sys.database_permissions (Transact-SQL)

Применимо к:SQL ServerБаза данных Azure SQLУправляемый экземпляр Azure SQLAzure Synapse AnalyticsСистема платформы аналитики (PDW)Конечная точка SQL аналитики в Microsoft FabricХранилище в Microsoft FabricБаза данных SQL в Microsoft Fabric

Возвращает по одной строке для каждого разрешения или разрешения-исключения уровня столбца в базе данных. Для столбцов в представлении каталога содержится по одной строке на каждое разрешение, которое отличается от соответствующего разрешения уровня объекта. Если разрешение столбца совпадает с соответствующим разрешением объекта, строка для нее отсутствует, а разрешение применяется к объекту.

Important

Разрешения уровня столбца переопределяют разрешения уровня объекта на ту же сущность.

Имя столбца Тип данных Description
class tinyint Указывает класс, на который существует разрешение. Дополнительные сведения см. в разделе sys.securable_classes (Transact-SQL).

0 = база данных;
1 = объект или столбец
3 = схема
4 = Участник базы данных
5 = сборка — применяется к: SQL Server 2008 (10.0.x) и более поздним версиям.
6 = Тип
10 = коллекция схем XML —
Область применения: SQL Server 2008 (10.0.x) и более поздних версий.
15 = Тип сообщения — применяется к: SQL Server 2008 (10.0.x) и более поздним версиям.
16 = Контракт службы — применяется к: SQL Server 2008 (10.0.x) и более поздним версиям.
17 = Служба — применяется к: SQL Server 2008 (10.0.x) и более поздним версиям.
18 = привязка удаленной службы. Применяется к: SQL Server 2008 (10.0.x) и более поздним версиям.
19 = маршрут — применяется к: SQL Server 2008 (10.0.x) и более поздним версиям.
23 =Полнотекстовый каталог. Применяется к: SQL Server 2008 (10.0.x) и более поздним версиям.
24 = симметричный ключ. Применяется к: SQL Server 2008 (10.0.x) и более поздним версиям.
25 = сертификат — применяется к: SQL Server 2008 (10.0.x) и более поздних версий.
26 = асимметричный ключ. Применяется к: SQL Server 2008 (10.0.x) и более поздним версиям.
29 = Полный список стоп-слов. Применяется к: SQL Server 2008 (10.0.x) и более поздним версиям.
31 = список свойств поиска. Применяется к: SQL Server 2008 (10.0.x) и более поздним версиям.
32 = учетные данные в области базы данных. Применяется к: SQL Server 2016 (13.x) и более поздним версиям.
34 = внешний язык— применяется к: SQL Server 2019 (15.x) и более поздним версиям.
class_desc nvarchar(60) Описание класса, на который существует разрешение.

DATABASE

OBJECT_OR_COLUMN

SCHEMA

DATABASE_PRINCIPAL

ASSEMBLY

TYPE

XML_SCHEMA_COLLECTION

MESSAGE_TYPE

SERVICE_CONTRACT

SERVICE

REMOTE_SERVICE_BINDING

ROUTE

FULLTEXT_CATALOG

SYMMETRIC_KEYS

CERTIFICATE

ASYMMETRIC_KEY

FULLTEXT STOPLIST

SEARCH PROPERTY LIST

DATABASE SCOPED CREDENTIAL

EXTERNAL LANGUAGE
major_id int Идентификатор предмета, на который существует разрешение, интерпретируется в соответствии с классом. Как правило, просто тип идентификатора, major_id который применяется к тому, что представляет класс.

0 = сама база данных

>0 = идентификаторы объектов пользователя

<0 = идентификаторы объектов для системных объектов
minor_id int Вторичный идентификатор предмета, на который существует разрешение, интерпретируется согласно классу. Часто значение равно нулю, minor_id так как для класса объекта отсутствует подкатегория. В противном случае это идентификатор столбца таблицы.
grantee_principal_id int Идентификатор участника базы данных, которому предоставлено разрешение.
grantor_principal_id int Идентификатор участника базы данных, который предоставил данное разрешение.
type char(4) Тип разрешения в базе данных. Список типов разрешений см. в следующей таблице.
permission_name nvarchar(128) Имя разрешения.
state char(1) Разрешение указано:

D = запретить

R = отменить

G = предоставить

W = параметр Grant With Grant
state_desc nvarchar(60) Описание состояния разрешения:

DENY

REVOKE

GRANT

GRANT_WITH_GRANT_OPTION

Разрешения базы данных

Возможны следующие типы разрешений.

Тип разрешения Имя разрешения Применяется к защищаемому объекту
AADS ИЗМЕНИТЕ ЛЮБЫЕ DATABASEEVENT SESSION DATABASE
AAMK ИЗМЕНИТЬ ЛЮБУЮ МАСКУ DATABASE
AEDS ИЗМЕНЕНИЕ ЛЮБОГО EXTERNAL DATA SOURCE DATABASE
AEFF ИЗМЕНЕНИЕ ЛЮБОГО EXTERNAL FILE FORMAT DATABASE
AL ALTER APPLICATION ROLE, ASSEMBLY, ASYMMETRIC KEY, CERTIFICATE, CONTRACTDATABASE, FULLTEXT CATALOG, MESSAGE TYPE, ОБЪЕКТ, REMOTE SERVICE BINDING, , ROLEROUTESCHEMASERVICESYMMETRIC KEYUSERXML SCHEMA COLLECTION
ALAK ИЗМЕНЕНИЕ ЛЮБОГО ASYMMETRIC KEY DATABASE
ALAR ИЗМЕНЕНИЕ ЛЮБОГО APPLICATION ROLE DATABASE
ALAS ИЗМЕНЕНИЕ ЛЮБОГО ASSEMBLY DATABASE
ALCF ИЗМЕНЕНИЕ ЛЮБОГО CERTIFICATE DATABASE
ALDS ИЗМЕНИТЬ ЛЮБОЕ ПРОСТРАНСТВО ДАННЫХ DATABASE
ALED ИЗМЕНИТЕ ЛЮБЫЕ DATABASEEVENT NOTIFICATION DATABASE
ALFT ИЗМЕНЕНИЕ ЛЮБОГО FULLTEXT CATALOG DATABASE
ALMT ИЗМЕНЕНИЕ ЛЮБОГО MESSAGE TYPE DATABASE
ALRL ИЗМЕНЕНИЕ ЛЮБОГО ROLE DATABASE
ALRT ИЗМЕНЕНИЕ ЛЮБОГО ROUTE DATABASE
ALSB ИЗМЕНЕНИЕ ЛЮБОГО REMOTE SERVICE BINDING DATABASE
ALSC ИЗМЕНЕНИЕ ЛЮБОГО CONTRACT DATABASE
ALSK ИЗМЕНЕНИЕ ЛЮБОГО SYMMETRIC KEY DATABASE
ALSM ИЗМЕНЕНИЕ ЛЮБОГО SCHEMA DATABASE
ALSV ИЗМЕНЕНИЕ ЛЮБОГО SERVICE DATABASE
ALTG ИЗМЕНИТЬ ЛЮБОЙ DATABASE DDL TRIGGER DATABASE
ALUS ИЗМЕНЕНИЕ ЛЮБОГО USER DATABASE
AUTH AUTHENTICATE DATABASE
BADB BACKUP DATABASE DATABASE
BALO BACKUP ЛОГ DATABASE
CL CONTROL APPLICATION ROLE, ASSEMBLY, ASYMMETRIC KEY, CERTIFICATE, CONTRACTDATABASE, FULLTEXT CATALOG, MESSAGE TYPE, ОБЪЕКТ, REMOTE SERVICE BINDING, ROLE, ROUTE, , SCHEMASERVICESYMMETRIC KEYTYPEUSERXML SCHEMA COLLECTION
CO CONNECT DATABASE
CORP РЕПЛИКАЦИЯ CONNECT DATABASE
CP CHECKPOINT DATABASE
CRAG CREATE AGGREGATE DATABASE
CRAK CREATE ASYMMETRIC KEY DATABASE
CRAS CREATE ASSEMBLY DATABASE
CRCF CREATE CERTIFICATE DATABASE
CRDB CREATE DATABASE DATABASE
CRDF CREATE DEFAULT DATABASE
CRED CREATE DATABASE DDL EVENT NOTIFICATION DATABASE
CRFN CREATE FUNCTION DATABASE
CRFT CREATE FULLTEXT CATALOG DATABASE
CRMT CREATE MESSAGE TYPE DATABASE
CRPR CREATE PROCEDURE DATABASE
CRQU CREATE QUEUE DATABASE
CRRL CREATE ROLE DATABASE
CRRT CREATE ROUTE DATABASE
CRRU CREATE RULE DATABASE
CRSB CREATE REMOTE SERVICE BINDING DATABASE
CRSC CREATE CONTRACT DATABASE
CRSK CREATE SYMMETRIC KEY DATABASE
CRSM CREATE SCHEMA DATABASE
CRSN CREATE SYNONYM DATABASE
CRSO Применимо: SQL Server 2012 (11.x) и более поздних версий.

CREATE SEQUENCE		 DATABASE
CRSV CREATE SERVICE DATABASE
CRTB CREATE TABLE DATABASE
CRTY CREATE TYPE DATABASE
CRVW CREATE VIEW DATABASE
CRXS Область применения: SQL Server 2008 (10.0.x) и более поздних версий.

CREATE XML SCHEMA COLLECTION		 DATABASE
DABO АДМИНИСТРИРОВАНИЕ DATABASE ОПТОВЫХ ОПЕРАЦИЙ DATABASE
DL DELETE DATABASE, ОБЪЕКТ, SCHEMA
EAES ВЫПОЛНИТЬ ЛЮБОЙ ВНЕШНИЙ СКРИПТ DATABASE
EX EXECUTE ASSEMBLY, DATABASE, ОБЪЕКТ, SCHEMA, TYPE, XML SCHEMA COLLECTION
IM IMPERSONATE USER
IN INSERT DATABASE, ОБЪЕКТ, SCHEMA
RC RECEIVE OBJECT
RF REFERENCES ASSEMBLY, ASYMMETRIC KEY, CERTIFICATE, CONTRACT, DATABASEFULLTEXT CATALOG, , MESSAGE TYPE, , ОБЪЕКТ, SCHEMA, SYMMETRIC KEY, , TYPE,XML SCHEMA COLLECTION
SL SELECT DATABASE, ОБЪЕКТ, SCHEMA
SN SEND SERVICE
SPLN SHOWPLAN DATABASE
SUQN УВЕДОМЛЕНИЯ О ЗАПРОСЕ НА ПОДПИСКУ DATABASE
TO ВОЗЬМИТЕ ОТВЕТСТВЕННОСТЬ ASSEMBLY, ASYMMETRIC KEY, CERTIFICATE, CONTRACTDATABASE, FULLTEXT CATALOG, , MESSAGE TYPE, ОБЪЕКТ, REMOTE SERVICE BINDING, ROLE, , ROUTESCHEMASERVICESYMMETRIC KEYTYPEXML SCHEMA COLLECTION
UP UPDATE DATABASE, ОБЪЕКТ, SCHEMA
VW VIEW ОПРЕДЕЛЕНИЕ APPLICATION ROLE, ASSEMBLY, ASYMMETRIC KEY, CERTIFICATE, CONTRACTDATABASE, FULLTEXT CATALOG, MESSAGE TYPE, ОБЪЕКТ, REMOTE SERVICE BINDING, ROLE, ROUTE, , SCHEMASERVICESYMMETRIC KEYTYPEUSERXML SCHEMA COLLECTION
VWCK VIEW ЛЮБОЕ COLUMN ENCRYPTION KEY ОПРЕДЕЛЕНИЕ DATABASE
VWCM VIEW ЛЮБОЕ COLUMN MASTER KEY ОПРЕДЕЛЕНИЕ DATABASE
VWCT VIEW ОТСЛЕЖИВАНИЕ ИЗМЕНЕНИЙ TABLE, SCHEMA
VWDS VIEW DATABASE ШТАТ DATABASE

REVOKE и права на исключения из столбцов

В большинстве случаев REVOKE команда удаляет GRANT запись или DENY из sys.database_permissions.

Однако GRANT возможно сделать разрешения DENY на объект, а REVOKE затем это разрешение на столбце. Это разрешение на исключение столбцов будет отображаться как REVOKE в sys.database_permissions. Рассмотрим следующий пример:

GRANT SELECT ON Person.Person TO [Sales];

REVOKE SELECT ON Person.Person(AdditionalContactInfo) FROM [Sales];

Эти разрешения отображаются в sys.database_permissions как одно GRANT (на столе) и одно REVOKE (в столбце).

Important

REVOKE отличается от DENY, поскольку принципал Sales всё ещё может иметь доступ к столбцу через другие разрешения. Если бы мы отказали в разрешениях, а не отозвали их, Sales мы бы не могли видеть содержимое колонки, потому что DENY всегда важнее GRANT.

Permissions

Любой пользователь может видеть свои собственные разрешения. Для просмотра разрешений для других пользователей требуется VIEW ОПРЕДЕЛЕНИЕ, ИЗМЕНЕНИЕ ЛЮБОГО USER, или любое разрешение пользователя. Чтобы увидеть пользовательские роли, требуется ALTER ANY ROLE, или членство в роли (например, публичное).

Видимость метаданных в представлениях каталога ограничена защищаемыми объектами, которыми владеет пользователь или которым пользователь получил некоторое разрешение. Дополнительные сведения см. в разделе Metadata Visibility Configuration.

Разрешения для SQL Server 2022 и более поздних версий

Требуется разрешение VIEW SECURITY DEFINITION для базы данных.

Examples

A. Список всех разрешений субъектов базы данных

Следующий запрос перечисляет разрешения, явно предоставленные или отклоненные для участников базы данных.

Important

Разрешения фиксированных ролей базы данных не отображаются sys.database_permissions. Поэтому участники базы данных могут иметь дополнительные разрешения, не перечисленные здесь.

SELECT pr.principal_id
    ,pr.name
    ,pr.type_desc
    ,pr.authentication_type_desc
    ,pe.state_desc
    ,pe.permission_name  
FROM sys.database_principals AS pr  
INNER JOIN sys.database_permissions AS pe ON pe.grantee_principal_id = pr.principal_id;

B. Перечисление разрешений на объекты схемы в базе данных

Следующий запрос объединяет sys.database_principals и sys.database_permissionssys.objects и sys.schemas для перечисления разрешений, предоставленных или запрещенных для определенных объектов схемы.

SELECT pr.principal_id
    ,pr.name
    ,pr.type_desc
    ,pr.authentication_type_desc
    ,pe.state_desc
    ,pe.permission_name
    ,s.name + '.' + o.name AS ObjectName
FROM sys.database_principals AS pr
INNER JOIN sys.database_permissions AS pe ON pe.grantee_principal_id = pr.principal_id
INNER JOIN sys.objects AS o ON pe.major_id = o.object_id
INNER JOIN sys.schemas AS s ON o.schema_id = s.schema_id
WHERE pe.class = 1;

C. Вывод списка разрешений для определенного объекта

Предыдущий пример можно использовать для запроса разрешений, относящихся к одному объекту базы данных.

Например, рассмотрим следующие детализированные разрешения, предоставленные пользователю test базы данных в примере базы данныхAdventureWorksDW2025:

GRANT SELECT ON dbo.vAssocSeqOrders TO [test];

Найдите детализированные разрешения, назначенные dbo.vAssocSeqOrders:

SELECT pr.principal_id
    ,pr.name
    ,pr.type_desc
    ,pr.authentication_type_desc
    ,pe.state_desc
    ,pe.permission_name
    ,s.name + '.' + o.name AS ObjectName
FROM sys.database_principals AS pr
INNER JOIN sys.database_permissions AS pe ON pe.grantee_principal_id = pr.principal_id
INNER JOIN sys.objects AS o ON pe.major_id = o.object_id
INNER JOIN sys.schemas AS s ON o.schema_id = s.schema_id
WHERE pe.class = 1
    AND o.name = 'vAssocSeqOrders'
    AND s.name = 'dbo';

Возвращает выходные данные:

principal_id    name    type_desc    authentication_type_desc    state_desc    permission_name    ObjectName
5    test    SQL_USER    INSTANCE    GRANT    SELECT    dbo.vAssocSeqOrders

Связанные материалы

Дальнейшие шаги

  • Last updated on