Comprendre et mettre en oeuvre la sécurité sous Microsoft Access

Date de publication : 05/01/1999 , Date de mise à jour : 19/03/2008

Par Fabrice CONSTANS (autres articles)
 

I. Introduction

I-A. Avertissement

L'utilisation de la touche F1 est vivement conseillée à tous les stades de l'utilisation d'ACCESS. L'amélioration constante de l'aide en fait un partenaire de choix dans l'apprentissage permanent d'ACCESS. Personnellement, je ne peux m'en passer, ne serait-ce que pour mémoire.

Avant d'effectuer les manipulations décritent dans ce tutoriel veillez à faire une sauvegarde des fichiers de votre application.

II. Architecture

II-A. Fichier unique

Architecture fichier unique

• Les accès sont fortement ralentis ;
• L'infrastrucutre surcharge le réseau ;
• Les méthodes de conception à base de tables temporaires deviennent lourdes à gérer ;
• Le blocage d'un utilisateur peut se répercuter sur l'ensemble.

II-B. Fichier Serveur (Pseudo client serveur)

Architecture fichier serveur

III. Sécurité Système

III-A. Concept - Méthode

• Création,
• Modification,
• Suppression.

• Le répertoire contenant l'application appelée Frontale.
• Le répertoire contenant le(s) fichier(s) de données appelé(s) Dorsal(s).

III-B. Utilité des accés et fichier ldb

IV. Sécurité applicative

IV-A. Méthode Compilation MDE

Notez que cette méthode est la plus simple, la plus rapide mais également la plus efficace.

IV-A-1. Contraintes

• le code soit exempt de toute erreur de compilation même si le code contenant les erreurs n'est jamais exécuté ;
• Il ne faut pas que le code modifie les objets en mode création.

Même si on le dit "compilé" ce fichier n'est pas directement exécutable par le système. Vous aurez toujours besoin de Microsoft ACCESS ou de son Runtime (livré sur le CD-ROM à partir de la version 2002 Professionnal) pour l'utiliser.

IV-A-2. Générer un fichier MDE

1. Commencez par ouvrir votre application.
2. Rendez-vous dans le menu Outils et choisissez le sous-menu Utilitaires de base de données et l'option Créer un fichier MDE...
   
3. A l'ouverture de la fenêtre Enregistrer Fichier, donnez un nom au nouveau fichier (en principe le même que l'application d'origine)
   
4. Cliquez sur Enregistrer

Explicite ?

Pour trouver l'erreur (ou les erreurs) ouvrez un module VBA (module ou formulaire) et compilez l'ensemble du code. Menu Débogage option Compiler "nom du fichier". Corrigez les erreurs signalées et recommencez jusqu'à ce qu'il n'y en ait plus.

Notez que pour un projet (fichier ADP) il y a également une version "compilée", l'extension de ce type de fichier est ADE.

IV-B. Méthode Mot de passe

IV-B-1. Mot de passe au démarrage

IV-B-1-a. Mettre en place ce mot de passe

1. Ouvrez l'application en mode exclusif,
   
2. Allez dans le menu Outils sous-menu Sécurité
3. Option Définir le mot de passe pour la base de données.
   
4. La fenêtre de définition du mot de passe apparaît. Entrez le mot de passe de votre choix. Il peut être composé d'un maximu de 20 caractères.
   

IV-B-1-b. Retirer le mot de passe

• Ouvrez l'application en mode exclusif.
  
• Allez dans le menu Outils sous-menu Sécurité
• Option Définir le mot de passe pour la base de données.
  
• La fenêtre de définition du mot de passe apparaît. Entrez le mot de passe de votre choix. Il peut être composé d'un maximum de 20 caractères.
  

Ce message est exclusif...

IV-C. Méthode Mot de passe sur le code

• Ouvrez n'importe quel module (ou module de formulaire ou d'état)
• Ouvrez le menu Outils, Propriétés "Nom de la base"
• Cliquez sur l'onglet Protection
  
• Cochez la case Verrouillez le projet pour l'affichage
• Entrez le mot de passe dans les 2 zones de texte.

Aucun mot de passe n'est inviolable et il existe de nombreux produits shareware ou freeware pour retrouver les mots de passe des fichiers Office. Mon conseil est d'éviter la protection à partir d'un mot de passe sauf si vous y êtes contraint.

V. Bases de la Sécurité utilisateur

V-A. Théorie

V-B. Définition et organisation des groupes, utilisateurs, droits...

Organisation

V-B-1. Groupe de travail

1. Elle peut être utilisée par une ou plusieurs applications.
2. On ne peut utiliser plusieurs groupes de travail pour une seule application.
3. On peut changer de groupe de travail automatiquement ou manuellement.

V-B-2. Groupe d'utilisateurs

1. Le groupe possède des droits
2. Il y a plusieurs groupes d'utilisateurs dans un groupe de travail.
3. Les groupes d'utilisateur natifs Administrateurs, Utilisateurs qui ne peuvent être effacés.

V-B-3. Compte d'utilisateur

• Il est obligatoirement inscrit dans le groupe Utilisateurs.
• Il peut être inscrit dans plusieurs groupes.
• Il hérite des droits de chaque groupe dans lesquel il est inscrit.
• Les utilisateurs natifs Administrateur, Utilisateur et Engine ne peuvent être supprimés.

V-B-4. Droits

V-B-5. Objets

• Base de données
• Tables
• Requêtes
• Formulaires
• Etats
• Macro

Remarquez que les Modules et les Pages ne figurent pas dans la liste des objets pouvant être sécurisés. Un nouvel objet fait par contre son apparition, il s'agit de la Base de données.

Pour les Modules et dans le cas ou vous ne pouvez pas mettre en place la protection par compilation vous pouvez vous servir de la protection par mot de passe sur le code.

V-B-6. Héritage

• Le groupe 1 a le droit de supprimer les données,
• Le groupe 2 a le droit de modifier les données,
• L'utilisateur A a le droit d'ajouter des données.

• L'utilisateur hérite des droits du (ou des) groupe(s) dans lequel il est inscrit.
• Ces propres droits sont prioritaires sur ceux du groupe.
• Les droits déclarés pour un utilisateur n'est valide que pour lui.
• Un utilisateur cumule les droits de tous les groupes dans lesquels il est inscrit en plus des siens.
• En aucun cas un utilisateur étant inscrit dans le même groupe qu'un autre utilisateur bénéficiera des droits de ce dernier.
• Seul le droit d'Administrer ne peut être hérité il est toujours lié à un compte d'utilisateur.

V-B-7. Propriétaire

• Il ne peut y avoir qu'un propriétaire par objet.
• Il peut y avoir plusieurs propriétaires d'objets dans une application.
• Seul le propriétaire Engine ne peut être changé. Il régit tous les objets systèmes d'un fichier Microsoft Access.

Cette propriété n'empêche pas un administreur d'opérer des modifications sur un objet dont il n'est pas propriétaire.

VI. Groupe de travail

VI-A. Démonstration

• Ouvrez une application
• Allez dans le menu Outils / Sécurité / Gestion des utilisateurs et des groupes...
  
• Cliquez sur l'onglet Changer le Mot de passe
• Saisissez un mot de passe dans les zones de texte Nouveau et Confirmation
  
• Confirmez en cliquant sur Ok ou Confirmer et Ok
• Fermez Access puis réouvrez une application.

Attention !! Sur les systèmes Windows XP le nom d'utilisateur dans la fenêtre de connexion est le nom du compte de connexion Windows. Ceci est pratique en exploitation, mais ici il faut mettre Administrateur car c'est le compte par défaut.

CQFD !

Une fois connecté et tant que vous ne fermez pas Microsoft Access vous restez avec le compte de connexion et le groupe de travail précédent.

• Allez dans le menu Outils / Sécurité /Gestion des utilisateurs et des groupes...
• Cliquez sur l'onglet Changer le Mot de passe
• Entrez le mot de passe dans Ancien mot de passe n'entrez rien dans les autres zones de texte
• Confirmez en cliquant sur Ok ou Confirmer et Ok
• Fermez Access puis réouvrez une application.

Notez que cette manipulation permet également de changer le mot de passe.

VI-B. Création d'un groupe de travail

Pour l'instant le format 2007 ne supporte pas cette sécurité.

Gestionnaire de groupe de travail

Avant d'effectuer les manipulations suivantes veillez à faire une sauvegarde du fichier de sécurité actif. C'est celui indiqué dans Fichier Groupe de travail. En cas de problème vous pouvez le récupérer sur votre CD-Rom d'installation d'Office ou de Microsoft ACCESS.

Notez que le fichier SYSTEM.MDW original est strictement identique pour toutes les licences Microsoft Access. Si vous l'ouvrez vous constaterez qu'il ne contient que des tables.

• Cliquez sur le bouton Créer... pour créer un nouveau fichier de groupe de travail (extension Mdw).
• La fenêtre suivante s'affiche.
  
• Entrez le nom du groupe de travail dans la zone Nom. En principe un nom explicite désignant soit l'application, soit un groupe d'utilisateurs d'applications (nom d'un service...).
• Entrez le nom de votre société dans la zone Organisation.
• Identificateur de groupe de travail est un numéro unique servant de clef de unique. Vous pouvez entrez jusqu'à 20 caractères alpha-numériques.
• Validez les paramètres en cliquant sur Ok.

Enregistrez ces informations pour qu'en cas de problème vous puissiez le recréer. En effet dans le cas où après avoir sécurisé une application vous perdiez le fichier MDW correspondant il ne vous sera plus possible d'accéder l'application.

Chemin pour le fichier

1. Indiquez le chemin et le nom d'un fichier mdw
2. Utilisez le bouton Parcourir pour placer le fichier où vous le souhaitez.

Le nom et l'emplacement

Il est conseillé de placer le fichier de sécurité dans le même répertoire que l'application. Cela évite de l'égarer sur vos disques et de ne plus savoir quel fichier va avec quelle(s) application(s).

1. Une fenêtre rappelant les informations apparait.
2. Cliquez sur le bouton Ok pour confirmer ou Changer pour revenir à la fenêtre précédente pour faire des modifications.
   
3. Enfin une fenêtre apparait confirmant la création du fichier de sécurité. Cliquez sur Ok
   

Enfin ! c'est fait...

1. Cliquez sur le bouton Joindre... et suivez les instructions.
2. Sinon le bouton Quitter vous permet de fermer cette fenêtre.
3. Fermer la fenêtre.

VII. Groupes d'utilisateurs

VII-A. Définition des groupes d'utilisateurs

Je fais ce tableau sur Microsoft Excel, cela me permet de faire facilement des modifications. Une fois le tableau préparé j'ai une vue synthétique de du travail à faire.

Tableau des droits

Vous pouvez remarquer que les groupes d'administration ne sont pas représentés dans ce tableau. C'est normal car il s'agit d'un groupe ayant tout pouvoir il est donc inutile de faire une analyse.

VII-B. Création de groupes

• Ouvrez la base si ce n'est pas déjà fait.
• Allez dans le menu Outils/sécurité/Gestion des utilisateurs et des groupes
• Cliquez sur l'onglet Groupes
  
• Puis sur le bouton Nouveau...
  
• Indiquez le Nom du Groupe et le Numéro d'Indentification unique ou PID Personnal ID.
• Recommencez l'opération autant de fois qu'il y a de groupes.

Attention le numéro d'identification (PID) est très important, il ne faut pas mettre le même numéro pour tous les groupes et/ou utilisateurs.

VII-C. Suppression de groupes

• Sélectionnez le groupe que vous souhaitez supprimer.
• Cliquez sur le bouton Supprimer

La suppression d'un groupe n'entraine pas la suppression des utilisateurs qui y sont inscrits, seuls leurs droits seront perdus.

Les groupes natifs (Administrateurs et Utilisateurs) ne peuvent pas être supprimés.

VIII. Droits d'accès

VIII-A. Droits et dépendances

VIII-B. Groupes des utilisateurs

• Allez dans le menu Outils/Sécurité/Autorisations d'accès
• Cliquez sur le bouton d'option Groupes
• Les groupes définis apparaissent dans la liste déroulante.
• Sélectionnez le groupe Commerciaux.
• Sélectionnez la table Client
• Sélectionnez les droits Lire les données, Ajouter les données et Modifier les données
• Cliquez sur Appliquer pour enregistrer la modification.
• Sélectionnez la table Commande
• Sélectionnez les droits Lire les données, Ajouter les données, Modifier les données et Supprimer les données
• Cliquez sur Appliquer pour enregistrer la modification.
• Sélectionnez la table Tarif
• Sélectionnez les droits Lire les données
• Cliquez sur Appliquer pour enregistrer la modification.
• Sélectionnez la table Stock
• Sélectionnez les droits Lire les données
• Cliquez sur Appliquer pour enregistrer la modification.

IX. Les comptes utilisateurs

IX-A. Création des comptes

• Créer des groupes ou des utilisateurs,
• Supprimer des utilisateurs,
• Réinitialiser des mots de passe utilisateurs,
• Modifier les droits des groupes,
• Affecter les utilisateurs dans les groupes,
• Faire les opérations de maintenance sur la base.
• Créer, modifier, supprimer tout objet de la base.

• Allez dans le menu Outils/sécurité/Gestion des utilisateurs et des groupes
• Cliquez sur l'onglet Utilisateurs
  
• Puis sur le bouton Nouveau...
  
• Indiquez comme nom superutilisateur et un Numéro d'Indentification unique ou PID Personnal ID.
• Recommencez l'opération pour les autres comptes d'utilisateurs.

Comme pour les groupes n'oubliez pas de bien noter chaque N° PID pour permettre leur recréation.

IX-A-1. Définir les mots de passe des comptes

IX-B. Affectation des comptes

• Allez dans le menu Outils/sécurité/Gestion des utilisateurs et des groupes
• Déroulez la liste Utilisateurs pour choisir superutilisateur
• Dans la liste Groupe sélectionnez le groupe Administrateurs
• Cliquez sur le bouton Inscrire
• Recommencez l'opération pour les autres comptes d'utilisateurs dans leur(s) groupe(s) respectif(s).
• Lorsque vous avez terminé cliquez sur Ok

Vous pouvez remarquer que tous les utilisateurs sont inscrits dans le groupe Utilisateurs. C'est tout à fait normal, le groupe Utilisateurs est un groupe natif, tous les comptes utilisateurs en font partie. Comme le groupe Administrateurs il ne peut être supprimé et on ne peut désinscrire ses membres.

IX-C. L'administrateur un cas particulier

• Allez dans le menu Outils/Sécurité/Autorisations d'accès
• Cliquez sur le bouton d'option Utilisateurs
  
• Les utilisateurs définis apparaissent dans la liste déroulante.
• Sélectionnez l'utilisateur superutilisateur
• Sélectionnez l'intégralité des tables (Shift + Clic)
  
• Cliquez sur Administrer.
  Lorsque vous sélectionnez Administrer tous les droits se sélectionnent.
• Pour les objets suivants les droits sont légèrement différents mais il faut tous les cocher.
• Recommencez l'opération pour les objets Formulaires et <Nouveaux Formulaires>
• Recommencez l'opération pour les objets Etats et <Nouveaux Etats>
• Recommencez l'opération pour les objets Macros et <Nouvelles Macros>
• Recommencez l'opération pour les objets Requêtes et <Nouvelles Tables/Requêtes>
• Cliquez sur Appliquer pour enregistrer la modification.

IX-E. Activer les comptes

• Allez dans le menu Outils/sécurité/Gestion des utilisateurs et des groupes
• Cliquez sur l'onglet Changer le mot de passe
• Administrateur est le compte actif dans cette session
• Ancien mot de passe doit rester vide.
  
• Nouveau mot de passe entrez admin
• Confirmation entrez de nouveau admin
• Cliquez sur Appliquer et Ok
• Fermez Microsoft ACCESS

IX-D. Propriétaire

• Allez dans le menu Outils/sécurité/Autorisations d'accès
• Cliquez sur l'onglet Changer de propriétaire
• Sélectionnez chaque objet ayant comme propriétaire Administrateur (ctrl + click)
• Cliquez sur le bouton d'option Lister : Utilisateurs
  
• Sélectionnez l'utilisateur superutilisateur.
• Cliquez sur Changer le propriétaire

X. Mots de passe et dégradation

• Ouvrez Microsoft ACCESS et l'application.
  
• Remplacez le nom Administrateur par superutilisateur
• Cliquez sur Ok
• Ouvrez le menu Outils/Sécurité/Autorisations d'accès...
• Sélectionnez Administrateur
• Sélectionnez tous les objets Tables de la liste
• Cliquez 2 fois sur l'option Lire Structure pour tout décocher
  
• Cliquez sur Appliquer
• Cliquez sur Ok

• Sélectionnez Lister : Groupe
• Sélectionnez Groupe
• Sélectionnez tous les objets Tables
• Cliquez 2 fois sur l'option Lire Structure pour tout décocher
  
• Cliquez sur Appliquer
• Cliquez sur Ok

X-A. Les autres objets

Pour créer ou modifier des objets formulaires, états et macros vous devez vous ouvrir l'application en mode exclusif.

XI. Tests

XI-A. Avec le fichier MDW sécurisé

• Fermez ACCESS
• Ouvrez l'application
• Connectez-vous avec le compte Administrateur
• Essayez d'ouvrir l'une des tables
• Vous obtenez le message suivant :
  

XI-B. Avec le fichier MDW standard

• Fermez ACCESS
• Exécutez le programme MS Access Workgroup Administrateur
• Cliquez sur le bouton Joindre...
• Cliquez sur le bouton Parcourir...
• Sélectionnez le fichier system.mdw présent dans le répertoire Office.
  Dans le cas ou vous ne trouvez pas le fichier system.mdw utilisez la recherche de Windows.
  
• Ouvrez l'application, notez qu'aucun mot de passe ne vous est demandé.
• Essayez d'ouvrir l'une des tables
• Vous obtenez le message même message que précédemment.

XII. Les requêtes et la protection

1. Ouvrez ou créez une requête avec le compte superutilisateur.
2. Faites un clic droit dans la zone des tables.
3. Dans le menu contextuel choisissez Propriétés...
4. Dans Exécuter Autorisations choisissez Celles du propriétaire.
   
5. Fermez la fenêtre Propriétés...
6. Sauvegardez la requête.

SELECT CLIENT.N_CLIENT, CLIENT.NOM
FROM CLIENT
WITH OWNERACCESS OPTION;

XII-A. Plus loin avec ce type de requête

• Pas d'accés direct aux tables,
• Toutes les requêtes doivent comporter le paramètre
• Les formulaires et états sont basées sur des requêtes,
• Les contrôles de zone liste et zone liste modifiable sont basés sur des requêtes,

XIII. Codes, SQL et astuces

XIII-A. Fichier MDW et options de démarrage

Il souvent plus pratique de se servir des options de démarrage de Microsoft Access pour paramètrer le fichier mdw correspondant à l'application.
Ceci permet d'éviter de manipuler le programme MS Access Workgroup Administrateur , de toujours utiliser le bon fichier mdw et surtout d'utiliser par défaut le fichier mdw standard.
Consultez mon tutoriel sur  Les options de démarrage.

XIII-B. Sécurité et code VBA

XIII-B-1. Changement du mot de passe de la base de données courante

CurrentDb.NewPassword "Ancien_pass", "Nouveau_pass"

XIII-B-2. Changement du mot de passe de l'utilisateur courant

With DBEngine.Workspaces(0)
 .Users(.UserName).NewPassword "ancienmotdepasse", "nouveaumotdepasse"
End With

XIII-B-3. Renvoi le nom de l'utilisateur ACCESS courant

Application.CurrentUser

XIII-B-4. Renvoi le nom de l'utilisateur WINDOWS courant

Environ("USERNAME")

XIII-C. Sécurité et DAO

XIII-C-1. DAO - Créer un groupe

Sub CreateGrp()
 	' necessite librairie DAO
 	Dim wrk As Workspace
 	Dim grp As DAO.Group

 	Set wrk = DBEngine.Workspaces(0)

	With wrk

        Set grp = .CreateGroup("Mongroupe", "AZERty12456")
        .Groups.Append grp

 	End With
End Sub

XIII-C-2. DAO - Créer un utilisateur

Sub CreateUsr()
' necessite librairie DAO
	Dim wrk As Workspace
	Dim usr As DAO.User

	Set wrk = DBEngine.Workspaces(0)

	With wrk

        Set usr = .CreateUser("Jacques", "567AzeRTY89", "mon_motdepasse")
        .Users.Append usr

	End With

End Sub

XIII-C-3. DAO - Suppression Groupe

Sub DeleteGrp()
' necessite librairie DAO
Dim wrk As Workspace

Set wrk = DBEngine.Workspaces(0)

	With wrk

        .Groups.Delete "Mongroupe"

	End With

End Sub

XIII-C-4. DAO - Suppression Utilisateur

Sub DeleteUsr()

' necessite librairie DAO
Dim wrk As Workspace

Set wrk = DBEngine.Workspaces(0)

With wrk

        .Users.Delete "Jacques"

End With

End Sub

XIII-C-5. DAO - Affecter un utilisateur à un groupe

Sub AffectUsrGrp()
' necessite librairie DAO
Dim Wrk As Workspace
Dim Usr As DAO.User
Dim Grp As DAO.Group
Dim grpAffect As DAO.Group

Set Wrk = DBEngine.Workspaces(0)
   
   With Wrk

        Set Usr = .Users("Jacques")
        
        Set Grp = .Groups("Mongroupe")
        
        Set grpAffect = Usr.CreateGroup("Mongroupe")
        Usr.Groups.Append grpAffect

    End With
       
End Sub

XIII-B-6. DAO - Lister les groupes et utilisateurs

Sub lstGrpUsr()
    Dim Wrk As Workspace
    Dim Grp As DAO.Group
    Dim Usr As DAO.User
    
    Set Wrk = DBEngine.Workspaces(0)

    With Wrk
    
        Debug.Print "Groupes :"

        For Each Grp In .Groups
            Debug.Print "  " & Grp.Name
            Debug.Print "   Contient les membres suivants:"

            If Grp.Users.Count <> 0 Then
                For Each Usr In Grp.Users
                    Debug.Print "    " & Usr.Name
                Next Usr
            Else
                Debug.Print "    Aucun Membre"
            End If

        Next Grp
   
    End With
End Sub

XIII-D. SQL et la sécurité

XIV. Liens importants

Quelques liens importants :

 Administrer une base de données (FAQ)
 Renseignement sur l'utilisateur (FAQ)
 Code VBA sur la sécurité DAO et ADO par Tofalu
 Plus loin avec ADOX par J.M. RABILLOUD
 Advanced MS JET SQL for ACCESS 2000

XV. Remerciements