DENY 数据库主体权限 (Transact-SQL)

项目
03/07/2014

拒绝授予的对 SQL Server 中数据库用户、数据库角色或应用程序角色的权限。

适用范围：SQL Server（SQL Server 2008 至当前版本），Windows Azure SQL Database（初始版本至当前版本）。

语法

DENY permission [ ,...n ]  
    ON 
    {  [ USER :: database_user ]
     | [ ROLE :: database_role ]
     | [ APPLICATION ROLE :: application_role ]
    }
    TO <database_principal> [ ,...n ]
      [ CASCADE ]
      [ AS <database_principal> ]

<database_principal> ::=
    Database_user 
  | Database_role 
  | Application_role 
  | Database_user_mapped_to_Windows_User 
  | Database_user_mapped_to_Windows_Group 
  | Database_user_mapped_to_certificate 
  | Database_user_mapped_to_asymmetric_key 
  | Database_user_with_no_login

参数

permission
指定可以拒绝的对数据库主体的权限。有关权限的列表，请参阅本主题后面的“备注”部分。
USER ::database_user
指定要拒绝对其权限的用户的类和名称。需要作用域限定符 ::。
ROLE ::database_role
指定要拒绝对其权限的角色的类和名称。需要使用作用域限定符 ::。
APPLICATION ROLE ::application_role

适用于：SQL Server 2008 到 SQL Server 2014。

指定要拒绝对其权限的应用程序角色的类和名称。需要作用域限定符 ::。
CASCADE
指示要拒绝的权限也会被对此主体授予该权限的其他主体拒绝。
AS <database_principal>
指定一个主体，执行该查询的主体从该主体获得撤消该权限的权利。
Database_user
指定数据库用户。
Database_role
指定数据库角色。
Application_role

适用于：SQL Server 2008 到 SQL Server 2014。

指定应用程序角色。
Database_user_mapped_to_Windows_User

适用于：SQL Server 2008 到 SQL Server 2014。

指定映射到 Windows 用户的数据库用户。
Database_user_mapped_to_Windows_Group

适用于：SQL Server 2008 到 SQL Server 2014。

指定映射到 Windows 组的数据库用户。
Database_user_mapped_to_certificate

适用于：SQL Server 2008 到 SQL Server 2014。

指定映射到证书的数据库用户。
Database_user_mapped_to_asymmetric_key

适用于：SQL Server 2008 到 SQL Server 2014。

指定映射到非对称密钥的数据库用户。
Database_user_with_no_login
指定无相应服务器级主体的数据库用户。

注释

数据库用户权限

数据库用户是一个数据库级的安全对象，包含于权限层次结构中作为其父级的数据库中。下表列出了可拒绝的对数据库用户最为具体的限定权限，以及隐含这些权限的更为通用的权限。

数据库用户权限	数据库用户权限隐含的权限	数据库权限隐含的权限
CONTROL	CONTROL	CONTROL
IMPERSONATE	CONTROL	CONTROL
ALTER	CONTROL	ALTER ANY USER
VIEW DEFINITION	CONTROL	VIEW DEFINITION

数据库角色权限

数据库角色是一个数据库级的安全对象，包含于权限层次结构中作为其父级的数据库中。下表列出了可以拒绝的对数据库角色的最为具体的限定权限，以及隐含这些权限的更为通用的权限。

数据库角色权限	数据库角色权限隐含的权限	数据库权限隐含的权限
CONTROL	CONTROL	CONTROL
TAKE OWNERSHIP	CONTROL	CONTROL
ALTER	CONTROL	ALTER ANY ROLE
VIEW DEFINITION	CONTROL	VIEW DEFINITION

应用程序角色权限

应用程序角色是一个数据库级的安全对象，包含于权限层次结构中作为其父级的数据库中。下表列出了可以拒绝的对应用程序角色的最为具体的限定权限，以及隐含这些权限的更为通用的权限。

应用程序角色权限	应用程序角色权限隐含的权限	数据库权限隐含的权限
CONTROL	CONTROL	CONTROL
ALTER	CONTROL	ALTER ANY APPLICATION ROLE
VIEW DEFINITION	CONTROL	VIEW DEFINITION

权限

需要对指定主体的 CONTROL 权限或隐含 CONTROL 权限的更高权限。

被授予数据库的 CONTROL 权限的用户（如 db_owner 固定数据库角色的成员）可以拒绝授予数据库中的任何安全对象的任意权限。

示例

A.拒绝一个用户对另一个用户的 CONTROL 权限

以下示例拒绝用户 RolandX 对 AdventureWorks2012 用户 Wanida 的 CONTROL 权限。

USE AdventureWorks2012;
DENY CONTROL ON USER::Wanida TO RolandX;
GO

B.拒绝被通过 GRANT OPTION 授予了 VIEW DEFINITION 权限的用户对角色的该权限

以下示例拒绝数据库用户 JinghaoLiu 对 AdventureWorks2012 角色 SammamishParking 的 VIEW DEFINITION 权限。指定了 CASCADE 选项，因为用户 JinghaoLiu 被通过 WITH GRANT OPTION 授予了 VIEW DEFINITION 权限。

USE AdventureWorks2012;
DENY VIEW DEFINITION ON ROLE::SammamishParking 
    TO JinghaoLiu CASCADE;
GO

C.拒绝应用程序角色对用户的 IMPERSONATE 权限

以下示例拒绝 AdventureWorks2012 应用程序角色 AccountsPayable17 对用户 HamithaL 的 IMPERSONATE 权限。

适用于：SQL Server 2008 到 SQL Server 2014。

USE AdventureWorks2012;
DENY IMPERSONATE ON USER::HamithaL TO AccountsPayable17;
GO

请参阅

参考

GRANT 数据库主体权限 (Transact-SQL)

REVOKE 数据库主体权限 (Transact-SQL)

sys.database_principals (Transact-SQL)

sys.database_permissions (Transact-SQL)

CREATE USER (Transact-SQL)

CREATE APPLICATION ROLE (Transact-SQL)

CREATE ROLE (Transact-SQL)

GRANT (Transact-SQL)

概念

权限（数据库引擎）

主体（数据库引擎）

通过