MÓDOSÍTÁSI BEJELENTKEZÉS (Transact-SQL)

Módosítja egy SQL Server bejelentkezési fiók tulajdonságait.

Transact-SQL szintaxis konvenciói

Jegyzet

Microsoft Entra ID korábban Azure Active Directory (Azure AD) néven ismert.

Termék kiválasztása

A következő sorban válassza ki a kívánt terméknevet, és csak az adott termék adatai jelenjenek meg.

* SQL Server *  

SQL Database-

felügyelt SQL-példány

Azure Synapse
Elemzési

Elemzési platform
Rendszer (PDW)

 

SQL Server

Az SQL Server szintaxisa

ALTER LOGIN login_name
    {
    <status_option>
    | WITH <set_option> [ , ... ]
    | <cryptographic_credential_option>
    }
[;]

<status_option> ::=
        ENABLE | DISABLE

<set_option> ::=
    PASSWORD = 'password' | hashed_password HASHED
    [
      OLD_PASSWORD = 'oldpassword'
      | <password_option> [ <password_option> ]
    ]
    | DEFAULT_DATABASE = database
    | DEFAULT_LANGUAGE = language
    | NAME = login_name
    | CHECK_POLICY = { ON | OFF }
    | CHECK_EXPIRATION = { ON | OFF }
    | CREDENTIAL = credential_name
    | NO CREDENTIAL

<password_option> ::=
    MUST_CHANGE | UNLOCK

<cryptographic_credentials_option> ::=
    ADD CREDENTIAL credential_name
  | DROP CREDENTIAL credential_name

Érvek

login_name

A módosítandó SQL Server-bejelentkezés nevét adja meg. A tartományi bejelentkezéseket zárójelek közé kell tenni [<domain>\<user>]formátumban.

ENGEDÉLYEZÉS | LETILT

Engedélyezi vagy letiltja ezt a bejelentkezést. A bejelentkezés letiltása nem befolyásolja a már csatlakoztatott bejelentkezések viselkedését. (Meglévő kapcsolat megszakításához használja a KILL utasítást.) A letiltott bejelentkezések megtartják az engedélyeiket, és továbbra is megszemélyesíthetők.

PASSWORD = 'jelszó'

Csak az SQL Server-bejelentkezésekre vonatkozik. Megadja a módosítandó bejelentkezés jelszavát. A jelszavak megkülönböztetik a kis- és nagybetűket.

JELSZÓ = hashed_password

Csak a KIVONATOLT kulcsszóra vonatkozik. Megadja a létrehozott bejelentkezéshez tartozó jelszó kivonatolt értékét.

Fontos

Amikor egy bejelentkezés (vagy egy tartalmazott adatbázis-felhasználó) csatlakozik és hitelesítve van, a kapcsolat gyorsítótárazza a bejelentkezés identitásadatait. Windows-hitelesítéses bejelentkezés esetén ez a Windows-csoportok tagságára vonatkozó információkat is tartalmazza. A bejelentkezés identitása mindaddig hitelesítve marad, amíg a kapcsolat megmarad. Az identitás változásainak, például a jelszó alaphelyzetbe állításának vagy a Windows-csoporttagság módosításának kényszerítéséhez a bejelentkezésnek ki kell jelentkeznie a hitelesítésszolgáltatótól (Windows vagy SQL Server), és újra be kell jelentkeznie. A sysadmin rögzített kiszolgálói szerepkör vagy a ALTER ANY CONNECTION engedéllyel rendelkező bármely bejelentkezés a KILL paranccsal megszüntetheti a kapcsolatot, és újracsatlakozáshoz kényszerítheti a bejelentkezést. Az SQL Server Management Studio újra felhasználhatja a kapcsolatadatokat, ha több kapcsolatot nyit meg az Object Explorer és a Lekérdezésszerkesztő ablakai között. Zárja be az összes kapcsolatot az újracsatlakozás kényszerítéséhez.

KIVONAT

Csak az SQL Server-bejelentkezésekre vonatkozik. Azt adja meg, hogy a JELSZÓ argumentum kivonata után megadott jelszó már szerepel-e a kivonatban. Ha ez a beállítás nincs kiválasztva, a rendszer kivonatot ad a jelszóról, mielőtt az adatbázisban tárolva lett volna. Ez a beállítás csak két kiszolgáló közötti bejelentkezési szinkronizáláshoz használható. Ne használja a KIVONATOLT beállítást a jelszavak rutinszerű módosításához.

OLD_PASSWORD = "old_password"

Csak az SQL Server-bejelentkezésekre vonatkozik. Annak a bejelentkezésnek az aktuális jelszava, amelyhez új jelszót rendel. A jelszavak megkülönböztetik a kis- és nagybetűket.

MUST_CHANGE

Csak az SQL Server-bejelentkezésekre vonatkozik. Ha ez a lehetőség is szerepel, az SQL Server a módosított bejelentkezés első használatakor egy frissített jelszót kér.

DEFAULT_DATABASE = adatbázis-

A bejelentkezéshez hozzárendelendő alapértelmezett adatbázist adja meg.

DEFAULT_LANGUAGE = nyelvi

Megadja a bejelentkezéshez hozzárendelendő alapértelmezett nyelvet. Az SQL Database-bejelentkezések alapértelmezett nyelve az angol, és nem módosítható. A linuxos SQL Serveren futó sa bejelentkezés alapértelmezett nyelve az angol, de módosítható.

NÉV = login_name

Az átnevezett bejelentkezés új neve. Ha ez egy Windows-bejelentkezés, az új névnek megfelelő Windows-tag SID-jének meg kell egyeznie az SQL Serveren való bejelentkezéshez társított SID-vel. Az SQL Server-bejelentkezés új neve nem tartalmazhat fordított perjelet (\).

CHECK_EXPIRATION = { ON | KI }

Csak az SQL Server-bejelentkezésekre vonatkozik. Megadja, hogy a jelszó lejárati házirendje kényszerítve legyen-e ezen a bejelentkezésen. Az alapértelmezett érték ki van kapcsolva.

CHECK_POLICY = { ON | KI }

Csak az SQL Server-bejelentkezésekre vonatkozik. Megadja, hogy a bejelentkezéskor kikényszeríteni kell annak a számítógépnek a Windows jelszószabályzatait, amelyen az SQL Server fut. Az alapértelmezett érték be van kapcsolva.

HITELESÍTŐ ADATOK = credential_name

Az SQL Server-bejelentkezéshez leképezendő hitelesítő adatok neve. A hitelesítő adatoknak már létezniük kell a kiszolgálón. További információ: hitelesítő adatok. A hitelesítő adatok nem képezhetők le az sa-bejelentkezéshez.

HITELESÍTŐ ADATOK NÉLKÜL

Eltávolítja a bejelentkezés kiszolgálói hitelesítő adatokra való meglévő leképezését. További információ: hitelesítő adatok.

KINYIT

Csak az SQL Server-bejelentkezésekre vonatkozik. Azt határozza meg, hogy a zárolt bejelentkezést fel kell oldani.

HITELESÍTŐ ADATOK HOZZÁADÁSA

Hozzáad egy extensible Key Management (EKM) szolgáltatói hitelesítő adatot a bejelentkezéshez. További információ: Bővíthető kulcskezelés (EKM).

DROP CREDENTIAL

Eltávolít egy extensible Key Management (EKM) szolgáltatói hitelesítő adatot a bejelentkezésből. További információ: Bővíthető kulcskezelés (EKM).

Megjegyzések

Ha CHECK_POLICY BE értékre van állítva, a KIVONAT argumentum nem használható.

Ha CHECK_POLICY be van kapcsolva, a következő viselkedés következik be:

• A jelszóelőzmények inicializálása az aktuális jelszókivonat értékével történik.

Ha a CHECK_POLICY ki van kapcsolva, a következő viselkedés következik be:

• CHECK_EXPIRATION szintén KI értékre van állítva.
• A jelszóelőzmények törlődnek.
• A lockout_time értéke alaphelyzetbe áll.

Ha MUST_CHANGE van megadva, CHECK_EXPIRATION és CHECK_POLICY BE értékre kell állítani. Ellenkező esetben az utasítás meghiúsul.

Ha CHECK_POLICY KI értékre van állítva, CHECK_EXPIRATION nem állítható BE értékre. Az ALTER LOGIN utasítás, amely a lehetőségek ilyen kombinációjával rendelkezik, sikertelen.

Az ALTER LOGIN és a DISABLE argumentum nem használható a Windows-csoportokhoz való hozzáférés megtagadásához. ALTER LOGIN [<domain>\<group>] DISABLE például a következő hibaüzenetet adja vissza:

"Msg 15151, Level 16, State 1, Line 1
Cannot alter the login '*Domain\Group*', because it doesn't exist or you don't have permission.

Ez terv szerint történik.

Az SQL Server 2012 -től (11.x) kezdődően az SQL Server és az Azure SQL DB sha-512 kivonatot használt egy 32 bites véletlenszerű és egyedi sóval kombinálva. Ez a módszer statisztikailag kiszámíthatatlanná tette, hogy a támadók jelszavakat következtethessenek.

Az SQL Server 2025 (17.x) iterált kivonatoló algoritmust vezet be, RFC2898, más néven jelszóalapú kulcs származtatási függvényt (PBKDF). Ez az algoritmus továbbra is SHA-512-t használ, de többször is kivonatosítja a jelszót (100 000 iteráció), jelentősen lelassítva a találgatásos támadásokat. Ez a módosítás javítja a jelszóvédelmet a változó biztonsági fenyegetésekre válaszul, és segít az ügyfeleknek megfelelni az NIST SP 800-63b irányelveinek. Ez a biztonsági fejlesztés erősebb kivonatolási algoritmust használ, amely kis mértékben növelheti az SQL Authentication-bejelentkezések bejelentkezési idejét. A hatás általában alacsonyabb a kapcsolatkészletezéssel rendelkező környezetekben, de feltűnőbb lehet azokban a forgatókönyvekben, ahol nincs készletezés, vagy ahol szorosan figyelik a bejelentkezési késést.

Az SQL Database-ben a kapcsolat hitelesítéséhez és a kiszolgálószintű tűzfalszabályokhoz szükséges bejelentkezési adatok ideiglenesen gyorsítótárazva lesznek az egyes adatbázisokban. A gyorsítótár rendszeres időközönként frissül. A hitelesítési gyorsítótár frissítésének kényszerítéséhez és annak biztosításához, hogy az adatbázis a bejelentkezési tábla legújabb verziójával rendelkezik, hajtsa végre DBCC FLUSHAUTHCACHE.

Engedélyek

MINDEN BEJELENTKEZÉSI ENGEDÉLY MÓDOSÍTÁSA szükséges.

Ha a HITELESÍTŐADAT-beállítást használja, a HITELESÍTŐ ADATOK MÓDOSÍTÁSA engedélyre is szükség van.

Ha a módosított bejelentkezés tagja a sysadmin rögzített kiszolgálói szerepkörnek vagy a CONTROL SERVER engedély jogosultjának, akkor a következő módosítások végrehajtásakor a CONTROL SERVER engedélyre is szükség van:

• Állítsa alaphelyzetbe a jelszót a régi jelszó megadása nélkül.
• MUST_CHANGE, CHECK_POLICY vagy CHECK_EXPIRATION engedélyezése.
• A bejelentkezési név módosítása.
• A bejelentkezés engedélyezése vagy letiltása.
• A bejelentkezés leképezése egy másik hitelesítő adatra.

Az egyszerű felhasználók módosíthatják a saját bejelentkezéshez használt jelszót, alapértelmezett nyelvet és alapértelmezett adatbázist.

Példák

Egy. Letiltott bejelentkezés engedélyezése

Az alábbi példa lehetővé teszi a bejelentkezési Mary5.

ALTER LOGIN Mary5 ENABLE;

B. Bejelentkezés jelszavának módosítása

Az alábbi példa egy erős jelszóra módosítja a bejelentkezési Mary5 jelszavát.

ALTER LOGIN Mary5 WITH PASSWORD = '<enterStrongPasswordHere>';

C. Bejelentkezéskor a bejelentkezés jelszavának módosítása bejelentkezéskor

Ha megkísérli módosítani annak a bejelentkezésnek a jelszavát, amellyel jelenleg bejelentkezett, és nem rendelkezik a ALTER ANY LOGIN engedéllyel, meg kell adnia a OLD_PASSWORD lehetőséget.

ALTER LOGIN Mary5 WITH PASSWORD = '<enterStrongPasswordHere>' OLD_PASSWORD = '<oldWeakPasswordHere>';

D. Bejelentkezés nevének módosítása

Az alábbi példa a bejelentkezési Mary5 nevét John2- ra módosítja.

ALTER LOGIN Mary5 WITH NAME = John2;

E. Bejelentkezés leképezése hitelesítő adatokra

Az alábbi példa leképozza a bejelentkezési John2 a hitelesítő Custodian04.

ALTER LOGIN John2 WITH CREDENTIAL = Custodian04;

F. Bejelentkezés leképezése bővíthető kulcskezelési hitelesítő adatokhoz

Az alábbi példa leképozza a bejelentkezési Mary5 az EKM hitelesítő EKMProvider1.

ALTER LOGIN Mary5 ADD CREDENTIAL EKMProvider1;
GO

F. Bejelentkezés zárolásának feloldása

Sql Server-bejelentkezés feloldásához hajtsa végre a következő utasítást, és cserélje le a **** a kívánt fiókjelszóra.

ALTER LOGIN [Mary5] WITH PASSWORD = '****' UNLOCK;
GO

Ha jelszó módosítása nélkül szeretné feloldani a bejelentkezést, kapcsolja ki az ellenőrzési szabályzatot, majd kapcsolja be újra.

ALTER LOGIN [Mary5] WITH CHECK_POLICY = OFF;
ALTER LOGIN [Mary5] WITH CHECK_POLICY = ON;
GO

G. Bejelentkezés jelszavának módosítása a HASHED használatával

Az alábbi példa egy már kivonatolt értékre módosítja a TestUser bejelentkezési jelszavát.

ALTER LOGIN TestUser WITH PASSWORD = 0x01000CF35567C60BFB41EBDE4CF700A985A13D773D6B45B90900 HASHED;
GO

Kapcsolódó tartalom

• hitelesítő adatok
• BELÉPÉS LÉTREHOZÁSA
• BEJELENTKEZÉS ELTÁVOLÍTÁSA
• HITELESÍTŐ ADATOK LÉTREHOZÁSA
• ESEMÉNYADATOK
• Bővíthető kulcskezelés (EKM)