Создание имени входа

  • Статья

Применимо к:SQL Server База данных SQL Azure Управляемый экземпляр SQL Azure Azure Synapse Analytics AnalyticsPlatform System (PDW)

В этой статье описывается, как создать имя входа в SQL Server или База данных SQL Azure с помощью SQL Server Management Studio (SSMS) или Transact-SQL. Имя входа — это удостоверение пользователя или процесса, подключающегося к экземпляру SQL Server.

Примечание.

Идентификатор Microsoft Entra ранее был известен как Azure Active Directory (Azure AD).

Общие сведения

Имя входа — это субъект безопасности, с помощью которого система безопасности может проверить подлинность лица или сущности. Пользователям требуется имя входа для подключения к SQL Server. Вы можете создать имя входа на основе субъекта Windows (например, пользователя домена или группы домена Windows) или создать имя входа, которое не основано на субъекте Windows (например, имени входа SQL Server).

Примечание.

Чтобы использовать проверку подлинности SQL Server, ядро СУБД должна использовать проверку подлинности в смешанном режиме. Дополнительные сведения см. в разделе Выбор режима проверки подлинности.

Sql Azure представила субъекты сервера Microsoft Entra (имена входа) для проверки подлинности в База данных SQL Azure, Управляемый экземпляр SQL Azure и Azure Synapse Analytics (только выделенные пулы SQL).

В SQL Server 2022 также представлена проверка подлинности Microsoft Entra для SQL Server.

Как субъекты безопасности, разрешения могут быть предоставлены именам входов. Область имени входа — это все ядро СУБД. Чтобы подключиться к определенной базе данных в экземпляре SQL Server, необходимо сопоставить имя входа с пользователем базы данных. Разрешения внутри базы данных предоставляются и запрещаются для пользователя базы данных, а не имени входа. Разрешения, имеющие область всего экземпляра SQL Server (например, разрешение CREATE ENDPOINT), можно предоставить имени входа.

Примечание.

При подключении входа к SQL Server удостоверение проверяется в master базе данных. Используйте пользователей автономной базы данных для проверки подлинности SQL Server и База данных SQL подключений на уровне базы данных. При использовании пользователей автономной базы данных имя входа не требуется. Содержащаяся база данных — это база данных, изолированная от других баз данных и от экземпляра SQL Server или База данных SQL (и master базы данных), в которую размещается база данных. SQL Server поддерживает использование пользователей автономной базы данных для проверки подлинности Windows и SQL Server. При использовании База данных SQL объедините пользователей автономной базы данных с правилами брандмауэра уровня базы данных. Дополнительные сведения см. в статье Пользователи автономной базы данных — создание переносимой базы данных.

Разрешения

SQL Server требует разрешения ALTER ANY LOGIN или ALTER LOGIN на сервере или предопределенных ролей сервера ##MS_LoginManager## (SQL Server 2022 и более поздних версий).

База данных SQL требует членства в роли loginmanager или предопределенных роли сервера ##MS_LoginManager##.

Создание имени входа с помощью SSMS для SQL Server

  1. В обозревателе объектов раскройте папку экземпляра сервера, в котором необходимо создать имя входа.

  2. Правой кнопкой мыши щелкните папку Безопасность и выберите пункт Создать, а затем — Имя входа....

  3. В диалоговом окне Имя входа — создание на странице Общие введите имя пользователя в поле Имя для входа. Кроме того, выберите "Поиск", чтобы открыть диалоговое окно "Выбрать пользователя или группу ".

    Если выбрать "Поиск...":

    1. В разделе "Выбор этого типа объекта" выберите "Типы объектов", чтобы открыть диалоговое окно "Типы объектов" и выбрать любой или все из следующих элементов: встроенные субъекты безопасности, группы и пользователи. Встроенные субъекты безопасности и Пользователи выбираются по умолчанию. По завершении выберите ОК.

    2. В разделе "Из этого расположения" выберите "Расположения", чтобы открыть диалоговое окно "Расположения" и выбрать одно из доступных расположений сервера. По завершении выберите ОК.

    3. В диалоговом окне Введите имена объектов для выбора (примеры)введите пользователя или имя группы, которые необходимо найти. Дополнительные сведения см. в статье Диалоговое окно выбора пользователей, компьютеров или групп.

    4. Выберите "Дополнительно" для получения дополнительных параметров поиска. Дополнительные сведения см. в статье Выбор диалогового окна "Пользователи", "Компьютеры" или "Группы" — страница "Дополнительно".

    5. Нажмите ОК.

  4. Чтобы создать имя входа на основе участника Windows, выберите параметр Проверка подлинности Windows. Это параметр выбирается по умолчанию.

  5. Чтобы создать имя входа, сохраненное в базе данных SQL Server, выберите проверку подлинности SQL Server.

    1. В поле Пароль введите пароль для нового пользователя. Повторно введите пароль в поле Подтверждение пароля .

    2. Если изменяется существующий пароль, выберите пункт Указать старый парольи введите старый пароль в поле Старый пароль .

    3. Чтобы обеспечить использование паролей в соответствии с политиками паролей, выберите параметр Требовать использование политики паролей. Дополнительные сведения см. в разделе Политика паролей. Это значение по умолчанию при выборе параметра Проверка подлинности SQL Server .

    4. Чтобы обеспечить использование паролей в соответствии с политиками окончания срока действия паролей, выберите параметр Задать срок окончания действия пароля. Чтобы этот флажок был доступен, должен быть установлен параметрТребовать использование политики паролей . Это значение по умолчанию при выборе параметра Проверка подлинности SQL Server .

    5. Чтобы пользователь мог создать новый пароль при первом входе в систему, выберите пункт Пользователь должен сменить пароль при следующем входе. Чтобы этот флажок был доступен, необходимо установить параметрПринудительно применить срок окончания действия пароля . Это значение по умолчанию при выборе параметра Проверка подлинности SQL Server .

  6. Чтобы связать имя входа с изолированным сертификатом безопасности, выберите Сопоставлен с сертификатом , после чего выберите имя существующего сертификата из списка.

  7. Чтобы связать имя входа с изолированным асимметричным ключом, выберите Сопоставлен с асимметричным ключом , после чего выберите имя существующего ключа из списка.

  8. Чтобы связать имя входа с учетными данными безопасности, выберите поле "Сопоставленные с учетными данными проверка", а затем выберите существующие учетные данные из списка или нажмите кнопку "Добавить", чтобы создать новые учетные данные. Чтобы удалить сопоставление с учетными данными безопасности из имени входа, выберите учетные данные из сопоставленных учетных данных и нажмите кнопку "Удалить". Дополнительные сведения об учетных данных в целом см. в разделе "Учетные данные" (ядро СУБД).

  9. В списке База данных по умолчанию выберите базу данных по умолчанию для нужного имени входа. По умолчанию этот параметр имеет значениеMaster .

  10. В списке Язык по умолчанию выберите язык по умолчанию для входа.

  11. Нажмите ОК.

Дополнительные параметры

Диалоговое окно входа — новое диалоговое окно также предлагает параметры на четырех других страницах: роли сервера, сопоставление пользователей, защищаемые объекты и состояние.

Роли сервера

Примечание.

Эти роли сервера недоступны для База данных SQL. Для База данных SQL доступны фиксированные роли уровня сервера. Дополнительные сведения см. в разделе База данных SQL Azure роли сервера для управления разрешениями.

На странице Роли сервера перечислены все возможные роли, которые могут быть назначены с новым именем входа. Имеются следующие варианты:

Флажокbulkadmin
Элементы предопределенной роли сервера bulkadmin могут выполнять инструкцию BULK INSERT.

Флажокdbcreator
Члены предопределенной роли сервера dbcreator могут создавать, изменять, удалять и восстанавливать любые базы данных.

Флажокdiskadmin
Элементы предопределенной роли сервера diskadmin могут управлять дисковыми файлами.

Флажокprocessadmin
Члены предопределенных ролей сервера processadmin могут завершать процессы, выполняемые в экземпляре ядро СУБД.

ФлажокPublic
Все пользователи, группы и роли SQL Server по умолчанию принадлежат предопределенной роли сервера public .

Флажокsecurityadmin
Элементы предопределенной роли сервера securityadmin управляют именами входа и их свойствами. Они могут предоставлять, запрещать и отменять разрешения на уровне сервера (инструкции GRANT, DENY и REVOKE). Они также могут предоставлять, запрещать и отменять разрешения на уровне базы данных (инструкции GRANT, DENY и REVOKE). Кроме того, они могут сбрасывать пароли для имен входа SQL Server.

Флажокserveradmin
Элементы предопределенной роли сервера serveradmin могут изменять параметры конфигурации на уровне сервера, а также выключать сервер.

Флажокsetupadmin
Элементы предопределенной роли сервера setupadmin могут добавлять и удалять связанные серверы, а также выполнять некоторые системные хранимые процедуры.

Флажокsysadmin
Члены предопределенных ролей сервера sysadmin могут выполнять любые действия в ядро СУБД.

Сопоставление пользователей

На странице Сопоставление пользователей приведен список всех возможных баз данных и ролей баз данных, которые могут применяться в момент входа. Выбранные базы данных определят членство в ролях, которые доступны для этого имени входа. На этой странице доступны следующие параметры.

Пользователи, сопоставленные с этим именем входа
Выберите базы данных, к которым может подключаться это имя входа. При выборе базы данных доступные для нее роли выводятся в области Членство в роли базы данных для:имя_базы_ данных .

Map
Разрешает имени входа доступ к перечисленным ниже базам данных.

База данных
Список баз данных, доступных на этом сервере.

Пользователь
Укажите пользователя базы данных, сопоставляемого с этим именем входа. По умолчанию, у пользователя базы данных такое же имя, как и имя входа.

Схема по умолчанию
Указывает схему по умолчанию для данного пользователя. При создании пользователя его схемой по умолчанию является dbo. Можно указать схему по умолчанию, которая еще не существует. Невозможно указать схему по умолчанию для пользователя, сопоставленного с группой Windows, сертификатом или асимметричным ключом.

Учетная запись Guest, включенная для:database_name
Атрибут только для чтения, означающий, что учетная запись Guest включена в выбранной базе данных. Страница Состояние диалогового окна Свойства входа в систему для учетной записи Guest позволяет включать и отключать эту учетную запись.

Членство в роли базы данных для:имя_базы_ данных
Выберите роли для этого пользователя в указанной базе данных. Все пользователи являются членами общедоступной роли в каждой базе данных и не могут быть удалены. Дополнительные сведения о ролях баз данных см. в разделе Роли уровня базы данных.

Защищаемые объекты

На странице Защищаемые объекты перечислены все возможные защищаемые объекты и разрешения на эти объекты, которые могут быть предоставлены для имени входа. На этой странице доступны следующие параметры.

Верхняя сетка
Содержит один или несколько элементов, для которых могут быть установлены разрешения. Отображаемые в верхней сетке столбцы меняются в зависимости от участника или защищаемого объекта.

Добавление элементов в верхнюю сетку:

  1. Нажмите Поиск.

  2. В диалоговом окне "Добавление объектов" выберите один из следующих параметров: определенные объекты..., все объекты типов..., сервер server_name. Нажмите ОК.

    Примечание.

    При выборе варианта Серверserver_name верхняя сетка автоматически заполняется всеми объектами безопасности.

  3. При выборе параметра Конкретные объекты...

    1. В диалоговом окне "Выбор объектов" в разделе "Выбрать эти типы объектов" выберите "Типы объектов...".

    2. В диалоговом окне Выбор типов объектов выберите любые или все из следующих типов объектов: Конечные точки, Имена входа, Серверы, Группы доступностии Роли сервера. Нажмите ОК.

    3. В разделе "Введите имена объектов", чтобы выбрать (примеры),нажмите кнопку Обзор....

    4. В диалоговом окне "Обзор объектов" выберите любой из доступных объектов типа, выбранного в диалоговом окне "Выбор типов объектов", а затем нажмите кнопку "ОК".

    5. В диалоговом окне "Выбор объектов" нажмите кнопку "ОК".

  4. Если вы выбираете Все объекты типов..., выберите в диалоговом окне Выбор типов объектов любые или все из следующих типов объектов: Конечные точки, Имена входа, Серверы, Группы доступности и Роли сервера. Нажмите ОК.

Имя
Имя каждого участника или защищаемого объекта, добавляемого в сетку.

Тип
Описывает тип каждого элемента.

Вкладка «Явное»
Содержит возможные разрешения для защищаемого объекта, выбранного в верхней сетке. Не все эти параметры доступны для всех явно указанных разрешений.

Разрешения
Имя разрешения.

Grantor
Участник, предоставивший разрешение.

Право предоставил
Выберите, чтобы предоставить имени входа данное разрешение. Снимите флажок, чтобы отменить это разрешение.

Право передачи
Отражает состояние параметра WITH GRANT для разрешения, указанного в списке. Поле доступно только для чтения. Для применения данного разрешения используйте инструкцию GRANT .

Запретить
Выберите, чтобы запретить имени входа в данном разрешении. Снимите флажок, чтобы отменить это разрешение.

Состояние

На странице "Состояние " перечислены некоторые параметры проверки подлинности и авторизации, которые можно настроить в выбранном имени входа SQL Server.

На этой странице доступны следующие параметры.

Разрешение на подключение к ядру СУБД
При работе с этим параметром выбранное имя входа нужно представлять как участника, которому можно предоставить или не предоставить разрешение на защищаемый объект.

Выберите Предоставить , чтобы предоставить имени входа разрешение CONNECT SQL. Выберите Запретить , чтобы запретить имени входа разрешение CONNECT SQL.

Имя входа
При работе с этим параметром выбранное имя входа нужно представлять как запись в таблице. Ей будут присваиваться приведенные здесь значения.

Отключенное имя входа продолжает существовать в виде записи. Но если он пытается подключиться к SQL Server, имя входа не будет проходить проверку подлинности.

Выберите этот параметр для включения или отключения имени входа. Этот параметр использует инструкцию ALTER LOGIN с параметром ENABLE или DISABLE.

Проверка подлинности SQL Server
Поле входа проверка заблокировано только в том случае, если выбранный вход подключается с помощью проверки подлинности SQL Server, а имя входа заблокировано. Этот параметр доступен только для чтения. Чтобы разблокировать блокированное имя входа, выполните инструкцию ALTER LOGIN с параметром UNLOCK.

Создание имени входа с помощью проверка подлинности Windows с помощью T-SQL

  1. В обозревателе объектов подключитесь к экземпляру ядра СУБД.

  2. На стандартной панели выберите пункт Создать запрос.

  3. Скопируйте приведенный ниже пример в окно запроса и нажмите кнопку Выполнить.

    -- Create a login for SQL Server by specifying a server name and a Windows domain account name.  

CREATE LOGIN [<domainName>\<loginName>] FROM WINDOWS;  
GO

Создание имени входа с помощью проверки подлинности SQL Server с помощью T-SQL

  1. В обозревателе объектов подключитесь к экземпляру ядра СУБД.

  2. На стандартной панели выберите пункт Создать запрос.

  3. Скопируйте приведенный ниже пример в окно запроса и нажмите кнопку Выполнить.

    -- Creates the user "shcooper" for SQL Server using the security credential "RestrictedFaculty"   
-- The user login starts with the password "Baz1nga," but that password must be changed after the first login.  

CREATE LOGIN shcooper   
   WITH PASSWORD = 'Baz1nga' MUST_CHANGE,  
   CREDENTIAL = RestrictedFaculty;  
GO

Дополнительные сведения см. в статье CREATE LOGIN (Transact-SQL).

Дальнейшие действия. Действия по созданию имени входа

После создания имени входа имя входа может подключиться к SQL Server, но не обязательно имеет достаточно разрешений для выполнения любой полезной работы. В следующем списке представлены ссылки на основные действия имени входа.

См. также