DENY Разрешения базы данных (Transact-SQL)

Применимо к:SQL ServerБаза данных Azure SQLУправляемый экземпляр Azure SQLAzure Synapse AnalyticsСистема платформы аналитики (PDW)Конечная точка SQL аналитики в Microsoft FabricХранилище в Microsoft FabricБаза данных SQL в Microsoft Fabric

Отклоняет разрешения на базу данных в SQL Server.

Соглашения о синтаксисе Transact-SQL

Syntax

DENY <permission> [ ,...n ]
    TO <database_principal> [ ,...n ] [ CASCADE ]
    [ AS <database_principal> ]

<permission> ::=
    permission | ALL [ PRIVILEGES ]

<database_principal> ::=
    Database_user
  | Database_role
  | Application_role
  | Database_user_mapped_to_Windows_User
  | Database_user_mapped_to_Windows_Group
  | Database_user_mapped_to_certificate
  | Database_user_mapped_to_asymmetric_key
  | Database_user_with_no_login

Arguments

permission — указывает отзываемое разрешение для базы данных. Список разрешений см. в подразделе "Примечания" далее в этом разделе.

ALL — этот параметр запрещает не все возможные разрешения. Отказ ALL эквивалентен отказу следующих разрешений: BACKUP, LOG, DATABASE, BACKUP, CREATE DATABASE, , CREATE DEFAULT, CREATE FUNCTIONCREATE PROCEDURE, и CREATE RULE. CREATE TABLECREATE VIEW

PRIVILEGES — включено для обеспечения совместимости с требованиями ISO. Не изменяет работу ALL.

CASCADE — показывает, что разрешение будет запрещено еще и для тех участников, которым его предоставил указанный участник.

AS <database_principal> указывает участника, от которого участник, выполняющий данный запрос, наследует право на отзыв разрешения.

Database_user — указывает пользователя базы данных.

Database_role — указывает роль базы данных.

Application_role применимо к SQL Server 2008 (10.0.x) и более поздним версиям База данных SQL.

Указывает роль приложения.

Database_user_mapped_to_Windows_User — указывает пользователя базы данных, сопоставленного с пользователем Windows.

Database_user_mapped_to_Windows_Group — указывает пользователя базы данных, сопоставленного с группой Windows.

Database_user_mapped_to_certificate  — указывает пользователя базы данных, сопоставленного с сертификатом.

Database_user_mapped_to_asymmetric_key — указывает пользователя базы данных, сопоставленного с асимметричным ключом.

Database_user_with_no_login — указывает пользователя базы данных, не сопоставленного с субъектом серверного уровня.

Remarks

База данных — это защищаемый объект, хранящийся на сервере, который является родителем базы данных в иерархии разрешений. Самые специфичные и ограниченные разрешения на работу с базой данных, которые можно запрещать, приведены в следующей таблице вместе с общими разрешениями, неявно их охватывающими.

Permissions

Участник, выполняющий эту инструкцию (или участник, указанный параметром AS), должен иметь разрешение CONTROL на базу данных или разрешение более высокого уровня, которое включает это разрешение.

Если указан параметр AS, указанный участник должен быть владельцем базы данных.

Examples

A. Запрет разрешения на создание сертификатов

Следующий код отказывает в разрешении CREATE CERTIFICATE пользователю AdventureWorks2025 базы данных MelanieK.

USE AdventureWorks2022;
DENY CREATE CERTIFICATE TO MelanieK;
GO

B. Запрет разрешения REFERENCES для роли приложения

Следующий код запрещает разрешение REFERENCES, связанное с базой данных AdventureWorks2025 для роли приложения AuditMonitor.

Область применения: SQL Server 2008 (10.0.x) и более поздних версий База данных SQL.

USE AdventureWorks2022;
DENY REFERENCES TO AuditMonitor;
GO

C. Отрицание VIEW ОПРЕДЕЛЕНИЯ с помощью CASCADE

Следующий код запрещает разрешение VIEW DEFINITION, связанное с базой данных AdventureWorks2025, для пользователя CarmineEs и всех участников, которым CarmineEs предоставил разрешение VIEW DEFINITION.

USE AdventureWorks2022;
DENY VIEW DEFINITION TO CarmineEs CASCADE;
GO

Связанные материалы

• sys.database_permissions
• sys.database_principals
• CREATE DATABASE
• GRANT
• Permissions
• Principals