博客园_邀月工作室

SSAS 2012实战示例一：创建多维数据集

2012-05-16T05:51:00Z

SQL Server 2008中SQL应用系列及BI学习笔记系列--目录索引

本系列是以实例为主的一个学习笔记，注重实践性，以SQL Server Analysis Server 2012为主要平台。本例是第一个。

一、先决条件

若要完成本教程，需要使用下列组件、示例和工具:

•SQL Server 数据库引擎（SQL Server 2012自带）

•Analysis Services（SQL Server 2012自带）

•SQL Server Data Tools（SQL Server 2012自带）

•HealthDW数据库（微软webcast提供，这里也提供一个下载）

•Excel 2010

二、设定场景

Health 公司是一家保健公司，积累了员工信息，产品信息，产品的单价和产品的销售息产品信息产品的单价和产品的销售量。该公司希望建立多维数据集了解不同部门员工的销售业绩。部门员工的销售业绩。例如，想要了解2008年网售部门销售八组石雷的销售业绩。

三、实现步骤

1、新建并还原HealthDW数据库到本机实例中，略去。

2、打开SQL Server 2012自带的SSDT，新建一个Analysis Services Multidimensional and Data Mining Project,命名为SSASLearn01，然后建立数据源、数据源视图，这个略去。

3、新建cube，并引用前面刚新建的数据源视图。

4、新建三个维度，选择三个维度表，其他全部默认。完成后界面如图：

5、我们首先创建日期维度，产品维度和员工维度与些相似。

注意月维度必须包含年，因为独立的月毫无意义。

好了，此时，部署整个项目，第一次需要这样，后面只需要单独处理维度或cube即可完成部署。

部署完成后，我们可以浏览下日期维度的浏览效果：

注意上图中的月1有多个，但代表的是不同年份。这里有个小小的bug，就是月份排列按字符排列，不是按实际月份数字排列，修正一下即可

此时对该维度，Process,并Reconnection,得到如下效果：

排序妥了，我们希望的得到一个日期的层次结构钻取，再做如下修改即可。

对Cube，Process,并Reconnection,得到如下效果：

注意，SQL Server 2012自带的SSDT已经废除了在该开发界面中对多维数据集的浏览，我们只能转到Excel界面完成

6、我们继续完成产品维度和员工维度的设计。

对整个项目进行Process,并在cube中Reconnection,转到Excel界面中，最终得到如下结果：

本文链接

SQL Server 2012中自带的SSDS已经废除了多维数据集的浏览功能

2012-05-15T12:43:00Z

SQL Server 2008中SQL应用系列及BI学习笔记系列--目录索引

在SQL Server 2012自带的SQL Server Data Tools（SSDT）,上个版本中SQL Server 2008中对应为BIDS，已经废除了多维数据集的数据浏览功能，同时在SSMS中也同步废除，只能浏览单维数据。

解决方法：在维度浏览界面,点击“Analyze in Excel”，在相应的Excel界面完成浏览。

关于“Management Studio 和多维数据集设计器中的多维数据集浏览器已被删除”的详细，请看MSDN:

http://msdn.microsoft.com/zh-cn/library/ms143682.aspx

本文链接

SQL Server BI的几个经典案例:Project Real等

2012-05-10T03:46:00Z

SQL Server 2008中SQL应用系列及BI学习笔记系列--目录索引

从微软公司己经发布的最大案例研究开始是一个很好的选择。这里推荐几个经典的BI案例。

一、被称为“Project Real”的案例，以Barnes和Noble书店为基础，使用完整SQL Server 2005 Bl具体实现。Microsoft目前正在记录公共案例研究文档中有关升级到SQL server 2008 BI的情况。这个案例研究是一个典型的零售业BI研究，里面包含标准的零售业度量，如库存管理和周转率，还有标准的利润和亏损度量。这个案例还包含常用的零售业日历，如标准日历、财年日历以及4一5一4日历。

关于这个案例研究的更多信息，请访问http://technet.microsoft.com/en-us/library/Cc966416。

二、另外一个值得研究的案例是一个描述在Microsoft内部利用SQLserver 2008BI功能的案例（Microsoft Deploying 10-Terabyte Enterprise Data Warehouse using SQL Server 2008），该案例除了研究为非常巨大的数据仓库（估计在实施的第一年数据量会超过10TB）提供了概念模型的验证外，它还显示了SQLServer2008的新功能（如备份压缩、变动数据捕获等）对于这样巨大规模的BI方案的高效实现有多重要。

关于该案例，请看：http://www.microsoft.com/casestudies/Case_Study_Detail.aspx?CaseStudyID=4000001180

三、一个来自以色列的名称为“ Clalit Health Care HMO”的卫生待业BI解决议案

关于该案例，请看：http://www.microsoft.com/casestudies/Case_Study_Detail.aspx?CaseStudyID=4000002453

四、数据分析的推荐网站：http://itongji.cn/

数据挖掘的推荐网站：http://www.chinakdd.com

http://www.sqlserverdatamining.com/

其他最近看过的几篇文章：

1、Storage Top 10 Best Practices（十大最佳存储实践）

http://technet.microsoft.com/en-US/library/cc966534

http://sqlcat.com/sqlcat_international/b/whitepapers_chinese-simplified/archive/2008/10/17/443.aspx

2、视频: SQL server2012 商业智能就在你我身边

http://v.youku.com/v_show/id_XMzY1NTc1MjIw.html

本文链接

一款优秀的BIDS辅助工具-BIDS Helper

2012-05-09T13:08:00Z

SQL Server 2008中SQL应用系列及BI学习笔记系列--目录索引

今天注意到一款优秀的BIDS辅助工具，地址：http://bidshelper.codeplex.com/

它可以适用于SQL Server 2005/2008/2008R2版本对应的BI Development Studio (BIDS)，也可适用于SQL Server 2012自带的SQL Server Data Tools (SSDT)。主要功能如下：

详细功能点列表：

本文链接

SQL Server带列名导出到Excel(Export to CSV with headers)的几个思路

2012-05-04T09:00:00Z

SQL Server 2008中SQL应用系列及BI学习笔记系列--目录索引

前几天在项目中遇到一个问题，需要从SQL Server导出表到Excel，但需要带列名。晚上尝试了几种方法，并作个小结。

假定表如下：

USE testDb2
GO
IF NOT OBJECT_ID('Demo_A') IS NULL
DROP TABLE [Demo_A]

/****** Object: Table [dbo].[Demo_A] downmoon:3w@live.cn ******/
CREATE TABLE [dbo].[Demo_A](
[ID] int not null,
[Name] [Nvarchar](20) NOT NULL
)
GO
INSERT [dbo].[Demo_A]
SELECT 1,'郭靖'
union ALL SELECT 2,'胡一刀'
union ALL SELECT 3,'令狐冲'
GO

如果通常的思路，我们可以用BCP，命令如下：

-- To allow advanced options to be changed.
EXEC sp_configure 'show advanced options', 1
GO
-- To update the currently configured value for advanced options.
RECONFIGURE
GO
-- To enable the feature.
EXEC sp_configure 'xp_cmdshell', 1
GO
-- To update the currently configured value for this feature.
RECONFIGURE
GO

EXEC master..xp_cmdshell 'bcp Testdb2.dbo.Demo_A out c:\Temp.xls -c -q -S"ap4\Net2012" -U"sa" -P"sA"'

这样得到的xls文件中，Sheet是不带列名的。但可以改进一下，得到如下命令(参考：http://social.msdn.microsoft.com/forums/en-US/sqlgetstarted/thread/812b8eec-5b77-42a2-bd23-965558ece5b9/)：

方法一：使用BCP

为了方便，我创建了一个存储过程：

/****** SQL Export to xls ***************/
/* Example */
/*CPP_Export_To_Excel_With_Header 'Testdb2','Demo_A','C:\TestExxelWithHeader.xls'*/
/* 2012.5.4 BY tony,邀月, 3w@live.cn */
---- CPP_Export_To_Excel_With_Header 'Testdb2','Demo_A','C:\TestExcelWithHeader.xls'

Create Procedure CPP_Export_To_Excel_With_Header
(
@db_name varchar(255),
@table_name varchar(255),
@file_path varchar(255)
)
as

----Generate column names as a recordset
declare @columns varchar(8000), @sql varchar(8000)
declare @HeadersOnlyFile varchar(255),@TableDataWithoutHeaders varchar(255)
set @HeadersOnlyFile=replace(cast(newid() as VARCHAR(40)),'-','')+'1.xls'

set @TableDataWithoutHeaders=replace(cast(newid() as VARCHAR(40)),'-','')+'2.xls'
select
@columns=coalesce(@columns+',','')+column_name+' as '+column_name
from
information_schema.columns
where
table_name=@table_name
select @columns=''''''+replace(replace(@columns,' as ',''''' as '),',',',''''')
print @columns
----Generate column names file
set @sql='exec master..xp_cmdshell ''bcp " select * from (select '+@columns+') as t" queryout "'+@HeadersOnlyFile+'" -c'''
print @sql
exec(@sql)

----Create a dummy file to have actual data
set @sql='exec master..xp_cmdshell ''bcp "'+@db_name+'.dbo.'+@table_name+'" out "'+@TableDataWithoutHeaders+'" -c -t -T'''
print @sql
exec(@sql)

--Merge File into One Final Format
set @sql='exec master..xp_cmdshell ''copy /b '+@HeadersOnlyFile+'+'+@TableDataWithoutHeaders+' '+@file_path+''''
print @sql
exec(@sql)

--Delete temp File
set @sql='exec master..xp_cmdshell ''del '+@HeadersOnlyFile+''''
exec(@sql)
set @sql='exec master..xp_cmdshell ''del '+@TableDataWithoutHeaders+''''
exec(@sql)

调用方法：

CPP_Export_To_Excel_With_Header 'Testdb2','Demo_A','C:\TestExcelWithHeader.xls'

另外有类似的处理方法：(看这里：http://www.sqlteam.com/forums/topic.asp?TOPIC_ID=49926),其主要思路如下：

方法二：

create procedure proc_generate_excel_with_columns
(
@db_name varchar(100),
@table_name varchar(100),
@file_name varchar(100)
)
as

--Generate column names as a recordset
declare @columns varchar(8000), @sql varchar(8000), @data_file varchar(100)
select
@columns=coalesce(@columns+',','')+column_name+' as '+column_name
from
information_schema.columns
where
table_name=@table_name
select @columns=''''''+replace(replace(@columns,' as ',''''' as '),',',',''''')

--Create a dummy file to have actual data
select @data_file=substring(@file_name,1,len(@file_name)-charindex('\',reverse(@file_name)))+'\data_file.xls'

--Generate column names in the passed EXCEL file
set @sql='exec master..xp_cmdshell ''bcp " select * from (select '+@columns+') as t" queryout "'+@file_name+'" -c'''
exec(@sql)

--Generate data in the dummy file
set @sql='exec master..xp_cmdshell ''bcp "select * from '+@db_name+'..'+@table_name+'" queryout "'+@data_file+'" -c'''
exec(@sql)

--Copy dummy file to passed EXCEL file
set @sql= 'exec master..xp_cmdshell ''type '+@data_file+' >> "'+@file_name+'"'''
exec(@sql)

--Delete dummy file
set @sql= 'exec master..xp_cmdshell ''del '+@data_file+''''
exec(@sql)

调用示例：

EXEC proc_generate_excel_with_columns 'your dbname', 'your table name','your file path'

如果，你的环境是SQL Server 2005,那么可以有：

方法三，使用sp_makewebtask,仅适用于SQL Server 2005

0)表T1结构
a int
b int
x char

1)开启Web Assistant Procedures

exec sp_configure 'show advanced options', 1
RECONFIGURE
exec sp_configure 'Web Assistant Procedures', 1
RECONFIGURE

2)执行如下语句

EXEC sp_makewebtask
@outputfile = 'd:\testing.xls',
@query = 'Select TOP 10 * from shenliang1985..T1',
@colheaders =1,
@FixedFont=0,@lastupdated=0,@resultstitle='Querying details'

3)查看生成的EXCEl的

Querying details

Last updated: 2010-03-03 01:02:59.263

a b x
0 0 0
2 5 1
4 10 2
6 15 3
8 20 4
10 25 5
12 30 6
14 35 7
16 40 8
18 45 9

可惜SQL Server 2008以后sp_makewebtask 这个存储过程取消了，后续版本也不再启用。
方法一和方法二其实生成的文件都不上真正的Excel文件，虽然后缀名为xls，为此，找到邹建写的一个存储过程。

方法四,使用OpenRowSet：

/*--数据导出EXCEL

导出查询中的数据到Excel,包含字段名,文件为真正的Excel文件
如果文件不存在,将自动创建文件
如果表不存在,将自动创建表
基于通用性考虑,仅支持导出标准数据类型

--邹建 2003.10(引用请保留此信息)--*/

/*--调用示例

p_exporttb @sqlstr='select * from 地区资料'
,@path='c:\',@fname='aa.xls',@sheetname='地区资料'
--*/
create proc p_exporttb
@sqlstr varchar(8000),--查询语句,如果查询语句中使用了order by ,请加上top 100 percent
@path nvarchar(1000),--文件存放目录
@fname nvarchar(250),--文件名
@sheetname varchar(250)=''--要创建的工作表名,默认为文件名
as
declare @err int,@src nvarchar(255),@desc nvarchar(255),@out int
declare @obj int,@constr nvarchar(1000),@sql varchar(8000),@fdlist varchar(8000)

--参数检测
if isnull(@fname,'')=''set @fname='temp2012.xls'
if isnull(@sheetname,'')='' set @sheetname=replace(@fname,'.','#')

--检查文件是否已经存在
if right(@path,1)<>'\' set @path=@path+'\'
create table #tb(a bit,b bit,c bit)
set @sql=@path+@fname
insert into #tb exec master..xp_fileexist @sql

--数据库创建语句
set @sql=@path+@fname
if exists(select 1 from #tb where a=1)
set @constr='DRIVER={Microsoft Excel Driver (*.xls)};DSN='''';READONLY=FALSE'
+';CREATE_DB="'+@sql+'";DBQ='+@sql
else
set @constr='Provider=Microsoft.Jet.OLEDB.4.0;Extended Properties="Excel 8.0;HDR=YES'
+';DATABASE='+@sql+'"'

--连接数据库
exec @err=sp_oacreate 'adodb.connection',@obj out
if @err<>0 goto lberr

exec @err=sp_oamethod @obj,'open',null,@constr
if @err<>0 goto lberr

--创建表的SQL
declare @tbname sysname
set @tbname='##tmp_'+convert(varchar(38),newid())
set @sql='select * into ['+@tbname+'] from('+@sqlstr+') a'
exec(@sql)

select @sql='',@fdlist=''
select @fdlist=@fdlist+',['+a.name+']'
,@sql=@sql+',['+a.name+'] '
+case
when b.name like '%char'
then case when a.length>255 then 'memo'
else 'text('+cast(a.length as varchar)+')' end
when b.name like '%int' or b.name='bit' then 'int'
when b.name like '%datetime' then 'datetime'
when b.name like '%money' then 'money'
when b.name like '%text' then 'memo'
else b.name end
FROM tempdb..syscolumns a left join tempdb..systypes b on a.xtype=b.xusertype
where b.name not in('image','uniqueidentifier','sql_variant','varbinary','binary','timestamp')
and a.id=(select id from tempdb..sysobjects where name=@tbname)

if @@rowcount=0 return

select @sql='create table ['+@sheetname
+']('+substring(@sql,2,8000)+')'
,@fdlist=substring(@fdlist,2,8000)

exec @err=sp_oamethod @obj,'execute',@out out,@sql
if @err<>0 goto lberr

exec @err=sp_oadestroy @obj

--导入数据
set @sql='openrowset(''MICROSOFT.JET.OLEDB.4.0'',''Excel 8.0;HDR=YES
;DATABASE='+@path+@fname+''',['+@sheetname+'$])'

exec('insert into '+@sql+'('+@fdlist+') select '+@fdlist+' from ['+@tbname+']')

set @sql='drop table ['+@tbname+']'
exec(@sql)
return

lberr:
exec sp_oageterrorinfo 0,@src out,@desc out
lbexit:
select cast(@err as varbinary(4)) as 错误号
,@src as 错误源,@desc as 错误描述
select @sql,@constr,@fdlist
go

为了执行这个存储过程，你得先打开以下开关：

-- To allow advanced options to be changed.
EXEC sp_configure 'show advanced options', 1
GO
-- To allow advanced options to be changed.
EXEC sp_configure 'Ole Automation Procedures', 1
GO

EXEC sp_configure 'Ad Hoc Distributed Queries', 1
GO

-- To update the currently configured value for advanced options.
RECONFIGURE
GO

调用示例：

p_exporttb @sqlstr='select * from [Demo_A]'
,@path='c:\',@fname='Export2xls_ByProc.xls',@sheetname='员工名称'

结果确实是正宗的xls文件。

如果你是兼写程序的DBA，那么NPOI是你理想的选择，因为它是纯原生的不依赖于Office组件的开源第三方组件，它提供了一个“CreateExportDataTableSheetAndHeaderRow”方法可以让你方便的生成纯正的Excel，遗憾的是，目前好像只支持到Excel 2003。示例请看这儿（http://scottonwriting.net/sowblog/archive/2011/06/08/export-an-ado-net-datatable-to-excel-using-npoi.aspx）,该组件的源码：http://npoi.codeplex.com/

方法五：

protected Sheet CreateExportDataTableSheetAndHeaderRow(DataTable exportData, string sheetName, CellStyle headerRowStyle)
{
var sheet = this.Workbook.CreateSheet(EscapeSheetName(sheetName));

// Create the header row
var row = sheet.CreateRow(0);

for (var colIndex = 0; colIndex < exportData.Columns.Count; colIndex++)
{
var cell = row.CreateCell(colIndex);
cell.SetCellValue(exportData.Columns[colIndex].ColumnName);

if (headerRowStyle != null)
cell.CellStyle = headerRowStyle;
}

return sheet;
}

当然，如果你觉得以上方法门槛有点高，那么SSIS可能是你的首选，它的优势在于简单直观，并且可以导出为Excel2007格式。

只要在导出时选择第一行包含列名，即可。

方法六，使用SSIS

因为有人觉得界面过于繁琐，于是仿照导出向导的思路写了一个批处理，你可以修改为自己适合的内容：

方法七：(http://social.msdn.microsoft.com/forums/en-US/sqlgetstarted/thread/812b8eec-5b77-42a2-bd23-965558ece5b9/)

@ECHO OFF
REM -------------------------------------------------------------------------------
REM Generic script for exporting data to file from SQL Server using a SQL query.
REM The resulting file will be tab separated with newline as the row delimiter.
REM A log file is generated and kept in case of an error or when in debug mode.
REM See command syntax for details.
REM
REM History:
REM 20120327 Lars Rönnbäck CREATED
REM -------------------------------------------------------------------------------
:constants
SET myCodePage=ACP
:variables
SET theQuery=%~1
SET theFile=%~2
SET theServer=%~3
SET theDebug=%~4
SET /a aRandomNumber=%random%%%1000
FOR /F "usebackq tokens=1-7* delims=.:/,- " %%a IN (`ECHO %DATE%_%TIME%`) DO (SET myStartTime=%%a%%b%%c%%d%%e%%f%%g)
SET myColumnQuery="select top 0 * into [#columns_%myStartTime%_%aRandomNumber%] from (%theQuery%) q; select stuff((select char(9) + c.name from tempdb.sys.columns c where c.object_id = t.object_id order by c.column_id for XML path(''), type).value('.', 'varchar(max)'), 1,1,'') AS Header from tempdb.sys.tables t where t.name like '#columns_%myStartTime%_%aRandomNumber%%%'"
SET myHeaderFile=%theFile%.%aRandomNumber%.header
SET myDataFile=%theFile%.%aRandomNumber%.data
SET myLogFile=%theFile%.%myStartTime%_%aRandomNumber%.log
:checks
IF "%theQuery%"=="" (
GOTO syntax
)
IF "%theFile%"=="" (
GOTO syntax
)
IF "%theServer%"=="" (
SET theServer=%COMPUTERNAME%
)
:information
ECHO Start Time: %myStartTime% >> "%myLogFile%" 2>&1
ECHO Random Number: %aRandomNumber% >> "%myLogFile%" 2>&1
ECHO File: %theFile% >> "%myLogFile%" 2>&1
ECHO Server Name: %theServer% >> "%myLogFile%" 2>&1
ECHO Query: >> "%myLogFile%" 2>&1
ECHO. >> "%myLogFile%" 2>&1
ECHO %theQuery% >> "%myLogFile%" 2>&1
:export
BCP %myColumnQuery% queryout "%myHeaderFile%" -T -S "%theServer%" -a 65535 -c -C %myCodePage% -q >> "%myLogFile%" 2>&1
IF ERRORLEVEL 1 GOTO error
BCP "%theQuery%" queryout "%myDataFile%" -T -S "%theServer%" -a 65535 -c -C %myCodePage% -q >> "%myLogFile%" 2>&1
IF ERRORLEVEL 1 GOTO error
ECHO. >> "%myLogFile%" 2>&1
ECHO Merging files... >> "%myLogFile%" 2>&1
ECHO. >> "%myLogFile%" 2>&1
COPY /A "%myHeaderFile%" + "%myDataFile%" "%theFile%" /B /Y >> "%myLogFile%" 2>&1
IF ERRORLEVEL 1 GOTO error
:cleanup
DEL "%myHeaderFile%" >NUL 2>&1
IF ERRORLEVEL 1 GOTO error
DEL "%myDataFile%" >NUL 2>&1
IF ERRORLEVEL 1 GOTO error
IF /I NOT [%theDebug%]==[Y] (
DEL "%myLogFile%"
)
IF ERRORLEVEL 1 GOTO error
GOTO end
:error
ECHO
ECHO ERROR: An export error has occured!
IF NOT [%myLogFile: =%]==[] (
ECHO Details can be found in:
ECHO %myLogFile%
)
ECHO
EXIT /B 1
:syntax
ECHO.
ECHO SYNTAX: %0 "sql query" "output file" [server] [Y]
ECHO -------------------------------------------------------------------------------
ECHO You must specify an SQL query and an output file name in which the results of
ECHO the query will be stored. Specifying a server is optional and defaults to the
ECHO server you are executing on. If a fourth argument is given as Y a log file of
ECHO the command outputs will be saved in the same folder as the output file.
ECHO -------------------------------------------------------------------------------
:end
REM This is the end.

小结：

1、导出带有列名的Excel，可以用BCP，语句最少，但导出的不是真正的Excel文件；

2、使用OpenRowset，可以导出真正的Excel;

3、使用NPOI，可以最大化地满足编程人员的需求，另外也可在导出时再做适当的逻辑处理，另外也不需要xp_cmdshell等额外的权限；

4、最简单的是使用SSIS的导出向导，界面直观，可以直接导出为Excel 2003/2007格式。

本文链接

《Expert Cube Development with Microsoft SQL Server 2008 Analysis Services》读书笔记第九章：保护Cube（二）

2012-05-03T11:14:00Z

SQL Server 2008中SQL应用系列及BI学习笔记系列--目录索引

在上文中，我们简单回顾了Analysis Services（以下简称AS，邀月注）的角色和windows用户组等有关管理安全的基础知识，本文将继续关注数据安全(Data Security)。

二、Analysis Services安全功能（续一）

5、数据安全(Data Security)

可以实现三种不同类型的数据安全性：我们可以授予角色以访问整个cube的成员的权限;我们可以授予对一个Cube数据的访问，可以拒绝访问单个Cell（Cell安全），或者维度结构层次上的个别成员（Dimension安全）。

（1）对Cube授予读权限

用户访问一个Cube中的任何数据之前，他们必须是一个对该Cube具有读取权限的角色成员。通过如下界面授予读权限。

如果设置了Cube上的写回（WriteBack），我们还可以控制角色是否可以写回Cube的授予读/写权限。最后，如果我们想要角色成员，能够运行钻取查询和创建本地Cube，我们可以授予权限“Local Cube/Drillthrough Access”。

（2）Cell安全

Cell的安全性配置使用三个MDX表达式返回布尔值。这三个表达式，让我们定义哪些Cube的Cell可以被读或写回。Cube中的每一个Cell被评估，如果返回true，那么我们可以读取或写入cell，如果返回false，则不。

我们看一个例子，如果，我们在Role编辑界面，检查Cell数据选项卡是否启用“read”权限，输入如下表达式：

[Sales Territory].[Sales Territory Country].CurrentMember IS [Sales Territory].[Sales Territory Country].&[Canada]

这样，用户将只能看到Sales Territory维度中Sales Territory Country层次的当前成员是Canada的Cell。在该角色下，我们查询Cube，如下：

这个结果表明：
A:即便角色只能访问加拿大的数据，但还是看到了其他国家，只是不能访问的数据用Null代替，当然也可以用#N/A。这可以在"Secured Cell Value"中设置。

B:授予访问一个国家也授予访问该该国的所有地区。这是因为国家和地区之间有一个定义的属性关系，所以，当选择一个国家的CurrentMember在查询时因为地区的变化引起地区所在的国家的变化。授予属性的成员访问权限，将会同时授予与该属性有直接或间接的关系的低颗粒度属性，但不会发生在更高的颗粒度属性，所以North American成员和总计（这是在层次结构中的所有成员），不能访问。

最后这一点引发了另一个问题：如果该角色的用户从Sales Territory没有选择任何选项而查询Cube会发生什么？
我们看下图：

这是因为：默认成员是All Members，无权限访问，而选择"Canada"时可以读取。

Cell级别的安全控制也可用于度量。例如，读权限使用这个表达式：

([Measures].CurrentMember IS [Measures].[Sales Amount])
OR
([Measures].CurrentMember IS [Measures].[Tax Amount])

该条件过滤后的效果如下：

如果我们希望进一步，用户能够看到所有的国家的Sales Amount，但Total Product Cost仅限于加拿大，我们可以使用：

[Measures].CurrentMember IS [Measures].[Sales Amount]
OR (
[Measures].CurrentMember IS [Measures].[Total Product Cost]
AND
[Sales Territory].[Sales Territory Country].CurrentMember
IS [Sales Territory].[Sales Territory Country].&[Canada]
) OR
[Measures].CurrentMember IS [Measures].[Gross Profit]

注意因为Gross Profit=Sales Amount-Total Product Cost这个计算关系，所以实际上这三个字段都是可见的。

那么如何真正控制，让Gross Profit的读取权限完全符合我们的预期呢？关键的一步在于上述的表达式不应写在"Read Permissions",而应该写在"Read-Contigent Permissions"中

本文主要学习Cube的读取和Cell安全，下节将继续了解数据安全(Data Security)中的维度安全和如何应用安全到度量，欢迎关注。

本文链接

《Expert Cube Development with Microsoft SQL Server 2008 Analysis Services》读书笔记第九章：保护Cube（一）

2012-04-29T13:04:00Z

SQL Server 2008中SQL应用系列及BI学习笔记系列--目录索引

对Analysis Services Cube而言，安全，是一个非常重要的问题。在某种形式的安全要求下，Cube中的数据可能会非常敏感。例如，如果一个Cube包含整个公司的销售数据，我们可能需要确保每个销售人员只能查看他或她自己的数据。同样，如果一个Cube包含有关公司盈利能力数据，可能我们需要谨慎使用，以确保只有财务部和董事会有权访问它。

在本系列中，我们将讨论Analysis Services（以下简称AS，邀月注）的安全模式，探索不同的方式来使用它，并追求最佳实践。

一、示例安全前提

假设我们正在为一家跨国公司建设一个BI解决方案，我们希望我们所有的员工和合作伙伴公司可以访问我们的Cube，条件如下：

1、按国家来访问，比如加拿大的用户只能访问加拿大的数据，英国的用户只能访问英国的数据，依此类推。

2、按代理商访问，某代理商只能访问自己公司的销售信息。

3、限制对特定度量的访问，包括Real和calculated。

在现实世界中，这些限制应该在Cube创建前就已经定义好。

二、Analysis Services安全功能

AS提供了一套丰富的安全功能，使我们能够控制用户可以与一个cube交互的每一个细节。在本节中，我们将描述如何AS实际是是如何安全工作的，以及将不同类型的权限，授予用户。

1、角色和角色成员资格

AS使用角色来管理安全。角色是一个安全组，用户必须是访问多维数据集的一个或多个角色的成员。我们可以授予一个角色有权访问任何cube对象或执行任何管理任务。

　　基于我们的要求，我们需要创建几个角色。我们需要创建安全的国家的角色，所以我们有一个法国用户的角色只允许访问数据来自法国，加拿大的用户，只授予访问加拿大的数据，等等。同样，我们也需要有为每个经销商提供访问Cube的角色。当然，这可能意味着，我们最终有大量不同的角色。稍后在本系列中，我们将展示如何使用一个角色，来处理许多不同权限集。

AS使用角色来定义安全性，但一个角色，从安全模式的观点，仅仅是一个容器。安全只有当我们将用户添加到一个角色才起作用。因此，我们需要知道什么样的用户，可以添加到一个角色。答案是，只允许访问通过角色的Cube用户是Windows用户。

如果你熟悉其他微软产品，如Internet信息服务或SQL Server本身，你就会知道，他们提供了几种不同的方法对用户进行身份验证：Windows集成安全性始终是一个选项，但这些产品往往执行一些其他形式的身份验证。这并不适合于AS，它只支持Windows集成安全性，而不支持任何其他形式认证。

当我们谈到“Windows用户”的时候，我们指的是两个域用户和来自安装AS的服务器上的本地用户。本地用户经常使用的多维数据集时，是在互联网上访问。在这种情况下，将有可能是一个DMZ（De Militarized Zone）中的Analysis Services服务器，有一个Cube的副本合作网络的的某处被其他AS服务器处理，既然DMZ中的服务器不属于某个域，我们将需要使用本地用户才能访问它。

如果不想捆绑安全到指定的Windows用户，我们可以限制AS角色的成员关系到Windows用户组（更完美的是域用户组），这绝对是一个好主意。然后，我们可以通过添加和删除Windows用户到组以控制访问Cube。

因此，为了让用户访问多维数据集和强化安全，我们需要：

1、定义AS的角色，每个角色里的所有用户都拥有一整套权限集。

2、定义域组，并把它们添加到角色。为清晰起见，我们应该在AS角色和域组使用相同的名称。

3、增加域用户到这些组。
如果用户能够访问使用Windows集成安全的Cube,那么这将行之有效。然而有很多的情况下，集成的安全性不能使用，比如防火墙保护的服务器或其他类型的网络基础设施阻止集成安全。在这些情况下，我们将需要使用IIS，让用户通过HTTP连接到Cube，我们将介绍如何做到这一点，在本系列的后面。

2、安全对象

AS数据库可以使用的安全对象包括：

（1）Data Sources

（2）Cubes

（3）Dimensions

（4）Cells

显然，不同的安全对象，我们可以设置不同的权限。例如，我们可以授予在Cube级别权限执行钻取查询，而这对一个特定的维度没有任何意义。

下面是安全对象可以被授权的基本类型：

管理权限相对简单，并允许用户执行如处理一个Cube这样的任务。数据安全是更为复杂，它控制角色如何访问Cube数据；正因为如此，我们将花费更多的时间讨论数据安全及它如何实施。

3、创建角色

创建角色很简单，在BIDS解决方案列表下，选Role节点，选“new Role”即可。

4、多个角色的成员资格

用户可以属于多个角色，所以我们需要了解一个用户拥有多个角色的成员时会发生什么。

如果您参与过Windows中的安全工作，那么你可能会知道“deny wins over grant”的规则。这意味着，如果一个用户属于一个组，可以实现对资源的访问，但同时，该用户属于第二个组，该组被明确拒绝访问该资源，那么用户将无法访问该资源，因为在第二组中否认>第一组的授予。

　　在AS中没有这样的规则。当一个用户是多个角色的成员，该用户将拥有他们在每一个角色所有的权限的并集。例如，如果一个用户属于一个角色，只能看到加拿大和其他任何一个国家，另一个角色，只能看到法国的数据资料，该用户将能够看到加拿大和法国的数据。同样，如果一个开发人员给予他们充分的管理权限，那么这将保证他们能够执行所有管理任务和看到所有cube的所有数据，即使他们也是受限角色的成员。这可能似乎奇怪，但是，不管我们喜欢与否，这是AS的安全性工作方式。

4、测试角色

如果作为开发人员，可以有充分的管理权限，那么我们需要一种方法模拟，使我们可以测试更严格的角色是否正确启用。有三个途径：

（1）连接AS数据库的Cube时，我们可以设置以下两个连接字符串属性，连接字符串属性可以在SSMS中附加的连接属性连接对话框中的选项卡设置。

（2）在BIDS中，双击Cube，右边展开的Browser选项卡，选择“Change User”

（3）对客户端工具（比如Excel）使用”Run as”命令。

5、管理安全

AS中管理权限可被授予两个等级：服务器级别和数据库级别。要成为一个AS服务器管理员，用户必须是一个特殊的角色--全服务器管理员（server-wide Administrators）的成员。在AS安装时，用户可以被添加到这个角色时。服务器管理员有没有限制，同时，某些任务，如创建数据库，只能由服务器管理员。因此，要开发Cube,我们就必须是这个角色的成员。

数据库级别的管理权限授予数据库角色，我们刚刚在前面几节介绍。我们可以通过检查“常规（General）”选项卡上的“完全控制（Full Control）”框中的功能将所有管理权限授予到数据库中。这意味着角色的成员可以创建新的对象，编辑现有对象，处理对象等。万一我们需要更精细颗粒度控制管理权限，可以授予以下两个对整个数据库或单个对象的权限：

（1）阅读定义(Read Definition)：允许角色成员读取一个对象的XMLA的定义，而不能够对其进行修改或读取与它相关的数据。如果用户需要能够查看对象在SSMS或BIDS（在联机模式下连接到数据库），他们必须拥有此权限的角色成员。
（2）处理(Process)：允许一个角色的成员来处理对象。

本系列的第一节简单易懂，希望您能在轻松阅读中有所收获。下节将继续学习数据安全(Data Security)，欢迎关注。

本文链接