应用程序池用户无法执行存储过程

Question

背景

我正在使用 SQL Server 2008 R2 的全文搜索来检索一些文档，并希望使用 sys.dm_fts_parser 的结果来突出显示匹配的术语。

这样做通常需要应用用户不应该拥有的权限。有一个解决方案proposed on MSDN 以及一个deleted question/answer on StackOverflow（参见why it was deleted）。

问题

我正在尝试实施解决方案，但无法向 IIS 应用程序池用户授予 执行 权限。

我的尝试

在安全/登录下的 SSMS 中，我创建了一个用户 IIS APPPOOL\My App。我授予该用户 db_datareader 和 db_datawriter 访问表的权限，并且效果很好。

再次在 SSMS 中：

• 在 MyDB / 可编程性 / 存储过程下，我右键单击 dbo.usp_fts_parser
• 选择属性、权限。
• 点击搜索...
• 添加IIS APPPOOL\My App
• 在显式选项卡上，执行行我检查授予
• 点击确定

问题

为什么这个授权不足以执行dbo.usp_fts_parser？

备注

• 我可以通过以管理员身份登录的 SSMS 执行它。
• 如果我暂时将 sysadmin 服务器角色授予IIS APPPOOL\My App，则代码能够执行dbo.usp_fts_parser

Answer 1

如果你看官方MSDN help for this system function那么你会发现它实际上需要，

权限

需要 sysadmin 固定服务器角色的成员身份和访问权限 指定停止列表的权利。

就像说的那样，该用户必须是 sysadmin 固定服务器角色的成员。我认为没有任何解决方法。

Answer 2

这是最初发布在https://stackoverflow.com/questions/3816023/sys-dm-fts-parser-permission/3816407#3816407的答案：

在您的数据库中：

create procedure usp_fts_parser
    @query nvarchar(max)
with execute as caller
as
select * from sys.dm_fts_parser(@query, 1033, 0, 0);
go

grant execute on usp_fts_parser to [<some low priviledged user>]
go

create certificate sign_fts_parser
    encryption by password = 'Password#1234'
    with subject = 'sign_fts_parser';
go

add signature to object::usp_fts_parser
by certificate sign_fts_parser with password = 'Password#1234';
go

alter certificate sign_fts_parser
remove private key;
go

backup certificate sign_fts_parser
to file = 'c:\temp\sign_fts_parser.cer';
go

在主人：

create certificate sign_fts_parser
from file = 'c:\temp\sign_fts_parser.cer';
go  

create login login_sign_fts_parser
from certificate sign_fts_parser;
go

grant control server to login_sign_fts_parser;
go

我刚刚在 SQL Server 2008 上测试了这些步骤，并且能够通过低权限登录执行 usp_fts_parser。与原始帖子答案的唯一区别是我在存储过程上添加了显式 GRANT EXECUTE 并删除了单相启用的可信赖步骤。在您的情况下，<low priviledged user> 应该是IIS APPPOOL\My App，假设您在您的 ASP 应用程序中不使用模拟。

调用sys.dm_fts_parser 所需的权限来自过程签名，通过导出和导入master 数据库的证书，该签名具有显式的控制服务器权限（可能的最高权限）。由于证书的私钥已被明确删除，因此无法滥用与此证书相关的高权限，因为它无法再次签署任何内容（私钥永远丢失）。详情请见Module Signing (Database Engine)。

请注意，每次修改存储过程时都必须重复上述步骤。过程中的任何 ALTER 都会导致相关签名的自动、静默删除。丢失模块签名意味着丢失从该签名派生的特权，因此对低特权用户的后续调用 sys.dm_fts_parser 将失败。