<\/p>\n
Im Beitrag „SQL Server: Sicherheit und Benutzerverwaltung“ haben wir gezeigt, wie Sie die Sicherheitsfunktionen für den Zugriff auf SQL Server und SQL Server-Datenbanken für Benutzergruppen und Benutzer einrichten. Damit ist der Zugriff auf die Elemente des SQL Servers geregelt. Was aber ist mit den Objekten im Access-Frontend – also beispielsweise mit Formularen, Schaltflächen, Ribbon-Einträgen und so weiter Wenn wir schon Benutzer und Benutzergruppen im SQL Server einrichten, möchten wir diese ja auch nutzen, um die Elemente der Benutzeroberfläche je nach der Anmeldung für Benutzergruppe oder Benutzer freizugeben oder auch nicht. Ein Beispiel dafür, wie Sie dies realisieren können, liefert der vorliegende Beitrag. In diesem ersten Teil erstellen wir das Datenmodell für die Berechtigungsverwaltung.<\/b><\/p>\n
Mit dem Anlegen von Anmeldungen für Benutzer und Benutzergruppen auf Windows-Basis oder für Benutzer auf SQL-Server-Basis, deren Zuweisung an die verschiedenen Datenbanken und dem Einstellen der Berechtigungen für die Elemente dieser Datenbanken haben Sie schon einen großen Schritt getan: Sie haben dafür gesorgt, dass jeder Benutzer nur auf die Daten zugreifen darf, die für die jeweilige Anmeldung freigegeben sind.<\/p>\n
Nun besitzt eine moderne Access-Anwendung ein Ribbon, mit dem sich die einzelnen Funktionen der Anwendung aufrufen lassen. Normalerweise sind alle Befehle des Ribbons aktiviert und sichtbar. Wenn Sie eine Anwendung erstellen, die von verschiedenen Benutzergruppen genutzt wird, wollen Sie aber möglicherweise nicht immer alle Funktionen für alle Benutzergruppen freischalten. So könnte ein Datenbank-Frontend gleichzeitig die Formulare, Berichte und Funktionen enthalten, die nur für die Bestellannahme erforderlich sind. Die dortigen Mitarbeiter sollen aber vielleicht nicht die Auswertungen sehen, die etwa für das Management interessant sind. Also wollen wir verschiedene Dinge erreichen: Erstens sollen Bereiche, die für bestimmte Benutzergruppen nicht vorgesehen sind, nicht zu öffnen sein. Zweitens sollen auch gar keine Steuer-elemente im Ribbon oder auch in Formularen vorhanden sein, um diese Bereiche zu öffnen – oder zumindest sollen diese deaktiviert werden.<\/p>\n
Die folgende Lösung orientiert sich an der Windows-Authentifizierung, wie wir sie im Beitrag SQL Server: Sicherheit und Benutzerverwaltung <\/b>(www.access-im-unternehmen.de\/1154<\/b>) vorgestellt haben. Das heißt, dass wir die Berechtigungen mit der Benutzergruppen abgleichen, denen die jeweiligen Benutzer angehören.<\/p>\n
Im Einzelnen soll der Ablauf so aussehen, dass der Benutzer sich über seine Windows-Anmeldung und die zugeordnete Benutzergruppe an den SQL Server anmeldet. Dort haben wir bereits ausschließlich Anmeldungen auf Basis der vorhandenen Benutzergruppen vorgesehen. Wenn nun das Ribbon für einen Benutzer geladen wird, soll die Anwendung in einer Tabelle auf dem SQL Server prüfen, ob die Benutzergruppe, welcher der Benutzer angehört, die Berechtigungen zur Anzeige der Steuer-elemente des Ribbons besitzt. Dazu verwenden wir drei Tabellen. Die erste enthält alle Ribbon-Steuerelemente, Formulare, Formular-Steuerelemente und Berichte, für die Berechtigungen geprüft werden sollen. Die zweite enthält die verschiedenen Berechtigungsstufen, in diesem Fall Keine, Lesen <\/b>und Alle<\/b>. Damit sollten alle wichtigen Fälle abgedeckt sein. Sie können diese Tabelle aber nach Bedarf selbst erweitern. Die dritte Tabelle ist eine Verknüpfungstabelle zwischen den beiden ersten Tabellen und legt für jedes in der ersten Tabelle aufgeführte Element die Berechtigung aus der zweiten Tabelle fest.<\/p>\n
Nun benötigen wir noch auf Access-Seite entsprechende Prozeduren, die vor dem Anzeigen eines Ribbons, eines Formulars oder eines Berichts aufgerufen werden und für die jeweiligen Elemente prüfen, ob die Benutzergruppe des aktuellen Benutzers diese Elemente nutzen darf. Voraussetzung für die Sicherheit dieser Vorgehensweise ist, dass der Benutzer den Quellcode in der Access-Anwendung nicht einsehen kann.<\/p>\n
Damit Sie die folgenden Beispiele reproduzieren können, legen Sie zwei Benutzergruppen namens Bestellannahme <\/b>und Management <\/b>an sowie zwei Benutzer namens Harry Klein <\/b>und Peter Gross<\/b>. Diese ordnen Sie jeweils einer Benutzergruppe zu. Dabei brauchen Sie nicht umständlich in der Windows-Systemsteuerung zu arbeiten, sondern können dies bequem über die Kommandozeile erledigen. Diese öffnen Sie wie im Beitrag SQL Server: Sicherheit und Benutzerverwaltung <\/b>im Administrator-Modus. Danach brauchen Sie nur noch die folgenden sechs Anweisungen einzugeben und per Eingabetaste auszuführen:<\/p>\n Dann legen Sie wie im gleichen Beitrag beschrieben zwei Anmeldungen im SQL Server Management Studio für die beiden Benutzergruppen Bestellannahme <\/b>und Management <\/b>an. Das können Sie über den Dialog erledigen, aber Sie haben auch die Möglichkeit, schnell ein Skript zu schreiben (oder dieses hier zu kopieren – nicht vergessen, den Platzhalter Das gleiche Skript können Sie noch einmal in leicht geänderter Form ausführen. Diesmal verwenden wir die Anmeldung Danach legen wir einige Berechtigungen für die beiden Benutzergruppen fest. Die Benutzergruppe Management <\/b>soll alle Daten lesen können, aber nicht ändern. Nicht, dass die Manager was kaputtmachen … Die Benutzergruppe Bestellverwaltung <\/b>soll einige Tabellen nur lesen können – zum Beispiel tblAnreden<\/b>, tblArtikel<\/b> oder tblKategorien<\/b> zum Beispiel. Andere Tabellen müssen die Mitglieder dieser Benutzergruppe natürlich auch bearbeiten können – zum Beispiel tblBestellungen <\/b>oder tblBestelldetails<\/b>. Wenn Sie keine Lust haben, in den Dialogen zu arbeiten, können Sie auch hier einige Anweisungen absetzen, was vielleicht übersichtlicher ist – zumal Sie in den Dialogen immer nur die Berechtigungen für eine Tabelle gleichzeitig festlegen können. Um beispielsweise Leserechte für die Tabelle tblArtikel <\/b>für die Benutzergruppe Bestellannahme festzulegen, reicht in einem neuen Abfragefenster der Datenbank Suedsturm_SQL <\/b>die folgende Anweisung:<\/p>\n <\/p>\n Um das Lesen, Anlegen, ändern oder Löschen von Datensätzen in der Tabelle tblBestellungen <\/b>festzulegen, verwenden Sie diese Anweisungen:<\/p>\n Als Nächstes benötigen wir die drei bereits weiter oben beschriebenen Tabellen, in denen wir die Elemente der Benutzeroberfläche, die Berechtigungsstufen und die Verknüpfungen zwischen diesen Elementen speichern.<\/p>\n Die Tabelle tblBerechtigungsstufen <\/b>soll die Felder BerechtigungsstufeID <\/b>und Bezeichnung <\/b>enthalten. Die Tabelle legen wir im SQL Server Management Studio wie in Bild 1 an. Um diesen Dialog zu öffnen, wählen Sie im Kontextmenü Tabelle… <\/b>des Eintrags Suedsturm_SQL|Tabellen <\/b>aus. Nachdem Sie die beiden Felder wie in der Abbildung hinzugefügt haben, legen Sie in den Eigenschaften noch die Identitätsspezifikation für das Feld BerechtigungsstufeID <\/b>fest. Auf diese Weise versehen Sie das Feld mit einem Autowert.<\/p>\n Bild 1: Anlegen der Tabelle tblBerechtigungsstufen<\/span><\/b><\/p>\n Außerdem müssen Sie das Feld BerechtigungsstufeID<\/b> noch als Primärschlüsselfeld markieren. Das erledigen Sie über den Kontextmenü-Eintrag Primärschlüssel festlegen <\/b>(siehe Bild 2).<\/p>\n Bild 2: Festlegen des Primärschlüsselfeldes per Kontextmenü<\/span><\/b><\/p>\n Anschließend fügen wir noch die drei vorgesehenen Werte zur Tabelle hinzu. Dazu öffnen wir diese nach dem Speichern mit dem Kontextmenü-Eintrag Oberste 200 Zeilen bearbeiten<\/b>. Dies öffnet eine Art Datenblattansicht der Tabelle, wo Sie die drei Datensätze wie in Bild 3 eingeben.<\/p>\n Bild 3: Hinzufügen von Datensätzen zur Tabelle tblBerechtigungsstufen<\/span><\/b><\/p>\n Die zweite Tabelle heißt tblObjekte <\/b>und soll alle Formulare, Berichte, Formularsteuerelemente und Ribbon-Steuerelemente aufnehmen, für welche Berechtigungen festgelegt werden sollen. Hier benötigen wir außerdem ein Feld, welches den Objekttyp speichert – also ob es sich um ein Formular, einen Bericht, ein Steuer-element in einem Formular oder eines in einem Ribbon handelt. Zu diesem Zweck legen wir noch eine weitere Tabelle an, welche die unterschiedlichen Objekttypen aufnimmt. Diese Tabelle heißt tblObjekttypen <\/b>und soll die beiden Felder Objekttyp-ID <\/b>und Bezeichnung <\/b>aufnehmen.<\/p>\n Auch für das Primärschlüsselfeld dieser Tabelle legen wir eine Identitätsspezifikation fest, damit sich das Feld wie ein Autowert-Feld unter Access verhält. Und natürlich soll auch hier das Feld ObjekttypID<\/b> als Primärschlüsselfeld markiert werden. Der Entwurf der Tabelle sieht wie in Bild 4 aus.<\/p>\n Bild 4: Anlegen der Tabelle tblObjekttypen<\/span><\/b><\/p>\n Anschließend füllen wir die Tabelle wie in Bild 5.<\/p>\n Bild 5: Füllen der Tabelle tblObjekttypen<\/span><\/b><\/p>\n Wenn Sie eine Tabelle einmal gespeichert haben und dann noch änderungen wie etwa das ändern von Datentypen, Indizes et cetera vornehmen, kann es sein, dass dies nicht möglich ist – SQL Server Management Studio zeigt dann eine Meldung, dass die änderung nur durch Löschen und Neuanlegen der Tabelle möglich ist und das aktuell nicht funktioniert. Wie Sie dieses Problem lösen, erfahren Sie im Beitrag SQL Server: Tabellendefinition ändern <\/b>(www.access-im-unternehmen.de\/1163<\/b>).<\/p>\n Die nächste Tabelle soll tblObjekte <\/b>heißen. Sie enthält neben dem Primärschlüsselfeld, dem Feld Bezeichnung <\/b>und dem Feld Uebergeordnet <\/b>ein Fremdschlüsselfeld, mit dem die Einträge der Tabelle tblObjekttypen <\/b>referenziert werden können. Das Feld Uebergeordnet <\/b>nimmt im Falle eines Formulars den Formularnamen auf.<\/p>\n Um das Fremdschlüsselfeld anzulegen, fügen wir zunächst ein Feld namens ObjekttypID <\/b>mit dem Datentyp int <\/b>hinzu. Um das Fremdschlüsselfeld einzurichten, klicken Sie mit der rechten Maustaste auf das Feld ObjekttypID <\/b>und wählen aus dem Kontextmenü den Eintrag Bezeichnungen… <\/b>aus (siehe Bild 6).<\/p>\n Bild 6: Entwurf der Tabelle tblObjekte<\/span><\/b><\/p>\n Es erscheint der Dialog Fremdschlüsselbeziehungen<\/b>. Hier klicken Sie auf Hinzufügen<\/b>. Der folgende Dialog (siehe Bild 7) bietet über die Schaltfläche mit den drei Punkten rechts neben der Eigenschaft Tabellen- und Spaltenspezifikation <\/b>die Möglichkeit, einen weiteren Dialog zu öffnen.<\/p>\n Bild 7: Hinzufügen eines Fremdschlüssels<\/span><\/b><\/p>\n Dieser Dialog namens Tabellen und Spalten <\/b>erlaubt schließlich, die gewünschte Zuordnung für die Fremdschlüsselbeziehung durchzuführen (siehe Bild 8). Hier wählen Sie also aus dem Kombinationsfeld links den Eintrag tblObjekttypen <\/b>aus, also die Tabelle, die das an der Beziehung beteiligte Primärschlüsselfeld liefert. Als Feld wählen wir das Primärschlüsselfeld dieser Tabelle aus.<\/p>\n Bild 8: Auswahl des an der Beziehung beteiligten Feldes der Fremdschlüsseltabelle<\/span><\/b><\/p>\n Auf der rechten Seite stellen wir das Fremdschlüsselfeld ein. Als Tabelle ist tblObjekte <\/b>bereits festgelegt. Als Feld verwenden wir das hier vorbereitete Feld ObjekttypID<\/b>. Nach einem Klick auf OK<\/b> schließt sich der Dialog.<\/p>\n Im Dialog Fremdschlüsselbeziehungen <\/b>können wir nun durch Erweitern der Eigenschaft Tabellen- und Spaltenspezifik <\/b>die soeben festgelegten Tabellen und Felder einsehen (siehe Bild 9).<\/p>\n Bild 9: Die zuvor eingestellten Beziehungseigenschaften<\/span><\/b><\/p>\n Eine letzte Information fehlt noch – nämlich ein eindeutiger, zusammenhängender Schlüssel für die beiden Felder Bezeichnung <\/b>und Uebergeordnet<\/b>. Formulare, Berichte und Formular- sowie Ribbonsteuerelemente sollen ja jeweils nur einmal in der Tabelle vorkommen. Das erledigen wir wiederum über einen Kontextmenü-Eintrag – und zwar für den eines der am Index beteiligten Felder.<\/p>\n Dies öffnet den Dialog Indizes\/Schlüssel<\/b>. Hier ist bereits der Primärschlüssel als erster Eintrag im Feld links aufgeführt. Um den gewünschten Index hinzuzufügen, klicken Sie zunächst auf die Schaltfläche Hinzufügen<\/b>.<\/p>\n Dann klicken Sie auf die Schaltfläche mit den drei Punkten neben der Eigenschaft Spalten <\/b>(siehe Bild 10).<\/p>\n Bild 10: Festlegen eines eindeutigen, zusammengesetzten Indexes<\/span><\/b><\/p>\n Dies öffnet erneut den Dialog Indexspalten<\/b>. Hier wählen Sie die beiden Felder Bezeichnung <\/b>und Uebergeordnet <\/b>aus und stellen die Sortierung auf Aufsteigend <\/b>ein (siehe Bild 11).<\/p>\n Bild 11: Auswählen der Felder für den Index<\/span><\/b><\/p>\n Damit kommen wir zurück zum Dialog Indizes\/Schlüssel<\/b>. Hier brauchen wir nun nur noch die Eigenschaft Typ<\/b> auf Eindeutiger Schlüssel <\/b>einzustellen (siehe Bild 12).<\/p>\n Bild 12: Festlegen eines eindeutigen Schlüssels<\/span><\/b><\/p>\n Die nächste Tabelle soll die Benutzergruppen speichern. Die Tabelle besitzt wiederum ein Primärschlüsselfeld namens BenutzergruppeID<\/b> sowie ein Feld namens Bezeichnung<\/b>, das wir mit einem eindeutigen Schlüssel versehen (siehe Bild 13).<\/p>\n Bild 13: Die Tabelle tblBenutzergruppen<\/span><\/b><\/p>\n Diese Tabelle füllen wir einfach mit den beiden Windows-Benutzergruppen, die wir weiter oben angelegt haben, also mit Bestellannahme <\/b>und Management<\/b> (siehe Bild 14).<\/p>\n Bild 14: Die Tabelle tblBenutzergruppen mit Daten<\/span><\/b><\/p>\n Fehlt nur noch die letzte Tabelle, mit der wir die Berechtigungen, die Objekte und die Benutzer zusammenführen. Diese heißt tblObjekteBenutzergruppenBerechtigungsstufen <\/b>und enthält neben dem Primärschlüsselfeld namens ObjektBenutzergruppeBerechtigungsstufeID <\/b>die Fremdschlüsselfelder ObjektID<\/b>, BenutzergruppeID <\/b>und Berechtigungsstufe-ID<\/b>.<\/p>\n Für das Primärschlüsselfeld aktivieren wir wieder die Identitätsspezifikation. Für die drei übrigen Felder fügen wir jeweils die Beziehungen zu den Tabellen tblObjekte<\/b>, tblBenutzergruppen <\/b>und tblBerechtigungsstufen <\/b>hinzu. Außerdem legen wir einen eindeutigen, zusammengesetzten Index für die drei Felder ObjektID<\/b>, BenutzergruppeID <\/b>und BerechtigungsstufeID <\/b>an. Der Entwurf sieht danach wie in Bild 15 aus.<\/p>\nnet.exe USER \/ADD \"Harry Klein\" password\r\nnet.exe USER \/ADD \"Peter Gross\" password\r\nnet.exe LOCALGROUP \/ADD Bestellannahme\r\nnet.exe LOCALGROUP \/ADD Management\r\nnet.exe LOCALGROUP Management \/ADD \"Peter Gross\"\r\nnet.exe LOCALGROUP Bestellannahme \/ADD \"Harry Klein\"<\/pre>\n
USE [master]\r\nGO\r\nCREATE LOGIN [<Server>\\Management] FROM WINDOWS WITH DEFAULT_DATABASE=[Suedsturm_SQL]\r\nGO\r\nUSE [Suedsturm_SQL]\r\nGO\r\nCREATE USER [<Server>\\Management] FOR LOGIN [<Server>\\Management]\r\nGO\r\nALTER ROLE [db_datareader] ADD MEMBER [<Server>\\Management]\r\nGO\r\nALTER ROLE [db_datawriter] ADD MEMBER [<Server>\\Management]\r\nGO<\/pre>\n
Berechtigungen einstellen<\/h2>\n
GRANT SELECT ON [dbo].[tblArtikel] TO [<Server>\\Bestellannahme]\r\nGO<\/pre>\n
GRANT UPDATE ON [dbo].[tblBestellungen] TO [<Server>\\Bestellannahme]\r\nGO\r\nGRANT SELECT ON [dbo].[tblBestellungen] TO [<Server>\\Bestellannahme]\r\nGO\r\nGRANT INSERT ON [dbo].[tblBestellungen] TO [<Server>\\Bestellannahme]\r\nGO\r\nGRANT DELETE ON [dbo].[tblBestellungen] TO [<Server>\\Bestellannahme]\r\nGO<\/pre>\n
Tabellen für die Berechtigungen der Benutzergruppen an den Objekten definieren<\/h2>\n
![\"Anlegen](\"..\/fileadmin\/_temp_\/2018_06\/pic_1159_001.png\")
<\/p>\n![\"Festlegen](\"..\/fileadmin\/_temp_\/2018_06\/pic_1159_008.png\")
<\/p>\n![\"Hinzufügen](\"..\/fileadmin\/_temp_\/2018_06\/pic_1159_002.png\")
<\/p>\nObjekte und Elemente speichern<\/h2>\n
![\"Anlegen](\"..\/fileadmin\/_temp_\/2018_06\/pic_1159_003.png\")
<\/p>\n![\"Füllen](\"..\/fileadmin\/_temp_\/2018_06\/pic_1159_004.png\")
<\/p>\nHinweis: Speichern von änderungen<\/h2>\n
Tabelle zum Speichern der Objekte<\/h2>\n
![\"Entwurf](\"..\/fileadmin\/_temp_\/2018_06\/pic_1159_005.png\")
<\/p>\n![\"Hinzufügen](\"..\/fileadmin\/_temp_\/2018_06\/pic_1159_006.png\")
<\/p>\n![\"Auswahl](\"..\/fileadmin\/_temp_\/2018_06\/pic_1159_007.png\")
<\/p>\n![\"Die](\"..\/fileadmin\/_temp_\/2018_06\/pic_1159_009.png\")
<\/p>\n![\"Festlegen](\"..\/fileadmin\/_temp_\/2018_06\/pic_1159_010.png\")
<\/p>\n![\"Auswählen](\"..\/fileadmin\/_temp_\/2018_06\/pic_1159_011.png\")
<\/p>\n![\"Festlegen](\"..\/fileadmin\/_temp_\/2018_06\/pic_1159_012.png\")
<\/p>\nTabelle der Benutzergruppen<\/h2>\n
![\"Die](\"..\/fileadmin\/_temp_\/2018_06\/pic_1159_013.png\")
<\/p>\n![\"Die](\"..\/fileadmin\/_temp_\/2018_06\/pic_1159_014.png\")
<\/p>\nTabelle zur Zuweisung von Berechtigungen<\/h2>\n
![\"Entwurf](\"..\/fileadmin\/_temp_\/2018_06\/11-09-_2018_11-00-20.png\")
<\/p>\n
![\"Datenbankdiagramm](\"..\/fileadmin\/_temp_\/2018_06\/pic_1159_016.png\")
<\/p>\n