Как предоставить владельцу базы данных (DBO) разрешение на сборку внешнего доступа?

пожалуйста не set TRUSTWORTHY ON если это не абсолютно необходимо! И это должно быть только «необходимо» при загрузке сборки, которую вы не построили и не можете повторно подписать. И это в основном происходит при загрузке библиотек .NET Framework, которые не «поддерживаются» и, следовательно, еще не в узле CLR SQL Server. Вне этих обстоятельств вы не должны устанавливать для базы данных значение TRUSTWORTHY ON как он открывает дыру в безопасности.

вместо этого гораздо лучше делать следующий:

USE [master];
CREATE ASYMMETRIC KEY [SomeKey] AUTHORIZATION [dbo] FROM EXECUTABLE FILE = 'C:pathtoSome.dll';
CREATE LOGIN [SomeLogin] FROM ASYMMETRIC KEY [SomeKey];
GRANT EXTERNAL ACCESS ASSEMBLY TO [SomeLogin]; -- or "UNSAFE" instead of "EXTERNAL ACCESS"

вышеуказанное только нужно сделать раз в экземпляр, в ключ. Поэтому, если вы используете то же самое snk / pfx file для всех ваших сборок, то шаги, показанные выше, должны быть выполнены только один раз на экземпляр SQL Server; количество сборок и баз данных, содержащих эти сборки, не имеет значения.

этот подход позволяет сохранить лучшую безопасность в базе данных (сохраняя TRUSTWORTHY значение OFF) и обеспечивает более точный контроль из которых сборкам даже разрешено устанавливать значение EXTERNAL_ACCESS и/или UNSAFE (поскольку вы можете отделиться, используя разные ключи для подписи и входа в систему на основе этих разных ключей).

однако, если вы должны использовать TRUSTWORTHY ON метод, тогда владелец базы данных не должен быть sa. Требование заключается лишь в том, что логин, зарегистрированный как владелец базы данных, был предоставлен либо EXTERNAL ACCESS ASSEMBLY или UNSAFE ASSEMBLY (те же два разрешения, показанные выше для асимметричного Ключ-вход).

более подробное описание параметров безопасности см. В следующей статье, которую я написал в SQL Server Central:лестница на уровень 4 SQLCLR: безопасность (внешние и небезопасные сборки) (требуется бесплатная регистрация).

подробные сведения о том, как автоматизировать это с помощью Visual Studio / SSDT, см. В следующих 3 статьях (серия из 3 частей), также на SQL Server Центральный:

кроме того, с момента написания этих 3 статей я придумал более простой метод с использованием шаблонов T4, но еще не успел это написать. Когда я это сделаю, я обновлю это ответ со ссылкой на эту статью.

SQL Server 2022 представил новое осложнение в виде параметра конфигурации уровня сервера с именем «CLR strict security». Он включен по умолчанию и требует, чтобы все сборки, даже помеченные как SAFE, подписываться сертификатом или асимметричным ключом, иметь соответствующий логин,и что логин имеет UNSAFE ASSEMBLY разрешение предоставлено (недостаточно хорошо, чтобы предоставить EXTERNAL ACCESS ASSEMBLY). Смотрите мое ответьте на следующий вопрос S. O. для получения более подробной информации об этой новой «функции»:

CLR строгая безопасность на SQL Server 2022