CREATE LOGIN (Transact-SQL)

Создает имя входа для баз данных SQL Server, База данных SQL Azure, Управляемый экземпляр SQL Azure, Azure Synapse Analytics или System Analytics. Выберите одну из следующих вкладок для синтаксиса, аргументов, примечаний, разрешений и примеров для конкретной версии.

CREATE LOGIN участвует в транзакциях. Если откат транзакции CREATE LOGIN выполняется в рамках транзакции, для создания имени для входа также выполняется откат. При выполнении в транзакции созданное имя входа не может использоваться до фиксации транзакции.

Примечание.

Идентификатор Microsoft Entra ранее был известен как Azure Active Directory (Azure AD).

Дополнительные сведения о соглашениях о синтаксисе см. в статье Соглашения о синтаксисе в Transact-SQL.

Выбор продукта

В следующей строке выберите название нужного продукта, и отобразится информация только об этом продукте.

* SQL Server *  

База данных SQL Azure

Azure SQL
Базы данных SQL

Azure Synapse
Аналитики

Analytics Platform
System (PDW)

 

SQL Server

Синтаксис

-- Syntax for SQL Server
CREATE LOGIN login_name { WITH <option_list1> | FROM <sources> }

<option_list1> ::=
    PASSWORD = { 'password' | hashed_password HASHED } [ MUST_CHANGE ]
    [ , <option_list2> [ ,... ] ]

<option_list2> ::=
    SID = sid
    | DEFAULT_DATABASE = database
    | DEFAULT_LANGUAGE = language
    | CHECK_EXPIRATION = { ON | OFF}
    | CHECK_POLICY = { ON | OFF}
    | CREDENTIAL = credential_name

<sources> ::=
    WINDOWS [ WITH <windows_options>[ ,... ] ]
    | EXTERNAL PROVIDER
    | CERTIFICATE certname
    | ASYMMETRIC KEY asym_key_name

<windows_options> ::=
    DEFAULT_DATABASE = database
    | DEFAULT_LANGUAGE = language

Аргументы

login_name

Указывает имя пользователя для создаваемого имени входа. Существует пять типов имен входа: имена входа SQL Server, имена входа Windows, имена входа Microsoft Entra, имена входа, сопоставленные с сертификатом, и асимметричные имена входа, сопоставленные с ключом.

При создании имен входа, сопоставленных с учетной записью домена Windows, необходимо использовать имя входа в формате [<domainName>\<login_name>]. Нельзя использовать имя участника-участника в формате login_name@DomainName. Пример E см. далее в этой статье. Имена входа проверки подлинности — это имя sysname и должны соответствовать правилам идентификаторов и не могут содержать обратную косую черту (). Имена входа Windows могут содержать символы «\». Имена входа на основе пользователей Active Directory ограничены именами менее 21 символов.

При использовании предложения FROM EXTERNAL PROVIDER имя входа должно соответствовать отображаемого имени существующего субъекта Microsoft Entra в том же клиенте, на котором включен экземпляр SQL. Пользователи, группы и приложения Microsoft Entra можно использовать для создания имен входа.

PASSWORD ='password'

Применяется только к именам входа SQL Server. Задает пароль для создаваемого имени входа. Выбирайте надежные пароли. Дополнительные сведения см. в статьях Надежные пароли и Политика паролей. Начиная с SQL Server 2012 (11.x), сохраненные сведения о пароле вычисляются с помощью SHA-512 "соленого" пароля.

В паролях учитывается регистр символов. Пароли всегда должны содержать не менее восьми символов и не могут превышать 128 символов. Пароли могут содержать символы a-z, A-Z, 0-9 и большинство небуквенно-цифровых символов. Пароли не могут содержать одинарные кавычки или login_name.

PASSWORD = hashed_password

Применимо только к ключевому слову HASHED. Указывает хэшированное значение пароля для создаваемого имени входа.

HASHED

Применяется только к именам входа SQL Server. Указывает, что пароль, введенный после аргумента PASSWORD, уже хэширован. Если этот параметр не выбран, строка, введенная как пароль, будет хэширована перед сохранением в базе данных. Данный параметр может быть применен только для миграции баз данных с одного сервера на другой. Не используйте параметр HASHED для создания новых имен входа. Параметр HASHED нельзя использовать с хэшами, созданными SQL 7 или более ранней версией.

MUST_CHANGE

Применяется только к именам входа SQL Server. Если этот параметр задан, то при первом использовании нового имени входа SQL Server запрашивает новый пароль.

CREDENTIAL =credential_name

Имя учетных данных для сопоставления с новым именем входа SQL Server. Учетные данные уже должны существовать на сервере. В настоящее время этот параметр только связывает учетные данные с именем входа. Учетные данные нельзя сопоставить с именем входа System Администратор istrator (sa).

SID = sid

Используется для повторного создания имени входа. Применяется только к именам входа проверки подлинности SQL Server, но не относится к именам входа проверки подлинности Windows. Указывает идентификатор SID нового имени входа проверки подлинности SQL Server. Если этот параметр не используется, SQL Server назначает идентификатор SID автоматически. Структура идентификатора SID зависит от версии SQL Server. Идентификатор SID имени входа SQL Server: 16-байтовое (binary(16)) литеральное значение, основанное на GUID. Например, SID = 0x14585E90117152449347750164BA00A7.

DEFAULT_DATABASE =база данных

База данных по умолчанию, связываемая с именем входа. Если этот параметр не включен, для базы данных по умолчанию задано значение master.

DEFAULT_LANGUAGE =language

Язык по умолчанию, назначаемый имени входа. Если этот параметр не включен, язык по умолчанию устанавливается на текущий язык по умолчанию сервера. При смене языка по умолчанию для сервера язык по умолчанию имени входа не меняется.

CHECK_EXPIRATION = { ON | OFF }

Применяется только к именам входа SQL Server. Указывает, должна ли политика истечения срока действия паролей принудительно применяться к этому имени входа. Значение по умолчанию — OFF.

CHECK_POLICY = { ON | OFF }

Применяется только к именам входа SQL Server. Указывает, что политики паролей Windows компьютера, на котором работает SQL Server, должны принудительно применяться к этому имени входа. Значение по умолчанию — ON.

Если политика Windows требует надежных паролей, то пароль должен обладать по крайней мере тремя из следующих четырех качеств:

• Наличие символов верхнего регистра (A-Z).
• Наличие строчных символов (a-z).
• Числа (0-9).
• Один из неэлементных символов, таких как пробел, _, @, @, ^, %, !, $, #или &.

ОКНА

Имя входа сопоставлено с именем входа Windows.

FROM EXTERNAL PROVIDER

Указывает, что имя входа сопоставляется с субъектом Microsoft Entra. Этот параметр доступен для SQL Server 2022 с поддержкой Arc и более поздних версий. Дополнительные сведения см. в разделе проверки подлинности Microsoft Entra для SQL Server

CERTIFICATE certname

Имя сертификата, связываемого с данным именем входа. Этот сертификат уже должен происходить в master базе данных.

ASYMMETRIC KEY asym_key_name

Имя асимметричного ключа, связываемого с данным именем входа. Этот ключ уже должен происходить в master базе данных.

Замечания

• В паролях учитывается регистр символов.
• Предварительное кэширование паролей поддерживается только при создании имен входа SQL Server.
• Если MUST_CHANGE задано, необходимо задать ONзначение CHECK_EXPIRATION и CHECK_POLICY. В противном случае выполнение инструкции приведет к ошибке.
• Сочетание CHECK_POLICY = OFF и CHECK_EXPIRATION = ON не поддерживается.
• Если для CHECK_POLICY задано OFFзначение , lockout_time сбрасывается и CHECK_EXPIRATION имеет OFFзначение .

Внимание

CHECK_EXPIRATION и CHECK_POLICY применяются только в Windows Server 2003 и более поздних версиях. Дополнительные сведения см. в разделе Политика паролей.

• Имена входа, созданные из сертификатов или асимметричных ключей, используются только для подписи кода. Их нельзя использовать для подключения к SQL Server. Вы можете создать имя входа из сертификата или асимметричного ключа только в том случае, если сертификат или асимметричный ключ уже существует master.
• Скрипт для передачи имен входа см. в разделе Способы передачи имен входа и паролей между экземплярами SQL Server 2005 и SQL Server 2008.
• При создании имени входа оно автоматически включается, и ему предоставляется разрешение CONNECT SQL уровня сервера.
• Для разрешения доступа режим проверки подлинности сервера должен соответствовать типу имени входа.
• Сведения о проектировании системы разрешений см. в статье Getting Started with Database Engine Permissions.

Разрешения

• Создавать имена входа могут только пользователи с разрешением ALTER ANY LOGIN на сервере или имеющие членство в предопределенной роли сервера securityadmin. Дополнительные сведения см. в разделах Роли уровня сервера и ALTER SERVER ROLE.
• Если используется параметр CREDENTIAL , также необходимо разрешение ALTER ANY CREDENTIAL на сервере.

Разрешения для SQL Server 2022 и более поздних версий

Требуется разрешение CREATE LOGIN на сервере или членство в предопределенных роли сервера ##MS_LoginManager## .

После создания имени входа

Созданное имя входа может подключаться к SQL Server, но имеет разрешения только для роли public. Попробуйте выполнить некоторые из приведенных ниже действий.

• Чтобы подключиться к базе данных, создайте пользователя базы данных для имени входа. Дополнительные сведения можно найти в статье CREATE USER (Transact-SQL).
• Создайте определяемую пользователем роль сервера с помощью CREATE SERVER ROLE. Используйте ALTER SERVER ROLE ... ADD MEMBER для добавления нового имени входа в определяемую пользователем роль сервера. Дополнительные сведения см. в статьях CREATE SERVER ROLE и ALTER SERVER ROLE.
• Используйте sp_addsrvrolemember для добавления имени входа в фиксированную роль сервера. Дополнительные сведения см. в разделе Роли уровня сервера и sp_addsrvrolemember.
• Воспользуйтесь инструкцией GRANT, чтобы предоставить разрешения уровня сервера новому имени входа или роли, содержащей это имя входа. Дополнительные сведения см. в статье GRANT.

Примеры

А. Создание имени входа с паролем

В следующем примере создается имя входа для конкретного пользователя и назначается пароль.

CREATE LOGIN <login_name> WITH PASSWORD = '<enterStrongPasswordHere>';
GO

B. Создание имени входа с паролем, который необходимо изменить

В следующем примере создается имя входа для конкретного пользователя и назначается пароль. Параметр MUST_CHANGE требует, чтобы пользователь изменил этот пароль при первом подключении к серверу.

Область применения: SQL Server 2008 (10.0.x) и более поздних версий.

CREATE LOGIN <login_name> WITH PASSWORD = '<enterStrongPasswordHere>'
    MUST_CHANGE, CHECK_EXPIRATION = ON;
GO

Примечание.

Невозможно использовать параметр MUST_CHANGE, если параметр CHECK_EXPIRATION имеет значение OFF.

C. Создание имени входа, сопоставленного с учетными данными

В следующем примере создается имя входа для конкретного пользователя с использованием идентификатора пользователя. Это имя входа сопоставляется с учетными данными.

Область применения: SQL Server 2008 (10.0.x) и более поздних версий.

CREATE LOGIN <login_name> WITH PASSWORD = '<enterStrongPasswordHere>',
    CREDENTIAL = <credentialName>;
GO

D. Создание имени входа из сертификата

В следующем примере создается имя входа для конкретного пользователя из сертификата master.

Область применения: SQL Server 2008 (10.0.x) и более поздних версий.

USE MASTER;
CREATE CERTIFICATE <certificateName>
    WITH SUBJECT = '<login_name> certificate in master database',
    EXPIRY_DATE = '12/05/2025';
GO
CREATE LOGIN <login_name> FROM CERTIFICATE <certificateName>;
GO

Е. Создание имени входа из учетной записи домена Windows

В следующем примере имя входа создается на основе учетной записи домена Windows.

Область применения: SQL Server 2008 (10.0.x) и более поздних версий.

CREATE LOGIN [<domainName>\<login_name>] FROM WINDOWS;
GO

F. Создание имени входа из идентификатора безопасности

В следующем примере создается имя входа с проверкой подлинности SQL Server и определяется его SID.

CREATE LOGIN TestLogin WITH PASSWORD = 'SuperSecret52&&';
SELECT name, sid FROM sys.sql_logins WHERE name = 'TestLogin';
GO

Наш запрос возвращает идентификатор SID 0x241C11948AEEB749B0D22646DB1A19F2. Ваш запрос вернет другое значение. Следующие выражения удаляют имя входа, а затем повторно создают имя входа. Используйте SID из предыдущего запроса.

DROP LOGIN TestLogin;
GO

CREATE LOGIN TestLogin
WITH PASSWORD = 'SuperSecret52&&', SID = 0x241C11948AEEB749B0D22646DB1A19F2;

SELECT * FROM sys.sql_logins WHERE name = 'TestLogin';
GO

G. Создание имени входа с несколькими аргументами

В следующем примере показано, как объединить несколько аргументов с помощью запятых между аргументами.

CREATE LOGIN [MyUser]
WITH PASSWORD = 'MyPassword',
DEFAULT_DATABASE = MyDatabase,
CHECK_POLICY = OFF,
CHECK_EXPIRATION = OFF ;

H. Создание имени входа SQL с хэшированных паролем

В следующем примере показано, как создать имена для входа SQL с тем же паролем, что и у существующих имен входа, созданных в сценарии миграции. Первым шагом является получение хэша пароля из существующих имен для входа на сервере базы данных-источника. Затем для создания имени для входа на новом сервере базы данных будет использоваться тот же хэш. При этом новое имя для входа будет иметь тот же пароль, что и на старом сервере.

-- run this to retrieve the password hash for an individual Login:
SELECT LOGINPROPERTY('Andreas','PASSWORDHASH') AS password_hash;
-- as an alternative, the catalog view sys.sql_logins can be used to retrieve the password hashes for multiple accounts at once. (This could be used to create a dynamic sql statemnt from the result set)
SELECT name, password_hash
FROM sys.sql_logins
  WHERE
    principal_id > 1    -- excluding sa
    AND
    name NOT LIKE '##MS_%##' -- excluding special MS system accounts
-- create the new SQL Login on the new database server using the hash of the source server
CREATE LOGIN Andreas
  WITH PASSWORD = 0x02000A1A89CD6C6E4C8B30A282354C8EA0860719D5D3AD05E0CAE1952A1C6107A4ED26BEBA2A13B12FAB5093B3CC2A1055910CC0F4B9686A358604E99BB9933C75B4EA48FDEA HASHED;

I. Создание имени входа для пользователя Microsoft Entra

В следующем примере создается имя входа для учетной записи joe@contoso.onmicrosoft.com Microsoft Entra, которая существует в клиенте Microsoft Entra с именем contoso.

CREATE LOGIN [joe@contoso.onmicrosoft.com] FROM EXTERNAL PROVIDER

GO

J. Создание имени входа для федеративной учетной записи Microsoft Entra

В следующем примере создается имя входа для федеративной учетной записи bob@contoso.com Microsoft Entra, которая существует в клиенте с именем contoso. Пользователь Боб также может быть гостем.

CREATE LOGIN [bob@contoso.com] FROM EXTERNAL PROVIDER
GO

K. Создание имени входа для группы Microsoft Entra

В следующем примере создается имя входа для группы Microsoft Entra group mygroup , которая существует в клиенте contoso.

CREATE LOGIN [mygroup] FROM EXTERNAL PROVIDER
GO

L. Создание имени входа для приложения Microsoft Entra

В следующем примере создается имя входа для приложения Microsoft Entra myapp , существующего в клиенте contoso.

CREATE LOGIN [myapp] FROM EXTERNAL PROVIDER

Связанный контент

• Приступая к работе с разрешениями Database Engine
• Субъекты
• Политика паролей
• ALTER LOGIN
• DROP LOGIN
• EVENTDATA
• Создание имени входа