DENY 数据库权限 (Transact-SQL)

适用于：SQL ServerAzure SQL 数据库Azure SQL 托管实例Azure Synapse Analytics分析平台系统(PDW)Microsoft Fabric 中的 SQL 分析终结点Microsoft Fabric 中的仓库Microsoft Fabric 预览版中的 SQL 数据库

拒绝对 SQL Server 中数据库的权限。

Transact-SQL 语法约定

Syntax

DENY <permission> [ ,...n ]
    TO <database_principal> [ ,...n ] [ CASCADE ]
    [ AS <database_principal> ]

<permission> ::=
    permission | ALL [ PRIVILEGES ]

<database_principal> ::=
    Database_user
  | Database_role
  | Application_role
  | Database_user_mapped_to_Windows_User
  | Database_user_mapped_to_Windows_Group
  | Database_user_mapped_to_certificate
  | Database_user_mapped_to_asymmetric_key
  | Database_user_with_no_login

Arguments

permission 指定可对数据库拒绝的权限。 有关权限的列表，请参阅本主题后面的“备注”部分。

ALL 该选项不拒绝所有可能权限。 拒绝 ALL 等同于拒绝下列权限：BACKUP DATABASE、BACKUP LOG、CREATE DATABASE、CREATE DEFAULT、CREATE FUNCTION、CREATE PROCEDURE、CREATE RULE、CREATE TABLE 和 CREATE VIEW。

PRIVILEGES 包含此参数是为了符合 ISO 标准。 请不要更改 ALL 的行为。

CASCADE 指示要拒绝的权限也会被对指定主体授予权限的主体拒绝。

AS <database_principal> 指定一个主体，执行该查询的主体从该主体获得拒绝授予该权限的权利。

Database_user 指定数据库用户。

Database_role 指定数据库角色。

Application_role 适用于：SQL Server 2008 (10.0.x) 及更高版本、SQL 数据库。

指定应用程序角色。

Database_user_mapped_to_Windows_User 指定映射到 Windows 用户的数据库用户。

Database_user_mapped_to_Windows_Group 指定映射到 Windows 组的数据库用户。

Database_user_mapped_to_certificate 指定映射到证书的数据库用户。

Database_user_mapped_to_asymmetric_key 指定映射到非对称密钥的数据库用户。

Database_user_with_no_login 指定无相应服务器级主体的数据库用户。

Remarks

数据库是安全对象，包含于权限层次结构中作为其父级的服务器中。 下表列出了可拒绝的对数据库最为具体的限定权限，以及隐含这些权限的更为通用的权限。

Permissions

执行此语句的主体（或用 AS 选项指定的主体）必须具有对数据库的 CONTROL 权限，或具有隐含对数据库的 CONTROL 权限的更高权限。

若要使用 AS 选项，则指定的主体必须拥有数据库。

Examples

A. 拒绝创建证书的权限

以下示例拒绝用户 CREATE CERTIFICATE 对 AdventureWorks2022 数据库的 MelanieK 权限。

USE AdventureWorks2022;
DENY CREATE CERTIFICATE TO MelanieK;
GO

B. 对应用程序角色拒绝 REFERENCES 权限

以下示例拒绝应用程序角色 REFERENCES 对 AdventureWorks2022 数据库的 AuditMonitor 权限。

适用于：SQL Server 2008 (10.0.x) 及更高版本、SQL 数据库。

USE AdventureWorks2022;
DENY REFERENCES TO AuditMonitor;
GO

C. 使用 CASCADE 拒绝 VIEW DEFINITION

以下示例拒绝用户 VIEW DEFINITION 以及 AdventureWorks2022 已授予 CarmineEs 权限的所有主体对 CarmineEs 数据库的 VIEW DEFINITION 权限。

USE AdventureWorks2022;
DENY VIEW DEFINITION TO CarmineEs CASCADE;
GO

See Also

• sys.database_permissions
• sys.database_principals
• CREATE DATABASE
• GRANT
• Permissions
• Principals