DENY 数据库主体权限 (Transact-SQL)
拒绝授予的对数据库用户、数据库角色或应用程序角色的权限。
语法
DENY permission [ ,...n ]
ON
{ [ USER :: database_user ]
| [ ROLE :: database_role ]
| [ APPLICATION ROLE :: application_role ]
}
TO <database_principal> [ ,...n ]
[ CASCADE ]
[ AS <database_principal> ]
<database_principal> ::=
Database_user
| Database_role
| Application_role
| Database_user_mapped_to_Windows_User
| Database_user_mapped_to_Windows_Group
| Database_user_mapped_to_certificate
| Database_user_mapped_to_asymmetric_key
| Database_user_with_no_login
参数
permission
指定可以拒绝的对数据库主体的权限。有关权限的列表,请参阅本主题后面的“备注”部分。USER **::**database_user
指定要拒绝对其权限的用户的类和名称。需要作用域限定符 ::。ROLE **::**database_role
指定要拒绝对其权限的角色的类和名称。需要作用域限定符 ::。APPLICATION ROLE **::**application_role
指定要拒绝对其权限的应用程序角色的类和名称。需要作用域限定符 ::。CASCADE
指示要拒绝的权限也会被对此主体授予该权限的其他主体拒绝。AS <database_principal>
指定执行此查询的主体要从哪个主体派生其撤消该权限的权利。Database_user
指定数据库用户。Database_role
指定数据库角色。Application_role
指定应用程序角色。Database_user_mapped_to_Windows_User
指定映射到 Windows 用户的数据库用户。Database_user_mapped_to_Windows_Group
指定映射到 Windows 组的数据库用户。Database_user_mapped_to_certificate
指定映射到证书的数据库用户。Database_user_mapped_to_asymmetric_key
指定映射到非对称密钥的数据库用户。Database_user_with_no_login
指定无相应服务器级主体的数据库用户。
注释
数据库用户权限
数据库用户是一个数据库级的安全对象,包含于权限层次结构中作为其父级的数据库中。下表列出了可拒绝的对数据库用户最为具体的限定权限,以及隐含这些权限的更为通用的权限。
数据库用户权限 |
数据库用户权限隐含的权限 |
数据库权限隐含的权限 |
---|---|---|
CONTROL |
CONTROL |
CONTROL |
IMPERSONATE |
CONTROL |
CONTROL |
ALTER |
CONTROL |
ALTER ANY USER |
VIEW DEFINITION |
CONTROL |
VIEW DEFINITION |
数据库角色权限
数据库角色是一个数据库级的安全对象,包含于权限层次结构中作为其父级的数据库中。下表列出了可以拒绝的对数据库角色的最为具体的限定权限,以及隐含这些权限的更为通用的权限。
数据库角色权限 |
数据库角色权限隐含的权限 |
数据库权限隐含的权限 |
---|---|---|
CONTROL |
CONTROL |
CONTROL |
TAKE OWNERSHIP |
CONTROL |
CONTROL |
ALTER |
CONTROL |
ALTER ANY ROLE |
VIEW DEFINITION |
CONTROL |
VIEW DEFINITION |
应用程序角色权限
应用程序角色是一个数据库级的安全对象,包含于权限层次结构中作为其父级的数据库中。下表列出了可以拒绝的对应用程序角色的最为具体的限定权限,以及隐含这些权限的更为通用的权限。
应用程序角色权限 |
应用程序角色权限隐含的权限 |
数据库权限隐含的权限 |
---|---|---|
CONTROL |
CONTROL |
CONTROL |
ALTER |
CONTROL |
ALTER ANY APPLICATION ROLE |
VIEW DEFINITION |
CONTROL |
VIEW DEFINITION |
权限
需要对指定主体的 CONTROL 权限或隐含 CONTROL 权限的更高权限。
数据库的 CONTROL 权限的被授权者(例如,db_owner 固定数据库角色的成员)可以拒绝对数据库中任一个安全对象的任意权限。
示例
A. 拒绝一个用户对另一个用户的 CONTROL 权限
以下示例拒绝用户 RolandX 对 AdventureWorks 用户 Wanida 的 CONTROL 权限。
USE AdventureWorks;
DENY CONTROL ON USER::Wanida TO RolandX;
GO
B. 拒绝被通过 GRANT OPTION 授予了 VIEW DEFINITION 权限的用户对角色的该权限
以下示例拒绝数据库用户 JinghaoLiu 对 AdventureWorks 角色 SammamishParking 的 VIEW DEFINITION 权限。指定了 CASCADE 选项,因为用户 JinghaoLiu 被通过 WITH GRANT OPTION 授予了 VIEW DEFINITION 权限。
USE AdventureWorks;
DENY VIEW DEFINITION ON ROLE::SammamishParking
TO JinghaoLiu CASCADE;
GO
C. 拒绝应用程序角色对用户的 IMPERSONATE 权限
以下示例拒绝 AdventureWorks 应用程序角色 AccountsPayable17 对用户 HamithaL 的 IMPERSONATE 权限。
USE AdventureWorks;
DENY IMPERSONATE ON USER::HamithaL TO AccountsPayable17;
GO