权限（数据库引擎）

适用于：SQL ServerAzure SQL 数据库Azure SQL 托管实例Azure Synapse Analytics分析平台系统 （PDW）Microsoft Fabric 中的 SQL 分析终结点Microsoft Fabric 中的仓库Microsoft Fabric 预览版中的 SQL 数据库

每个 SQL Server 安全对象都有关联的权限，可以将这些权限授予主体。 数据库引擎中的权限在分配给登录名和服务器角色的服务器级别上，以及分配给数据库用户和数据库角色的数据库级别上进行管理。 Azure SQL 数据库的模型拥有与数据库权限相同的系统，但服务器级别权限不可用。 本文包含权限的完整列表。 有关权限的典型实现，请参阅 数据库引擎权限入门。

SQL Server 2022 (16.x) 的权限总数为 292。 Azure SQL 数据库公开了 292 个权限。 大多数权限适用于所有平台，但有些不适用。 例如，大多数服务器级别权限无法对 SQL 数据库授予，一些权限仅在 Azure SQL 数据库上有意义。 新权限将随着新版本逐步引入。 SQL Server 2019 (15.x) 公开了 248 个权限。SQL Server 2017 (14.x) 公开了 238 个权限。 SQL Server 2016 (13.x) 公开了 230 个权限。 SQL Server 2014 (12.x) 公开了 219 个权限。 SQL Server 2012 (11.x) 公开了 214 个权限。 SQL Server 2008 R2 (10.50.x) 公开了 195 个权限。 文章 sys.fn_builtin_permissions 指明了哪些权限是近期版本中的新权限。

在 Microsoft Fabric 预览版中的 SQL 数据库中，仅支持数据库级用户和角色。 服务器级登录名、角色和 sa 帐户不可用。 在 Microsoft Fabric 预览版的 SQL 数据库中，Microsoft数据库用户的 Entra ID 是唯一支持的身份验证方法。 有关详细信息，请参阅 Microsoft Fabric 中 SQL 数据库的授权。

了解所需权限后，你可以通过 GRANT、REVOKE 和 DENY 语句将服务器级别权限应用于登录名或服务器角色，将数据库级别权限应用于用户或数据库角色。 For example:

GRANT SELECT ON SCHEMA::HumanResources TO role_HumanResourcesDept;
REVOKE SELECT ON SCHEMA::HumanResources TO role_HumanResourcesDept;

有关规划权限系统的提示，请参阅 数据库引擎权限入门。

权限命名约定

以下介绍了权限命名所遵循的一般约定：

• CONTROL

  授予受赠者类似所有权的能力。 受赠者实际上拥有该安全对象的所有已定义权限。 被授予 CONTROL 权限的主体也可以授予该安全对象的权限。 因为 SQL Server 安全模型是分层的，所以 CONTROL 权限在特定范围内隐含着对该范围内的所有安全对象的 CONTROL 权限。 例如，数据库上的 CONTROL 权限意味着拥有该数据库的所有权限、该数据库中所有程序集的所有权限、该数据库中所有架构的所有权限，以及该数据库中所有架构内的对象的所有权限。

• ALTER

  授予更改特定安全对象的属性（所有权除外）的能力。 当在某个范围内授予 ALTER 权限时，还会授予更改、创建或删除该范围内包含的任何安全对象的能力。 例如，架构上的 ALTER 权限包括从该架构创建、更改和删除对象的能力。

• ALTER ANY <Server Securable>，其中 Server Securable 可以是任何服务器安全对象。

  授予创建、更改或删除 Server Securable 的各个实例的能力。 例如，ALTER ANY LOGIN 授予创建、更改或删除实例中的任何登录名的能力。

• ALTER ANY <Database Securable>，其中 Database Securable 可以是数据库级别的任何安全对象。

  授予创建、更改或删除 Database Securable 的各个实例的能力。 例如，ALTER ANY SCHEMA 授予创建、更改或删除数据库中的任何架构的能力。

• TAKE OWNERSHIP

  使受赠者能够获得其所授予的安全对象的所有权。

• IMPERSONATE <登录>

  使受赠者能够模拟该登录名。

• IMPERSONATE <用户>

  使受赠者能够模拟该用户。

• CREATE <Server 安全对象>

  授予受赠者创建 Server Securable 的能力。

• CREATE <数据库安全对象>

  授予受赠者创建 Database Securable 的能力。

• CREATE <架构包含的安全对象>

  授予创建包含在架构中的安全对象的能力。 但是，要在特定架构中创建该安全对象，需要该架构的 ALTER 权限。

• VIEW DEFINITION

  使受赠者能够访问元数据。

• REFERENCES

  创建引用某个表的 FOREIGN KEY 约束需要该表的 REFERENCES 权限。

  要创建带有引用某个对象的 WITH SCHEMABINDING 子句的 FUNCTION 或 VIEW，需要该对象的 REFERENCES 权限。

SQL Server 权限图表

下图显示了权限以及它们彼此之间的关系。 一些较高级别的权限（如 CONTROL SERVER）被多次列出。 在本文中，图表太小，无法阅读。 你可以下载 PDF 格式的完整数据库引擎权限文章。

适用于特定安全对象的权限

下表列出了主要的权限类以及可能应用这些权限的安全对象的类型。

SQL Server 权限

下表提供了 SQL Server 权限的完整列表。 Azure SQL 数据库权限仅适用于受支持的基本安全对象。 不能在 Azure SQL 数据库中授予服务器级别权限，但在某些情况下，可以授予数据库权限。

SQL Server 2022 添加的新粒度权限

以下权限将添加到 SQL Server 2022：

• 添加了 10 个新权限，允许访问系统元数据。

• 为扩展事件添加了 18 个新权限。

• 针对安全相关对象添加了 9 个新权限。

• 为账本添加了 4 个权限。

• 3 个其他数据库权限。

有关详细信息，请参阅 SQL Server 2022 和 Azure SQL 的新粒度权限，以改进对 PoLP 的遵守。

系统元数据的访问权限

Server level:

• 查看任何安全定义
• 查看任何性能定义
• 查看服务器安全状态
• 查看服务器性能状态
• 查看任何加密保护的定义

Database level:

• 查看数据库安全状态
• 查看数据库性能状态
• 查看安全定义
• 查看性能定义
• 查看加密安全的定义

扩展事件权限

Server level:

• 创建任意事件会话
• 删除任意事件会话
• 更改任何事件会话选项
• ALTER ANY EVENT SESSION ADD EVENT
• ALTER ANY EVENT SESSION DROP EVENT
• ALTER ANY EVENT SESSION ENABLE
• ALTER ANY EVENT SESSION DISABLE
• ALTER ANY EVENT SESSION ADD TARGET
• ALTER ANY EVENT SESSION DROP TARGET

所有这些权限都在同一父权限下：ALTER ANY EVENT SESSION

Database level:

• 创建任何数据库事件会话
• 删除任何数据库事件会话
• 更改任何数据库事件会话选项
• ALTER ANY DATABASE EVENT SESSION ADD EVENT
• ALTER ANY DATABASE EVENT SESSION DROP EVENT
• 启用 ALTER ANY DATABASE 事件会话
• ALTER ANY DATABASE EVENT SESSION DISABLE
• ALTER ANY DATABASE EVENT SESSION ADD TARGET
• 修改任何数据库事件会话删除目标

所有这些权限都在同一父权限下：ALTER ANY DATABASE EVENT SESSION

与安全相关的对象权限

• CONTROL (CREDENTIAL)
• CREATE LOGIN
• CREATE USER
• REFERENCES (CREDENTIAL)
• UNMASK (OBJECT)
• UNMASK (SCHEMA)
• 查看任何错误日志
• 查看服务器安全审核
• 查看数据库安全审核

Ledger permissions

• ALTER LEDGER
• ALTER LEDGER CONFIGURATION
• ENABLE LEDGER
• 查看账本内容

其他数据库权限

• ALTER ANY EXTERNAL JOB
• 修改任何外部流
• 执行任何外部终结点

权限检查算法摘要

检查权限可能很复杂。 权限检查算法包括重叠的组成员身份和所有权链、显式和隐式权限，并且可能会受到包含该安全对象实体的安全对象类的权限的影响。 该算法的一般过程是收集所有相关权限。 如果未找到阻塞性的 DENY，则算法会搜索提供足够访问权限的 GRANT。 该算法包含三个基本要素：安全上下文、权限空间和所需权限。

• Security context

  这是为访问检查提供权限的主体组。 这些是与当前登录名或用户相关的权限，除非通过使用 EXECUTE AS 语句将安全上下文更改为另一个登录名或用户。 安全上下文包括以下主体：

  • The login

  • The user

  • Role memberships

  • Windows 组成员身份

  • 如果使用模块签名，则包括用于签名用户当前正在执行的模块的证书的任何登录名或用户帐户，以及该主体的相关角色成员身份。

• Permission space

  这是安全对象实体以及包含该安全对象的任何安全对象类。 例如，表（一种安全对象实体）包含在架构安全对象类和数据库安全对象类中。 访问可能会受到表、架构、数据库和服务器级权限的影响。 有关详细信息，请参阅权限层次结构（数据库引擎）。

• Required permission

  所需的权限类型。 例如，INSERT、UPDATE、DELETE、SELECT、EXECUTE、ALTER、CONTROL 等。

  访问可能需要多个权限，如下例所示：

  • 存储过程可能既需要该存储过程的 EXECUTE 权限，又需要该存储过程所引用的多个表的 INSERT 权限。

  • 动态管理视图可能既需要 VIEW SERVER STATE 权限，又需要该视图的 SELECT 权限。

算法的通用步骤

当算法确定是否允许访问某个安全对象时，其使用的确切步骤可能会有所不同，具体取决于所涉及的主体和安全对象。 但是，该算法执行以下一般步骤：

1. 如果登录名是 sysadmin 固定服务器角色的成员，或者用户是当前数据库中的 dbo 用户，则跳过权限检查。

2. 如果所有权链适用，且对链中较早对象的访问检查通过了安全检查，则允许访问。

3. 聚合与调用方相关联的服务器级、数据库级和已签名模块标识，以创建安全上下文。

4. 针对该安全上下文，收集对权限空间授予或拒绝的所有权限。 权限可以显式声明为 GRANT、GRANT WITH GRANT 或 DENY；或者权限可以是隐含的或涵盖性的 GRANT 或 DENY 权限。 例如，架构上的 CONTROL 权限隐含表上的 CONTROL 权限。 表上的 CONTROL 权限隐含 SELECT 权限。 因此，如果授予了架构的 CONTROL 权限，则授予表的 SELECT 权限。 如果拒绝了表的 CONTROL 权限，则拒绝表的 SELECT 权限。

   Note

   列级权限的 GRANT 会覆盖对象级的 DENY。 有关详细信息，请参阅 DENY 对象权限。

5. 确定所需权限。

6. 如果对权限空间中的对象的安全上下文中的任何标识直接或隐含地拒绝了所需权限，则权限检查失败。

7. 如果没有拒绝必需的权限， 而且必需的权限 包含对安全上下文中任何标识直接或隐式的 GRANT 或 GRANT WITH GRANT 权限，则要通过权限检查，这适用于权限空间中的任何对象。

列级权限的特殊注意事项

列级权限使用语法 <table_name>(<column _name>) 授予。 For example:

GRANT SELECT ON OBJECT::Customer(CustomerName) TO UserJoe;

表上的 DENY 会被列上的 GRANT 覆盖。 但是，随后对表的 DENY 将移除列的 GRANT。

Examples

本部分中的示例演示如何检索权限信息。

A. 返回可授予权限的完整列表

下列语句使用 fn_builtin_permissions 函数返回所有数据库引擎权限。 有关详细信息，请参阅 sys.fn_builtin_permissions。

SELECT * FROM fn_builtin_permissions(default);
GO

B. 返回针对某类对象的权限

以下示例使用 fn_builtin_permissions 查看一类安全对象可用的所有权限。 该示例返回程序集的权限。

SELECT * FROM fn_builtin_permissions('assembly');
GO

C. 返回授予对象的执行主体的权限

以下示例使用 fn_my_permissions 返回调用主体在指定安全对象上拥有的有效权限列表。 该示例返回名为 Orders55 的对象的权限。 有关详细信息，请参阅 sys.fn_my_permissions。

SELECT * FROM fn_my_permissions('Orders55', 'object');
GO

D. 返回适用于指定对象的权限

以下示例返回适用于名为 Yttrium 的对象的权限。 使用内置函数 OBJECT_ID 来检索对象 Yttrium 的 ID。

SELECT * FROM sys.database_permissions
    WHERE major_id = OBJECT_ID('Yttrium');
GO

Related content

• 权限层次结构（数据库引擎）
• sys.database_permissions (Transact-SQL)