użytkownicy i dodanie nowych administratorów do grup Administratorzy. Gdy to zrobisz, program Access automatycznie przypisze nowych użytkowników do grupy Użytkownicy. Wykonując te czynności, użytkownicy muszą logować się przy użyciu hasła przy każdym otwarciu chronionej bazy danych. Jeśli jednak musisz zaimplementować bardziej szczegółowe zabezpieczenia — na przykład zezwolić jednej grupie użytkowników na wprowadzanie danych, a druga tylko odczytywać te dane — musisz utworzyć dodatkowych użytkowników i grupy oraz przyznać im określone uprawnienia do niektórych lub wszystkich obiektów w bazie danych. Wdrożenie tego typu zabezpieczeń na poziomie użytkownika może stać się złożonym zadaniem. Aby uprościć ten proces, program Access udostępnia Kreatora zabezpieczeń User-Level, który ułatwia tworzenie użytkowników i grup w procesie jednoetapowym.

Kreator zabezpieczeń User-Level ułatwia przypisywanie uprawnień oraz tworzenie kont użytkowników i grup. Konta użytkowników zawierają nazwy użytkowników i unikatowe identyfikatory OSOBISTE potrzebne do zarządzania uprawnieniami użytkownika do wyświetlania, używania i zmieniania obiektów bazy danych w grupie roboczej programu Access. Konta grupy to zbiór kont użytkowników, które z kolei znajdują się w grupie roboczej. Program Access identyfikuje każdą grupę roboczą za pomocą nazwy grupy i identyfikatora PID, a uprawnienia przypisane do grupy dotyczą wszystkich użytkowników w grupie. Aby uzyskać więcej informacji na temat korzystania z kreatora, zobacz Ustawianie zabezpieczeń na poziomie użytkownika w dalszej części tego artykułu.

Po ukończeniu pracy kreatora możesz ręcznie przypisywać, modyfikować lub usuwać uprawnienia kont użytkowników i grup w grupie roboczej dla bazy danych i jej istniejących tabel, zapytań, formularzy, raportów i makr. Możesz również ustawić domyślne uprawnienia przypisywane przez program Access do wszystkich nowych tabel, zapytań, formularzy, raportów i makr dodanych przez Ciebie lub innego użytkownika do bazy danych.

Pliki informacyjne grup roboczych i grup roboczych

W programie Access 2003 i wcześniejszych wersjach grupa robocza to grupa użytkowników w środowisku z wieloma użytkownikami, którzy udostępniają dane. Plik informacji grupy roboczej zawiera konta użytkowników i grup, hasła i uprawnienia ustawione dla poszczególnych użytkowników lub grup użytkowników. Po otwarciu bazy danych program Access odczytuje dane z pliku informacji grupy roboczej i wymusza ustawienia zabezpieczeń zawarte w pliku. Z kolei konto użytkownika to połączenie nazwy użytkownika i identyfikatora osobistego (PID), które program Access tworzy w celu zarządzania uprawnieniami użytkownika. Konta grupy to zbiory kont użytkowników, a program Access identyfikuje je również według nazwy grupy i identyfikatora osobistego (PID). Uprawnienia przypisane do grupy dotyczą wszystkich użytkowników w grupie. Tym kontom zabezpieczeń można następnie przypisać uprawnienia do baz danych, tabel, zapytań, formularzy, raportów i makr. Same uprawnienia są przechowywane w bazie danych z włączonymi zabezpieczeniami.

Przy pierwszym uruchomieniu programu Access 2003 lub starszej wersji program Access automatycznie tworzy plik informacji grupy roboczej programu Access oznaczony nazwą i informacjami o organizacji określonymi przez użytkownika podczas instalowania programu Access. W przypadku programu Access 2003 program instalacyjny dodaje względną lokalizację tego pliku informacji grupy roboczej do następujących kluczy rejestru:

HKEY_CURRENT_USER\Software\Microsoft\Office\11.0\Access\Jet\4.0\Engines\SystemDB

i

HKEY_USERS\.DEFAULT\Software\Microsoft\Office\11.0\Access\Jet\4.0\Engines\SystemDB

Kolejni użytkownicy odziedziczą domyślną ścieżkę pliku grupy roboczej po wartości w kluczu rejestru HKEY_USERS. Informacje te są często łatwe do określenia, dlatego nieautoryzowani użytkownicy mogą utworzyć inną wersję tego pliku informacji grupy roboczej. W związku z tym nieautoryzowani użytkownicy mogą przyjąć nieodwołalne uprawnienia konta administratora (członka grupy Administratorzy) w grupie roboczej zdefiniowanej przez ten plik informacyjny grupy roboczej. Aby uniemożliwić nieautoryzowanym użytkownikom uzyskiwanie tych uprawnień, utwórz nowy plik informacji grupy roboczej i określ identyfikator grupy roboczej (WID), czyli ciąg alfanumeryczny zawierający wielkość liter o długości od 4 do 20 znaków wprowadzony podczas tworzenia nowego pliku informacyjnego grupy roboczej. Utworzenie nowej grupy roboczej jednoznacznie identyfikuje grupę Administracja dla tego pliku grupy roboczej. Tylko osoba znająca identyfikator WID będzie mogła utworzyć kopię pliku informacji grupy roboczej. Aby utworzyć nowy plik, użyj Kreatora zabezpieczeń User-Level.

Jak działają uprawnienia i kto może je przypisywać

Zabezpieczenia na poziomie użytkownika rozpoznają dwa typy uprawnień: jawne i niejawne. Uprawnienia jawne to uprawnienia, które są udzielane bezpośrednio do konta użytkownika; nie ma to wpływu na innych użytkowników. Uprawnienia niejawne to uprawnienia przyznane kontu grupy. Dodanie użytkownika do tej grupy spowoduje udzielenie uprawnień tej grupie do tego użytkownika. usunięcie użytkownika z grupy powoduje odebranie użytkownikowi uprawnień grupy.

Gdy użytkownik próbuje wykonać operację na obiekcie bazy danych, który korzysta z funkcji zabezpieczeń, zestaw uprawnień tego użytkownika jest oparty na przecięciu jawnych i niejawnych uprawnień tego użytkownika. Poziom zabezpieczeń użytkownika jest zawsze najmniej restrykcyjny w przypadku jawnych uprawnień tego użytkownika oraz uprawnień wszystkich grup, do których ten użytkownik należy. Z tego powodu najmniej skomplikowanym sposobem administrowania grupą roboczą jest utworzenie nowych grup i przypisanie uprawnień do grup, a nie poszczególnym użytkownikom. Następnie możesz zmienić uprawnienia poszczególnych użytkowników, dodając lub usuwając tych użytkowników z grup. Ponadto, jeśli chcesz przyznać nowe uprawnienia, możesz udzielić ich wszystkim członkom grupy w ramach jednej operacji.

Uprawnienia dla obiektu bazy danych można zmienić przez:

• Członkowie grupy Administratorzy w pliku informacyjnym grupy roboczej używanej podczas tworzenia bazy danych.

• Właściciel obiektu.

• Każdy użytkownik z uprawnieniami administratora obiektu.

Mimo że użytkownicy mogą nie być w stanie obecnie wykonać akcji, mogą udzielić sobie uprawnień do wykonywania akcji. Ma to miejsce, jeśli użytkownik jest członkiem grupy Administratorzy lub jest właścicielem obiektu.

Właścicielem tego obiektu jest użytkownik tworzący tabelę, zapytanie, formularz, raport lub makro. Ponadto grupa użytkowników, którzy mogą zmieniać uprawnienia w bazie danych, może również zmienić własność tych obiektów lub ponownie utworzyć te obiekty, z których oba są sposobami zmiany własności obiektów. Aby ponownie utworzyć obiekt, możesz utworzyć jego kopię lub zaimportować go z innej bazy danych lub wyeksportować do niej. Jest to najprostszy sposób przeniesienia własności obiektów, w tym samej bazy danych.

Konta zabezpieczeń

Plik informacji grupy roboczej programu Access 2003 zawiera następujące wstępnie zdefiniowane konta.

W efekcie zabezpieczenia w programie Access 2003 i starszych wersjach są zawsze aktywne. Do czasu aktywowania procedury logowania dla grupy roboczej program Access niewidocznie loguje wszystkich użytkowników podczas uruchamiania przy użyciu domyślnego Administracja konta użytkownika przy użyciu pustego hasła. W tle program Access używa konta Administracja jako konta administratora grupy roboczej. Program Access używa konta Administracja oprócz właściciela (grupy lub użytkownika) wszelkich baz danych i tabel, zapytań, formularzy, raportów i makr, które są tworzone.

Administratorzy i właściciele są ważni, ponieważ mają uprawnienia, których nie można odebrać:

• Administratorzy (członkowie grupy Administratorzy) zawsze mogą uzyskać pełne uprawnienia do obiektów utworzonych w grupie roboczej.

• Konto będące właścicielem tabeli, zapytania, formularza, raportu lub makra zawsze może uzyskać pełne uprawnienia do tego obiektu.

• Konto będące właścicielem bazy danych zawsze może otworzyć tę bazę danych.

Ponieważ Administracja konto użytkownika jest dokładnie takie samo dla każdej kopii programu Access, pierwszym krokiem w celu zabezpieczenia bazy danych jest zdefiniowanie kont administratora i właściciela (lub użycie jednego konta użytkownika jako kont administratora i właściciela), a następnie usunięcie konta użytkownika Administracja z grupy Administratorzy. W przeciwnym razie każda osoba z kopią programu Access może zalogować się do grupy roboczej przy użyciu konta Administracja i mieć pełne uprawnienia do tabel, zapytań, formularzy, raportów i makr grupy roboczej.

Do grupy Administratorzy można przypisać dowolną liczbę kont użytkowników, ale tylko jedno konto użytkownika może być właścicielem bazy danych — konto będące właścicielem to konto użytkownika aktywne podczas tworzenia bazy danych lub przeniesienia własności przez utworzenie nowej bazy danych i zaimportowanie do niej wszystkich obiektów bazy danych. Jednak konta grup mogą być właścicielami tabel, zapytań, formularzy, raportów i makr w bazie danych.

Zagadnienia dotyczące organizowania kont zabezpieczeń

• Tylko konta użytkowników mogą logować się do programu Access. nie można zalogować się przy użyciu konta grupy.

• Konta utworzone dla użytkowników bazy danych muszą być przechowywane w pliku informacyjnym grupy roboczej, do którego dołączą ci użytkownicy podczas korzystania z bazy danych. Jeśli tworzysz bazę danych za pomocą innego pliku, zmień plik przed utworzeniem kont.

• Pamiętaj o utworzeniu unikatowego hasła dla konta administratora i użytkowników. Użytkownik, który może zalogować się przy użyciu konta administratora, zawsze może uzyskać pełne uprawnienia do dowolnych tabel, zapytań, formularzy, raportów i makr utworzonych w grupie roboczej. Użytkownik, który może zalogować się przy użyciu konta właściciela, zawsze może uzyskać pełne uprawnienia do tych obiektów należących do tego użytkownika.

Po utworzeniu kont użytkowników i grup można wyświetlać i drukować relacje między nimi. Program Access drukuje raport dotyczący kont w grupie roboczej zawierający grupy, do których należy każdy użytkownik, oraz użytkowników należących do każdej grupy.

Uruchamianie Kreatora zabezpieczeń User-Level

1. Otwórz plik .mdb lub mde, który chcesz administrować.

2. Na karcie Narzędzia bazy danych w grupie Administrowanie kliknij strzałkę poniżej pozycji Użytkownicy i uprawnienia, a następnie kliknij pozycję Kreator zabezpieczeń na poziomie użytkownika.

3. Postępuj zgodnie z instrukcjami na każdej stronie, aby ukończyć kreatora.

   Uwagi: 

   • Kreator zabezpieczeń User-Level tworzy kopię zapasową bieżącej bazy danych programu Access o tej samej nazwie i rozszerzeniu nazwy pliku .bak, a następnie stosuje środki zabezpieczeń dla wybranych obiektów w bieżącej bazie danych.

   • Jeśli bieżąca baza danych programu Access pomaga chronić kod języka VBA za pomocą hasła, kreator wyświetli monit o podanie hasła, które należy wprowadzić, aby kreator pomyślnie zakończył działanie.

   • Wszystkie hasła utworzone za pomocą kreatora są drukowane w raporcie Kreatora zabezpieczeń User-Level, który jest drukowany po zakończeniu korzystania z kreatora. Należy przechowywać ten raport w bezpiecznym miejscu. Za pomocą tego raportu możesz ponownie utworzyć plik grupy roboczej w przypadku jego utraty lub uszkodzenia.

Zapisz kopię pliku w . Format ACCDB

1. Kliknij kartę Plik. Zostanie otwarty widok Backstage.

2. Po lewej stronie kliknij pozycję Udostępnij.

3. Po prawej stronie kliknij pozycję Zapisz bazę danych jako, a następnie kliknij pozycję Baza danych programu Access (*.accdb).

   Zostanie wyświetlone okno dialogowe Zapisywanie jako.

4. Lista Zapisz w umożliwia znalezienie lokalizacji umożliwiającej zapisanie przekonwertowanej bazy danych.

5. Z listy Zapisz jako typ wybierz pozycję Baza danych programu Access 2007–2016 (*.accdb).

6. Kliknij przycisk Zapisz.