Negue permissões em uma coleção de esquemas XML

Aplica-se a:SQL ServerBanco de Dados SQL do AzureInstância Gerenciada de SQL do AzureBanco de dados SQL no Microsoft Fabric

Permissões podem ser negadas para criar uma nova coleção de esquema XML ou para usar uma coleção existente.

Negar permissão para criar uma coleção de esquema XML

É possível negar permissão para criar uma coleção de esquema XML das seguintes maneiras:

• Negar a permissão ALTER no esquema relacional.

• Negar CONTROL no esquema relacional para negar todas as permissões no esquema relacional e em todos os objetos contidos nele.

• Negar ALTER ANY SCHEMA no banco de dados. Nesse caso, o principal não pode criar uma coleção de esquemas XML em nenhum lugar do banco de dados. Observe também que negar a permissão ALTER ou CONTROL no banco de dados nega todas as permissões em todos os objetos do banco de dados.

Negar permissões em um objeto de coleção de esquema XML

A lista a seguir apresenta as permissões que podem ser negadas em uma coleção de esquema XML existente e seus resultados:

• Negar a permissão ALTER impede o principal de modificar o conteúdo da coleção de esquemas XML.

• Negar a permissão CONTROL impede o principal de executar qualquer operação na coleção de esquemas XML.

• Negar a permissão REFERENCES nega a capacidade da entidade de segurança de digitar ou restringir colunas e parâmetros de tipo xml usando a coleção de esquema XML. Isso também nega ao principal a capacidade de referenciar esta coleção de esquemas XML a partir de outras coleções de esquemas XML.

• Negar a permissão VIEW DEFINITION nega ao principal a capacidade de visualizar o conteúdo de uma coleção de esquemas XML.

• Negar a permissão EXECUTE nega ao principal a capacidade de inserir ou atualizar os valores em colunas, variáveis e parâmetros que são tipados ou restringidos pela coleção de esquemas XML. Também nega a capacidade da entidade de segurança de consultar os valores nestas colunas e variáveis de tipo xml.

Exemplos

Os cenários nos exemplos a seguir mostram como as permissões de esquema XML funcionam. Cada exemplo cria o banco de dados, os esquemas relacionais e os logons de teste necessários. Esses logins recebem a concessão das permissões necessárias para a coleção de esquemas XML. Cada exemplo faz a limpeza necessária ao final.

A. Impedindo que um usuário crie uma coleção de esquema XML

Uma das maneiras de impedir que um usuário crie uma coleção de esquema XML é negar a permissão ALTER em um esquema relacional. Isso é mostrado no exemplo a seguir.

O exemplo cria um usuário, TestLogin1, e um banco de dados. Ele também cria um esquema relacional, além do esquema dbo , no banco de dados. Inicialmente, a permissão CREATE XML SCHEMA permite que o usuário crie uma coleção de esquema em qualquer lugar no banco de dados. Em seguida, o exemplo nega permissão ALTER ao usuário em um dos esquemas relacionais. Isto impede que o usuário crie uma coleção de esquema XML naquele esquema relacional.

CREATE LOGIN TestLogin1 WITH password='SQLSvrPwd1';
GO
CREATE DATABASE SampleDBForSchemaPermissions;
GO
USE SampleDBForSchemaPermissions;
GO
-- Create another relational schema in the database.
CREATE SCHEMA myOtherDBSchema;
GO
CREATE USER TestLogin1;
GO
-- For TestLogin1 to create/import XML schema collection, following
-- permission needed.
-- Database-level permissions
GRANT CREATE XML SCHEMA COLLECTION TO TestLogin1;
GO
GRANT ALTER ANY SCHEMA TO TestLogin1;
GO
-- Now TestLogin1 can import an XML schema collection.
SETUSER 'TestLogin1';
GO
CREATE XML SCHEMA COLLECTION myOtherDBSchema.myTestSchemaCollection AS '<?xml version="1.0" encoding="UTF-8" ?>
<xsd:schema targetNamespace="https://schemas.adventure-works.com/Additional/ContactInfo"
            xmlns:xsd="http://www.w3.org/2001/XMLSchema"
elementFormDefault="qualified">
<xsd:element name="telephone" type="xsd:string" />
</xsd:schema>';
GO
DROP XML SCHEMA COLLECTION myOtherDBSchema.myTestSchemaCollection;
GO
-- Now deny permission from TestLogin1 to alter myOtherDBSchema.
SETUSER;
GO
DENY ALTER ON SCHEMA::myOtherDBSchema TO TestLogin1;
GO
-- Now TestLogin1 cannot create xml schema collection.
SETUSER 'TestLogin1';
GO
CREATE XML SCHEMA COLLECTION myOtherDBSchema.myTestSchemaCollection AS '<?xml version="1.0" encoding="UTF-8" ?>
<xsd:schema targetNamespace="https://schemas.adventure-works.com/Additional/ContactInfo"
            xmlns:xsd="http://www.w3.org/2001/XMLSchema"
elementFormDefault="qualified">
<xsd:element name="telephone" type="xsd:string" />
</xsd:schema>';
GO
-- Final cleanup
SETUSER;
GO
USE master;
GO
DROP DATABASE SampleDBForSchemaPermissions;
GO
DROP LOGIN TestLogin1;
GO

B. Negando permissões em uma coleção de esquemas XML

O exemplo a seguir mostra como uma permissão específica em uma coleção de esquemas XML existente pode ser negada a um login. Neste exemplo, a permissão REFERENCES é negada para um login de teste em uma coleção de esquemas XML existente.

O exemplo cria um usuário, TestLogin1, e um banco de dados. Ele também cria um esquema relacional, além do esquema dbo , no banco de dados. Inicialmente, a permissão CREATE XML SCHEMA permite que o usuário crie uma coleção de esquema em qualquer lugar no banco de dados.

A permissão REFERENCES na coleção de esquemas XML permite que TestLogin1 use o esquema na criação de uma coluna xml tipada em uma tabela. Se a permissão REFERENCES na coleção de esquema XML for negada, ela impedirá que o TestLogin1 use a coleção de esquema XML.

CREATE LOGIN TestLogin1 WITH password='SQLSvrPwd1';
GO
CREATE DATABASE SampleDBForSchemaPermissions;
GO
USE SampleDBForSchemaPermissions;
GO
-- Create another relational schema in the database.
CREATE SCHEMA myOtherDBSchema;
GO
CREATE USER TestLogin1;
GO
-- For TestLogin1 to create/import XML schema collection, the following
-- permission is required.
-- Database-level permissions
GRANT CREATE XML SCHEMA COLLECTION TO TestLogin1;
GO
GRANT ALTER ANY SCHEMA TO TestLogin1;
GO
-- Now TestLogin1 can import an XML schema collection.
SETUSER 'TestLogin1';
GO
CREATE XML SCHEMA COLLECTION myOtherDBSchema.myTestSchemaCollection AS '<?xml version="1.0" encoding="UTF-8" ?>
<xsd:schema targetNamespace="https://schemas.adventure-works.com/Additional/ContactInfo"
            xmlns:xsd="http://www.w3.org/2001/XMLSchema"
elementFormDefault="qualified">
<xsd:element name="telephone" type="xsd:string" />
</xsd:schema>';
GO
-- Grant permission to TestLogin1 to create a table and reference the XML schema collection.
SETUSER;
GO
GRANT CREATE TABLE TO TestLogin1;
GO
-- The user also needs REFERENCES permission to use the XML schema collection
-- to create a typed XML column (REFERENCES permission on the schema
-- collection is not needed).
GRANT REFERENCES ON XML SCHEMA COLLECTION::myOtherDBSchema.myTestSchemaCollection
TO TestLogin1;
GO

--TestLogin1 can use the schema.
CREATE TABLE T(i int, x xml (myOtherDBSchema.myTestSchemaCollection));
GO
-- Drop the table.
DROP TABLE T;
GO
-- Now deny REFERENCES permission to TestLogin1 on the schema created previously.
SETUSER;
GO
DENY REFERENCES ON XML SCHEMA COLLECTION::myOtherDBSchema.myTestSchemaCollection TO TestLogin1;

GO
-- Now TestLogin1 cannot create xml schema collection
SETUSER 'TestLogin1';
GO
-- Following statement fails. TestLogin1 does not have REFERENCES
-- permission on the XML schema collection.
CREATE TABLE T(i int, x xml (myOtherDBSchema.myTestSchemaCollection));
GO

-- Final cleanup
SETUSER;
GO
USE master;
GO
DROP DATABASE SampleDBForSchemaPermissions;
GO
DROP LOGIN TestLogin1;
GO

Conteúdo relacionado

• Comparar XML tipado com XML não tipado
• Coleções de esquema XML (SQL Server)
• Requisitos e limitações para coleções de esquema XML no servidor
• DENY Permissões de objeto (Transact-SQL)
• GRANT permissões de objeto (Transact-SQL)
• Dados XML (SQL Server)