服务器级别角色 - SQL Server | Microsoft Learn

服务器级别的固定角色

SQL Server 2022 (16.x) 之前引入的服务器级角色在 Azure SQL Database 或 Azure Synapse Analytics 中不可用。权限管理有特殊 Azure SQL数据库服务器角色，这些角色等效于 SQL Server 2022 (16.x) 中引入的服务器级角色。有关SQL 数据库的详细信息，请参阅控制和授予数据库访问权限。

下表显示了服务器级的固定角色及其权限。

服务器级的固定角色 securityadmin securityadmin 固定服务器角色的成员可以管理登录名及其属性。他们可以


   GRANT

、


   DENY

和


   REVOKE

服务器级权限。他们还可以


   GRANT

、


   DENY

和


   REVOKE

数据库级权限（如果他们具有数据库的访问权限）。此外，他们还可以重置 SQL Server 登录名的密码。

重要提示： 如果能够授予对数据库引擎的访问权限和配置用户权限，安全管理员可以分配大多数服务器权限。 securityadmin 角色应视为与 sysadmin 角色等效。或者，从 SQL Server 2022 (16.x) 开始，请考虑使用新的固定服务器角色 ##MS_LoginManager## 。 processadmin processadmin 固定服务器角色的成员可以终止在 SQL Server 实例中运行的进程。 setupadmin setupadmin 固定服务器角色的成员可以使用 Transact-SQL 语句添加和删除链接服务器。（使用 Management Studio 时需要 sysadmin 成员资格。） bulkadmin bulkadmin 固定服务器角色的成员可以运行


   BULK INSERT

语句。

Linux 上的 SQL Server不支持 bulkadmin 角色或 ADMINISTER BULK OPERATIONS 权限。只有 sysadmin 才能对 Linux 上的 SQL Server 执行批量插入。 diskadmin diskadmin 固定服务器角色用于管理磁盘文件。 dbcreator dbcreator 固定服务器角色的成员可以创建、更改、删除和还原任何数据库。 public 每个 SQL Server 登录名都属于 public 服务器角色。当服务器主体尚未被授予或拒绝对安全对象的特定权限时，用户将继承授予对该对象 的公共 权限。只有在希望所有用户都能使用对象时，才在对象上分配 Public 权限。不能在公共场合更改成员身份。

注意：public 与其他角色的实现方式不同，可通过 public 固定服务器角色授予、拒绝或撤销权限。
以下服务器角色提供的大多数权限不适用于 Azure Synapse Analytics - processadmin 、 serveradmin 、 setupadmin 和 diskadmin 。

SQL Server 2022 中引入的固定服务器级角色

下表显示了随 SQL Server 2022 (16.x) 引入的其他固定服务器级角色及其功能。

这些服务器级权限不适用于 Azure SQL 托管实例或 Azure Synapse Analytics。 SQL Server 2022 (16.x) 中引入了 ##MS_PerformanceDefinitionReader #、#MS_ServerPerformanceStateReader## 和 ##MS_ServerSecurityStateReader##，在 Azure SQL Database 中不可用。
##MS_DatabaseConnector## ##MS_DatabaseConnector## 固定服务器角色的成员可连接到任何数据库，而无需数据库中的用户帐户即可连接。

若要拒绝对特定数据库的“连接”权限，用户可在数据库中为此登录创建匹配的用户帐户，然后拒绝对数据库用户的“连接”权限。此“拒绝”权限将推翻来自此角色的“授予连接”权限。 ##MS_LoginManager## ##MS_LoginManager## 固定服务器角色的成员可以创建、删除和修改登录名。与旧的固定服务器角色 securityadmin 相反，此角色不允许成员获得 GRANT 特权。它是一个更有限的角色，有助于遵守 最低特权原则 。 ##MS_DatabaseManager## ##MS_DatabaseManager## 固定服务器角色的成员可创建和删除数据库。创建数据库的 ##MS_DatabaseManager## 角色的成员成为相应数据库的所有者，这样可便于用户以 dbo 用户身份连接到相应数据库。 dbo 用户具有数据库中的所有数据库权限。 ##MS_DatabaseManager## 角色的成员不一定具有访问非他们所有的数据库的权限。此服务器角色具有与 SQL Server 中的 dbcreator 角色相同的特权，但我们建议使用此新角色，而不使用前者，因为此角色也存在于 Azure SQL 数据库中，因此有助于在不同的环境中使用相同的脚本。 ##MS_ServerStateManager## ##MS_ServerStateManager## 固定服务器角色的成员与##MS_ServerStateReader## 角色具有相同的权限。此外，它还拥有 ALTER SERVER STATE 权限，该权限允许访问多个管理操作，例如： DBCC FREEPROCCACHE 、 DBCC FREESYSTEMCACHE ('ALL') 、 DBCC SQLPERF() ##MS_ServerStateReader## ##MS_ServerStateReader## 固定服务器角色的成员可以读取所有动态管理视图 (DMV) 和 VIEW SERVER STATE 涵盖的功能，并分别对此角色的成员拥有用户帐户的任何数据库具有 VIEW DATABASE STATE 权限。 ##MS_ServerPerformanceStateReader## ##MS_ServerPerformanceStateReader## 固定服务器角色的成员可以读取所有动态管理视图， (DMV) 和 VIEW SERVER PERFORMANCE STATE 所涵盖的功能，并分别对此角色的成员拥有用户帐户的任何数据库具有 VIEW DATABASE PERFORMANCE STATE 权限。这是 ##MS_ServerStateReader## 服务器角色有权访问的内容的子集，有助于遵守 最低特权原则 。 ##MS_ServerSecurityStateReader## ##MS_ServerSecurityStateReader## 固定服务器角色的成员可以读取所有动态管理视图 (DMV) 和 VIEW SERVER SECURITY STATE 所涵盖的功能，并分别对此角色的成员拥有用户帐户的任何数据库具有 VIEW DATABASE SECURITY STATE 权限。这是 ##MS_ServerStateReader## 服务器角色有权访问的一小部分，有助于遵守 最低特权原则 。 ##MS_DefinitionReader## ##MS_DefinitionReader## 固定服务器角色的成员可以读取 VIEW ANY DEFINITION 涵盖的所有目录视图，并分别对此角色的成员拥有用户帐户的任何数据库具有 VIEW DEFINITION 权限。 ##MS_PerformanceDefinitionReader## ##MS_PerformanceDefinitionReader## 固定服务器角色的成员可以读取 VIEW ANY PERFORMANCE DEFINITION 涵盖的所有目录视图，并分别对此角色的成员拥有用户帐户的任何数据库具有 VIEW PERFORMANCE DEFINITION 权限。这是 ##MS_DefinitionReader## 服务器角色有权访问的内容的子集。 ##MS_SecurityDefinitionReader## ##MS_SecurityDefinitionReader## 固定服务器角色的成员可以读取“查看任何安全定义”覆盖的所有目录视图，并分别对此角色的成员拥有用户帐户的任何数据库拥有“查看安全定义”权限。这是 ##MS_DefinitionReader## 服务器角色有权访问的内容的一小部分，有助于遵守 最低特权原则 。
固定服务器角色的权限

每个固定服务器角色都被分配了特定的权限。

SQL Server 2022 中新固定服务器角色的权限

下表显示了分配给服务器级角色的权限。它还显示继承的数据库级权限，只要用户可以连接到单个数据库。
服务器级的固定角色服务器级别权限数据库级权限 ##MS_ServerStateManager## ALTER SERVER STATE
VIEW SERVER STATE
查看服务器性能状态
查看服务器安全状态 VIEW DATABASE STATE
查看数据库性能状态
查看数据库安全状态 ##MS_ServerStateReader## VIEW SERVER STATE
查看服务器性能状态
查看服务器安全状态 VIEW DATABASE STATE
查看数据库性能状态
查看数据库安全状态 ##MS_ServerPerformanceStateReader## 查看服务器性能状态查看数据库性能状态 ##MS_ServerSecurityStateReader## 查看服务器安全状态查看数据库安全状态 ##MS_DefinitionReader## VIEW ANY DATABASE
VIEW ANY DEFINITION
查看任何性能定义
查看任何安全定义 VIEW DEFINITION
查看性能定义
查看安全定义 ##MS_PerformanceDefinitionReader## 查看任何性能定义查看性能定义 ##MS_SecurityDefinitionReader## 查看任何安全定义查看安全定义
SQL Server 2019 及更早版本的服务器角色权限

下图显示了分配给旧版服务器角色的权限 (SQL Server 2019 和早期版本) 。

CONTROL SERVER 权限与 sysadmin 固定服务器角色类似，但并不完全相同。权限并不表示角色成员身份，并且角色成员身份不会授予权限。 (例如 ，CONTROL SERVER 并不意味着 sysadmin 固定服务器 role.) 但是，有时可以在角色和等效权限之间模拟。大多数 DBCC 命令和许多系统过程要求 sysadmin 固定服务器角色的成员身份。

服务器级别权限

只能向用户定义的服务器角色中添加服务器级权限。若要列出服务器级权限，请执行下面的语句。服务器级权限如下：

SELECT * FROM sys.fn_builtin_permissions('SERVER') ORDER BY permission_name; 有关权限的详细信息，请参阅数据库引擎) (权限和 sys.fn_builtin_permissions (Transact-SQL) 。使用服务器级角色下表介绍了可以用于服务器级角色的命令、视图和功能。 Feature sp_addsrvrolemember (Transact-SQL) Command 将登录名添加为某个服务器级角色的成员。已弃用。应改用 ALTER SERVER ROLE 。 sp_dropsrvrolemember (Transact-SQL) Command 从服务器级角色中删除 SQL Server 登录名或 Windows 用户或组。已弃用。应改用 ALTER SERVER ROLE 。数据库级别的角色安全性目录视图 (Transact-SQL) 安全函数 (Transact-SQL) 保护 SQL Server 通过 GRANT 语句授予服务器主体权限 (Transact-SQL) 撤消服务器主体权限 (Transact-SQL) 拒绝服务器主体权限 (Transact-SQL) 创建服务器角色用于权限管理的 Azure SQL 数据库服务器角色