DENY Uprawnienia serwera (Transact-SQL)

Dotyczy:SQL ServerAzure SQL Managed Instance

Odmawia uprawnień na serwerze.

Transact-SQL konwencje składni

Składnia

DENY permission [ ,...n ]
    TO <grantee_principal> [ ,...n ]
    [ CASCADE ]
    [ AS <grantor_principal> ]

<grantee_principal> ::= SQL_Server_login
    | SQL_Server_login_mapped_to_Windows_login
    | SQL_Server_login_mapped_to_Windows_group
    | SQL_Server_login_mapped_to_certificate
    | SQL_Server_login_mapped_to_asymmetric_key
    | server_role

<grantor_principal> ::= SQL_Server_login
    | SQL_Server_login_mapped_to_Windows_login
    | SQL_Server_login_mapped_to_Windows_group
    | SQL_Server_login_mapped_to_certificate
    | SQL_Server_login_mapped_to_asymmetric_key
    | server_role

Argumenty

uprawnienie

Określa uprawnienie, które można odmówić na serwerze. Aby uzyskać listę uprawnień, zobacz Uwagi.

KASKADA

Wskazuje, że uprawnienie jest odrzucane określonemu podmiotowi zabezpieczeń i wszystkim innym podmiotom zabezpieczeń, do których podmiot zabezpieczeń udzielił uprawnienia. Wymagane, gdy zleceniodawca ma zgodę na .GRANT OPTION

DO <server_principal>

Określa podmiot zabezpieczeń, do którego odmówiono uprawnień.

JAK <grantor_principal>

Określa podmiot zabezpieczeń, z którego podmiot zabezpieczeń wykonujący to zapytanie ma prawo do odmowy uprawnienia.

Użyj klauzuli AS głównej, aby wskazać, że podmiot zarejestrowany jako odmawiający zgody powinien być podmiotem innym niż osoba sporządzająca oświadczenie. Na przykład załóżmy, że użytkownik Mary ma principal_id 12 lat, a Raul 15 lat. Mary wykonuje DENY SELECT ON OBJECT::X TO Steven WITH GRANT OPTION AS Raul; Teraz tabela sys.database_permissions wskaże, że zdanie grantor_principal_id odmówienia wynosiło 15 (Raul), mimo że zdanie zostało faktycznie wykonane przez użytkownika 13 (Mary).

SQL_Server_login

Określa identyfikator logowania programu SQL Server.

SQL_Server_login_mapped_to_Windows_login

Określa identyfikator logowania programu SQL Server zamapowany na dane logowania systemu Windows.

SQL_Server_login_mapped_to_Windows_group

Określa identyfikator logowania programu SQL Server zamapowany na grupę systemu Windows.

SQL_Server_login_mapped_to_certificate

Określa identyfikator logowania programu SQL Server zamapowany na certyfikat.

SQL_Server_login_mapped_to_asymmetric_key

Określa identyfikator logowania programu SQL Server zamapowany na klucz asymetryczny.

server_role

Określa rolę serwera.

Uwagi

Uprawnienia w skali serwera mogą być odrzucone tylko wtedy, gdy aktualna baza danych to master.

Informacje o uprawnieniach serwera można wyświetlić w widoku katalogu sys.server_permissions, a informacje o jednostkach serwera można wyświetlić w widoku katalogu sys.server_principals. Informacje o członkostwie ról serwera można wyświetlić w widoku katalogu sys.server_role_members.

W Azure SQL Database GRANTuprawnienia REVOKEna poziomie serwera , , oraz DENY of nie są obsługiwane.

Serwer jest najwyższym poziomem hierarchii uprawnień. Najbardziej specyficzne i ograniczone uprawnienia, które mogą zostać odrzucone na serwerze, są wymienione w poniższej tabeli.

Następujące trzy uprawnienia serwera zostały dodane w programie SQL Server 2014 (12.x).

• uprawnienie CONNECT ANY DATABASE

  • Nadaj CONNECT ANY DATABASE logowanie, które musi łączyć się ze wszystkimi obecnie istniejącymi bazami danych oraz z nowymi bazami, które mogą zostać utworzone w przyszłości. Nie udziela żadnych uprawnień w żadnej bazie danych poza połączeniem. Połącz lub SELECT ALL USER SECURABLESVIEW SERVER STATE umożliwi proces audytu do przeglądania wszystkich danych lub wszystkich stanów bazy danych na instancji SQL Server.

• uprawnienie IMPERSONATE ANY LOGIN

  • Po przyznaniu umożliwia procesowi warstwy środkowej personifikację konta klientów łączących się z nim, ponieważ łączy się z bazami danych. Po odmowie logowania z wysokim poziomem uprawnień można zablokować personifikację innych identyfikatorów logowania. Na przykład logowanie z CONTROL SERVER uprawnieniami może zostać zablokowane przed podszywaniem się pod inne logowania.

• uprawnienie SELECT ALL USER SECURABLES

  • Po przyznaniu identyfikator logowania, taki jak audytor, może wyświetlać dane we wszystkich bazach danych, z którymi użytkownik może nawiązać połączenie. Gdy odmówione, uniemożliwia dostęp do obiektów, chyba że znajdują się one w sys schemacie.

Uprawnienia

Wymaga uprawnień serwera KONTROLI lub własności zabezpieczanej. Jeśli używasz klauzuli AS, określony podmiot zabezpieczeń musi być właścicielem zabezpieczanego, na którym uprawnienia są odrzucane.

Przykłady

A. Odmóń uprawnienia CONNECT SQL do logowania do SQL Server oraz zasad, którym dane dane przyznały je ponownie

W poniższym przykładzie odmowa CONNECT SQL uprawnień do logowania programu SQL Server Test i podmiotów zabezpieczeń, którym przyznała uprawnienie.

USE master;  
DENY CONNECT SQL TO Test CASCADE;  
GO  

B. Odmówić CREATE ENDPOINT pozwolenia na logowanie do SQL Server za pomocą opcji AS

W poniższym przykładzie odmowa CREATE ENDPOINT uprawnień do użytkownika Test1. W przykładzie użyto opcji AS w celu określenia Test2 jako podmiotu zabezpieczeń, z którego podmiot wykonujący wyprowadza urząd do tego celu.

USE master;  
DENY CREATE ENDPOINT TO Test1 AS Test2;  
GO  

Treści powiązane

• GRANT (Transact-SQL)
• DENY (Transact-SQL)
• DENY Uprawnienia serwera (Transact-SQL)
• REVOKE Uprawnienia serwera (Transact-SQL)
• hierarchii uprawnień (aparatu bazy danych)
• sys.fn_builtin_permissions (Transact-SQL)
• sys.fn_my_permissions (Transact-SQL)
• HAS_PERMS_BY_NAME (Transact-SQL)