SQL Server 2005中“CREATE USER”需要权限吗?

从技术上讲,是的。无论是对是错。…无可奉告。

无论如何,数据库安全分为两个功能:

• db_accessadmin用于管理用户(或您提到的“ALTER ANY USER”权限)
• db_securityadmin 允许您管理角色成员资格和对象权限(或“ALTER ANY ROLE权限”)

提到这一点是为了 sp_addrolemember .

通过运行sp_addrolemember,您实际上是在更改角色,而不是用户,因此“ALTER ANY role”就足够了,而无需拥有完全的db_owner权限。

我的问题是——我发现了问题——失败的不是CREATE USER,而是随后对“sp_addrolemember”的调用。这需要我没有分配的其他权限。

特别是,我需要将我的用户添加到db_owner数据库角色中,以便允许他们将其他/新用户分配给固定的数据库角色。

有没有一种更干净的方法可以让我实现我在这里想要做的事情——即创建允许创建其他用户的用户?

这似乎非常危险,很容易成为安全噩梦。不知道为什么你认为这是实现目标的最佳解决方案,我真的不能告诉你不要这样做,但哇!!-我会认真思考这是否真的有必要。从DBA的角度来看,用户的蜘蛛网似乎很快就无法管理。

您是否不能只拥有一个具有添加用户权限的SQL帐户,并且应用程序每次都使用该帐户添加新用户?这样,这些用户就不需要添加其他用户的能力。也许这对你的具体目标不起作用,但肯定还有其他方法。

但话虽如此。..不,真的没有更干净的方法。用户必须被分配到正确的角色,以便以后能够添加其他用户。

/* 
TOPIC: create a login ,who can add other logins to databases  (securityadmin server role)
*/

USE MASTER 
GO 

Create login securityTestLogin with password = '@@somepassword123'

-----add this to server , this is server level security role ------- 

EXEC master..sp_addsrvrolemember @loginame = N'securityTestLogin', @rolename = N'securityadmin'

--- first this login should be a user in database where we want to give other users access 

USE HTDBA
GO 
Create user securityTestLogin for login securityTestLogin 

EXEC sp_addrolemember N'db_accessadmin', N'securityTestLogin'

-- depends on your requriemtnt you might also want this permission too 
--EXEC sp_addrolemember N'db_securityadmin', N'securityTestLogin'

GO

------ Now we think about adding other users to different database roles  ------------- 
/* 
There is one gottcha , db_securityadmin role cannot add users to the fixed database roles ,only 
db_owner can perform this action , but for security we don't want to give this permission .
so we need a work around 
Create a role with required permission and then add users to that role.
*/ 

--Create user defined database role Readers
EXEC sp_addrole DBUser

-- Add this role to fixeddbroles to get database level permission 
EXEC sp_addrolemember db_datareader, DBUser
EXEC sp_addrolemember db_datawriter, DBUser 
GO

--------READY TO TEST --------
------ we are using this sample login for test 
use master 
Go 
Create login testlogin1 with password='@@somepassword123' 

use HTDBA 
go 
Create user testlogin1 for login testlogin1 

--- now add this user to user created DBUser role . 
EXEC sp_addrolemember DBUser, testlogin1  

一篇关于SQL权限的好文章:

http://www.sqlservercentral.com/articles/Security/sqlserversecurityfixeddatabaseroles/1231/