怎样设置SQL Server的用户及权限

发布网友发布时间：2022-04-24 16:15

共2个回答

懂视网时间：2022-04-08 06:34

在上一篇文章中，我对主体的概念做了全面的阐述。本篇文章接着讲述主体所作用的安全对象以及所对应的权限。

理解安全对象(Securable)

安全对象，是SQL Server 数据库引擎授权系统控制对其进行访问的资源。通俗点说，就是在SQL Server权限体系下控制的对象，因为所有的对象(从服务器，到表，到视图触发器等)都在SQL Server的权限体系控制之下，所以在SQL Server中的任何对象都可以被称为安全对象。

和主体一样，安全对象之间也是有层级，对父层级上的安全对象应用的权限会被其子层级的安全对象所继承。SQL Server中将安全对象分为三个层次,分别为:

服务器层级

数据库层级

构架层级

这三个层级是从上到下包含的，如图1所示：

技术分享

图1.安全对象层级之间的包含关系

对于SQL Server对于层级的详细划分，可以参看MSDN(http://msdn.microsoft.com/zh-cn/library/ms190401.aspx)。SQL Server中全部的安全对象如图2和图3所示。

图2.服务器层级的安全对象

技术分享

图3.数据库和构架层级的安全对象

理解权限(Permission)

权限是连接主体和安全对象的纽带。SQL Server 2008中,权限分为权利与,分别对应GRANT语句和DENY语句。GRANT表示允许主体对于安全对象做某些操作，DENY表示不允许主体对某些安全对象做某些操作。还有一个REVOKE语句用于收回先前对主体GRANT或DENY的权限。

在设置权限时，尤其要注意权限在安全对象上的继承关系。对于父安全对象上设置的权限，会被自动继承到子安全对象上。主体和安全对象的层级关系如图4所示。

技术分享

图4.主体和安全对象之间的层级关系

比如，我给予主体CareySon(登录名)对于安全对象CareySon-PC(服务器)的Select(权限),那么CareySon这个主体自动拥有CareySon-PC服务器下所有的数据库中表和视图等子安全对象的SELECT权限。如图5所示。

技术分享

图5.主体对于安全对象的权限在层级上会继承

此时，主体CareySon可以看到所有数据库极其子安全对象,如图6所示

技术分享

图6.主体对于安全对象的权限在层级上会继承

使用T-SQL语句进行权限控制

在理解了主体，安全对象和权限的概念之后，使用T-SQL语句进行权限控制就非常简单了。使用GRANT语句进行授予权限，使用DENY语句权限，使用REVOKE语句收回之前对于权限的授予或者。

GRANT在MSDN的原型为:

GRANT { ALL [ PRIVILEGES ] }
 | permission [ ( column [ ,...n ] ) ] [ ,...n ]
 [ ON [ class :: ] securable ] TO principal [ ,...n ] 
 [ WITH GRANT OPTION ] [ AS principal ]

对于GRANT语句的理解就像造句一样 GRANT 某种权限 ON 安全对象类型::安全对象 TO 主体。如果指定了WITH GRANT OPTION,则被授予权限的主体可以授予别的主体同样的权限。

对于DENY语句在MSDN中的原型和GRANT大同小异:

DENY { ALL [ PRIVILEGES ] }
 | permission [ ( column [ ,...n ] ) ] [ ,...n ]
 [ ON [ class :: ] securable ] TO principal [ ,...n ] 
 [ CASCADE] [ AS principal ]

值得注意的是CASCADE选项表示拒绝主体对于安全对象的访问权限同时决绝主体授予其他主体对于安全对象的权限。

而REVOKE语句用于收回原来授予或拒绝某个主体对于安全对象的权限。REVOKE在MSDN中的原型如下：

REVOKE [ GRANT OPTION FOR ]
 { 
 [ ALL [ PRIVILEGES ] ]
 |
  permission [ ( column [ ,...n ] ) ] [ ,...n ]
 }
 [ ON [ class :: ] securable ] 
 { TO | FROM } principal [ ,...n ] 
 [ CASCADE] [ AS principal ]

一个进行权限控制的例子如下:

grant select--权限
 ON Schema::SalesLT--类型::安全对象
 to careyson--主体

deny select--权限
 ON Schema::SalesLT--类型::安全对象
 to careyson--主体

revoke select--权限
 ON Schema::SalesLT--类型::安全对象
 to careyson--主体

控制权限的时候需要注意如下几点:

GRANT会移除主体作用于安全对象上的DENY和REVOKE

DENY和REVOKE移出主体作用于安全对象上的GRANT

REVOKE会移除主体作用于安全对象上的DENY和GRANT

在高层级上的DENY会覆盖任何子层级的GRANT。比如说，你对于Schema进行Deny,对其包含的表进行Grant,则表的GRANT会被Schema的Deny锁覆盖,如图7所示。

技术分享

图7.父层级的Deny覆盖子层级的Grant

对于主体作用于高层级的GRANT会被其子Deny所覆盖，还是上面的例子，我对于Schema进行Grant,对于表进行Deny,最后结果还是Deny，如图8所示。

技术分享

图8.子层级的Deny覆盖父层级的Grant

SQL Server不对sysadmin组的成员做任何权限验证操作。换句话说，sysadmin组的成员可以为所欲为

而对于何种的安全对象可以进行何种对应权限的GRANT,REVOKE,DENY,请参看MSDN（http://msdn.microsoft.com/zh-cn/library/ms191291.aspx）

总结

本文接着上篇文章讲述了安全对象以及相应的权限。对于权限控制时，理解权限的继承和权限的覆盖会在设置权限时减少很多问题。

sqlserver权限体系（下）

标签：

热心网友时间：2022-04-08 03:42

1

-- SQLServer：

一、操作步骤
首先进入数据库级别的【安全性】-【登录名】-【新建登录名】

（图1：新建登录名）
2. 在【常规】选项卡中，如下图所示，创建登陆名，并设置默认的数据库。

（图2：设置选项）
3. 在【用户映射】选项卡中，如下图所示，勾选需要设置的数据库，并设置【架构】，点击【确认】按钮，完成创建用户的操作

（图3：选择对应数据库）
4. 现在我们就可以对TestLog数据库中的User表进行权限的设置了，【表】-【属性】

（图4：选择对应表）
5. 在【权限】选项卡中，如下图所示，依此点击【添加】-【浏览】-【选择对象】

（图5：设置访问表的用户）
6. 在上面点击【确认】后，我们就可以下面的列表中找到对应的权限，如果你还想细化到列的权限的话，右下角还有一个【列权限】的按钮可以进行设置，点击【确认】按钮就完成了这些权限的设置了

（图6：权限列表）
7. 现在就使用TestUser用户登陆数据库了，登陆后如下图所示，现在只能看到一个表了

（图7：效果）

二、注意事项
在上面的第3步骤中需要注意：如果这里没有选择对应的数据库的话，之后去TestLog数据库中是找不到TestUser。

（图8：找不到TestUser用户）
2. 在上面的第3步骤，设置完TestLog数据后，需要点击【确认】按钮，完成创建用户操作，如果这个时候去设置【安全对象】，是无法在【添加】-【特定对象】-【对象类型】-【登陆名】-【浏览】中找到刚刚新建的TestUser用户的。
3. 其实在数据库级别的【安全性】创建的用户是属于全局的，当设置了某个数据库，比如TestLog之后，这个用户就会出现在这个数据库的【安全性】列表中。如果删除TestLog这个用户，会出现下面的提示。删除了后，这个用户就无法登陆了。需要去对应的数据库中删除用户，如果没有删除又创建，是会报错的。

（图9：删除TestUser用户）
4. 在第6步的【显式权限】列表中，如果选择了【Control】这个选项，那么在【Select】中设置查询【列权限】就没有意义了，查询就不会受*了。如果设置【列权限】，在正常情况下会显示下图的报错信息：

（图10：效果）
5. 在TestLog数据库的【安全性】-【TestUser】-【属性】-【安全对象】-【添加】-【对象类型】这里有更多关于数据库级别的一些对象类型可以设置。

（图11：其它对象类型）

全部频道

怎样设置SQL Server的用户及权限

理解安全对象(Securable)

理解权限(Permission)

使用T-SQL语句进行权限控制

总结