DENY (permisos de entidad de seguridad de servidor de Transact-SQL)
Deniega los permisos concedidos para un inicio de sesión de SQL Server.
Se aplica a: SQL Server (SQL Server 2008 a través de la versión actual). |
.gif "Icono de vínculo a temas")
Convenciones de sintaxis de Transact-SQL
Sintaxis
DENY permission [ ,...n ] }
ON
{ [ LOGIN :: SQL_Server_login ]
| [ SERVER ROLE :: server_role ] }
TO <server_principal> [ ,...n ]
[ CASCADE ]
[ AS SQL_Server_login ]
<server_principal> ::=
SQL_Server_login
| SQL_Server_login_from_Windows_login
| SQL_Server_login_from_certificate
| SQL_Server_login_from_AsymKey
| server_role
Argumentos
permission
Especifica un permiso que se puede denegar en un inicio de sesión de SQL Server. Para obtener una lista de permisos, vea la sección Comentarios que se muestra posteriormente en este tema.LOGIN :: SQL_Server_login
Especifica el inicio de sesión de SQL Server para el que se deniega el permiso. Se necesita el calificador de ámbito (::).SERVER ROLE :: server_role
Especifica el rol de servidor para el que se deniega el permiso. Se necesita el calificador de ámbito (::).TO <server_principal>
Especifica el rol de servidor o el inicio de sesión de SQL Server para el que se va a conceder el permiso.TO SQL_Server_login
Especifica el inicio de sesión de SQL Server para el que se va a denegar el permiso.SQL_Server_login
Especifica el nombre de un inicio de sesión de SQL Server.SQL_Server_login_from_Windows_login
Especifica el nombre de un inicio de sesión de SQL Server creado desde un inicio de sesión de Windows.SQL_Server_login_from_certificate
Especifica el nombre de un inicio de sesión de SQL Server asignado a un certificado.SQL_Server_login_from_AsymKey
Especifica el nombre de un inicio de sesión de SQL Server asignado a una clave asimétrica.server_role
Especifica el nombre de un rol de servidor.CASCADE
Indica que el permiso que se va a denegar también se denegará a otras entidades de seguridad a las que esta entidad de seguridad ha concedido permisos.AS SQL_Server_login
Especifica el inicio de sesión de SQL Server del que la entidad de seguridad que ejecuta esta consulta deriva su derecho de denegar el permiso.
Comentarios
Los permisos del ámbito del servidor solamente pueden denegarse cuando la base de datos actual es master.
Se puede ver información acerca de los permisos de servidor en la vista de catálogo sys.server_permissions. Se puede ver información acerca de las entidades de seguridad de servidor en la vista de catálogo sys.server_principals.
Se producirá un error en la instrucción DENY si no se especifica CASCADE al denegar un permiso a una entidad de seguridad a la que se concedió dicho permiso con GRANT OPTION.
Los roles de servidor y los inicios de sesión de SQL Server son protegibles en el nivel de servidor. La mayoría de permisos limitados y específicos que se pueden denegar para un rol de servidor o un inicio de sesión de SQL Server se muestran en la siguiente tabla, junto con los permisos más generales que los incluyen por implicación.
Permiso de rol de servidor o de inicio de sesión de SQL Server |
Permiso de rol de servidor o inicio de sesión implícito de SQL Server |
Implícito en el permiso de servidor |
|---|---|---|
CONTROL |
CONTROL |
CONTROL SERVER |
IMPERSONATE |
CONTROL |
CONTROL SERVER |
VIEW DEFINITION |
CONTROL |
VIEW ANY DEFINITION |
ALTER |
CONTROL |
ALTER ANY LOGIN ALTER ANY SERVER ROLE |
Permisos
Para los inicios de sesión, se necesita el permiso CONTROL en el inicio de sesión o el permiso ALTER ANY LOGIN en el servidor.
Para los roles de servidor, se necesita el permiso CONTROL en el rol de servidor o el permiso ALTER ANY SERVER ROLE en el servidor.
Ejemplos
A.Denegar el permiso IMPERSONATE en un inicio de sesión
En el siguiente ejemplo se deniega el permiso IMPERSONATE para el inicio de sesión WanidaBenshoof de SQL Server a un inicio de sesión de SQL Server creado desde el usuario de Windows AdvWorks\YoonM.
USE master;
DENY IMPERSONATE ON LOGIN::WanidaBenshoof TO [AdvWorks\YoonM];
GO
B.Denegar el permiso VIEW DEFINITION con CASCADE
En el siguiente ejemplo se deniega el permiso VIEW DEFINITION para el inicio de sesión EricKurjan de SQL Server al inicio de sesión RMeyyappan de SQL Server. La opción CASCADE indica que el permiso VIEW DEFINITION para EricKurjan también se denegará a las entidades de seguridad a las que RMeyyappan concedió este permiso.
USE master;
DENY VIEW DEFINITION ON LOGIN::EricKurjan TO RMeyyappan
CASCADE;
GO
C.Denegar el permiso VIEW DEFINITION en un rol de servidor
En el siguiente ejemplo se deniega el permiso VIEW DEFINITION en el rol de servidor Sales al rol de servidor Auditors.
USE master;
DENY VIEW DEFINITION ON SERVER ROLE::Sales TO Auditors ;
GO
Vea también
Referencia
sys.server_principals (Transact-SQL)
sys.server_permissions (Transact-SQL)
GRANT (permisos de entidad de seguridad de servidor de Transact-SQL)
REVOKE (permisos de entidad de seguridad de servidor de Transact-SQL)
Funciones de seguridad (Transact-SQL)
Procedimientos almacenados de seguridad (Transact-SQL)