CREATE LOGIN (Transact-SQL)

Erstellt eine Anmeldung für SQL Server-, Azure SQL-Datenbank-, Azure SQL-verwaltete Instanz-, Azure Synapse Analytics- oder Analytics Platform System-Datenbanken. Wählen Sie eine der folgenden Registerkarten für die Syntax, Argumente, Anmerkungen, Berechtigungen und Beispiele für eine bestimmte Version aus.

CREATE LOGIN nimmt an Transaktionen teil. Wenn CREATE LOGIN innerhalb einer Transaktion ausgeführt wird, für die dann ein Rollback ausgeführt wird, wird ein Rollback für die Erstellung von Anmeldedaten ausgeführt. Die erstellten Anmeldedaten können erst verwendet werden, nachdem die Transaktion committet wurde, wenn sie innerhalb einer Transaktion ausgeführt werden.

Hinweis

Microsoft Entra ID war zuvor als Azure Active Directory (Azure AD) bekannt.

Weitere Informationen zu Syntaxkonventionen finden Sie unter Transact-SQL-Syntaxkonventionen.

Auswählen eines Produkts

Wählen Sie in der folgenden Zeile den Namen des Produkts aus, an dem Sie interessiert sind. Dann werden nur Informationen zu diesem Produkt angezeigt.

* SQL Server *  

Azure SQL-Datenbank

Azure SQL
SQL-Datenbank-Instanz

Azure Synapse
Analytics

Analytics Platform
System (PDW)

 

SQL Server

Syntax

-- Syntax for SQL Server
CREATE LOGIN login_name { WITH <option_list1> | FROM <sources> }

<option_list1> ::=
    PASSWORD = { 'password' | hashed_password HASHED } [ MUST_CHANGE ]
    [ , <option_list2> [ ,... ] ]

<option_list2> ::=
    SID = sid
    | DEFAULT_DATABASE = database
    | DEFAULT_LANGUAGE = language
    | CHECK_EXPIRATION = { ON | OFF}
    | CHECK_POLICY = { ON | OFF}
    | CREDENTIAL = credential_name

<sources> ::=
    WINDOWS [ WITH <windows_options>[ ,... ] ]
    | EXTERNAL PROVIDER
    | CERTIFICATE certname
    | ASYMMETRIC KEY asym_key_name

<windows_options> ::=
    DEFAULT_DATABASE = database
    | DEFAULT_LANGUAGE = language

Argumente

login_name

Gibt den Anmeldenamen an, der erstellt wird. Es gibt fünf Arten von Anmeldungen: SQL Server-Anmeldungen, Windows-Anmeldungen, Microsoft Entra-Anmeldungen, zertifikatgeschlüsselte Anmeldungen und asymmetrische, zugeordnete Anmeldeinformationen.

Wenn Sie Anmeldeinformationen erstellen, die einem Windows-Do Standard-Konto zugeordnet sind, müssen Sie den Anmeldenamen im Format [<do Standard Name>\<login_name>] verwenden. Sie können keinen UPN im Format "login_name@DomainName" verwenden. Ein Beispiel finden Sie weiter unten in diesem Artikel im Beispiel E . Authentifizierungsanmeldungen sind vom Typ "sysname " und müssen den Regeln für Bezeichner entsprechen und keinen umgekehrten Schrägstrich () enthalten. Windows-Anmeldenamen können ' \ '-Zeichen enthalten. Anmeldungen, die auf Active Directory-Benutzern basieren, sind auf Namen von weniger als 21 Zeichen beschränkt.

Bei Verwendung der FROM EXTERNAL PROVIDER-Klausel muss der Anmeldename mit dem Anzeigenamen eines vorhandenen Microsoft Entra-Prinzipals im selben Mandanten übereinstimmen, für den die SQL-Instanz arcfähig ist. Microsoft Entra-Benutzer, Gruppen und Anwendungen können zum Erstellen von Anmeldungen verwendet werden.

PASSWORD ='password'

Gilt nur für SQL Server-Anmeldenamen. Gibt das Kennwort für den Anmeldenamen an, der erstellt wird. Verwenden Sie ein sicheres Kennwort. Weitere Informationen finden Sie unter Sichere Kennwörter und Kennwortrichtlinie. Ab SQL Server 2012 (11.x) werden gespeicherte Kennwortinformationen mithilfe der SHA-512-Komponente des mit Salt verschlüsselten Kennworts berechnet.

Bei Kennwörtern wird nach Groß- und Kleinschreibung unterschieden. Kennwörter sollten immer mindestens acht Zeichen lang sein und dürfen 128 Zeichen nicht überschreiten. Kennwörter dürfen a-z, A-Z, 0-9 und die meisten nicht alphanumerischen Zeichen einschließen. Kennwörter dürfen keine einzelnen Anführungszeichen oder die login_name enthalten.

PASSWORD = hashed_password

Gilt nur für das HASHED-Schlüsselwort. Gibt den Hashwert des Kennworts für den Anmeldenamen an, der erstellt wird.

HASHED

Gilt nur für SQL Server-Anmeldenamen. Gibt an, dass das nach dem PASSWORD-Argument eingegebene Kennwort bereits einen Hashwert darstellt. Wenn diese Option nicht ausgewählt ist, wird die als Kennwort eingegebene Zeichenfolge vor dem Speichern in der Datenbank hashed. Diese Option sollte nur verwendet werden, um Datenbanken von einem Server auf einen anderen zu migrieren. Verwenden Sie nicht die HASHED-Option, um neue Anmeldungen zu erstellen. Die OPTION HASHED kann nicht mit Hashes verwendet werden, die von SQL 7 oder einer früheren Version erstellt wurden.

MUST_CHANGE

Gilt nur für SQL Server-Anmeldenamen. Wenn diese Option angegeben wird, wird der Benutzer von SQL Server zur Eingabe eines neuen Kennworts aufgefordert, wenn der neue Anmeldename zum ersten Mal verwendet wird.

ANMELDEINFORMATIONEN =credential_name

Die Anmeldeinformationen, die dem neuen SQL Server-Anmeldenamen zugeordnet werden sollen. Die Anmeldeinformationen müssen bereits auf dem Server vorhanden sein. Momentan verknüpft diese Option nur die Anmeldeeinformationen mit einem Anmeldenamen. Eine Anmeldeinformation kann nicht der Systemadministratoranmeldung (sa) zugeordnet werden.

SID = sid

Wird verwendet, um eine Anmeldung neu zu erstellen. Gilt nur für Anmeldenamen für die SQL Server-Authentifizierung, nicht für Anmeldenamen für die Windows-Authentifizierung. Gibt die SID des neuen Anmeldenamens für die SQL Server-Authentifizierung an. Wenn diese Option nicht verwendet wird, weist SQL Server automatisch eine SID zu. Die SID-Struktur hängt von der SQL Server-Version ab. SID des Anmeldenamens für SQL Server: ein 16-Byte-Literalwert (binary(16) ) basierend auf einer GUID. Beispiel: SID = 0x14585E90117152449347750164BA00A7.

DEFAULT_DATABASE =Datenbank

Gibt die Standarddatenbank an, die dem Anmeldenamen zugewiesen werden soll. Wenn diese Option nicht enthalten ist, wird die Standarddatenbank auf master.

DEFAULT_LANGUAGE =sprache

Gibt die Standardsprache an, die dem Anmeldenamen zugewiesen werden soll. Wenn diese Option nicht enthalten ist, wird die Standardsprache auf die aktuelle Standardsprache des Servers festgelegt. Wenn die Standardsprache des Servers zu einem späteren Zeitpunkt geändert wird, wird die Standardsprache des Anmeldenamens nicht geändert.

CHECK_EXPIRATION = { ON | OFF }

Gilt nur für SQL Server-Anmeldenamen. Gibt an, ob die Richtlinie für das Ablaufen von Kennwörtern für diesen Anmeldenamen erzwungen werden soll. Der Standardwert ist OFF.

CHECK_POLICY = { ON | OFF }

Gilt nur für SQL Server-Anmeldenamen. Gibt an, dass die Windows-Kennwortrichtlinien des Computers, auf dem SQL Server ausgeführt wird, für diesen Anmeldenamen erzwungen werden sollen. Der Standardwert ist ON.

Wenn die Windows-Richtlinie sichere Kennwörter erfordert, müssen Kennwörter mindestens drei der folgenden vier Eigenschaften aufweisen:

• Ein Großbuchstabe (A-Z).
• Ein Kleinbuchstabe (a-z).
• Eine Ziffer (0-9).
• Eines der nichtalphanumerischen Zeichen, z. B. ein Leerzeichen, _, @, *, ^, %, !, $, #oder &.

WINDOWS

Gibt an, dass der Anmeldename einem Windows-Anmeldenamen zugeordnet wird.

FROM EXTERNAL PROVIDER

Gibt an, dass die Anmeldung einem Microsoft Entra-Prinzipal zugeordnet ist. Diese Option ist für Arc-fähige SQL Server 2022 und höhere Versionen verfügbar. Weitere Informationen finden Sie unter Microsoft Entra-Authentifizierung für SQL Server

CERTIFICATE certname

Gibt den Namen eines Zertifikats an, das diesem Anmeldenamen zugeordnet werden soll. Dieses Zertifikat muss bereits in der master Datenbank vorhanden sein.

ASYMMETRIC KEY asym_key_name

Gibt den Namen eines asymmetrischen Schlüssels an, der diesem Anmeldenamen zugeordnet werden soll. Dieser Schlüssel muss bereits in der master Datenbank vorhanden sein.

Hinweise

• Bei Kennwörtern wird nach Groß- und Kleinschreibung unterschieden.
• Das Vorbereiten von Kennwörtern wird nur unterstützt, wenn Sie SQL Server-Anmeldungen erstellen.
• Wenn MUST_CHANGE angegeben, müssen CHECK_EXPIRATION und CHECK_POLICY auf ON. Andernfalls erzeugt die Anweisung einen Fehler.
• Eine Kombination von CHECK_POLICY = OFF und CHECK_EXPIRATION = ON wird nicht unterstützt.
• Wenn CHECK_POLICY auf OFFfestgelegt ist, wird lockout_time zurückgesetzt und CHECK_EXPIRATION auf OFF.

Wichtig

CHECK_EXPIRATION und CHECK_POLICY werden nur unter Windows Server 2003 und höheren Versionen erzwungen. Weitere Informationen finden Sie unter Password Policy.

• Aus Zertifikaten oder asymmetrischen Schlüsseln erstellte Anmeldenamen werden nur zum Signieren von Code verwendet. Sie können nicht zum Herstellen einer Verbindung mit SQL Server verwendet werden. Sie können eine Anmeldung aus einem Zertifikat oder asymmetrischem Schlüssel nur erstellen, wenn das Zertifikat oder der asymmetrische Schlüssel bereits vorhanden masterist.
• Ein Skript zum Übertragen von Anmeldenamen finden unter Übertragen von Benutzernamen und Kennwörtern zwischen Instanzen von SQL Server.
• Durch das Erstellen eines Anmeldenamens wird der neue Anmeldename automatisch aktiviert, und diesem Anmeldenamen wird die CONNECT SQL-Berechtigung auf Serverebene gewährt.
• Der Authentifizierungsmodus muss mit dem Anmeldetyp übereinstimmen, damit der Zugriff gewährt wird.
• Informationen zum Entwerfen eines Berechtigungssystems finden Sie unter Getting Started with Database Engine Permissions.

Berechtigungen

• Nur Benutzer mit ALTER ANY LOGIN-Berechtigung auf dem Server oder einer Mitgliedschaft bei der festen Serverrolle securityadmin können Anmeldenamen erstellen. Weitere Informationen finden Sie unter Rollen auf Serverebene und unter ALTER SERVER ROLE.
• Falls die Option CREDENTIAL verwendet wird, ist auch die ALTER ANY CREDENTIAL-Berechtigung auf dem Server erforderlich.

Berechtigungen für SQL Server 2022 und höher

Erfordert create login permission on the server or membership in the ##MS_LoginManager## fixed server role.

Nach dem Erstellen eines Anmeldenamens

Nach dem Erstellen eines Anmeldenamens kann mit dem Namen eine Verbindung mit SQL Server hergestellt werden, er verfügt jedoch nur über die der Rolle public gewährten Berechtigungen. Ziehen Sie die Ausführung einiger der folgenden Aktivitäten in Betracht.

• Erstellen Sie zum Herstellen einer Verbindung mit einer Datenbank einen Datenbankbenutzer für den Anmeldenamen. Weitere Informationen finden Sie unter CREATE USER (Transact-SQL).
• Erstellen sie eine benutzerdefinierte Serverrolle mit CREATE SERVER ROLE. Wird verwendet ALTER SERVER ROLE ... ADD MEMBER , um die neue Anmeldung zur benutzerdefinierten Serverrolle hinzuzufügen. Weitere Informationen finden Sie unter CREATE SERVER ROLE und unter ALTER SERVER ROLE.
• Dient sp_addsrvrolemember zum Hinzufügen der Anmeldung zu einer festen Serverrolle. Weitere Informationen finden Sie unter Rollen auf Serverebene und unter sp_addsrvrolemember.
• Gewähren Sie mit der GRANT-Anweisung Berechtigungen auf Serverebene für den neuen Anmeldenamen oder für eine Rolle, die den Anmeldenamen enthält. Weitere Informationen finden Sie unter GRANT.

Beispiele

A. Erstellen einer Anmeldung mit einem Kennwort

Im folgenden Beispiel wird ein Anmeldename für einen bestimmten Benutzer erstellt, und es wird ein Kennwort zugewiesen.

CREATE LOGIN <login_name> WITH PASSWORD = '<enterStrongPasswordHere>';
GO

B. Erstellen einer Anmeldung mit einem Kennwort, das geändert werden muss

Im folgenden Beispiel wird ein Anmeldename für einen bestimmten Benutzer erstellt, und es wird ein Kennwort zugewiesen. Die Option MUST_CHANGE erfordert, dass Benutzer dieses Kennwort ändern, wenn sie das erste Mal eine Verbindung mit dem Server herstellen.

Gilt für: SQL Server 2008 (10.0.x) und höhere Versionen

CREATE LOGIN <login_name> WITH PASSWORD = '<enterStrongPasswordHere>'
    MUST_CHANGE, CHECK_EXPIRATION = ON;
GO

Hinweis

Die Option MUST_CHANGE kann nicht verwendet werden, wenn CHECK_EXPIRATION auf OFF festgelegt ist.

C. Erstellen einer Anmeldung, die einer Anmeldeinformation zugeordnet ist

Im folgenden Beispiel wird unter Verwendung des Benutzers der Anmeldename für einen bestimmten Benutzer erstellt. Dieser Anmeldename wird den Anmeldeinformationen zugeordnet.

Gilt für: SQL Server 2008 (10.0.x) und höhere Versionen

CREATE LOGIN <login_name> WITH PASSWORD = '<enterStrongPasswordHere>',
    CREDENTIAL = <credentialName>;
GO

D: Erstellen einer Anmeldung aus einem Zertifikat

Im folgenden Beispiel wird die Anmeldung für einen bestimmten Benutzer aus einem Zertifikat in mastererstellt.

Gilt für: SQL Server 2008 (10.0.x) und höhere Versionen

USE MASTER;
CREATE CERTIFICATE <certificateName>
    WITH SUBJECT = '<login_name> certificate in master database',
    EXPIRY_DATE = '12/05/2025';
GO
CREATE LOGIN <login_name> FROM CERTIFICATE <certificateName>;
GO

E. Erstellen einer Anmeldung über ein Windows-Konto Standard

Im folgenden Beispiel wird ein Anmeldename von einem Windows-Domänenkonto erstellt.

Gilt für: SQL Server 2008 (10.0.x) und höhere Versionen

CREATE LOGIN [<domainName>\<login_name>] FROM WINDOWS;
GO

F. Erstellen einer Anmeldung über eine SID

Im folgenden Beispiel wird ein Anmeldename für die SQL Server-Authentifizierung erstellt und die SID des Anmeldenamens festgelegt.

CREATE LOGIN TestLogin WITH PASSWORD = 'SuperSecret52&&';
SELECT name, sid FROM sys.sql_logins WHERE name = 'TestLogin';
GO

Die Abfrage hier gibt 0x241C11948AEEB749B0D22646DB1A19F2 als SID zurück. Die Abfrage gibt einen anderen Wert zurück. Die folgenden Anweisungen löschen den Anmeldenamen und erstellen dann erneut die Anmeldung. Verwenden Sie die SID aus der vorherigen Abfrage.

DROP LOGIN TestLogin;
GO

CREATE LOGIN TestLogin
WITH PASSWORD = 'SuperSecret52&&', SID = 0x241C11948AEEB749B0D22646DB1A19F2;

SELECT * FROM sys.sql_logins WHERE name = 'TestLogin';
GO

G. Erstellen einer Anmeldung mit mehreren Argumenten

Im folgenden Beispiel sehen Sie, wie Sie mehrere Argumente mit Kommas zwischen den einzelnen Argumenten als eine Zeichenfolge verbinden.

CREATE LOGIN [MyUser]
WITH PASSWORD = 'MyPassword',
DEFAULT_DATABASE = MyDatabase,
CHECK_POLICY = OFF,
CHECK_EXPIRATION = OFF ;

H. Erstellen einer SQL-Anmeldung mit Hashkennwort

Das folgende Beispiel zeigt, wie SQL-Anmeldungen mit dem gleichen Kennwort wie vorhandene Anmeldungen in einem Migrationsszenario erstellt werden. Der erste Schritt besteht im Abrufen des Kennworthashs aus vorhandenen Anmeldungen auf dem Quelldatenbankserver. Anschließend wird derselbe Hash verwendet, um die Anmeldung auf einem neuen Datenbankserver zu erstellen. Dadurch erhält die neue Anmeldung das gleiche Kennwort, das auf dem alten Server verwendet wurde.

-- run this to retrieve the password hash for an individual Login:
SELECT LOGINPROPERTY('Andreas','PASSWORDHASH') AS password_hash;
-- as an alternative, the catalog view sys.sql_logins can be used to retrieve the password hashes for multiple accounts at once. (This could be used to create a dynamic sql statemnt from the result set)
SELECT name, password_hash
FROM sys.sql_logins
  WHERE
    principal_id > 1    -- excluding sa
    AND
    name NOT LIKE '##MS_%##' -- excluding special MS system accounts
-- create the new SQL Login on the new database server using the hash of the source server
CREATE LOGIN Andreas
  WITH PASSWORD = 0x02000A1A89CD6C6E4C8B30A282354C8EA0860719D5D3AD05E0CAE1952A1C6107A4ED26BEBA2A13B12FAB5093B3CC2A1055910CC0F4B9686A358604E99BB9933C75B4EA48FDEA HASHED;

I. Erstellen einer Anmeldung für einen Microsoft Entra-Benutzer

Im folgenden Beispiel wird eine Anmeldung für das Microsoft Entra-Konto joe@contoso.onmicrosoft.com erstellt, das im Microsoft Entra-Mandanten namens contoso vorhanden ist.

CREATE LOGIN [joe@contoso.onmicrosoft.com] FROM EXTERNAL PROVIDER

GO

J. Erstellen einer Anmeldung für ein Microsoft Entra-Verbundkonto

Im folgenden Beispiel wird eine Anmeldung für ein Microsoft Entra-Verbundkonto bob@contoso.com erstellt, das in einem Mandanten namens "contoso" vorhanden ist. Der Benutzer „Bob“ kann auch ein Gastbenutzer sein.

CREATE LOGIN [bob@contoso.com] FROM EXTERNAL PROVIDER
GO

K. Erstellen einer Anmeldung für eine Microsoft Entra-Gruppe

Im folgenden Beispiel wird eine Anmeldung für die Mygroup der Microsoft Entra-Gruppe erstellt, die im Mandanten contoso vorhanden ist.

CREATE LOGIN [mygroup] FROM EXTERNAL PROVIDER
GO

L. Erstellen einer Anmeldung für eine Microsoft Entra-Anwendung

Im folgenden Beispiel wird eine Anmeldung für die Microsoft Entra-Anwendung myapp erstellt, die im Mandanten contoso vorhanden ist.

CREATE LOGIN [myapp] FROM EXTERNAL PROVIDER

Zugehöriger Inhalt

• Erste Schritte mit Berechtigungen für die Datenbank-Engine
• Principals
• Kennwortrichtlinie
• ALTER LOGIN
• DROP LOGIN
• EVENTDATA
• Erstellen eines Anmeldenamens