权限（数据库引擎）

适用于：SQL ServerAzure SQL 数据库Azure SQL 托管实例Azure Synapse Analytics分析平台系统（PDW）Microsoft Fabric 中的 SQL 分析终结点Microsoft Fabric 中的仓库Microsoft Fabric 中的 SQL 数据库

每个 SQL Server 安全对象都有关联的权限，可以将这些权限授予主体。 数据库引擎中的权限在分配给登录名和服务器角色的服务器级别上，以及分配给数据库用户和数据库角色的数据库级别上进行管理。 Azure SQL 数据库的模型拥有与数据库权限相同的系统，但服务器级别权限不可用。 本文包含权限的完整列表。 有关权限的典型实现，请参阅 数据库引擎权限入门。

SQL Server 2022 (16.x) 的权限总数为 292。 Azure SQL 数据库公开了 292 个权限。 大多数权限适用于所有平台，但有些不适用。 例如，大多数服务器级别权限无法对 SQL 数据库授予，一些权限仅在 Azure SQL 数据库上有意义。 新权限将随着新版本逐步引入。 SQL Server 2019 (15.x) 公开了 248 个权限。SQL Server 2017 (14.x) 公开了 238 个权限。 SQL Server 2016 (13.x) 公开了 230 个权限。 SQL Server 2014 (12.x) 公开了 219 个权限。 SQL Server 2012 (11.x) 公开了 214 个权限。 SQL Server 2008 R2 (10.50.x) 公开了 195 个权限。 文章 sys.fn_builtin_permissions 指明了哪些权限是近期版本中的新权限。

在 Microsoft Fabric 中的 SQL 数据库中，仅支持数据库级用户和角色。 服务器级登录名、角色和 sa 帐户不可用。 在 Microsoft Fabric 中的 SQL 数据库中，Microsoft数据库用户的 Entra ID 是唯一支持的身份验证方法。 有关详细信息，请参阅 Microsoft Fabric 中 SQL 数据库的授权。

了解所需权限后，可以使用 GRANT、REVOKE 和 DENY 语句，将服务器级权限授予登录名或服务器角色，并将数据库级权限授予用户或数据库角色。 例如：

GRANT SELECT ON SCHEMA::HumanResources TO role_HumanResourcesDept;
REVOKE SELECT ON SCHEMA::HumanResources TO role_HumanResourcesDept;

有关规划权限系统的提示，请参阅 数据库引擎权限入门。

权限命名约定

以下介绍了权限命名所遵循的一般约定：

• CONTROL

  授予受赠者类似所有权的能力。 受赠者实际上拥有该安全对象的所有已定义权限。 被授予 CONTROL 权限的主体也可以授予该安全对象的权限。 因为 SQL Server 安全模型是分层的，所以 CONTROL 权限在特定范围内隐含着对该范围内的所有安全对象的 CONTROL 权限。 例如，数据库上的 CONTROL 权限意味着拥有该数据库的所有权限、该数据库中所有程序集的所有权限、该数据库中所有架构的所有权限，以及该数据库中所有架构内的对象的所有权限。

• ALTER

  授予更改特定安全对象的属性（所有权除外）的能力。 当在某个范围内授予 ALTER 权限时，还会授予更改、创建或删除该范围内包含的任何安全对象的能力。 例如，架构上的 ALTER 权限包括从该架构创建、更改和删除对象的能力。

• ALTER ANY <Server Securable>，其中 Server Securable 可以是任何服务器安全对象。

  授予创建、更改或删除 Server Securable 的各个实例的能力。 例如，ALTER ANY LOGIN 授予在实例中创建、更改或删除任何登录名的能力。

• ALTER ANY <Database Securable>，其中 Database Securable 可以是数据库级别的任何安全对象。

  授予创建、更改或删除 Database Securable 的各个实例的能力。 例如，ALTER ANY SCHEMA 授予在数据库中创建、更改或删除任何架构的能力。

• 接管所有权

  使受赠者能够获得其所授予的安全对象的所有权。

• IMPERSONATE <登录>

  使受赠者能够模拟该登录名。

• IMPERSONATE <用户>

  使受赠者能够模拟该用户。

• CREATE <Server 可保护对象>

  授予受赠者创建 Server Securable 的能力。

• CREATE <数据库安全对象>

  授予受赠者创建 Database Securable 的能力。

• CREATE <架构内包含的可保护对象>

  授予创建包含在架构中的安全对象的能力。 但是，要在特定架构中创建该安全对象，需要该架构的 ALTER 权限。

• VIEW 定义

  使受赠者能够访问元数据。

• REFERENCES

  创建引用某个表的 FOREIGN KEY 约束需要该表的 REFERENCES 权限。

  必须具有对某个对象的 REFERENCES 权限，才能使用引用该对象的 WITH SCHEMABINDING 子句创建 FUNCTION 或 VIEW。

SQL Server 权限图表

下图显示了权限以及它们彼此之间的关系。 一些较高级别的权限（如 CONTROL SERVER）被多次列出。 在本文中，图表太小，无法阅读。 你可以下载 PDF 格式的完整数据库引擎权限文章。

适用于特定安全对象的权限

下表列出了主要的权限类以及可能应用这些权限的安全对象的类型。

SQL Server 权限

下表提供了 SQL Server 权限的完整列表。 Azure SQL 数据库权限仅适用于受支持的基本安全对象。 不能在 Azure SQL 数据库中授予服务器级别权限，但在某些情况下，可以授予数据库权限。

SQL Server 2022 添加的新粒度权限

以下权限将添加到 SQL Server 2022：

• 添加了 10 个新权限，允许访问系统元数据。

• 为扩展事件添加了 18 个新权限。

• 针对安全相关对象添加了 9 个新权限。

• 为账本添加了 4 个权限。

• 3 个其他数据库权限。

有关详细信息，请参阅 SQL Server 2022 和 Azure SQL 的新粒度权限，以改进对 PoLP 的遵守。

系统元数据的访问权限

服务器级别：

• VIEW 任何安全性定义
• VIEW 任意性能定义
• VIEW 服务器安全状态
• VIEW 服务器性能状态
• VIEW 任何受密码学保护的定义

数据库级别：

• VIEW DATABASE 安全状态
• VIEW DATABASE 性能状态
• VIEW 安全定义
• VIEW 性能定义
• VIEW 经密码学保护的定义

扩展事件权限

服务器级别：

• 创建任何EVENT SESSION
• 拖放任意内容 EVENT SESSION
• 更改任意 EVENT SESSION 选项
• 更改任何 EVENT SESSION ADD EVENT 权限
• 更改任何 EVENT SESSION 删除事件
• 启用 ALTER ANY EVENT SESSION 权限
• 禁用对任何 EVENT SESSION 的 ALTER 权限
• ALTER ANY EVENT SESSION 添加目标
• 更改任何 EVENT SESSION 删除目标

所有这些权限都属于同一父权限：ALTER ANY EVENT SESSION

数据库级别：

• 创建任意 DATABASEEVENT SESSION
• 拖放任何 DATABASEEVENT SESSION
• 更改任意DATABASEEVENT SESSION选项
• 更改任何 DATABASEEVENT SESSION 添加事件
• 更改任何 DATABASEEVENT SESSION 删除事件
• ALTER ANY DATABASEEVENT SESSION 启用
• 禁用任何 DATABASEEVENT SESSION 的 ALTER
• 修改任何 DATABASEEVENT SESSION 添加目标
• 更改任意 DATABASEEVENT SESSION 删除目标

所有这些权限都位于相同的父权限下： ALTER ANY DATABASEEVENT SESSION

与安全相关的对象权限

• 控制（CREDENTIAL）
• CREATE LOGIN
• CREATE USER
• 参考资料 (CREDENTIAL)
• 解除屏蔽（对象）
• 取消屏蔽（SCHEMA）
• VIEW 任何错误日志
• VIEW 服务器安全审核
• VIEW DATABASE 安全审核

账本权限

• ALTER LEDGER
• 更改分类帐配置
• 启用分类账
• VIEW 账本内容

其他数据库权限

• 任何外部作业的ALTER操作
• 修改任何外部流
• 执行任意外部命令 ENDPOINT

权限检查算法摘要

检查权限可能很复杂。 权限检查算法包括重叠的组成员身份和所有权链、显式和隐式权限，并且可能会受到包含该安全对象实体的安全对象类的权限的影响。 该算法的一般过程是收集所有相关权限。 如果未找到阻塞 DENY 的内容，算法将搜索可提供足够访问权限的 GRANT。 该算法包含三个基本要素：安全上下文、权限空间和所需权限。

• 安全上下文

  这是为访问检查提供权限的主体组。 这些权限与当前登录名或用户相关，除非安全上下文已使用 EXECUTE AS 语句更改为另一个登录名或用户。 安全上下文包括以下主体：

  • 登录

  • 用户

  • 角色成员资格

  • Windows 组成员身份

  • 如果使用模块签名，则包括用于签名用户当前正在执行的模块的证书的任何登录名或用户帐户，以及该主体的相关角色成员身份。

• 权限空间

  这是安全对象实体以及包含该安全对象的任何安全对象类。 例如，表（一种安全对象实体）包含在架构安全对象类和数据库安全对象类中。 访问可能会受到表、架构、数据库和服务器级权限的影响。 有关详细信息，请参阅权限层次结构（数据库引擎）。

• 所需权限

  所需的权限类型。 例如，INSERT、UPDATE、DELETE、SELECT、EXECUTE、ALTER、CONTROL 等。

  访问可能需要多个权限，如下例所示：

  • 存储过程可能既需要对该存储过程具有 EXECUTE 权限，也需要对该存储过程引用的多个表具有 INSERT 权限。

  • 动态管理视图可能需要对视图具有 VIEW SERVER STATE 和 SELECT 权限。

算法的通用步骤

当算法确定是否允许访问某个安全对象时，其使用的确切步骤可能会有所不同，具体取决于所涉及的主体和安全对象。 但是，该算法执行以下一般步骤：

1. 如果登录名是 sysadmin 固定服务器角色的成员，或者用户是当前数据库中的 dbo 用户，则跳过权限检查。

2. 如果所有权链适用，且对链中较早对象的访问检查通过了安全检查，则允许访问。

3. 聚合与调用方相关联的服务器级、数据库级和已签名模块标识，以创建安全上下文。

4. 针对该安全上下文，收集对权限空间授予或拒绝的所有权限。 权限可以明确表述为GRANT、GRANT附带GRANT，或DENY；或者，这些权限可以是默示许可或概括性许可GRANT或DENY。 例如，架构上的 CONTROL 权限隐含表上的 CONTROL 权限。 表上的 CONTROL 权限隐含 SELECT 权限。 因此，如果授予了架构的 CONTROL 权限，则授予表的 SELECT 权限。 如果拒绝了表的 CONTROL 权限，则拒绝表的 SELECT 权限。

   Note

   列级权限的GRANT会覆盖对象级别的DENY。 有关详细信息，请参阅 DENY 对象权限。

5. 确定所需权限。

6. 如果对权限空间中的对象的安全上下文中的任何标识直接或隐含地拒绝了所需权限，则权限检查失败。

7. 如果所需权限未被拒绝，并且所需权限对安全上下文中的任一标识，在权限空间中的任一对象上，直接或隐式包含一个GRANT或一个带有GRANT权限的GRANT，则通过权限检查。

列级权限的特殊注意事项

列级权限使用语法 <table_name>(<column _name>) 授予。 例如：

GRANT SELECT ON OBJECT::Customer(CustomerName) TO UserJoe;

表上的一个 DENY 会被列上的一个 GRANT 覆盖。 但是，表上的后续 DENY 操作将删除该列 GRANT。

Examples

本部分中的示例演示如何检索权限信息。

A. 返回可授予权限的完整列表

下列语句使用 fn_builtin_permissions 函数返回所有数据库引擎权限。 有关详细信息，请参阅 sys.fn_builtin_permissions。

SELECT * FROM fn_builtin_permissions(default);
GO

B. 返回针对某类对象的权限

以下示例使用 fn_builtin_permissions 查看一类安全对象可用的所有权限。 该示例返回程序集的权限。

SELECT * FROM fn_builtin_permissions('assembly');
GO

C. 返回授予对象的执行主体的权限

以下示例使用 fn_my_permissions 返回调用主体在指定安全对象上拥有的有效权限列表。 该示例返回名为 Orders55 的对象的权限。 有关详细信息，请参阅 sys.fn_my_permissions。

SELECT * FROM fn_my_permissions('Orders55', 'object');
GO

D. 返回适用于指定对象的权限

以下示例返回适用于名为 Yttrium 的对象的权限。 使用内置函数 OBJECT_ID 来检索对象 Yttrium 的 ID。

SELECT * FROM sys.database_permissions
    WHERE major_id = OBJECT_ID('Yttrium');
GO

相关内容

• 权限层次结构（数据库引擎）
• sys.database_permissions（Transact-SQL）