CREATE LOGIN (Transact-SQL)

Crée une connexion pour les bases de données SQL Server, Azure SQL Database, Azure SQL Managed Instance, Azure Synapse Analytics ou Analytics Platform System. Choisissez l’un des onglets suivants pour la syntaxe, les arguments, les remarques, les autorisations et les exemples d’une version particulière.

CREATE LOGIN participe aux transactions. Si CREATE LOGIN est exécutée dans une transaction et que la transaction est restaurée, la création de la connexion est restaurée. Si elle est exécutée dans une transaction, la connexion créée ne peut pas être utilisée jusqu’à ce que la transaction soit validée.

Remarque

Microsoft Entra ID était précédemment connu sous le nom d’Azure Active Directory (Azure AD).

Pour plus d’informations sur les conventions de la syntaxe, consultez Conventions de la syntaxe Transact-SQL.

Sélectionner un produit

Sur la ligne suivante, sélectionnez le nom du produit qui vous intéresse afin d’afficher uniquement les informations qui le concernent.

* SQL Server *  

Azure SQL Database

Azure SQL
Managed Instance

Azure Synapse
Analytics

Analytics Platform
System (PDW)

 

SQL Server

Syntaxe

-- Syntax for SQL Server
CREATE LOGIN login_name { WITH <option_list1> | FROM <sources> }

<option_list1> ::=
    PASSWORD = { 'password' | hashed_password HASHED } [ MUST_CHANGE ]
    [ , <option_list2> [ ,... ] ]

<option_list2> ::=
    SID = sid
    | DEFAULT_DATABASE = database
    | DEFAULT_LANGUAGE = language
    | CHECK_EXPIRATION = { ON | OFF}
    | CHECK_POLICY = { ON | OFF}
    | CREDENTIAL = credential_name

<sources> ::=
    WINDOWS [ WITH <windows_options>[ ,... ] ]
    | EXTERNAL PROVIDER
    | CERTIFICATE certname
    | ASYMMETRIC KEY asym_key_name

<windows_options> ::=
    DEFAULT_DATABASE = database
    | DEFAULT_LANGUAGE = language

Arguments

login_name

Spécifie le nom de la connexion créée. Il existe cinq types de connexions : connexions SQL Server, connexions Windows, connexions Microsoft Entra, connexions mappées par certificat et connexions mappées par clé asymétrique.

Lorsque vous créez des connexions mappées à partir d’un compte de domaine Windows, vous devez utiliser le nom d’ouverture de session au format [<domainName>\<login_name>]. Vous ne pouvez pas utiliser de nom UPN au format Nom_connexion@Nom_domaine. Pour obtenir un exemple, consultez l’exemple E plus loin dans cet article. Les connexions d’authentification sont de type sysname et doivent être conformes aux règles des identificateurs et ne peuvent pas contenir de barre oblique inverse (). Les connexions Windows peuvent contenir une barre oblique inverse ( \ ). Les connexions basées sur les utilisateurs Active Directory sont limitées aux noms de moins de 21 caractères.

Lorsque vous utilisez la clause FROM EXTERNAL PROVIDER , le nom de connexion doit correspondre au nom complet d’un principal Microsoft Entra existant dans le même locataire auquel l’instance SQL est activée. Les utilisateurs, groupes et applications Microsoft Entra peuvent être utilisés pour créer des connexions.

PASSWORD ='password'

S’applique uniquement aux connexions SQL Server. Spécifie le mot de passe de la connexion à créer. Utilisez un mot de passe fort. Pour plus d’informations, consultez Mots de passe forts et Stratégie de mot de passe. Depuis SQL Server 2012 (11.x), les informations de mot de passe stockées sont calculées à l’aide de la valeur salt SHA-512 du mot de passe.

Les mots de passe respectent la casse. Les mots de passe doivent toujours comporter au moins huit caractères et ne peuvent pas dépasser 128 caractères. Les mots de passe peuvent inclure les caractères a-z, A-Z, 0-9 et la plupart des caractères non alphanumériques. Les mots de passe ne peuvent pas contenir de guillemets simples ou le login_name.

PASSWORD = hashed_password

S'applique uniquement au mot clé HASHED. Spécifie la valeur hachée du mot de passe de la connexion créée.

HASHED

S’applique uniquement aux connexions SQL Server. Spécifie que le mot de passe entré après l'argument PASSWORD est déjà haché. Si cette option n’est pas sélectionnée, la chaîne entrée en tant que mot de passe est hachée avant son stockage dans la base de données. Cette option doit être utilisée uniquement pour effectuer une migration de bases de données d'un serveur vers un autre. N’utilisez pas l’option HASHED pour créer de nouvelles connexions. L’option HASHED ne peut pas être utilisée avec les hachages créés par SQL 7 ou une version antérieure.

MUST_CHANGE

S’applique uniquement aux connexions SQL Server. Si vous incluez cette option, SQL Server demande à l’utilisateur un nouveau mot de passe la première fois que la nouvelle connexion est utilisée.

CREDENTIAL =credential_name

Nom des informations d’identification à associer à la nouvelle connexion SQL Server. Les informations d'identification doivent déjà exister sur le serveur. À l'heure actuelle, cette option lie uniquement l'information d'authentification à une connexion. Les informations d’identification ne peuvent pas être mappées à la connexion system Administration istrator (sa).

SID = sid

Utilisé pour recréer une connexion. S’applique uniquement aux connexions d’authentification SQL Server, et non aux connexions d’authentification Windows. Spécifie le SID de la nouvelle connexion d’authentification SQL Server. Si cette option n’est pas sélectionnée, SQL Server attribue automatiquement un SID. La structure SID dépend de la version de SQL Server. SID de connexion SQL Server : valeur littérale 16 octets (binary(16) ) basée sur un GUID. Par exemple : SID = 0x14585E90117152449347750164BA00A7.

DEFAULT_DATABASE =database

Spécifie la base de données par défaut à affecter à la connexion. Si cette option n’est pas incluse, la base de données par défaut est définie sur master.

DEFAULT_LANGUAGE =language

Spécifie la langue par défaut à affecter à la connexion. Si cette option n’est pas incluse, la langue par défaut est définie sur la langue par défaut actuelle du serveur. Si la langue par défaut du serveur est changée par la suite, la langue par défaut de la connexion reste la même.

CHECK_EXPIRATION = { ON | OFF }

S’applique uniquement aux connexions SQL Server. Spécifie si les règles d'expiration des mots de passe doivent être imposées sur cette connexion. La valeur par défaut est OFF.

CHECK_POLICY = { ON | OFF }

S’applique uniquement aux connexions SQL Server. Spécifie que les stratégies de mot de passe Windows de l’ordinateur sur lequel SQL Server s’exécute doivent s’appliquer à cette connexion. La valeur par défaut est ON.

Si la stratégie windows requiert des mots de passe forts, les mots de passe doivent avoir au moins trois des quatre caractéristiques suivantes :

• Une majuscule (A-Z).
• Une minuscule (a-z).
• Un chiffre (0-9).
• Un des caractères nonphanumériques, tels qu’un espace, _, @, *, ^, %, !, $, #ou &.

WINDOWS

Spécifie que la connexion doit être mappée sur une connexion Windows.

FROM EXTERNAL PROVIDER

Spécifie que la connexion est mappée à un principal Microsoft Entra. Cette option est disponible pour SQL Server 2022 et versions ultérieures avec Arc. Pour plus d’informations, consultez l’authentification Microsoft Entra pour SQL Server

CERTIFICATE certname

Spécifie le nom d'un certificat à associer à cette connexion. Ce certificat doit déjà se produire dans la master base de données.

ASYMMETRIC KEY asym_key_name

Spécifie le nom d'une clé asymétrique à associer à cette connexion. Cette clé doit déjà se produire dans la master base de données.

Notes

• Les mots de passe respectent la casse.
• Le préachage des mots de passe est pris en charge uniquement lorsque vous créez des connexions SQL Server.
• Si MUST_CHANGE elle est spécifiée, CHECK_EXPIRATION et CHECK_POLICY doivent être définis sur ON. Sans quoi, l'instruction échoue.
• Une combinaison de CHECK_POLICY = OFF et CHECK_EXPIRATION = ON n’est pas prise en charge.
• Lorsque CHECK_POLICY est défini OFFsur , lockout_time est réinitialisé et CHECK_EXPIRATION est défini sur OFF.

Important

CHECK_EXPIRATION et CHECK_POLICY sont appliqués uniquement sur Windows Server 2003 et versions ultérieures. Pour plus d'informations, consultez Password Policy.

• Les connexions créées à partir de certificats ou de clés asymétriques ne sont utilisées que pour la signature de code. Ils ne peuvent pas être utilisés pour se connecter à SQL Server. Vous pouvez créer une connexion à partir d’un certificat ou d’une clé asymétrique uniquement lorsque le certificat ou la clé asymétrique existe déjà dans master.
• Pour obtenir un script de transfert des connexions, consultez Comment transférer les connexions et les mots de passe entre des instances de SQL Server 2005 et SQL Server 2008.
• La création d'une connexion active automatiquement la nouvelle connexion et accorde à la connexion l'autorisation CONNECT SQL au niveau du serveur.
• Le mode d’authentification du serveur doit correspondre au type de connexion pour autoriser l’accès.
• Pour plus d’informations sur la conception d’un système d’autorisations, voir Getting Started with Database Engine Permissions.

Autorisations

• Seuls les utilisateurs ayant l’autorisation ALTER ANY LOGIN sur le serveur ou appartenant au rôle serveur fixe securityadmin peuvent créer des connexions. Pour plus d’informations, consultez Rôles de niveau serveur et ALTER SERVER ROLE.
• Si l'option CREDENTIAL est utilisée, l'autorisation ALTER ANY CREDENTIAL est également exigée sur le serveur.

Autorisations pour SQL Server 2022 (et versions plus récentes)

Nécessite l’autorisation CREATE LOGIN sur le serveur ou l’appartenance au rôle serveur fixe ##MS_LoginManager### .

Après la création d’une connexion

Après la création d’une connexion, celle-ci peut se connecter à SQL Server, mais elle dispose uniquement des autorisations accordées au rôle public. Envisagez d’effectuer certaines des activités suivantes.

• Pour vous connecter à une base de données, créez un utilisateur de base de données pour la connexion. Pour plus d’informations, consultez CREATE USER.
• Créez un rôle serveur défini par l’utilisateur à l’aide de CREATE SERVER ROLE. Permet ALTER SERVER ROLE ... ADD MEMBER d’ajouter la nouvelle connexion au rôle serveur défini par l’utilisateur. Pour plus d’informations, consultez CREATE SERVER ROLE et ALTER SERVER ROLE.
• Permet sp_addsrvrolemember d’ajouter la connexion à un rôle serveur fixe. Pour plus d’informations, consultez Rôles de niveau serveur et sp_addsrvrolemember.
• Utilisez l’instruction GRANT pour accorder des autorisations au niveau du serveur à la nouvelle connexion ou à un rôle qui contient la connexion. Pour plus d’informations, consultez GRANT.

Exemples

R. Créer une connexion avec un mot de passe

L'exemple suivant crée une connexion pour un utilisateur particulier et attribue un mot de passe.

CREATE LOGIN <login_name> WITH PASSWORD = '<enterStrongPasswordHere>';
GO

B. Créer une connexion avec un mot de passe qui doit être modifié

L'exemple suivant crée une connexion pour un utilisateur particulier et attribue un mot de passe. L'option MUST_CHANGE exige que les utilisateurs modifient ce mot de passe la première fois qu'ils se connectent au serveur.

S’applique à : SQL Server 2008 (10.0.x) et ultérieur.

CREATE LOGIN <login_name> WITH PASSWORD = '<enterStrongPasswordHere>'
    MUST_CHANGE, CHECK_EXPIRATION = ON;
GO

Remarque

L'option MUST_CHANGE ne peut être utilisée lorsque l'option CHECK_EXPIRATION est désactivée.

C. Créer une connexion mappée à des informations d’identification

L'exemple suivant crée la connexion pour un utilisateur particulier, à l'aide de l'utilisateur. Cette connexion est mappée à l'information d'identification.

S’applique à : SQL Server 2008 (10.0.x) et ultérieur.

CREATE LOGIN <login_name> WITH PASSWORD = '<enterStrongPasswordHere>',
    CREDENTIAL = <credentialName>;
GO

D. Créer une connexion à partir d’un certificat

L’exemple suivant crée une connexion pour un utilisateur particulier à partir d’un certificat dans master.

S’applique à : SQL Server 2008 (10.0.x) et ultérieur.

USE MASTER;
CREATE CERTIFICATE <certificateName>
    WITH SUBJECT = '<login_name> certificate in master database',
    EXPIRY_DATE = '12/05/2025';
GO
CREATE LOGIN <login_name> FROM CERTIFICATE <certificateName>;
GO

E. Créer une connexion à partir d’un compte de domaine Windows

L'exemple suivant crée une connexion à partir d'un compte de domaine Windows.

S’applique à : SQL Server 2008 (10.0.x) et ultérieur.

CREATE LOGIN [<domainName>\<login_name>] FROM WINDOWS;
GO

F. Créer une connexion à partir d’un SID

L’exemple suivant crée d’abord une connexion d’authentification SQL Server et détermine le SID de la connexion.

CREATE LOGIN TestLogin WITH PASSWORD = 'SuperSecret52&&';
SELECT name, sid FROM sys.sql_logins WHERE name = 'TestLogin';
GO

Ma requête retourne 0x241C11948AEEB749B0D22646DB1A19F2 comme SID. Votre requête retourne une valeur différente. Les instructions suivantes suppriment la connexion, puis recréent la connexion. Utilisez le SID de votre requête précédente.

DROP LOGIN TestLogin;
GO

CREATE LOGIN TestLogin
WITH PASSWORD = 'SuperSecret52&&', SID = 0x241C11948AEEB749B0D22646DB1A19F2;

SELECT * FROM sys.sql_logins WHERE name = 'TestLogin';
GO

G. Créer une connexion avec plusieurs arguments

L’exemple suivant montre comment relier plusieurs arguments à l’aide de virgules entre chaque argument.

CREATE LOGIN [MyUser]
WITH PASSWORD = 'MyPassword',
DEFAULT_DATABASE = MyDatabase,
CHECK_POLICY = OFF,
CHECK_EXPIRATION = OFF ;

H. Créer une connexion SQL avec mot de passe haché

L’exemple suivant montre comment créer des connexions SQL avec le même mot de passe que les connexions existantes, comme dans un scénario de migration. La première étape consiste à récupérer le hachage de mot de passe à partir des connexions existantes sur le serveur de base de données source. Le même hachage est utilisé pour créer la connexion sur un nouveau serveur de base de données. Ainsi, la nouvelle connexion possède le même mot de passe que l’ancien serveur.

-- run this to retrieve the password hash for an individual Login:
SELECT LOGINPROPERTY('Andreas','PASSWORDHASH') AS password_hash;
-- as an alternative, the catalog view sys.sql_logins can be used to retrieve the password hashes for multiple accounts at once. (This could be used to create a dynamic sql statemnt from the result set)
SELECT name, password_hash
FROM sys.sql_logins
  WHERE
    principal_id > 1    -- excluding sa
    AND
    name NOT LIKE '##MS_%##' -- excluding special MS system accounts
-- create the new SQL Login on the new database server using the hash of the source server
CREATE LOGIN Andreas
  WITH PASSWORD = 0x02000A1A89CD6C6E4C8B30A282354C8EA0860719D5D3AD05E0CAE1952A1C6107A4ED26BEBA2A13B12FAB5093B3CC2A1055910CC0F4B9686A358604E99BB9933C75B4EA48FDEA HASHED;

I. Créer une connexion pour un utilisateur Microsoft Entra

L’exemple suivant crée une connexion pour le compte joe@contoso.onmicrosoft.com Microsoft Entra qui existe dans le locataire Microsoft Entra nommé contoso.

CREATE LOGIN [joe@contoso.onmicrosoft.com] FROM EXTERNAL PROVIDER

GO

J. Créer une connexion pour un compte Microsoft Entra fédéré

L’exemple suivant crée une connexion pour un compte bob@contoso.com Microsoft Entra fédéré qui existe dans un locataire appelé contoso. L’utilisateur bob peut également être un utilisateur invité.

CREATE LOGIN [bob@contoso.com] FROM EXTERNAL PROVIDER
GO

K. Créer une connexion pour un groupe Microsoft Entra

L’exemple suivant crée une connexion pour le groupe Microsoft Entra mygroup qui existe dans le locataire contoso.

CREATE LOGIN [mygroup] FROM EXTERNAL PROVIDER
GO

L. Créer une connexion pour une application Microsoft Entra

L’exemple suivant crée une connexion pour l’application Microsoft Entra myapp qui existe dans le client contoso.

CREATE LOGIN [myapp] FROM EXTERNAL PROVIDER

Contenu connexe

• Prise en main des autorisations du moteur de base de données
• Principaux
• Stratégie de mot de passe
• ALTER LOGIN
• DROP LOGIN
• EVENTDATA
• Créer un compte de connexion