Permissões (Mecanismo de Banco de Dados)

Todo protegível SQL Server tem permissões associadas que podem ser concedidas a uma entidade. Este tópico fornece as seguintes informações:

• Convenções de nomenclatura de permissões

• Permissões relacionadas a protegíveis específicos

• Permissões do SQL Server

• Algoritmo de verificação de permissão

• Exemplos

Convenções de nomenclatura de permissões

A seguir, encontram-se as convenções gerais a serem adotadas ao se nomear permissões:

• CONTROL

  Confere capacidades de propriedade ao usuário autorizado. O usuário autorizado efetivamente tem todas as permissões definidas no protegível. Uma entidade à qual foi concedido CONTROL também pode conceder permissões no protegível. Como o modelo de segurança do SQL Server é hierárquico, CONTROL em um escopo específico inclui implicitamente CONTROL sobre todos os protegíveis naquele escopo. Por exemplo, CONTROL em um banco de dados implica todas as permissões do banco de dados, todas as permissões em todos os assemblies no banco de dados, todas as permissões em todos os esquemas no banco de dados e todas as permissões em objetos de todos os esquemas no banco de dados.

• ALTER

  Confere a capacidade de alterar as propriedades, menos a propriedade de um protegível específico. Quando concedido em um escopo, ALTER também concede a capacidade de alterar, criar ou descartar qualquer protegível contido naquele escopo. Por exemplo, a permissão ALTER em um esquema inclui a capacidade de criar, alterar e descartar objetos do esquema.

• ALTER ANY <Protegível de Servidor>, onde Protegível de Servidor pode ser qualquer protegível de servidor.

  Confere a capacidade de criar, alterar ou descartar instâncias individuais do Protegível de Servidor. Por exemplo, ALTER ANY LOGIN confere a capacidade de criar, alterar ou descartar qualquer logon na instância.

• ALTER ANY <Protegível de Banco de Dados>, onde Protegível de Banco de Dados pode ser qualquer protegível no nível do banco de dados.

  Confere a capacidade de criar, alterar ou descartar instâncias individuais do Protegível de Banco de Dados. Por exemplo, ALTER ANY SCHEMA confere a capacidade de criar, alterar ou descartar qualquer esquema no banco de dados.

• TAKE OWNERSHIP

  Habilita o usuário autorizado a assumir propriedade do protegível no qual é concedido.

• IMPERSONATE <Logon>

  Permite que o usuário autorizado represente o logon.

• IMPERSONATE <Usuário>

  Permite que o usuário autorizado represente o usuário.

• CREATE <Protegível de Servidor>

  Confere ao usuário autorizado a habilidade para criar o Protegível de Servidor.

• CREATE <Protegível de Banco de Dados>

  Confere ao usuário autorizado a capacidade para criar o Protegível de Banco de Dados.

• CREATE <Protegível contido em esquema>

  Confere a capacidade para criar o protegível contido em esquema. Porém, a permissão ALTER no esquema é necessária para criar o protegível em um esquema específico.

• VIEW DEFINITION

  Permite que o usuário autorizado acesse os metadados.

• REFERENCES

  A permissão REFERENCES em uma tabela é necessária para criar uma restrição FOREIGN KEY que faça referência àquela tabela.

  A permissão REFERENCES é necessária em um objeto para criar uma FUNCTION ou VIEW com a cláusula WITH SCHEMABINDING que faz referência àquele objeto.

Permissões aplicáveis a protegíveis específicos

A tabela a seguir lista classes principais de permissões e os tipos de protegíveis aos quais elas podem ser aplicadas.

Permissão	Aplica-se a
SELECT	Sinônimos Tabelas e colunas Funções com valor de tabela Transact-SQL, CLR (common language runtime) e colunas Exibições e colunas
VIEW CHANGE TRACKING	Tabelas Esquemas
UPDATE	Sinônimos Tabelas e colunas Exibições e colunas
REFERENCES	Funções escalares e de agregação (Transact-SQL e CLR) Filas do Service Broker Tabelas e colunas Funções com valor de tabela (Transact-SQL e CLR) e colunas Exibições e colunas
INSERT	Sinônimos Tabelas e colunas Exibições e colunas
DELETE	Sinônimos Tabelas e colunas Exibições e colunas
EXECUTE	Procedimentos (Transact-SQL e CLR) Funções escalares e de agregação (Transact-SQL e CLR) Sinônimos Tipos CLR
RECEIVE	Filas do Service Broker
VIEW DEFINITION	Procedimentos (Transact-SQL e CLR) Filas do Service Broker Funções escalares e de agregação (Transact-SQL e CLR) Sinônimos Tabelas Funções com valor de tabela (Transact-SQL e CLR) Exibições
ALTER	Procedimentos (Transact-SQL e CLR) Funções escalares e de agregação (Transact-SQL e CLR) Filas do Service Broker Tabelas Funções com valor de tabela (Transact-SQL e CLR) Exibições
TAKE OWNERSHIP	Procedimentos (Transact-SQL e CLR) Funções escalares e de agregação (Transact-SQL e CLR) Sinônimos Tabelas Funções com valor de tabela (Transact-SQL e CLR) Exibições
CONTROL	Procedimentos (Transact-SQL e CLR) Funções escalares e de agregação (Transact-SQL e CLR) Filas do Service Broker Sinônimos Tabelas Funções com valor de tabela (Transact-SQL e CLR) Exibições

Permissões do SQL Server

A tabela a seguir fornece uma lista completa de permissões do SQL Server.

Protegível base	Permissões granulares no protegível base	Código de tipo de permissão	Protegível que contém o protegível base	Permissão no protegível de contêiner que implica permissão granular no protegível base
APPLICATION ROLE	ALTER	AL	DATABASE	ALTER ANY APPLICATION ROLE
APPLICATION ROLE	CONTROL	CL	DATABASE	CONTROL
APPLICATION ROLE	VIEW DEFINITION	VW	DATABASE	VIEW DEFINITION
ASSEMBLY	ALTER	AL	DATABASE	ALTER ANY ASSEMBLY
ASSEMBLY	CONTROL	CL	DATABASE	CONTROL
ASSEMBLY	REFERENCES	RF	DATABASE	REFERENCES
ASSEMBLY	TAKE OWNERSHIP	TO	DATABASE	CONTROL
ASSEMBLY	VIEW DEFINITION	VW	DATABASE	VIEW DEFINITION
ASYMMETRIC KEY	ALTER	AL	DATABASE	ALTER ANY ASYMMETRIC KEY
ASYMMETRIC KEY	CONTROL	CL	DATABASE	CONTROL
ASYMMETRIC KEY	REFERENCES	RF	DATABASE	REFERENCES
ASYMMETRIC KEY	TAKE OWNERSHIP	TO	DATABASE	CONTROL
ASYMMETRIC KEY	VIEW DEFINITION	VW	DATABASE	VIEW DEFINITION
CERTIFICATE	ALTER	AL	DATABASE	ALTER ANY CERTIFICATE
CERTIFICATE	CONTROL	CL	DATABASE	CONTROL
CERTIFICATE	REFERENCES	RF	DATABASE	REFERENCES
CERTIFICATE	TAKE OWNERSHIP	TO	DATABASE	CONTROL
CERTIFICATE	VIEW DEFINITION	VW	DATABASE	VIEW DEFINITION
CONTRACT	ALTER	AL	DATABASE	ALTER ANY CONTRACT
CONTRACT	CONTROL	CL	DATABASE	CONTROL
CONTRACT	REFERENCES	RF	DATABASE	REFERENCES
CONTRACT	TAKE OWNERSHIP	TO	DATABASE	CONTROL
CONTRACT	VIEW DEFINITION	VW	DATABASE	VIEW DEFINITION
DATABASE	ALTER	AL	SERVER	ALTER ANY DATABASE
DATABASE	ALTER ANY APPLICATION ROLE	ALAR	SERVER	CONTROL SERVER
DATABASE	ALTER ANY ASSEMBLY	ALAS	SERVER	CONTROL SERVER
DATABASE	ALTER ANY ASYMMETRIC KEY	ALAK	SERVER	CONTROL SERVER
DATABASE	ALTER ANY CERTIFICATE	ALCF	SERVER	CONTROL SERVER
DATABASE	ALTER ANY CONTRACT	ALSC	SERVER	CONTROL SERVER
DATABASE	ALTER ANY DATABASE AUDIT	ALDA	SERVER	ALTER ANY SERVER AUDIT
DATABASE	ALTER ANY DATABASE DDL TRIGGER	ALTG	SERVER	CONTROL SERVER
DATABASE	ALTER ANY DATABASE EVENT NOTIFICATION	ALED	SERVER	ALTER ANY EVENT NOTIFICATION
DATABASE	ALTER ANY DATASPACE	ALDS	SERVER	CONTROL SERVER
DATABASE	ALTER ANY FULLTEXT CATALOG	ALFT	SERVER	CONTROL SERVER
DATABASE	ALTER ANY MESSAGE TYPE	ALMT	SERVER	CONTROL SERVER
DATABASE	ALTER ANY REMOTE SERVICE BINDING	ALSB	SERVER	CONTROL SERVER
DATABASE	ALTER ANY ROLE	ALRL	SERVER	CONTROL SERVER
DATABASE	ALTER ANY ROUTE	ALRT	SERVER	CONTROL SERVER
DATABASE	ALTER ANY SCHEMA	ALSM	SERVER	CONTROL SERVER
DATABASE	ALTER ANY SERVICE	ALSV	SERVER	CONTROL SERVER
DATABASE	ALTER ANY SYMMETRIC KEY	ALSK	SERVER	CONTROL SERVER
DATABASE	ALTER ANY USER	ALUS	SERVER	CONTROL SERVER
DATABASE	AUTHENTICATE	AUTH	SERVER	AUTHENTICATE SERVER
DATABASE	BACKUP DATABASE	BADB	SERVER	CONTROL SERVER
DATABASE	BACKUP LOG	BALO	SERVER	CONTROL SERVER
DATABASE	CHECKPOINT	CP	SERVER	CONTROL SERVER
DATABASE	CONNECT	CO	SERVER	CONTROL SERVER
DATABASE	CONNECT REPLICATION	CORP	SERVER	CONTROL SERVER
DATABASE	CONTROL	CL	SERVER	CONTROL SERVER
DATABASE	CREATE AGGREGATE	CRAG	SERVER	CONTROL SERVER
DATABASE	CREATE ASSEMBLY	CRAS	SERVER	CONTROL SERVER
DATABASE	CREATE ASYMMETRIC KEY	CRAK	SERVER	CONTROL SERVER
DATABASE	CREATE CERTIFICATE	CRCF	SERVER	CONTROL SERVER
DATABASE	CREATE CONTRACT	CRSC	SERVER	CONTROL SERVER
DATABASE	CREATE DATABASE	CRDB	SERVER	CREATE ANY DATABASE
DATABASE	CREATE DATABASE DDL EVENT NOTIFICATION	CRED	SERVER	CREATE DDL EVENT NOTIFICATION
DATABASE	CREATE DEFAULT	CRDF	SERVER	CONTROL SERVER
DATABASE	CREATE FULLTEXT CATALOG	CRFT	SERVER	CONTROL SERVER
DATABASE	CREATE FUNCTION	CRFN	SERVER	CONTROL SERVER
DATABASE	CREATE MESSAGE TYPE	CRMT	SERVER	CONTROL SERVER
DATABASE	CREATE PROCEDURE	CRPR	SERVER	CONTROL SERVER
DATABASE	CREATE QUEUE	CRQU	SERVER	CONTROL SERVER
DATABASE	CREATE REMOTE SERVICE BINDING	CRSB	SERVER	CONTROL SERVER
DATABASE	CREATE ROLE	CRRL	SERVER	CONTROL SERVER
DATABASE	CREATE ROUTE	CRRT	SERVER	CONTROL SERVER
DATABASE	CREATE RULE	CRRU	SERVER	CONTROL SERVER
DATABASE	CREATE SCHEMA	CRSM	SERVER	CONTROL SERVER
DATABASE	CREATE SERVICE	CRSV	SERVER	CONTROL SERVER
DATABASE	CREATE SYMMETRIC KEY	CRSK	SERVER	CONTROL SERVER
DATABASE	CREATE SYNONYM	CRSN	SERVER	CONTROL SERVER
DATABASE	CREATE TABLE	CRTB	SERVER	CONTROL SERVER
DATABASE	CREATE TYPE	CRTY	SERVER	CONTROL SERVER
DATABASE	CREATE VIEW	CRVW	SERVER	CONTROL SERVER
DATABASE	CREATE XML SCHEMA COLLECTION	CRXS	SERVER	CONTROL SERVER
DATABASE	DELETE	DL	SERVER	CONTROL SERVER
DATABASE	EXECUTE	EX	SERVER	CONTROL SERVER
DATABASE	INSERT	IN	SERVER	CONTROL SERVER
DATABASE	REFERENCES	RF	SERVER	CONTROL SERVER
DATABASE	SELECT	SL	SERVER	CONTROL SERVER
DATABASE	SHOWPLAN	SPLN	SERVER	ALTER TRACE
DATABASE	SUBSCRIBE QUERY NOTIFICATIONS	SUQN	SERVER	CONTROL SERVER
DATABASE	TAKE OWNERSHIP	TO	SERVER	CONTROL SERVER
DATABASE	UPDATE	UP	SERVER	CONTROL SERVER
DATABASE	VIEW DATABASE STATE	VWDS	SERVER	VIEW SERVER STATE
DATABASE	VIEW DEFINITION	VW	SERVER	VIEW ANY DEFINITION
ENDPOINT	ALTER	AL	SERVER	ALTER ANY ENDPOINT
ENDPOINT	CONNECT	CO	SERVER	CONTROL SERVER
ENDPOINT	CONTROL	CL	SERVER	CONTROL SERVER
ENDPOINT	TAKE OWNERSHIP	TO	SERVER	CONTROL SERVER
ENDPOINT	VIEW DEFINITION	VW	SERVER	VIEW ANY DEFINITION
FULLTEXT CATALOG	ALTER	AL	DATABASE	ALTER ANY FULLTEXT CATALOG
FULLTEXT CATALOG	CONTROL	CL	DATABASE	CONTROL
FULLTEXT CATALOG	REFERENCES	RF	DATABASE	REFERENCES
FULLTEXT CATALOG	TAKE OWNERSHIP	TO	DATABASE	CONTROL
FULLTEXT CATALOG	VIEW DEFINITION	VW	DATABASE	VIEW DEFINITION
FULLTEXT STOPLIST	ALTER	AL	DATABASE	ALTER ANY FULLTEXT CATALOG
FULLTEXT STOPLIST	CONTROL	CL	DATABASE	CONTROL
FULLTEXT STOPLIST	REFERENCES	RF	DATABASE	REFERENCES
FULLTEXT STOPLIST	TAKE OWNERSHIP	TO	DATABASE	CONTROL
FULLTEXT STOPLIST	VIEW DEFINITION	VW	DATABASE	VIEW DEFINITION
LOGIN	ALTER	AL	SERVER	ALTER ANY LOGIN
LOGIN	CONTROL	CL	SERVER	CONTROL SERVER
LOGIN	IMPERSONATE	IM	SERVER	CONTROL SERVER
LOGIN	VIEW DEFINITION	VW	SERVER	VIEW ANY DEFINITION
MESSAGE TYPE	ALTER	AL	DATABASE	ALTER ANY MESSAGE TYPE
MESSAGE TYPE	CONTROL	CL	DATABASE	CONTROL
MESSAGE TYPE	REFERENCES	RF	DATABASE	REFERENCES
MESSAGE TYPE	TAKE OWNERSHIP	TO	DATABASE	CONTROL
MESSAGE TYPE	VIEW DEFINITION	VW	DATABASE	VIEW DEFINITION
OBJECT	ALTER	AL	SCHEMA	ALTER
OBJECT	CONTROL	CL	SCHEMA	CONTROL
OBJECT	DELETE	DL	SCHEMA	DELETE
OBJECT	EXECUTE	EX	SCHEMA	EXECUTE
OBJECT	INSERT	IN	SCHEMA	INSERT
OBJECT	RECEIVE	RC	SCHEMA	CONTROL
OBJECT	REFERENCES	RF	SCHEMA	REFERENCES
OBJECT	SELECT	SL	SCHEMA	SELECT
OBJECT	TAKE OWNERSHIP	TO	SCHEMA	CONTROL
OBJECT	UPDATE	UP	SCHEMA	UPDATE
OBJECT	VIEW CHANGE TRACKING	VWCT	SCHEMA	VIEW CHANGE TRACKING
OBJECT	VIEW DEFINITION	VW	SCHEMA	VIEW DEFINITION
REMOTE SERVICE BINDING	ALTER	AL	DATABASE	ALTER ANY REMOTE SERVICE BINDING
REMOTE SERVICE BINDING	CONTROL	CL	DATABASE	CONTROL
REMOTE SERVICE BINDING	TAKE OWNERSHIP	TO	DATABASE	CONTROL
REMOTE SERVICE BINDING	VIEW DEFINITION	VW	DATABASE	VIEW DEFINITION
ROLE	ALTER	AL	DATABASE	ALTER ANY ROLE
ROLE	CONTROL	CL	DATABASE	CONTROL
ROLE	TAKE OWNERSHIP	TO	DATABASE	CONTROL
ROLE	VIEW DEFINITION	VW	DATABASE	VIEW DEFINITION
ROUTE	ALTER	AL	DATABASE	ALTER ANY ROUTE
ROUTE	CONTROL	CL	DATABASE	CONTROL
ROUTE	TAKE OWNERSHIP	TO	DATABASE	CONTROL
ROUTE	VIEW DEFINITION	VW	DATABASE	VIEW DEFINITION
SCHEMA	ALTER	AL	DATABASE	ALTER ANY SCHEMA
SCHEMA	CONTROL	CL	DATABASE	CONTROL
SCHEMA	DELETE	DL	DATABASE	DELETE
SCHEMA	EXECUTE	EX	DATABASE	EXECUTE
SCHEMA	INSERT	IN	DATABASE	INSERT
SCHEMA	REFERENCES	RF	DATABASE	REFERENCES
SCHEMA	SELECT	SL	DATABASE	SELECT
SCHEMA	TAKE OWNERSHIP	TO	DATABASE	CONTROL
SCHEMA	UPDATE	UP	DATABASE	UPDATE
SCHEMA	VIEW CHANGE TRACKING	VWCT	DATABASE	VIEW CHANGE TRACKING
SCHEMA	VIEW DEFINITION	VW	DATABASE	VIEW DEFINITION
SERVER	ADMINISTER BULK OPERATIONS	ADBO	Não aplicável	Não aplicável
SERVER	ALTER ANY CONNECTION	ALCO	Não aplicável	Não aplicável
SERVER	ALTER ANY CREDENTIAL	ALCD	Não aplicável	Não aplicável
SERVER	ALTER ANY DATABASE	ALDB	Não aplicável	Não aplicável
SERVER	ALTER ANY ENDPOINT	ALHE	Não aplicável	Não aplicável
SERVER	ALTER ANY EVENT NOTIFICATION	ALES	Não aplicável	Não aplicável
SERVER	ALTER ANY LINKED SERVER	ALLS	Não aplicável	Não aplicável
SERVER	ALTER ANY LOGIN	ALLG	Não aplicável	Não aplicável
SERVER	ALTER ANY SERVER AUDIT	ALAA	Não aplicável	Não aplicável
SERVER	ALTER RESOURCES	ALRS	Não aplicável	Não aplicável
SERVER	ALTER SERVER STATE	ALSS	Não aplicável	Não aplicável
SERVER	ALTER SETTINGS	ALST	Não aplicável	Não aplicável
SERVER	ALTER TRACE	ALTR	Não aplicável	Não aplicável
SERVER	AUTHENTICATE SERVER	AUTH	Não aplicável	Não aplicável
SERVER	CONNECT SQL	COSQ	Não aplicável	Não aplicável
SERVER	CONTROL SERVER	CL	Não aplicável	Não aplicável
SERVER	CREATE ANY DATABASE	CRDB	Não aplicável	Não aplicável
SERVER	CREATE DDL EVENT NOTIFICATION	CRDE	Não aplicável	Não aplicável
SERVER	CREATE ENDPOINT	CRHE	Não aplicável	Não aplicável
SERVER	CREATE TRACE EVENT NOTIFICATION	CRTE	Não aplicável	Não aplicável
SERVER	EXTERNAL ACCESS ASSEMBLY	XA	Não aplicável	Não aplicável
SERVER	SHUTDOWN	SHDN	Não aplicável	Não aplicável
SERVER	UNSAFE ASSEMBLY	XU	Não aplicável	Não aplicável
SERVER	VIEW ANY DATABASE	VWDB	Não aplicável	Não aplicável
SERVER	VIEW ANY DEFINITION	VWAD	Não aplicável	Não aplicável
SERVER	VIEW SERVER STATE	VWSS	Não aplicável	Não aplicável
SERVICE	ALTER	AL	DATABASE	ALTER ANY SERVICE
SERVICE	CONTROL	CL	DATABASE	CONTROL
SERVICE	SEND	SN	DATABASE	CONTROL
SERVICE	TAKE OWNERSHIP	TO	DATABASE	CONTROL
SERVICE	VIEW DEFINITION	VW	DATABASE	VIEW DEFINITION
SYMMETRIC KEY	ALTER	AL	DATABASE	ALTER ANY SYMMETRIC KEY
SYMMETRIC KEY	CONTROL	CL	DATABASE	CONTROL
SYMMETRIC KEY	REFERENCES	RF	DATABASE	REFERENCES
SYMMETRIC KEY	TAKE OWNERSHIP	TO	DATABASE	CONTROL
SYMMETRIC KEY	VIEW DEFINITION	VW	DATABASE	VIEW DEFINITION
TYPE	CONTROL	CL	SCHEMA	CONTROL
TYPE	EXECUTE	EX	SCHEMA	EXECUTE
TYPE	REFERENCES	RF	SCHEMA	REFERENCES
TYPE	TAKE OWNERSHIP	TO	SCHEMA	CONTROL
TYPE	VIEW DEFINITION	VW	SCHEMA	VIEW DEFINITION
USER	ALTER	AL	DATABASE	ALTER ANY USER
USER	CONTROL	CL	DATABASE	CONTROL
USER	IMPERSONATE	IM	DATABASE	CONTROL
USER	VIEW DEFINITION	VW	DATABASE	VIEW DEFINITION
XML SCHEMA COLLECTION	ALTER	AL	SCHEMA	ALTER
XML SCHEMA COLLECTION	CONTROL	CL	SCHEMA	CONTROL
XML SCHEMA COLLECTION	EXECUTE	EX	SCHEMA	EXECUTE
XML SCHEMA COLLECTION	REFERENCES	RF	SCHEMA	REFERENCES
XML SCHEMA COLLECTION	TAKE OWNERSHIP	TO	SCHEMA	CONTROL
XML SCHEMA COLLECTION	VIEW DEFINITION	VW	SCHEMA	VIEW DEFINITION

Resumo do algoritmo de verificação de permissão

A verificação de permissões pode ser uma tarefa complexa. O algoritmo de verificação de permissão inclui a sobreposição de associações de grupo e o encadeamento de propriedades, as permissões explícita e implícita, e pode ser afetado pelas permissões em classes de protegíveis que contêm a entidade protegível. O processo geral do algoritmo é coletar todas as permissões pertinentes. Se nenhum bloqueio DENY for localizado, o algoritmo irá procurar uma permissão GRANT que fornece acesso suficiente. O algoritmo contém três elementos essenciais, o contexto de segurança, o espaço de permissão e a permissão necessária.

• Contexto de segurança

  Este é o grupo de entidades que fornece permissões à verificação de acesso. Essas são as permissões relacionadas com o logon ou usuário atual, a menos que o contexto de segurança tenha sido alterado para outro logon ou usuário por meio da instrução EXECUTE AS. O contexto de segurança inclui as seguintes entidades:

  • O logon

  • O usuário

  • Associações de função

  • Associações de grupo do Windows

  • Se a assinatura de módulo estiver sendo usada, qualquer logon ou conta de usuário do certificado usado para assinar o módulo que está em execução no momento e as associações de função atribuídas àquela entidade.

• Espaço de permissão

  É a entidade protegível e qualquer classe protegível que contém o protegível. Por exemplo, uma tabela (uma entidade protegível) é contida pela classe protegível de esquema e pela classe protegível de banco de dados. O acesso pode ser afetado por permissões em nível de tabela, esquema, banco de dados e servidor. Para obter mais informações, consulte Hierarquia de permissões (Mecanismo de Banco de Dados).

• Permissão necessária

  O tipo de permissão exigido. Por exemplo, INSERT, UPDATE, DELETE, SELECT, EXECUTE, ALTER, CONTROL, e assim por diante.

  O acesso pode exigir várias permissões, como as dos exemplos a seguir.

  • Um procedimento armazenado pode exigir a permissão EXECUTE no procedimento armazenado e a permissão INSERT em várias tabelas que são referenciadas pelo procedimento armazenado.

  • Uma exibição de gerenciamento dinâmico pode exibir as permissões VIEW SERVER STATE e SELECT na exibição.

Etapas Gerais do Algoritmo

Quando o algoritmo estiver determinando a permissão do acesso a um protegível, as etapas que ele utiliza podem variar, dependendo das entidades e dos protegíveis que estão envolvidos. Porém, o algoritmo executa as seguintes etapas gerais:

1. Ignorar a verificação de permissão se o logon for um membro da função de servidor fixa sysadmin ou se o usuário for o usuário ddbo no banco de dados atual.

2. Permitir o acesso se o encadeamento de propriedades for aplicável e se a verificação de acesso no objeto anterior da cadeia tiver passado pela verificação de segurança. Para obter mais informações sobre encadeamento de propriedades, consulte Cadeias de propriedade.

3. Agregar as identidades em nível de servidor e de banco de dados e as identidades do módulo assinado associadas ao chamador para criar o contexto de segurança.

4. Para esse contexto de segurança, reúna todas as permissões concedidas ou negadas ao espaço de permissão. A permissão pode ser declarada explicitamente como GRANT, GRANT WITH GRANT ou DENY; ou as permissões podem ser implícitas ou de cobertura GRANT ou DENY. Por exemplo, a permissão CONTROL em um esquema implica CONTROL em uma tabela. E CONTROL em uma tabela implica SELECT. Portanto, se CONTROL foi concedida no esquema, SELECT será concedida na tabela. Se CONTROL foi negada na tabela, SELECT será negada na tabela. Para obter mais informações, consulte Permissões implícitas/de cobertura (Mecanismo de Banco de Dados).

   Observação
   Uma permissão GRANT no nível de coluna substitui DENY no nível de objeto.

5. Identificar a permissão necessária.

6. Não executar a verificação de permissão se a permissão necessária for direta ou implicitamente negada a quaisquer das identidades contidas no contexto de segurança para os objetos do espaço de permissão.

7. Executar a verificação de permissão se a permissão necessária não tiver sido negada e a permissão necessária contiver uma permissão GRANT ou GRANT WITH GRANT direta ou implicitamente para quaisquer das identidades contidas no contexto de segurança para qualquer objeto do espaço de permissão.

Exemplos

Os exemplos a seguir mostram como recuperar informações sobre permissões.

A. Retornando a lista completa de permissões que podem ser concedidas

A seguinte instrução retorna toda a permissão Mecanismo de Banco de Dados usando a função fn_builtin_permissions. Para obter mais informações, consultesys.fn_builtin_permissions (Transact-SQL).

SELECT * FROM fn_builtin_permissions(default);
GO

B. Retornando permissões em uma classe específica de objetos

Você também pode usar a função fn_builtin_permissions para visualizar todas as permissões disponíveis para uma categoria de protegíveis. Os exemplos a seguir retornam permissões em assemblies.

SELECT * FROM fn_builtin_permissions('assembly');
GO  

C. Retornando as permissões concedidas à entidade em execução em um objeto

Você pode usar fn_my_permissions para retornar uma lista das permissões efetivas mantidas pela entidade de chamada em um protegível especificado. Para obter mais informações, consultefn_my_permissions (Transact-SQL). O objeto a seguir retorna permissões em um objeto nomeado Orders55.

SELECT * FROM fn_my_permissions('Orders55', 'object');
GO

D. Retornando permissões aplicáveis a um objeto especificado

O exemplo a seguir retorna permissões aplicáveis a um objeto denominado Yttrium. Observe que a função interna OBJECT_ID é usada para recuperar a ID do objeto Yttrium.

SELECT * FROM sys.database_permissions 
    WHERE major_id = OBJECT_ID('Yttrium');
GO

Histórico de alterações

Conteúdo atualizado
Adicionadas cinco permissões relacionadas a FULLTEXT STOPLIST.
Adicionada ALTER ANY SERVER AUDIT para SERVER e ALTER ANY DATABASE AUDIT para DATABASE.
Removida EXECUTE para ASSEMBLY, que não existe.
Adicionada a seção "Resumo do Algoritmo de Verificação de Permissão."

Consulte também

Referência

sys.database_permissions (Transact-SQL)

Conceitos

Hierarquia de permissões (Mecanismo de Banco de Dados)

Exibições do catálogo de permissões (Mecanismo de Banco de Dados)