设置数据库访问

Question

这是在我的Web应用程序查询的某些数据库上设置访问权限的更好方法。 我只能想到一个优点，一个缺点，因此我需要其他一些输入，然后才能做出最终决定。

选项1 – 10个应用程序，10个数据库，每个应用程序1个服务帐户（用户没有直接访问权限）所有查询请求都通过服务帐户到达数据库。 我可以想到的缺点是，没有记录谁发送了请求，只是SA通过请求访问了数据库。

选项2 – 10个应用程序，10个数据库，用户具有直接访问权限（无服务帐户）

来自该应用程序的所有查询请求都直接进入数据库，并且记录每个请求，从而确定谁从哪个应用程序发送了该请求。 通过允许特定应用仅访问完成请求/查询所需的db / tables / columns，可以进一步锁定此设置。 明显的优点是，不会有匿名请求。 所有请求都可以追溯到请求者，而不仅仅是SA。

Answer 1

如果按服务帐户，则指的是应用程序的功能帐户或数据库帐户。 这是要走的路。 如果您需要记录谁发出了请求，则您的应用程序应该具有用户身份验证并记录请求。

每个用户的数据库帐户的另一种选择是不可扩展的，并且如果您必须为每个用户提供一个数据库ID（该用户将使用该数据库ID进行连接），那么这也会带来安全隐患。

通过使应用程序位于用户和数据库之间，您可以将数据库与外部隔离，唯一的访问权限就是应用程序所允许的访问。