CREATE LOGIN (Transact-SQL)

Crea un inicio de sesión para bases de datos de SQL Server, Azure SQL Database, Azure SQL Instancia administrada, Azure Synapse Analytics o Analytics Platform System. Elija una de las pestañas siguientes para la sintaxis, los argumentos, los comentarios, los permisos y los ejemplos de una versión determinada.

CREATE LOGIN participa en transacciones. Si se ejecuta CREATE LOGIN en una transacción y la transacción se revierte, la creación de inicio de sesión se revierte. Si se ejecuta en una transacción, el inicio de sesión creado no se puede usar hasta que se confirma la transacción.

Nota:

Microsoft Entra ID era conocido anteriormente como Azure Active Directory (Azure AD).

Para más información sobre las convenciones de sintaxis, vea Convenciones de sintaxis de Transact-SQL.

Selección de un producto

En la fila siguiente, seleccione el nombre del producto que le interese; de esta manera, solo se mostrará la información de ese producto.

* SQL Server *  

Azure SQL Database

Azure SQL
de SQL DB

Azure Synapse
Análisis

Analytics Platform
System (PDW)

 

SQL Server

Sintaxis

-- Syntax for SQL Server
CREATE LOGIN login_name { WITH <option_list1> | FROM <sources> }

<option_list1> ::=
    PASSWORD = { 'password' | hashed_password HASHED } [ MUST_CHANGE ]
    [ , <option_list2> [ ,... ] ]

<option_list2> ::=
    SID = sid
    | DEFAULT_DATABASE = database
    | DEFAULT_LANGUAGE = language
    | CHECK_EXPIRATION = { ON | OFF}
    | CHECK_POLICY = { ON | OFF}
    | CREDENTIAL = credential_name

<sources> ::=
    WINDOWS [ WITH <windows_options>[ ,... ] ]
    | EXTERNAL PROVIDER
    | CERTIFICATE certname
    | ASYMMETRIC KEY asym_key_name

<windows_options> ::=
    DEFAULT_DATABASE = database
    | DEFAULT_LANGUAGE = language

Argumentos

login_name

Especifica el nombre del inicio de sesión que se va a crear. Hay cinco tipos de inicios de sesión: inicios de sesión de SQL Server, inicios de sesión de Windows, inicios de sesión de Microsoft Entra, inicios de sesión asignados a certificados y inicios de sesión con asignación de claves asimétricas.

Al crear inicios de sesión asignados desde una cuenta de dominio de Windows, debe usar el nombre de inicio de sesión con el formato [<domainName>\<login_name>]. No puede utilizar un UPN con el formato nombreDeInicioDeSesión@nombreDeDominio. Para obtener un ejemplo, vea el ejemplo E más adelante en este artículo. Los inicios de sesión de autenticación son de tipo sysname y deben cumplir las reglas de identificadores y no pueden contener una barra diagonal inversa (). Los inicios de sesión de Windows pueden contener un carácter ' \ ”. Los inicios de sesión basados en usuarios de Active Directory se limitan a nombres de menos de 21 caracteres.

Al usar la cláusula FROM EXTERNAL PROVIDER , el nombre de inicio de sesión debe coincidir con el nombre para mostrar de una entidad de seguridad de Microsoft Entra existente en el mismo inquilino al que está habilitada la instancia de SQL. Los usuarios, grupos y aplicaciones de Microsoft Entra se pueden usar para crear inicios de sesión.

PASSWORD ='password'

Solo se aplica a inicios de sesión de SQL Server. Especifica la contraseña del inicio de sesión que se está creando. Utilice una contraseña segura. Para obtener más información, vea Contraseñas seguras y Directiva de contraseñas. A partir de SQL Server 2012 (11.x), la información de la contraseña almacenada se calcula con las funciones SHA-512 de la contraseña salada.

En las contraseñas se distingue entre mayúsculas y minúsculas. Las contraseñas siempre deben tener al menos ocho caracteres y no pueden superar los 128 caracteres. Las contraseñas pueden incluir a-z, A-Z, 0-9 y la mayoría de los caracteres no alfanuméricos. Las contraseñas no pueden contener comillas simples ni el login_name.

PASSWORD = hashed_password

Solo se aplica a la palabra clave HASHED. Especifica el valor con hash de la contraseña para el inicio de sesión que se está creando.

HASHED

Solo se aplica a inicios de sesión de SQL Server. Especifica que la contraseña especificada después del argumento PASSWORD ya tiene aplicado el algoritmo hash. Si esta opción no está seleccionada, la cadena especificada como contraseña se aplica un hash antes de almacenarla en la base de datos. Esta opción solo se debería utilizar para migrar las bases de datos de un servidor a otro. No use la opción HASHED para crear nuevos inicios de sesión. La opción HASHED no se puede usar con hashes creados por SQL 7 o versiones anteriores.

MUST_CHANGE

Solo se aplica a inicios de sesión de SQL Server. Si se incluye esta opción, SQL Server solicita al usuario una contraseña nueva la primera vez que se use el inicio de sesión nuevo.

CREDENTIAL =credential_name

Nombre de una credencial que se debe asignar al nuevo inicio de sesión de SQL Server. La credencial debe existir en la base de datos. Actualmente esta opción solo vincula la credencial a un inicio de sesión. No se puede asignar una credencial al inicio de sesión de System Administración istrator (sa).

SID = sid

Se usa para volver a crear un inicio de sesión. Solo se aplica a inicios de sesión con autenticación de SQL Server, no a los de Windows. Especifica el SID del nuevo inicio de sesión con autenticación de SQL Server. Si no se usa esta opción, SQL Server asigna un SID de manera automática. La estructura de SID depende de la versión de SQL Server. SID del inicio de sesión de SQL Server: un valor literal (binary(16) ) de 16 bytes basado en un GUID. Por ejemplo, SID = 0x14585E90117152449347750164BA00A7.

DEFAULT_DATABASE =database

Especifica la base de datos predeterminada que debe asignarse al inicio de sesión. Si no se incluye esta opción, la base de datos predeterminada se establece en master.

DEFAULT_LANGUAGE =language

Especifica el idioma predeterminado que debe asignarse al inicio de sesión. Si no se incluye esta opción, el idioma predeterminado se establece en el idioma predeterminado actual del servidor. Si el idioma predeterminado del servidor se cambia más tarde, el del inicio de sesión se mantiene igual.

CHECK_EXPIRATION = { ON | OFF }

Solo se aplica a inicios de sesión de SQL Server. Especifica si debe aplicarse la directiva de caducidad de contraseñas en este inicio de sesión. El valor predeterminado es OFF.

CHECK_POLICY = { ON | OFF }

Solo se aplica a inicios de sesión de SQL Server. Especifica que se deben aplicar las directivas de contraseñas de Windows en el equipo en el que se ejecuta SQL Server para este inicio de sesión. El valor predeterminado es ON.

Si la directiva de Windows requiere contraseñas seguras, las contraseñas deben tener al menos tres de las cuatro siguientes características:

• Un carácter en mayúscula (A-Z).
• Un carácter en minúsculas (a-z).
• Un dígito (0-9).
• Uno de los caracteres nonalphanumeric, como un espacio, _, @, *, ^, %, !, $, #, o &.

WINDOWS

Especifica que el inicio de sesión se asigna a un inicio de sesión de Windows.

FROM EXTERNAL PROVIDER

Especifica que el inicio de sesión se asigna a una entidad de seguridad de Microsoft Entra. Esta opción está disponible para SQL Server 2022 habilitado para Arc y versiones posteriores. Para obtener más información, consulte Autenticación de Microsoft Entra para SQL Server.

CERTIFICATE certname

Especifica el nombre de un certificado al que asociar este inicio de sesión. Este certificado ya debe producirse en la master base de datos.

ASYMMETRIC KEY asym_key_name

Especifica el nombre de una clave asimétrica a la que asociar este inicio de sesión. Esta clave ya debe producirse en la master base de datos.

Comentarios

• En las contraseñas se distingue entre mayúsculas y minúsculas.
• El uso previo de contraseñas solo se admite cuando se crean inicios de sesión de SQL Server.
• Si MUST_CHANGE se especifica , CHECK_EXPIRATION y CHECK_POLICY deben establecerse ONen . Si no es así, la instrucción producirá un error.
• No se admite una combinación de CHECK_POLICY = OFF y CHECK_EXPIRATION = ON .
• Cuando CHECK_POLICY se establece en , lockout_time se restablece y CHECK_EXPIRATION se establece en OFF.OFF

Importante

CHECK_EXPIRATION y CHECK_POLICY solo se aplican en Windows Server 2003 y versiones posteriores. Para obtener más información, vea Password Policy.

• Los inicios de sesión creados con certificados o claves asimétricas solo se usan para la firma del código. No se pueden usar para conectarse a SQL Server. Puede crear un inicio de sesión a partir de un certificado o una clave asimétrica solo cuando el certificado o la clave asimétrica ya existen en master.
• Para obtener un script para transferir inicios de sesión, vea Cómo transferir los inicios de sesión y las contraseñas entre instancias de SQL Server 2005 y SQL Server 2008.
• Al crear un inicio de sesión automáticamente se habilita el nuevo inicio de sesión y se concede al mismo el permiso de CONNECT SQL de nivel servidor.
• El modo de autenticación del servidor debe coincidir con el tipo de inicio de sesión para permitir el acceso.
• Para más información acerca de cómo diseñar un sistema de permisos, consulte Getting Started with Database Engine Permissions.

Permisos

• Solo los usuarios con el permiso ALTER ANY LOGIN en el servidor o la pertenencia al rol fijo de servidor securityadmin pueden crear inicios de sesión. Para más información, vea Roles de nivel de servidor y ALTER SERVER ROLE.
• Si se utiliza la opción CREDENTIAL , también será necesario el permiso ALTER ANY CREDENTIAL en el servidor.

Permisos para SQL Server 2022 y versiones posteriores

Requiere el permiso CREATE LOGIN en el servidor o la pertenencia al rol fijo de servidor ##MS_LoginManager### .

Después de crear un inicio de sesión

Después de crear un inicio de sesión, el inicio de sesión se puede conectar a SQL Server, pero solo tiene los permisos concedidos al rol public. Considere la posibilidad de realizar algunas de las actividades siguientes.

• Para conectarse a una base de datos, cree una para el inicio de sesión. Para más información, consulte CREATE USER.
• Cree un rol de servidor definido por el usuario mediante CREATE SERVER ROLE. Use ALTER SERVER ROLE ... ADD MEMBER para agregar el nuevo inicio de sesión al rol de servidor definido por el usuario. Para obtener más información, vea CREATE SERVER ROLE y ALTER SERVER ROLE.
• Use sp_addsrvrolemember para agregar el inicio de sesión a un rol fijo de servidor. Para obtener más información, vea Roles de nivel de servidor y sp_addsrvrolemember.
• Use la instrucción de GRANT, para conceder permisos de servidor al nuevo inicio de sesión o un rol que contiene el inicio de sesión. Para obtener más información, vea GRANT.

Ejemplos

A Creación de un inicio de sesión con una contraseña

El ejemplo siguiente crea un inicio de sesión para un usuario determinado y le asigna una contraseña.

CREATE LOGIN <login_name> WITH PASSWORD = '<enterStrongPasswordHere>';
GO

B. Creación de un inicio de sesión con una contraseña que se debe cambiar

El ejemplo siguiente crea un inicio de sesión para un usuario determinado y le asigna una contraseña. La opción MUST_CHANGE exige a los usuarios que cambien la contraseña la primera vez que se conecten al servidor.

Se aplica a: SQL Server 2008 (10.0.x) y versiones posteriores.

CREATE LOGIN <login_name> WITH PASSWORD = '<enterStrongPasswordHere>'
    MUST_CHANGE, CHECK_EXPIRATION = ON;
GO

Nota:

La opción MUST_CHANGE no se puede utilizar cuando se ha desactivado CHECK_EXPIRATION.

C. Creación de un inicio de sesión asignado a una credencial

El ejemplo siguiente crea el inicio de sesión para un usuario determinado, utilizando el de usuario. Este inicio de sesión se asigna a la credencial.

Se aplica a: SQL Server 2008 (10.0.x) y versiones posteriores.

CREATE LOGIN <login_name> WITH PASSWORD = '<enterStrongPasswordHere>',
    CREDENTIAL = <credentialName>;
GO

D. Creación de un inicio de sesión a partir de un certificado

En el ejemplo siguiente se crea el inicio de sesión de un usuario determinado a partir de un certificado en master.

Se aplica a: SQL Server 2008 (10.0.x) y versiones posteriores.

USE MASTER;
CREATE CERTIFICATE <certificateName>
    WITH SUBJECT = '<login_name> certificate in master database',
    EXPIRY_DATE = '12/05/2025';
GO
CREATE LOGIN <login_name> FROM CERTIFICATE <certificateName>;
GO

E. Creación de un inicio de sesión desde una cuenta de dominio de Windows

El ejemplo siguiente crea un inicio de sesión a partir de una cuenta de dominio de Windows.

Se aplica a: SQL Server 2008 (10.0.x) y versiones posteriores.

CREATE LOGIN [<domainName>\<login_name>] FROM WINDOWS;
GO

F. Creación de un inicio de sesión a partir de un SID

En el ejemplo siguiente primero se crea un inicio de sesión de autenticación de SQL Server y se determina el SID del inicio de sesión.

CREATE LOGIN TestLogin WITH PASSWORD = 'SuperSecret52&&';
SELECT name, sid FROM sys.sql_logins WHERE name = 'TestLogin';
GO

La consulta devuelve 0x241C11948AEEB749B0D22646DB1A19F2 como el SID. La consulta devolverá un valor diferente. Las siguientes instrucciones eliminan el inicio de sesión y luego vuelven a crear el inicio de sesión. Use el SID de la consulta anterior.

DROP LOGIN TestLogin;
GO

CREATE LOGIN TestLogin
WITH PASSWORD = 'SuperSecret52&&', SID = 0x241C11948AEEB749B0D22646DB1A19F2;

SELECT * FROM sys.sql_logins WHERE name = 'TestLogin';
GO

G. Creación de un inicio de sesión con varios argumentos

En el ejemplo siguiente se muestra cómo encadenar varios argumentos entre sí mediante el uso de comas entre cada argumento.

CREATE LOGIN [MyUser]
WITH PASSWORD = 'MyPassword',
DEFAULT_DATABASE = MyDatabase,
CHECK_POLICY = OFF,
CHECK_EXPIRATION = OFF ;

H. Creación de un inicio de sesión de SQL con contraseña con hash

En el ejemplo siguiente se muestra cómo crear inicios de sesión de SQL con la misma contraseña que los inicios de sesión existentes, como se hace en un escenario de migración. El primer paso es recuperar el hash de contraseña de los inicios de sesión existentes en el servidor de base de datos de origen. A continuación, se usará el mismo hash para crear el inicio de sesión en un nuevo servidor de bases de datos. Al hacerlo, el nuevo inicio de sesión tendrá la misma contraseña que en el servidor anterior.

-- run this to retrieve the password hash for an individual Login:
SELECT LOGINPROPERTY('Andreas','PASSWORDHASH') AS password_hash;
-- as an alternative, the catalog view sys.sql_logins can be used to retrieve the password hashes for multiple accounts at once. (This could be used to create a dynamic sql statemnt from the result set)
SELECT name, password_hash
FROM sys.sql_logins
  WHERE
    principal_id > 1    -- excluding sa
    AND
    name NOT LIKE '##MS_%##' -- excluding special MS system accounts
-- create the new SQL Login on the new database server using the hash of the source server
CREATE LOGIN Andreas
  WITH PASSWORD = 0x02000A1A89CD6C6E4C8B30A282354C8EA0860719D5D3AD05E0CAE1952A1C6107A4ED26BEBA2A13B12FAB5093B3CC2A1055910CC0F4B9686A358604E99BB9933C75B4EA48FDEA HASHED;

I. Creación de un inicio de sesión para un usuario de Microsoft Entra

En el ejemplo siguiente se crea un inicio de sesión para la cuenta joe@contoso.onmicrosoft.com de Microsoft Entra que existe en el inquilino de Microsoft Entra denominado contoso.

CREATE LOGIN [joe@contoso.onmicrosoft.com] FROM EXTERNAL PROVIDER

GO

J. Creación de un inicio de sesión para una cuenta federada de Microsoft Entra

En el ejemplo siguiente se crea un inicio de sesión para una cuenta bob@contoso.com federada de Microsoft Entra que existe en un inquilino denominado contoso. El usuario bob también puede ser un usuario invitado.

CREATE LOGIN [bob@contoso.com] FROM EXTERNAL PROVIDER
GO

K. Creación de un inicio de sesión para un grupo de Microsoft Entra

En el ejemplo siguiente se crea un inicio de sesión para el grupo de Microsoft Entra mygroup que existe en el inquilino contoso.

CREATE LOGIN [mygroup] FROM EXTERNAL PROVIDER
GO

L. Creación de un inicio de sesión para una aplicación de Microsoft Entra

En el ejemplo siguiente se crea un inicio de sesión para la aplicación Microsoft Entra myapp que existe en el inquilino contoso.

CREATE LOGIN [myapp] FROM EXTERNAL PROVIDER

Contenido relacionado

• Introducción a los permisos de los motores de bases de datos
• Entidades de seguridad
• Directiva de contraseñas
• ALTER LOGIN
• DROP LOGIN
• EVENTDATA
• Crear un inicio de sesión