Роли уровня базы данных

Относится к:SQL ServerБаза данных SQL AzureУправляемый экземпляр SQL AzureAzure Synapse AnalyticsСистема платформы аналитики (PDW)База данных SQL в Microsoft Fabric

Чтобы упростить управление правами доступа в ваших базах данных, SQL Server предоставляет несколько ролей, представляющих собой субъекты безопасности, объединяющие другие субъекты. Они похожи на группы в операционной системе Windows. Разрешения ролей уровня базы данных распространяются на всю базу данных.

Чтобы добавить пользователей в роль базы данных и удалить их из неё, используйте параметры ADD MEMBER и DROP MEMBER оператора ALTER ROLE. Система платформы аналитики (PDW) и Azure Synapse Analytics не поддерживают использование ALTER ROLE. Используйте вместо этого более старые процедуры sp_addrolemember и sp_droprolemember .

Существует два типа ролей уровня базы данных: предопределенные роли базы данных, предопределенные в базе данных и определяемые пользователем роли базы данных, которые можно создать.

Фиксированные роли базы данных определяются на уровне базы данных и существуют в каждой базе данных. Члены роли базы данных db_owner могут управлять членством в фиксированных ролях базы данных. В базе данных msdb также есть несколько специальных ролей базы данных.

Вы можете добавить любую учетную запись в базе данных и другие роли SQL Server в роли на уровне базы данных.

Разрешения пользовательских ролей базы данных можно настраивать с помощью инструкций GRANT, DENY и REVOKE. Дополнительные сведения см. в разделе Разрешения (компонент ядро СУБД).

Список всех разрешений см. в афише с разрешениями для ядра СУБД . Разрешения на уровне сервера не могут быть предоставлены ролям базы данных. Имена входа и другие субъекты уровня сервера (например, роли сервера) нельзя добавлять к ролям базы данных. Для обеспечения безопасности на уровне сервера в SQL Server используйте роли сервера . Разрешения на уровне сервера нельзя предоставлять с помощью ролей в База данных SQL Azure и Azure Synapse Analytics.

Предопределенные роли базы данных

В следующей таблице показаны фиксированные роли базы данных и их возможности. Эти роли существуют во всех базах данных. Кроме роли общедоступной базы данных разрешения, назначенные предопределенным ролям базы данных, не могут быть изменены.

Разрешения, назначенные фиксированным ролям базы данных, не могут быть изменены. Все роли (включая роль public) имеют CONNECT разрешение. На следующем рисунке показаны разрешения, назначенные фиксированным ролям базы данных:

Специальные роли для Базы данных Azure SQL и Azure Synapse

Эти роли базы данных существуют только в виртуальной master базе данных. Их разрешения ограничены действиями, выполняемыми в master. К этим ролям могут добавляться только пользователи master базы данных. Имена входа не могут быть добавлены в эти роли, но пользователи могут создаваться на основе имен входа, а затем эти пользователи могут быть добавлены в роли. Пользователи автономной базы данных master также могут быть добавлены в эти роли. Однако автономных пользователей базы данных, добавленных в роль dbmanager в master, нельзя использовать для создания новых баз данных.

Некоторые роли баз данных не применимы к Azure SQL или Azure Synapse:

• db_backupoperator не применима к Базе данных SQL Azure (но не к Управляемому экземпляру SQL Azure) и бессерверному пулу Azure Synapse Analytics, так как команды T-SQL для резервного копирования и восстановления недоступны.

• db_datawriter и db_denydatawriter не применимы к бессерверным службам Azure Synapse Analytics, так как он просто считывает внешние данные.

Роли в базе данных msdb

База msdb данных содержит роли специального назначения, отображаемые в следующей таблице.

Члены роли db_ssisadmin и роли dc_admin могут повысить свои привилегии до уровня sysadmin. Это повышение привилегий может произойти, поскольку эти роли могут изменять пакеты Integration Services, а пакеты Integration Services могут выполняться SQL Server с использованием контекста безопасности sysadmin службы агент SQL Server. Чтобы защититься от этого повышения привилегий при выполнении планов обслуживания, наборов сбора данных и других пакетов Integration Services, настройте задания агента SQL Server, запускающие пакеты, так, чтобы они использовали учетную запись-посредник с ограниченными привилегиями, либо добавляйте в роли db_ssisadmin и dc_adminтолько участников sysadmin.

Работа с ролями уровня базы данных

В следующей таблице приведены команды, представления и функции, предназначенные для работы с ролями уровня баз данных.

Роль базы данных «public»

Каждый пользователь базы данных является членом роли базы данных public . Если для пользователя не были предоставлены или запрещены конкретные разрешения на защищаемый объект, пользователь наследует разрешения, предоставленные public для этого объекта. Пользователи базы данных не могут быть удалены из общедоступной роли.

Examples

В примерах этого раздела показано, как работать с ролями уровня базы данных.

A. Добавить пользователя в роль на уровне базы данных

В следующем примере пользователь Бен добавляется к фиксированной роли уровня базы данных db_datareader.

ALTER ROLE db_datareader ADD MEMBER Ben;
GO

B. Вывод списка всех субъектов базы данных, являющихся членами роли уровня базы данных

Следующая инструкция возвращает все члены любой роли базы данных.

SELECT roles.principal_id AS RolePrincipalID,
    roles.name AS RolePrincipalName,
    database_role_members.member_principal_id AS MemberPrincipalID,
    members.name AS MemberPrincipalName
FROM sys.database_role_members AS database_role_members
INNER JOIN sys.database_principals AS roles
    ON database_role_members.role_principal_id = roles.principal_id
INNER JOIN sys.database_principals AS members
    ON database_role_members.member_principal_id = members.principal_id;
GO

Связанный контент

• Представления каталога безопасности (Transact-SQL)
• Хранимые процедуры безопасности (Transact-SQL)
• Функция безопасности (Transact-SQL)
• Обеспечение безопасности SQL Server
• sp_helprotect (Transact-SQL)
• роли сервера База данных SQL Azure для управления разрешениями