ASA在认证的 C2配置中运行所必需的限制
1.不要删除、修改或替换 Adaptive Server Anywhere 安装目录下的任何文件，除了下列文件：
• win32/util_db.ini - 此文件可根据需要进行修改。•win32/asasrv.ini - 此文件可根据需要进行修改或删除。•win32/rebuild.bat - 此文件可根据需要进行修改。•win32/backup.syb - 此文件可根据需要进行修改或删除。•win32/procdebug.bat - 此文件可根据需要进行修改。•win32/custom.SQL - 此文件可根据需要进行修改。•win32/tjava.pdf - 此文件可根据需要进行删除。 |
2.不要在 Adaptive Server Anywhere 安装目录下添加任何新文件。
3.sybase 帐户的口令只应赋予一个人。
4.sybase 帐户的路径不应包含除 %SystemRoot%/system32、%SystemRoot% 和 Adaptive Server Anywhere win32 目录以外的任何目录。
5.仅 向 sybase 帐户授予 " 作为服务登录 " 的特权。
6.DBA 权限非常大。只向需要 DBA 权限的那些用户授予该权限。
DBA 用户的数量应尽可能保持最少。但是，应向每个需要 DBA 权限的用户赋予一个已授予 DBA 权限的单独帐户 （例如，不使用共享的 DBA 帐户）。
7.如果 DBA 还要以不具备 DBA 能力的身份使用数据库，则应该向他们提供两个不同的 Adaptive Server Anywhere 用户帐户：一个有DBA 权限，一个没有 DBA 权限。 DBA 应该只在必要时才使用有
DBA 权限的帐户。
8.在创建新数据库时必须更改 DBA 帐户的口令。
9.新建数据库时，min_password_length 公共选项的值必须至少设置为6。
10.数据库引擎或服务器必须作为 Windows NT 服务运行。 AdaptiveServer Anywhere 只有在作为服务运行时才会被认证。
11.必须在引擎或服务器启动行上指定下列开关
-sc -gd DBA -gk DBA -gl DBA -gu DBA -x namedpipes(TDS=NO) |
执行 dbsvc 实用程序时，会指定引擎或服务器启动行，所以，这些开关必须包括在 dbsvc 命令的 " 详细信息 " 部分。
12.不要使用 -x 参数来启动命名管道以外的任何端口。 Adaptive Server Anywhere 只在独立环境中才被认证。
13.不向任何用户授予 REMOTE_DBA 权限。
14.不向任何用户或组授予对下列系统过程的执行权限：
xp_cmdshellxp_startmailxp_sendmailxp_stopmailxp_read_filexp_write_filesp_audit_stringjava_debug_versionjava_debug_connectjava_debug_disconnectjava_debug_get_existing_vmsjava_debug_free_existing_vmsjava_debug_wait_for_debuggable_vmjava_debug_get_vm_namejava_debug_release_vmjava_debug_attach_to_vmjava_debug_detach_from_vmjava_debug_detach_request在 7 版之后引入的任何系统过程。 |
15.不创建由任何具有 DBA 权限的用户拥有的存储过程或函数。
16.不在由任何具有 DBA 权限的用户拥有的任何表上创建触发器。
17.使用旧数据库之前，要通过运行 dbupgrad 实用程序来升级这些数据库。
18. 数据库必须使用事务日志文件。在创建数据库时不使用 -n 开关（无事务日志），不在数据库上执行 dblog -n （不使用事务日志或镜像）。
19.所有数据库、事务日志、 dbspace、写文件和镜像文件都应当存储在非共享的、受保护的目录中。
20. 在引擎或服务器中禁止使用 java.net 包。在数据库中运行的 Java 将无法使用该包。
21.java_input_output 公共选项必须始终设置为 OFF （缺省值）。
22.不创建名为 guest 的数据库用户。这样的用户将允许任何 WindowsNT 用户使用集成登录连接到数据库。
23.在数据库安装过程中总是将 login_mode 公共选项设置为 Integrated（集成）。
24.到数据库的所有连接都必须使用集成登录机制。到数据库的标准连接 （即，那些指定用户 ID 和口令的连接）不允许在认证的配置中使用。
25.所有集成登录映射都必须是一对一的。不允许将两个 Windows NT用户名映射到同一个数据库用户。
26.嵌入式 SQL 程序不能使用 db_delete_file 函数，因为要删除的文件的名称不会进行审计。
27.不向任何非 DBA 用户授予对 sys.sysuserperm 或 sys.syslogin 的SELECT 访问权限。
（责任编辑：卢兆林）
