ALTER LOGIN (Transact-SQL)

Ändert die Eigenschaften eines SQL Server-Anmeldekontos.

Transact-SQL-Syntaxkonventionen

Hinweis

Microsoft Entra-ID wurde zuvor als Azure Active Directory (Azure AD) bezeichnet.

Auswählen eines Produkts

Wählen Sie in der folgenden Zeile den Namen des Produkts aus, an dem Sie interessiert sind. Dann werden nur Informationen zu diesem Produkt angezeigt.

* SQL Server *  

SQL-Datenbank

SQL Managed Instance

Azure Synapse
Analytics

Analytics Platform
System (PDW)

 

SQL Server

Syntax

-- Syntax for SQL Server

ALTER LOGIN login_name
    {
    <status_option>
    | WITH <set_option> [ ,... ]
    | <cryptographic_credential_option>
    }
[;]

<status_option> ::=
        ENABLE | DISABLE

<set_option> ::=
    PASSWORD = 'password' | hashed_password HASHED
    [
      OLD_PASSWORD = 'oldpassword'
      | <password_option> [<password_option> ]
    ]
    | DEFAULT_DATABASE = database
    | DEFAULT_LANGUAGE = language
    | NAME = login_name
    | CHECK_POLICY = { ON | OFF }
    | CHECK_EXPIRATION = { ON | OFF }
    | CREDENTIAL = credential_name
    | NO CREDENTIAL

<password_option> ::=
    MUST_CHANGE | UNLOCK

<cryptographic_credentials_option> ::=
    ADD CREDENTIAL credential_name
  | DROP CREDENTIAL credential_name

Argumente

login_name Gibt den Namen der SQL Server-Anmeldung an, die geändert wird. Domänenanmeldungen müssen in Klammern eingeschlossen werden: [Domäne\Benutzer].

ENABLE | DISABLE Aktiviert oder deaktiviert diese Anmeldung. Das Deaktivieren einer Anmeldung wirkt sich nicht auf das Verhalten der bereits verbundenen Anmeldungen aus. (Verwenden Sie die KILL-Anweisung, um eine vorhandene Verbindung zu beenden.) Deaktivierte Anmeldungen behalten ihre Berechtigungen bei und sind weiterhin für den Identitätswechsel verfügbar.

PASSWORD ='password' Gilt nur für SQL Server-Anmeldungen. Gibt das Kennwort für die Anmeldung an, die geändert wird. Bei Kennwörtern wird nach Groß- und Kleinschreibung unterschieden.

PASSWORD =hashed_password: Gilt nur für das HASHED-Schlüsselwort. Gibt den Hashwert des Kennworts für den Anmeldenamen an, der erstellt wird.

Wichtig

Wenn für eine Anmeldung (oder den Benutzer einer eigenständigen Datenbank) eine Verbindung hergestellt und diese authentifiziert wird, werden von der Verbindung Identitätsinformationen zur Anmeldung zwischengespeichert. Bei einer Anmeldung unter Verwendung der Windows-Authentifizierung umfassen die Informationen Angaben zur Mitgliedschaft in Windows-Gruppen. Die Identität der Anmeldung bleibt für die Dauer der Verbindung authentifiziert. Zum Erzwingen von Identitätsänderungen, z. B. bei der Kennwortzurücksetzung oder einer Änderung der Windows-Gruppenmitgliedschaft, muss das Konto von der Authentifizierungsstelle (Windows oder SQL Server) abgemeldet und wieder angemeldet werden. Ein Mitglied der festen Serverrolle sysadmin oder eine beliebige Anmeldung mit der ALTER ANY CONNECTION -Berechtigung kann den KILL -Befehl verwenden, um eine Verbindung zu beenden und zu erzwingen, dass für eine Anmeldung eine erneute Verbindung hergestellt wird. SQL Server Management Studio kann Verbindungsinformationen wiederverwenden, wenn mehrere Verbindungen mit dem Objekt-Explorer- und Abfrage-Editor-Fenster hergestellt werden. Schließen Sie alle Verbindungen, um eine erneute Verbindung zu erzwingen.

HASHED Gilt nur für SQL Server-Anmeldenamen. Gibt an, dass das nach dem PASSWORD-Argument eingegebene Kennwort bereits einen Hashwert darstellt. Wenn diese Option nicht ausgewählt wird, wird aus dem Kennwort vor dem Speichern in der Datenbank ein Hashwert erstellt. Diese Option sollte nur für die Anmeldungssynchronisierung zwischen zwei Servern verwendet werden. Verwenden Sie die HASHED-Option nicht, um Kennwörter routinemäßig zu ändern.

OLD_PASSWORD ='oldpassword' Gilt nur für SQL Server-Anmeldungen. Das aktuelle Kennwort der Anmeldung, der ein neues Kennwort zugewiesen wird. Bei Kennwörtern wird nach Groß- und Kleinschreibung unterschieden.

MUST_CHANGE Gilt nur für SQL Server-Anmeldungen. Falls diese Option angegeben wird, fordert SQL Server zur Eingabe eines aktualisierten Kennworts auf, wenn die geänderte Anmeldung zum ersten Mal verwendet wird.

DEFAULT_DATABASE =database Gibt eine Standarddatenbank an, die der Anmeldung zugewiesen werden soll.

DEFAULT_LANGUAGE =language Gibt eine Standardsprache an, die der Anmeldung zugewiesen werden soll. Die Standardsprache für alle SQL-Datenbank-Anmeldungen ist Englisch und kann nicht geändert werden. Die Standardsprache der sa-Anmeldung bei SQL Server unter Linux ist Englisch. Diese kann jedoch geändert werden.

NAME = login_name Der neue Name der Anmeldung, die umbenannt wird. Falls es sich dabei um eine Windows-Anmeldung handelt, muss die SID des entsprechenden Windows-Prinzipals für den neuen Namen mit der SID übereinstimmen, die der Anmeldung in SQL Server zugeordnet ist. Der neue Name einer SQL Server-Anmeldung darf keinen umgekehrten Schrägstrich (\) enthalten.

CHECK_EXPIRATION = { ON | OFF } Gilt nur für SQL Server-Anmeldungen. Gibt an, ob die Richtlinie für das Ablaufen von Kennwörtern für diesen Anmeldenamen erzwungen werden soll. Der Standardwert ist OFF.

CHECK_POLICY = { ON | OFF } Gilt nur für SQL Server-Anmeldungen. Gibt an, dass die Windows-Kennwortrichtlinien des Computers, auf dem SQL Server ausgeführt wird, für diesen Anmeldenamen erzwungen werden sollen. Der Standardwert ist ON.

CREDENTIAL = credential_name Die Anmeldeinformationen, die einer SQL Server-Anmeldung zugeordnet werden sollen. Die Anmeldeinformationen müssen bereits auf dem Server vorhanden sein. Weitere Informationen finden Sie unter Anmeldeinformationen. Der sa-Anmeldung können keine Anmeldeinformationen zugeordnet werden.

NO CREDENTIAL Entfernt vorhandene Zuordnungen der Anmeldung zu Serveranmeldeinformationen. Weitere Informationen finden Sie unter Anmeldeinformationen.

UNLOCK Gilt nur für SQL Server-Anmeldungen. Gibt an, dass die Sperre einer Anmeldung aufgehoben wird.

ADD CREDENTIAL Fügt der Anmeldung Anmeldeinformationen eines EKM-Anbieters (Extensible Key Management, erweiterbare Schlüsselverwaltung) hinzu. Weitere Informationen finden Sie unter Erweiterbare Schlüsselverwaltung (Extensible Key Management, EKM).

DROP CREDENTIAL Entfernt Anmeldeinformationen eines EKM-Anbieters (Extensible Key Management, erweiterbare Schlüsselverwaltung) aus der Anmeldung. Weitere Informationen finden Sie unter [Extensible Key Management (EKM)] (../.. /relational-databases/security/encryption/extensible-key-management-ekm.md).

Bemerkungen

Wenn CHECK_POLICY auf ON festgelegt ist, kann das HASHED-Argument nicht verwendet werden.

Wenn CHECK_POLICY in ON geändert wird, passiert Folgendes:

• Der Kennwortverlauf wird mit dem Wert des aktuellen Kennworthashes initialisiert.

  Wenn CHECK_POLICY in OFF geändert wird, passiert Folgendes:

• CHECK_EXPIRATION wird ebenfalls auf OFF festgelegt.

• Der Kennwortverlauf wird gelöscht.

• Der Wert von lockout_time wird zurückgesetzt.

Falls MUST_CHANGE angegeben wird, müssen CHECK_EXPIRATION und CHECK_POLICY auf ON festgelegt werden. Andernfalls erzeugt die Anweisung einen Fehler.

Falls CHECK_POLICY auf OFF festgelegt ist, kann CHECK_EXPIRATION nicht auf ON festgelegt werden. Eine ALTER LOGIN-Anweisung mit dieser Kombination von Optionen erzeugt einen Fehler.

Sie können ALTER LOGIN mit dem DISABLE-Argument nicht dazu verwenden, den Zugriff auf eine Windows-Gruppe zu verweigern. ALTER LOGIN [domain\group] DISABLE gibt zum Beispiel die folgende Fehlermeldung zurück:

"Msg 15151, Level 16, State 1, Line 1 "Cannot alter the login '*Domain\Group*', because it does not exist or you do not have permission."

Dies ist beabsichtigt.

In SQL-Datenbank werden Anmeldedaten, die für die Authentifizierung einer Verbindung und Firewallregeln auf Serverebene erforderlich sind, über einen gewissen Zeitraum in jeder Datenbank gespeichert. Dieser Cache wird regelmäßig aktualisiert. Führen Sie DBCC FLUSHAUTHCACHE aus, um eine Aktualisierung des Authentifizierungscache zu erzwingen und sicherzustellen, dass eine Datenbank über die aktuelle Version der Tabelle mit Anmeldenamen verfügt.

Berechtigungen

Erfordert die ALTER ANY LOGIN-Berechtigung.

Falls die CREDENTIAL-Option verwendet wird, ist auch die ALTER ANY CREDENTIAL-Berechtigung erforderlich.

Wenn die zu ändernde Anmeldung Mitglied der festen Serverrolle sysadmin oder Empfänger der CONTROL SERVER-Berechtigung ist, ist auch die CONTROL SERVER-Berechtigung für die folgenden Änderungen erforderlich:

• Zurücksetzen des Kennworts ohne Eingabe des alten Kennworts.
• Aktivieren von MUST_CHANGE, CHECK_POLICY oder CHECK_EXPIRATION.
• Ändern des Anmeldenamens.
• Aktivieren oder Deaktivieren der Anmeldung.
• Zuordnen der Anmeldung zu anderen Anmeldeinformationen.

Ein Prinzipal kann das Kennwort, die Standardsprache und die Standarddatenbank für seine eigene Anmeldung ändern.

Beispiele

A. Aktivieren einer deaktivierten Anmeldung

Im folgenden Beispiel wird die Anmeldung Mary5 aktiviert.

ALTER LOGIN Mary5 ENABLE;

B. Ändern des Kennworts einer Anmeldung

Im folgenden Beispiel wird das Kennwort der Anmeldung Mary5 in ein sicheres Kennwort geändert.

ALTER LOGIN Mary5 WITH PASSWORD = '<enterStrongPasswordHere>';

C. Ändern des Kennworts einer Anmeldung, wenn Sie mit dieser angemeldet sind

Wenn Sie versuchen, das Kennwort der Anmeldung zu ändern, mit der Sie derzeit angemeldet sind, und wenn Sie nicht die ALTER ANY LOGIN-Berechtigung haben, müssen Sie die Option OLD_PASSWORD angeben.

ALTER LOGIN Mary5 WITH PASSWORD = '<enterStrongPasswordHere>' OLD_PASSWORD = '<oldWeakPasswordHere>';

D: Ändern des Namens einer Anmeldung

Im folgenden Beispiel wird der Name der Anmeldung Mary5 in John2 geändert.

ALTER LOGIN Mary5 WITH NAME = John2;

E. Zuordnen einer Anmeldung zu Anmeldeinformationen

Im folgenden Beispiel wird die Anmeldung John2 den Anmeldeinformationen Custodian04 zugeordnet.

ALTER LOGIN John2 WITH CREDENTIAL = Custodian04;

F. Zuordnen einer Anmeldung zu Anmeldeinformationen der erweiterbaren Schlüsselverwaltung

Im folgenden Beispiel wird die Anmeldung Mary5 den EKM-Anmeldeinformationen EKMProvider1 zugeordnet.

ALTER LOGIN Mary5
ADD CREDENTIAL EKMProvider1;
GO

F. Entsperren einer Anmeldung

Um eine SQL Server-Anmeldung zu entsperren, führen Sie die folgende Anweisung aus und ersetzen **** durch das gewünschte Kontokennwort.

ALTER LOGIN [Mary5] WITH PASSWORD = '****' UNLOCK ;
GO

Um eine Anmeldung zu entsperren, ohne das Kennwort zu ändern, deaktivieren Sie die Überprüfungsrichtlinie, und aktivieren Sie diese dann erneut.

ALTER LOGIN [Mary5] WITH CHECK_POLICY = OFF;
ALTER LOGIN [Mary5] WITH CHECK_POLICY = ON;
GO

G. Ändern des Kennworts für eine Anmeldung mit HASHED

Im folgenden Beispiel wird das Kennwort für die TestUser-Anmeldung in einen bereits vorhandenen Hashwert geändert.

ALTER LOGIN TestUser WITH
PASSWORD = 0x01000CF35567C60BFB41EBDE4CF700A985A13D773D6B45B90900 HASHED ;
GO

Weitere Informationen

• Anmeldeinformationen
• CREATE LOGIN
• DROP LOGIN
• CREATE CREDENTIAL
• EVENTDATA
• Erweiterbare Schlüsselverwaltung (Extensible Key Management, EKM)