Comprendre et mettre en œuvre la sécurité sous Microsoft Access

Dans ce type d'architecture, les données (tables) et l'interface (formulaires, états, requêtes, code, macros) sont dans le même fichier. Il est employé par de nombreux utilisateurs de Microsoft ACCESS pour des applications personnelles et mono-utilisateur.
Chaque utilisateur se connecte à l'espace de partage et utilise le même fichier.
Notez que la zone de partage peut être située sur un serveur dédié ou poste utilisateur ayant un répertoire en partage.

Bien que ce fichier puisse être partagé et donc accessible à plusieurs utilisateurs, il est fortement déconseillé de l'employer de cette façon :

• les accès sont fortement ralentis ;
• l'infrastructure surcharge le réseau ;
• les méthodes de conception à base de tables temporaires deviennent lourdes à gérer ;
• le blocage d'un utilisateur peut se répercuter sur l'ensemble.

Dans cette architecture, les tables sont séparées de l'interface et le fichier de l'interface (frontal) est installé sur chaque poste client. Le fichier de données (dorsal) est en partage, et les tables sont liées par un attachement dans chaque fichier frontal.

Cette architecture est conseillée pour les applications ayant une forte charge (plusieurs utilisateurs simultanés/volume de données important).

C'est cette dernière que nous prendrons comme exemple pour mettre en place les diverses sécurités.

La sécurité système permet entre autres de contrôler les accès aux répertoires. Elle est mise en place le plus souvent dans le cadre d'une application partagée ou sur des espaces de stockage multi-utilisateurs. Une fois la sécurité configurée, seul l'utilisateur déclaré aura accès au répertoire et aux fichiers présents.
Les utilisateurs de l'application doivent avoir les accès système suivants sur l'ensemble des répertoires de l'application :

• création ;
• modification ;
• suppression.

Dans le cas d'une application « fichier serveur », les utilisateurs doivent avoir accès, avec les droits indiqués précédemment, aux deux répertoires suivants :

• le répertoire contenant l'application appelée Frontale ;
• le répertoire contenant le(s) fichier(s) de données appelé(s) Dorsal(s).

Pourquoi le fait d’avoir autant d'accès est-il si important pour l'utilisation d'une application ?
Un fichier est créé dans le répertoire à chaque accès à l'un des fichiers d'une application, ce comportement est valable pour toute application, quels que soient l'architecture et le nombre d'utilisateurs. Les fichiers créés portent le nom du fichier Microsoft ACCESS qui est ouvert (mdb, mde) suivi de l'extension ldb (Lock file for Access DataBase).

Par exemple :
Pour le fichier Monapplication.mdb, le fichier portera le nom de Monapplication.ldb.

Ce fichier contient des informations importantes : l'identification unique de l'utilisateur connecté et le nom du poste accédant à la base.

Le tableau suivant dresse les actions simplifiées opérées sur les fichiers ldb dans le cadre de l'utilisation d'une application de type « fichier serveur » par plusieurs utilisateurs.

Les fichiers applicatifs portent les noms respectifs de application.mdb (ou mde) pour la partie applicative et données.mdb pour la partie contenant les données.

Dans de rares cas, il arrive que le fichier ldb ne soit pas supprimé automatiquement par Microsoft ACCESS à la sortie du dernier utilisateur, dans ce cas, vous pouvez le supprimer manuellement.

Une application de lecture des informations du fichier ldb par Argyronet.

Pour sécuriser simplement et rapidement une interface, l'un des moyens les plus utilisés est la « compilation » MDE. Il n'y a aucune connaissance technique à avoir puisque cela se fait à partir du menu de Microsoft ACCESS.

IV-A-1. Contraintes▲

IV-A-2. Générer un fichier MDE▲

Pour générer un fichier MDE :

1. commencez par ouvrir votre application ;
2. rendez-vous dans le menu Outils et choisissez le sous-menu Utilitaires de base de données et l'option Créer un fichier MDE… ;
   
3. à l'ouverture de la fenêtre Enregistrer Fichier, donnez un nom au nouveau fichier (en principe le même que l'application d'origine) ;
   
4. cliquez sur Enregistrer.

Si tout s'est bien passé, vous n'aurez aucun message. Dans le cas contraire, voici le message que vous verrez apparaître :

Après que vous aurez validé le message en cliquant sur OK, le fichier d'origine se sera rouvert. Ce message est typique d'un code VBA posant problème.
Vous devrez corriger l'erreur (ou les erreurs) avant de retenter la génération MDE.

Pour trouver l'erreur (ou les erreurs), ouvrez un module VBA (module ou formulaire) et compilez l'ensemble du code. Menu Débogage option Compiler « nom du fichier ». Corrigez les erreurs signalées et recommencez jusqu'à ce qu'il n'y en ait plus.

Notez que pour un projet (fichier ADP), il y a également une version « compilée ». L’extension de ce type de fichiers est ADE.

Ce type de protection consiste à verrouiller l'accès à la base. Une fois le mot de passe fourni, l'application est non seulement utilisable, mais également modifiable.

IV-B-1. Mot de passe au démarrage▲

Le mot de passe au démarrage verrouille l'ensemble du fichier, il est impossible de lancer l'application sans celui-ci. Le mot de passe est demandé au démarrage de l'application. Une fois le mot de passe fourni, tous les objets sont modifiables.
Cette méthode n'est pas très utilisée sauf pour interdire l'accès d'une application mono-utilisateur.

IV-B-1-a. Mettre en place ce mot de passe▲

Pour mettre en place ce mot de passe :

1. ouvrez l'application en mode exclusif ;
   
2. allez dans le menu Outils sous-menu Sécurité ;
3. choisissez l’option Définir le mot de passe pour la base de données ;
   
4. entrez le mot de passe de votre choix dans la fenêtre ci-dessous. Il peut être composé d'un maximum de 20 caractères.
   

IV-B-1-b. Retirer le mot de passe▲

Pour enlever un mot de passe, procédez de la même manière que pour le mettre en place :

• ouvrez l'application en mode exclusif ;
  
• allez dans le menu Outils, sous-menu Sécurité ;
• choisissez l’option Annuler le mot de passe pour la base de données.
  

Voici le message qui apparaît lorsque vous tentez d'annuler un mot de passe sans avoir ouvert l'application en mode exclusif.

Cette protection interdit l'affichage et la modification des propriétés du code contenu dans les modules, les formulaires, ainsi que les états. Il ne protège pas les macros.

Pour mettre en place ce mot de passe :

• ouvrez n'importe quel module (ou module de formulaire ou d'état) ;
• ouvrez le menu Outils, Propriétés « Nom de la base » ;
• cliquez sur l'onglet Protection ;
  
• cochez la case Verrouillez le projet pour l'affichage ;
• entrez le mot de passe dans les deux zones de texte.

Si la case n'est pas cochée, l'utilisateur peut voir et modifier le code. Seules les propriétés de l'application sont protégées. Le mot de passe est demandé avant l'affichage du code.

Pour enlever le mot de passe décochez la case Verrouillez le projet pour l'affichage et videz les zones de texte contenant le mot de passe.

Cette méthode de protection est utile pour protéger uniquement le code et les propriétés, ce qui en fait une protection plutôt faible. En effet, l'utilisateur a accès à tout le reste de l'application. Elle peut venir en complément de la protection par Sécurité utilisateur que nous allons aborder dans le prochain chapitre.

Si vous êtes un habitué de la gestion des utilisateurs avec Windows, vous pouvez directement passer à la mise en œuvre, sinon lisez ce qui suit.

Pour bien comprendre cette méthode, il est nécessaire d'en expliquer le fonctionnement.
Chaque utilisateur effectue des tâches bien précises dans l'application. Dans l'exemple d'une société, un commercial n'aura pas accès aux mêmes informations de l'entreprise qu'un acheteur ou qu'un magasinier. Ils font tous partie du même groupe de travail puisqu'ils utilisent la même application à des niveaux différents.

Comme il n'y a pas qu'un seul utilisateur acheteur, commercial ou magasinier il est nécessaire de pouvoir créer des groupes d'utilisateurs ayant les mêmes accès.

Ces accès sont appelés droits. Ils déterminent qui peut faire quoi dans l'application.

Voici le schéma d'organisation de la sécurité Microsoft ACCESS.

V-B-1. Groupe de travail▲

V-B-2. Groupe d'utilisateurs▲

V-B-3. Compte d'utilisateur▲

V-B-4. Droits▲

V-B-5. Objets▲

V-B-6. Héritage▲

V-B-7. Propriétaire▲

Le groupe de travail est toujours présent dans une application, même s'il est momentanément transparent pour l'utilisateur. Nous allons en apporter la preuve :

• ouvrez une application ;
• allez dans le menu Outils / Sécurité / Gestion des utilisateurs et des groupes… ;
  
• cliquez sur l'onglet Changer le Mot de passe ;
• saisissez un mot de passe dans les zones de texte Nouveau et Confirmation ;
  
• confirmez en cliquant sur OK ou Confirmer et OK ;
• fermez Access puis rouvrez une application.

Remettez le mot de passe à blanc :

• allez dans le menu Outils / Sécurité /Gestion des utilisateurs et des groupes… ;
• cliquez sur l'onglet Changer le Mot de passe ;
• entrez le mot de passe dans Ancien mot de passe n'entrez rien dans les autres zones de texte ;
• confirmez en cliquant sur OK ou Confirmer et OK ;
• fermez Access puis rouvrez une application.

Ces manipulations sont identiques pour initialiser, supprimer ou changer le mot de passe de n'importe quel utilisateur déclaré.

Après ces quelques manipulations simples, nous allons créer un nouveau groupe de travail.

Pour une protection optimale, il est obligatoire de créer un nouveau groupe de travail. Dans le cas contraire, n'importe quel utilisateur utilisant le groupe de travail par défaut est en mesure d'accéder à la sécurité utilisateur.

Il existe une différence d'appel du gestionnaire de groupe de travail entre les versions antérieures à la 2002 (XP), différence qui est présentée dans le tableau ci-dessous.

Dans la fenêtre du gestionnaire de groupe de travail, vous pouvez lire plusieurs informations importantes.

Si vous utilisez le groupe standard, les informations Nom et Organisation apparaissent vides.
L'information Fichier de groupe de travail indique le fichier qui est utilisé pour le groupe de travail courant.
Vous pouvez remarquer que ce fichier s'appelle SYSTEM.MDW.

Effectuez les opérations suivantes :

• cliquez sur le bouton Créer… pour créer un nouveau fichier de groupe de travail (extension Mdw) la fenêtre suivante s'affiche :
  
• entrez le nom du groupe de travail dans la zone Nom. En principe un nom explicite désignant soit l'application, soit un groupe d'utilisateurs d'applications (nom d'un service…) ;
• entrez le nom de votre société dans la zone Organisation ;
• saisissez l’Identificateur de groupe de travail, c’est un numéro servant de clef unique. Vous pouvez entrer jusqu'à 20 caractères alphanumériques ;
• validez les paramètres en cliquant sur OK.

L'ensemble de ces informations constitue une protection contre la création d'un nouveau fichier mdw.

1. indiquez le chemin et le nom d'un fichier mdw ;
2. utilisez le bouton Parcourir pour placer le fichier où vous le souhaitez.

Je vous conseille un nom explicite, soit le nom de l'application auquel il est destiné, soit un nom plus générique dans le cas d'applications multiples. Toujours différent de system.mdw pour éviter toute confusion.

Je ne pense pas que vous ayez besoin d'explication pour le fonctionnement de cette fenêtre.

1. Une fenêtre rappelant les informations apparaît.
2. Cliquez sur le bouton OK pour confirmer ou Changer pour revenir à la fenêtre précédente pour faire des modifications.
   
3. Enfin une fenêtre apparaît confirmant la création du fichier de sécurité. Cliquez sur OK.
   

Voici l'ultime phase de la création du fichier, vous venez de retourner sur le premier écran. Vous pouvez constater que le nouveau fichier est devenu actif.

Pour activer un autre fichier de sécurité, l'original par exemple :

1. cliquez sur le bouton Joindre… et suivez les instructions ;
2. ou cliquez sur le bouton Quitter pour fermer cette fenêtre.

Cette manipulation ne constitue aucun problème en soi, mais il faut bien la maîtriser, car vous serez amené à l'utiliser souvent.

Pour définir les groupes d'utilisateurs, il faut d'abord déterminer une stratégie d'utilisation de l'application. Le mieux est d'organiser tout cela sous forme de tableau.

Voici l'exemple d'un tableau réalisé. Notez que n'importe quel tableur ou logiciel permettant de faire des tableaux fait l'affaire. À défaut, une simple feuille de papier, une règle, un crayon et une gomme peuvent convenir.

Nous allons créer les groupes nécessaires :

• ouvrez la base si ce n'est pas déjà fait ;
• allez dans le menu Outils/sécurité/Gestion des utilisateurs et des groupes ;
• cliquez sur l'onglet Groupes ;
  
• puis sur le bouton Nouveau… ;
  
• indiquez le Nom du Groupe et le Numéro d'Identification unique ou PID Personnal ID ;
• recommencez l'opération autant de fois qu'il y a de groupes.

La suppression se fait dans la même fenêtre que la création :

• sélectionnez le groupe que vous souhaitez supprimer ;
• cliquez sur le bouton Supprimer.

Certains droits en impliquent d'autres, dans le tableau suivant, nous dressons l'inventaire exhaustif pour les tables.

Certains droits en impliquent d'autres, dans le tableau suivant, nous dressons l'inventaire exhaustif pour les autres objets (formulaires, macros et états).

D'après le tableau des droits que nous avons défini précédemment, nous allons définir les droits pour chacun des groupes d'utilisateurs :

• allez dans le menu Outils/Sécurité/Autorisations d'accès ;
• cliquez sur le bouton d'option Groupes,
  les groupes définis apparaissent dans la liste déroulante ;
• sélectionnez le groupe Commerciaux ;
• sélectionnez la table Client ;
• sélectionnez les droits Lire les données, Ajouter les données et Modifier les données ;
• cliquez sur Appliquer pour enregistrer la modification ;
• sélectionnez la table Commande ;
• sélectionnez les droits Lire les données, Ajouter les données, Modifier les données et Supprimer les données ;
• cliquez sur Appliquer pour enregistrer la modification ;
• sélectionnez la table Tarif ;
• sélectionnez les droits Lire les données ;
• cliquez sur Appliquer pour enregistrer la modification ;
• sélectionnez la table Stock ;
• sélectionnez les droits Lire les données ;
• cliquez sur Appliquer pour enregistrer la modification.

Nous venons de définir les droits du groupe Commerciaux pour les tables. Recommencez l'opération pour Acheteurs, Magasiniers et Comptabilité.

La procédure de création des comptes utilisateurs est très semblable à celle de la création des groupes.

Il y a un utilisateur qui doit être créé avant tous les autres. Il s'agit de l'utilisateur qui va remplacer le compte d'administration natif. Cet utilisateur aura tous les droits sur tous les objets de la base. Ces tâches seront :

• créer des groupes ou des utilisateurs ;
• supprimer des utilisateurs ;
• réinitialiser des mots de passe des utilisateurs ;
• modifier les droits des groupes ;
• affecter les utilisateurs dans les groupes ;
• faire les opérations de maintenance sur la base ;
• créer, modifier, supprimer tout objet de la base ;

Pour le créer, suivez les instructions suivantes :

• allez dans le menu Outils/sécurité/Gestion des utilisateurs et des groupes ;
• cliquez sur l'onglet Utilisateurs
  
• puis sur le bouton Nouveau…
  
• indiquez comme nom superutilisateur et un Numéro d'Indentification unique ou PID Personnal ID ;
• recommencez l'opération pour les autres comptes d'utilisateurs.

IX-A-1. Définir les mots de passe des comptes▲

À l'exception des comptes d'administration, il est inutile de définir les droits pour chaque utilisateur, il faut simplement les affecter aux groupes correspondants :

• allez dans le menu Outils/sécurité/Gestion des utilisateurs et des groupes ;
• déroulez la liste Utilisateurs pour choisir superutilisateur ;
• dans la liste Groupe sélectionnez le groupe Administrateurs ;
• cliquez sur le bouton Inscrire ;
• recommencez l'opération pour les autres comptes d'utilisateurs dans leur(s) groupe(s) respectif(s) ;
• lorsque vous avez terminé, cliquez sur OK.

Vous pouvez inscrire un utilisateur dans plusieurs groupes. Ceci aura pour effet pour l’utilisateur d’hériter des droits des différents groupes.

Nous allons d'abord définir les droits pour l'administrateur. Comme nous l'avons déjà vu, il s'agit d'un cas particulier, car le droit d'Administrer n'est pas soumis à l'héritage.

• allez dans le menu Outils/Sécurité/Autorisations d'accès ;

• cliquez sur le bouton d'option Utilisateurs
  

  les utilisateurs définis apparaissent dans la liste déroulante ;

• sélectionnez l'utilisateur superutilisateur ;

• sélectionnez l'intégralité des tables (Shift + Clic) ;
  

• cliquez sur Administrer.
  Pour les objets suivants, les droits sont légèrement différents, mais il faut tous les cocher :

• recommencez l'opération pour les objets Formulaires et <Nouveaux Formulaires> ;

• recommencez l'opération pour les objets États et <Nouveaux États> ;

• recommencez l'opération pour les objets Macros et <Nouvelles Macros> ;

• recommencez l'opération pour les objets Requêtes et <Nouvelles Tables/Requêtes> ;

• cliquez sur Appliquer pour enregistrer la modification.

Les comptes sont actifs puisque nous les avons créés et affectés aux groupes.
Mais alors, pourquoi n'y avons-nous pas accès ?
Pour accéder à la gestion des comptes, il faut définir un mot de passe pour le compte Administrateur, n'oubliez pas que c'est le compte par défaut. C'est avec lui que se connectent tous les utilisateurs de Microsoft Access dans le monde, lorsqu'ils n'ont pas mis en place la sécurité.
Activons le mot de passe pour le compte par défaut.

• allez dans le menu Outils/sécurité/Gestion des utilisateurs et des groupes ;
• cliquez sur l'onglet Changer le mot de passe
  Administrateur est le compte actif dans cette session,
  Ancien mot de passe doit rester vide ;
  
• entrez admin dans Nouveau mot de passe ;
• entrez de nouveau admin dans Confirmation ;
• cliquez sur Appliquer et Ok ;
• fermez Microsoft ACCESS.

La sécurisation est pratiquement terminée, il ne reste que quelques manipulations à effectuer pour verrouiller complètement notre fichier.

Comme nous avons créé un compte d'administrateur (superutilisateur) nous allons changer la valeur Propriétaire des objets. Le propriétaire est celui qui a l'autorisation de modifier des objets lui appartenant :

• allez dans le menu Outils/sécurité/Autorisations d'accès ;
• cliquez sur l'onglet Changer de propriétaire ;
• sélectionnez chaque objet ayant comme propriétaire Administrateur (ctrl + clic) ;
• cliquez sur le bouton d'option Lister : Utilisateurs ;
  
• sélectionnez l'utilisateur superutilisateur ;
• cliquez sur Changer le propriétaire.

Nous avons donc remplacé le propriétaire Administrateur par superutilisateur.

Vous avez remarqué que nous avons protégé seulement les tables. Vous pouvez choisir également de protéger les formulaires, états et requêtes. Dans le cas d'une protection avec compilation mde, l'utilisateur ne pourra pas faire de modification sur les formulaires, états et codes. Lorsqu'un utilisateur consulte un formulaire, état ou requête dont il ne possède pas les droits de lecture, l'objet apparaît sans aucun contrôle ni donnée.

Maintenant, est-il opportun d'en informer l'utilisateur ?

Nous allons faire le test avec le compte administrateur :

• fermez ACCESS ;
• ouvrez l'application ;
• connectez-vous avec le compte Administrateur ;
• essayez d'ouvrir l'une des tables ;
  vous obtenez le message suivant :
  .

Nous allons faire le test avec le compte administrateur :

• fermez ACCESS ;
• exécutez le programme MS Access Workgroup Administrateur ;
• cliquez sur le bouton Joindre… ;
• cliquez sur le bouton Parcourir… ;
• sélectionnez le fichier system.mdw présent dans le répertoire Office ;
  
• ouvrez l'application, notez qu'aucun mot de passe ne vous est demandé ;
• essayez d'ouvrir l'une des tables,
  vous obtenez le message même message que précédemment.

Vous pouvez choisir de concevoir l'application uniquement avec des requêtes de ce type. Dans ce cas, vous devez respecter les directives suivantes :

• pas d'accès direct aux tables ;
• toutes les requêtes doivent comporter le paramètre ;
• les formulaires et états sont basés sur des requêtes ;
• les contrôles de zone liste et zone liste modifiable sont basés sur des requêtes.

Il souvent plus pratique de se servir des options de démarrage de Microsoft Access pour paramétrer le fichier mdw correspondant à l'application.
Ceci permet d'éviter de manipuler le programme MS Access Workgroup Administrateur, de toujours utiliser le bon fichier mdw et surtout, d'utiliser par défaut le fichier mdw standard.
Consultez mon tutoriel sur Les options de démarrage.

Voici un inventaire non exhaustif des syntaxes VBA liées à la sécurité.

XIII-B-1. Changement du mot de passe de la base de données courante▲

CurrentDb.NewPassword "Ancien_pass", "Nouveau_pass"

XIII-B-2. Changement du mot de passe de l'utilisateur courant▲

With DBEngine.Workspaces(0)
 .Users(.UserName).NewPassword "ancienmotdepasse", "nouveaumotdepasse"
End With

XIII-B-3. Récupération du nom de l'utilisateur ACCESS courant▲

Application.CurrentUser

XIII-B-4. Récupération du nom de l'utilisateur WINDOWS courant▲

Environ("USERNAME")

XIII-C-1. DAO – Création d’un groupe▲

Sub CreateGrp()
     ' necessite librairie DAO
     Dim wrk As Workspace
     Dim grp As DAO.Group
 
     Set wrk = DBEngine.Workspaces(0)
 
    With wrk
 
        Set grp = .CreateGroup("Mongroupe", "AZERty12456")
        .Groups.Append grp
 
     End With
End Sub

XIII-C-2. DAO – Création d’un utilisateur▲

Sub CreateUsr()
' nécessite librairie DAO
    Dim wrk As Workspace
    Dim usr As DAO.User
 
    Set wrk = DBEngine.Workspaces(0)
 
    With wrk
 
        Set usr = .CreateUser("Jacques", "567AzeRTY89", "mon_motdepasse")
        .Users.Append usr
 
    End With
 
End Sub

XIII-C-3. DAO - Suppression d’un groupe▲

Sub DeleteGrp()
' nécessite librairie DAO
Dim wrk As Workspace
 
Set wrk = DBEngine.Workspaces(0)
 
    With wrk
 
        .Groups.Delete "Mongroupe"
 
    End With
 
End Sub

XIII-C-4. DAO - Suppression d’un utilisateur▲

Sub DeleteUsr()
 
' nécessite librairie DAO
Dim wrk As Workspace
 
Set wrk = DBEngine.Workspaces(0)
 
With wrk
 
        .Users.Delete "Jacques"
 
End With
 
End Sub

XIII-C-5. DAO – Affectation d’un utilisateur à un groupe▲

Sub AffectUsrGrp()
' nécessite librairie DAO
Dim Wrk As Workspace
Dim Usr As DAO.User
Dim Grp As DAO.Group
Dim grpAffect As DAO.Group
 
Set Wrk = DBEngine.Workspaces(0)
 
   With Wrk
 
        Set Usr = .Users("Jacques")
 
        Set Grp = .Groups("Mongroupe")
 
        Set grpAffect = Usr.CreateGroup("Mongroupe")
        Usr.Groups.Append grpAffect
 
    End With
 
End Sub

XIII-C-6. DAO - Liste des groupes et utilisateurs▲

Sub lstGrpUsr()
    Dim Wrk As Workspace
    Dim Grp As DAO.Group
    Dim Usr As DAO.User
 
    Set Wrk = DBEngine.Workspaces(0)
 
    With Wrk
 
        Debug.Print "Groupes :"
 
        For Each Grp In .Groups
            Debug.Print "  " & Grp.Name
            Debug.Print "   Contient les membres suivants:"
 
            If Grp.Users.Count <> 0 Then
                For Each Usr In Grp.Users
                    Debug.Print "    " & Usr.Name
                Next Usr
            Else
                Debug.Print "    Aucun Membre"
            End If
 
        Next Grp
 
    End With
End Sub

SQL dispose de tout un ensemble de commandes permettant de gérer les comptes utilisateurs, groupes et permissions (droits). Cependant, cette fonctionnalité intéressante n'est disponible qu'avec ADO. En mode exécution directe et DAO il renvoie un message d'erreur.