Autorisieren des Zugriffs auf Objekte und Vorgänge (Analysis Services)

gilt für: SQL Server Analysis Services Azure Analysis Services Fabric/Power BI Premium

Nicht administrative Benutzer erhalten Zugriff auf Cubes, Dimensionen und Miningmodelle in einer SQL Server Analysis Services Datenbank, indem sie Mitglieder einer oder mehrerer Datenbankrollen sind. SQL Server Analysis Services Administratoren erstellen diese Datenbankrollen, erteilen Lese- oder Lese-/Schreibberechtigungen für SQL Server Analysis Services Objekte und weisen Microsoft Windows Benutzer und Gruppen jeder Rolle zu.

SQL Server Analysis Services bestimmt die effektiven Berechtigungen für einen bestimmten Windows Benutzer oder eine Gruppe, indem die Berechtigungen kombiniert werden, die den einzelnen Datenbankrollen zugeordnet sind, zu denen der Benutzer oder die Gruppe gehört. Daher gilt: Wenn eine Datenbankrolle einem Benutzer oder einer Gruppe keine Berechtigung zum Anzeigen einer Dimension, eines Measures oder eines Attributs erteilt, eine andere Datenbankrolle diesem Benutzer oder dieser Gruppe diese Berechtigung jedoch erteilt, dann ist der Benutzer bzw. die Gruppe berechtigt, das Objekt anzuzeigen.

Listen Sie die für Ihre Datenbank definierten Rollen auf

Administratoren können eine einfache DMV-Abfrage in SQL Server Management Studio ausführen, um eine Liste aller rollen abzurufen, die auf dem Server definiert sind.

1. Klicken Sie in SSMS mit der rechten Maustaste auf eine Datenbank, und wählen Sie "Neue Abfrage | MDX" aus.

2. Geben Sie die folgende Abfrage ein, und drücken Sie F5, um sie auszuführen:

   Select * from $SYSTEM.DBSCHEMA_CATALOGS  
   

   Die Ergebnisse umfassen den Datenbanknamen, die Beschreibung, den Rollennamen und das Datum der letzten Änderung. Wenn Sie diese Informationen als Ausgangspunkt verwenden, können Sie mit einzelnen Datenbanken fortfahren, um die Mitgliedschaft und berechtigungen einer bestimmten Rolle zu überprüfen.

Top-down-Übersicht über die Analysis Services-Autorisierung

In diesem Abschnitt wird der grundlegende Workflow zum Konfigurieren von Berechtigungen behandelt.

Schritt 1: Serververwaltung

Entscheiden Sie im ersten Schritt, wer über Administratorrechte auf Serverebene verfügt. Während der Installation muss der lokale Administrator, der SQL Server installiert, mindestens ein Windows-Konto als Analysis Services-Serveradministrator angeben. Serveradministratoren verfügen über alle möglichen Berechtigungen auf einem Server, einschließlich der Berechtigung zum Anzeigen, Ändern und Löschen von Objekten auf dem Server oder zum Anzeigen zugeordneter Daten. Nach Abschluss der Installation kann ein Serveradministrator Konten hinzufügen oder entfernen, um die Mitgliedschaft dieser Rolle zu ändern. Details zu dieser Berechtigungsstufe finden Sie unter Erteilen von Serveradministratorrechten für eine Analysis Services-Instanz .

Schritt 2: Datenbankverwaltung

Nachdem Sie eine tabellarische oder multidimensionale Lösung erstellt haben, stellen Sie sie als Datenbank auf dem Server bereit. Ein Serveradministrator kann Datenbankverwaltungsaufgaben delegieren, indem eine Rolle definiert wird, die über Vollzugriffsberechtigungen für die Datenbank verfügt. Mitglieder dieser Rolle können Objekte in der Datenbank verarbeiten oder abfragen sowie zusätzliche Rollen für den Zugriff auf Cubes, Dimensionen und andere Objekte innerhalb der Datenbank selbst erstellen. Weitere Informationen finden Sie unter Erteilen von Datenbankberechtigungen (Analysis Services).

Schritt 3: Aktivieren des Cube- oder Modellzugriffs für Abfrage- und Verarbeitungsworkloads

Standardmäßig haben nur Server- und Datenbankadministratoren Zugriff auf Cubes oder tabellarische Modelle. Um diese Datenstrukturen anderen Personen in Ihrer Organisation zur Verfügung zu stellen, weisen Sie zusätzliche Rollen zu, die Windows Benutzer- und Gruppenkonten Cubes oder Modellen zuordnen, sowie Berechtigungen, die Leseberechtigungen angeben. Weitere Informationen finden Sie unter Erteilen von Cube- oder Modellberechtigungen (Analysis Services).

Sie können Verarbeitungsaufgaben von anderen administrativen Funktionen isolieren. Dies ermöglicht es Server- und Datenbankadministratoren, diese Aufgabe an andere Personen zu delegieren oder die unbeaufsichtigte Verarbeitung zu konfigurieren, indem sie Dienstkonten angeben, unter denen eine Software für die Zeitplanung ausgeführt wird. Weitere Informationen finden Sie unter Erteilen von Prozessberechtigungen (Analysis Services).

Schritt 4 (Optional): Zulassen oder Verweigern des Zugriffs auf Innenwürfelobjekte

SQL Server Analysis Services bietet Sicherheitseinstellungen zum Festlegen von Berechtigungen für einzelne Objekte, einschließlich Dimensionsmember und Zellen innerhalb eines Datenmodells. Weitere Informationen finden Sie unter "Gewähren des benutzerdefinierten Zugriffs auf Dimensionsdaten (Analysis Services) und Gewähren des benutzerdefinierten Zugriffs auf Zelldaten (Analysis Services)".

Sie können berechtigungen auch je nach Benutzeridentität variieren. Diese Variation wird häufig als dynamische Sicherheit bezeichnet und mithilfe der UserName (MDX) -Funktion implementiert.

Bewährte Methoden

Um Berechtigungen besser zu verwalten, verwenden Sie einen Ansatz, der den folgenden Schritten ähnelt:

1. Erstellen Sie Rollen nach Funktion (z. B. dbadmin, cubedeveloper, processadmin), damit jeder, der die Rollen verwaltet, auf einen Blick sehen kann, was die Rolle zulässt. Wie an anderer Stelle erwähnt, können Sie Rollen in der Modelldefinition definieren und somit diese Rollen über nachfolgende Lösungsbereitstellungen beibehalten.

2. Erstellen Sie eine entsprechende Windows Sicherheitsgruppe in Active Directory, und verwalten Sie dann die Sicherheitsgruppe in Active Directory, um sicherzustellen, dass sie die entsprechenden einzelnen Konten enthält. Bei diesem Ansatz liegt die Verantwortung für die Mitgliedschaft in Sicherheitsgruppen bei Sicherheitsspezialisten, die bereits mit den Tools und Prozessen vertraut sind, die in Ihrer Organisation für die Kontoverwaltung verwendet werden.

3. Generieren Sie Skripts in SQL Server Management Studio, damit Sie Rollenzuweisungen schnell replizieren können, wenn das Modell von den Quelldateien auf einem Server erneut bereitgestellt wird. Ausführliche Informationen zum schnellen Generieren eines Skripts finden Sie unter Erteilen von Cube- oder Modellberechtigungen (Analysis Services ).

4. Übernehmen Sie eine Benennungskonvention, die den Umfang und die Mitgliedschaft der Rolle widerspiegelt. Rollennamen sind nur in Entwurfs- und Verwaltungstools sichtbar. Verwenden Sie daher eine Benennungskonvention, die für Ihre Cubesicherheitsspezialisten sinnvoll ist. Beispielsweise gibt processadmin-windowsgroup1 Lesezugriff sowie Verarbeitungsrechte an Personen in Ihrer Organisation an, deren einzelne Windows-Benutzerkonten Mitglieder der Sicherheitsgruppe "windowsgroup1 " sind.

   Das Einschließen von Kontoinformationen kann Ihnen helfen, nachzuverfolgen, welche Konten in verschiedenen Rollen verwendet werden. Da Rollen additiv sind, bilden die kombinierten Rollen, die windowsgroup1 zugeordnet sind, den effektiven Berechtigungssatz für Personen, die zu dieser Sicherheitsgruppe gehören.

5. Cubeentwickler benötigen Vollzugriffsberechtigungen für Modelle und Datenbanken in der Entwicklung, benötigen jedoch nur Leseberechtigungen, sobald eine Datenbank auf einem Produktionsserver bereitgestellt wird. Denken Sie daran, Rollendefinitionen und Zuweisungen für alle Szenarien zu entwickeln, einschließlich Entwicklungs-, Test- und Produktionsbereitstellungen.

Die Verwendung eines Ansatzes wie diesem minimiert Änderungen an Rollendefinitionen und Rollenmitgliedschaften im Modell und bietet Einblicke in Rollenzuweisungen, mit denen Würfelberechtigungen einfacher implementiert und verwaltet werden können.

Siehe auch

Erteilen von Serveradministratorrechten für eine Analysis Services-Instanz
Rollen und Berechtigungen (Analysis Services)
Von Analysis Services unterstützte Authentifizierungsmethoden