Co potřebujete, je podepsat proceduru.
Dovolte mi vypůjčit si nastavení z odkazu, který M.Ali uvedl ve svém komentáři (Uživatelská oprávnění SQL Server k uloženým procedurám a podkladovým tabulkám ):
use Test
go
if exists (select * from sys.syslogins where name = 'UserA')
drop login UserA
create login UserA with password = 'Welcome'
if exists (select * from sys.syslogins where name = 'UserB')
drop login UserB
create login UserB with password = 'Welcome'
if exists (select * from sys.syslogins where name = 'UserC')
drop login UserC
create login UserC with password = 'Welcome'
if exists (select * from sys.tables where name = 'Customers' and schema_name(schema_id) = 'SchemaA')
drop table SchemaA.Customers
if exists (select * from sys.schemas where name = 'SchemaA')
drop schema SchemaA
if exists (select * from sys.sysusers where name = 'UserA')
drop user UserA
if exists (select * from sys.tables where name = 'Orders' and schema_name(schema_id) = 'SchemaB')
drop table SchemaB.Orders
if exists (select * from sys.procedures where name = 'GetCustomerOrderInfo' and schema_name(schema_id) = 'SchemaB')
drop procedure SchemaB.GetCustomerOrderInfo
if exists (select * from sys.schemas where name = 'SchemaB')
drop schema SchemaB
if exists (select * from sys.sysusers where name = 'UserB')
drop user UserB
if exists (select * from sys.sysusers where name = 'UserC')
drop user UserC
create user UserA for login UserA
alter role db_owner add member UserA
go
create schema SchemaA authorization UserA
go
create user UserB for login UserB
alter role db_owner add member UserB
go
create schema SchemaB authorization UserB
go
create user UserC for login UserC
create table SchemaA.Customers (id int identity)
create table SchemaB.Orders (id int identity, CustomerId int)
go
create procedure SchemaB.GetCustomerOrderInfo
as
select *
from SchemaB.Orders o
join SchemaA.Customers c
on c.id = o.CustomerId
go
Toto bylo nastavení, díky Andomaru.
Můžeme dát UserC oprávnění ke spuštění procedury:
grant execute on SchemaB.GetCustomerOrderInfo to UserC
execute as login = 'UserC'
exec SchemaB.GetCustomerOrderInfo
-- The SELECT permission was denied on the object 'Customers', database 'Test', schema 'SchemaA'.
revert
Tohle nebylo dost dobré. Co můžeme udělat, je vytvořit certifikát v databázi, databázového uživatele na tomto certifikátu, dát tomuto uživateli příslušná oprávnění (role db_owner v tomto příkladu) a poté podepsat postup pomocí certifikátu:
create certificate cert_raiser
encryption by password = 'pGFD4bb925DGvbd2439587y'
with subject = 'raiser',
expiry_date = '01/01/2114';
go
create user cert_user from certificate cert_raiser
go
alter role db_owner add member cert_user
go
add signature to SchemaB.GetCustomerOrderInfo
by certificate cert_raiser
with password = 'pGFD4bb925DGvbd2439587y';
go
Teď by to mělo fungovat OK.
Je třeba si uvědomit:uživatele vytvořeného na certifikátu nelze použít jako běžného uživatele, není možné se s ním přihlašovat a nejedná se o bezpečnostní problém; všechna oprávnění, která tomuto uživateli udělíme, budou přidána do kontextu, ve kterém se procedura provede, když přidáme podpis; Pokud změníme postup, musíme jej znovu podepsat.