Security 13：SQL Server 默认的角色和用户

SQL Server在服务器级别和数据库级别都有默认的安全主体(Principal)，用户经常遇到的有sa 登录，dbo 用户，guest 用户和public角色，public 角色分为服务器级别和数据库级别。

一，sa 登录

sa login 是服务器级别的特殊安全主体，登录名是sa，是服务器级别的SQL LOGIN。默认情况下，在安装SQL Server实例时，sa login就被创建了。从SQL Server 2005开始，sa login的默认数据库是master，并且是sysadmin角色的成员，因此sa login拥有服务器的最高权限，并且权限不能被限制。虽然sa login不能被删除，但是可以禁用。一旦sa被禁用，任何人都无法使用sa login来管理SQL Server实例。

二，数据库级别的特殊用户

在数据库级别，SQL Server在每个数据库中都预先创建了两个特殊的用户：dbo和guest，在每个数据库中都有这两个用户(User)：

• dbo(database owner的简称)：是WINDOWS_USER，数据库的所有者(Owner)，每个数据库都有一个dbo用户，SQL Server把固定服务器角色 sysadmin 的成员、sa login和数据库的owner都映射到数据库用户 dbo上。
• guest：宾客，是SQL_USER，对于任何没有映射到数据库用户的有效登陆(Login)，SQL Server使用guest账户登陆数据库。在登陆数据库之前，需要分配权限给guest, 一般给guest查看(select)数据库对象的权限，默认情况下，guest是没有登录数据库的权限。

1，dbo 用户

dbo是数据库所有者(database owner)的简写，dbo用户存在于每一个数据库中，是数据库中权限最大的user，sa login，sysadmin角色的所有成员和数据库的Owner，都会以dbo身份登录到数据库 。

dbo用户拥有数据库的所有权限，权限不能被限制，不能被删除，也不能被禁用。dbo 用户并不完全等价于db_owner 角色，通常情况下，db_owner角色的成员就是数据库的所有者(Database Owner)。

2，guest 用户

每个数据库都包含一个guest用户，当一个login有权限登录SQL Server实例后，如果没有在数据库中映射响应的user账户，那么该login使用guest用户连接到数据库，同时继承guest用户的权限，以guest的身份来访问数据库。

guest用户默认存在每个数据库中，默认情况下，guest用户是禁用的，可以通过命令启用guest用户。

GRANT CONNECT TO GUEST

一旦启用guest用户，所有可以登陆到SQL Server的Login，都可以使用guest身份来访问数据库，并拥有guest用户的权限，可以通过命令禁用guest用户。guest用户不会被删除，但是可以通过回收 CONNECT 权限来禁用。

REVOKE CONNECT FROM GUEST;

注意：只能在 master 和 tempdb 以外的数据库中执行禁用GUEST帐号的操作，这是因为许多用户都需要以GUEST身份访问master 和 tempdb系统数据库，GUEST用户在master 和 tempdb数据库的权限被严格限制。

3，dbo和db_owner的区别

dbo是一个user，能够对一个数据库执行任何操作。sa login，sysadmin角色的所有成员和数据库的Owner，都会以dbo身份登录到数据库 。由于dbo user是dbo schema的owner，因此dbo user创建的数据库对象的owner都是dbo。

db_owner是一个角色，它的成员不是dbo。如果一个用户是db_owner角色的成员，该角色具有操作数据库的所有权限，甚至包括删除数据库。

三，public 角色

public是一个服务器级别的角色，同时也是一个数据库级别的角色，注意，public角色的权限不是固定的，因此public 不属于固定角色(fixed role)，在 sys.server_permissions 和 sys.database_principals的 字段 is_fixed_role 是 0。

• 对于服务器级别的public角色，每一个login 都属于public 角色，当一个login没有被授予特定的权限时，那么该login会继承public的权限。
• 对于数据库级别的public角色，每一个user都属于public 角色，当一个user没有被授予特定的权限时，那么该user会继承public的权限。

public角色特殊之处在于：角色的权限可以被修改。当一个login 或user没有被授予特定安全对象上的权限时，该login或user会继承public角色的权限。public 角色不能被删除，但是可以对public角色的权限进行授予(Grant)、拒绝(Deny)和回收(Revoke)。

默认情况下，有一些权限会被授予到public角色上，比如， VIEW ANY DATABASE 用于查看SQL Server实例上的所有数据库。

当对public角色进行权限管理时，一定要慎重，因为这会影响所有的login或user。通常情况下，不要把对public设置deny权限，这是由于deny语句的优先级最高，deny权限会覆盖所有的grant权限。

每个 SQL Server 的登录(Login)均属于 public 服务器角色，所有的数据库用户(User) 都属于public数据库角色。用户不能删除public角色，但是，可以授予或收回public角色的权限。默认情况下，public角色被分配很多权限，大部分权限都跟数据库中的日常操作有关。默认情况下，

• 数据库级别的public 角色拥有的权限：查看特定系统表
• 服务器级别的public 角色拥有的权限：查看数据库(VIEW ANY DATABASE)，链接服务器(CONNECT)

当一个对象对所有用户或登录可用时，只需把权限分配给 public 角色即可。默认情况下，所有的数据库用户都属于public角色，因此，授予或回收public角色的权限，将会影响所有的用户。

参考文档：

Principals (Database Engine)