是否可以拒绝具有db_owner角色成员身份的登录用户的RESTORE权限？
在使用该数据库的备份还原现有数据库时，是否需要dbcreator权限？或者只有在从备份创建新数据库时才需要？
我想防止一个具有db_owner成员身份的用户意外地将数据库还原到错误的服务器/实例上。
可以否定db_owner角色成员使用RESTORE权限登录？
- Maa421s
1个回答
关于数据库权限，Microsoft RESTORE statement Docs中提到：
如果要恢复的数据库不存在，则用户必须具有CREATE DATABASE权限才能执行RESTORE操作。如果数据库已存在，则RESTORE权限默认为sysadmin和dbcreator固定服务器角色的成员以及数据库所有者（dbo）。
RESTORE权限授予的是在服务器上始终可以轻松获取成员信息的角色。由于只有在数据库可访问且未损坏时才能检查固定数据库角色成员资格，而这在执行RESTORE操作时并不总是适用，因此db_owner固定数据库角色的成员没有RESTORE权限。
我建议将需要db_owner级别权限的人员与实际数据库所有者分开作为独立的登录账户。加入db_owner数据库角色会阻止该用户执行恢复操作。
通过拒绝CREATE ANY DATABASE权限，可以防止登录账户执行RESTORE DATABASE操作。
作为测试，我在我的SQL Server 2008 R2实例上进行了此操作。
创建一个测试登录账号：USE master;
GO
IF NOT EXISTS (SELECT 1 FROM sys.server_principals sp WHERE sp.name = 'Test_db_owner')
BEGIN
CREATE LOGIN Test_db_owner WITH PASSWORD = 'awsdaqwer0987)(FA&897afda2345';
END
GO
IF EXISTS (SELECT 1 FROM sys.databases d WHERE d.name = 'Test_db_owner')
BEGIN
ALTER DATABASE Test_db_owner SET SINGLE_USER WITH ROLLBACK IMMEDIATE;
DROP DATABASE Test_db_owner;
END
CREATE DATABASE Test_db_owner;
GO
在上述登录中为测试数据库创建一个用户，并将该用户添加到db_owner数据库角色中：
USE Test_db_owner;
CREATE USER [Test_db_owner] FOR LOGIN [Test_db_owner];
EXEC sys.sp_addrolemember @rolename = 'db_owner', @membername = 'Test_db_owner';
GO
USE master;
BACKUP DATABASE Test_db_owner TO DISK = 'D:\SQLServer\MV\Backup\Test_db_owner.bak' WITH INIT;
EXECUTE AS LOGIN = 'Test_db_owner';
RESTORE DATABASE Test_db_owner FROM DISK = 'D:\SQLServer\MV\Backup\Test_db_owner.bak'
WITH REPLACE, RECOVERY;
REVERT;
输出：
Msg 3110，级别14，状态1，行25 用户没有权限还原数据库'Test_db_owner'。 Msg 3013，级别16，状态1，行25 还原数据库异常终止。
清理：
DROP LOGIN Test_db_owner;
DROP DATABASE Test_db_owner;
ALTER AUTHORIZATION ON DATABASE::[xyz] TO [login_name];
sys.sp_changedbowner，它已被弃用）。
db_owner角色的成员权限如下所示：
ALTER ROLE [db_owner] ADD MEMBER [login_name];
ALTER AUTHORIZATION语句可以修改登录的数据库所有权。请参阅Remus Rusanu的这个出色的答案。
如果您想允许登录在非生产环境中恢复数据库，请将其添加到dbcreator服务器角色成员中。
EXEC sys.sp_addsrvrolemember @loginame = 'Test_db_owner'
, @rolename = 'dbcreator';
- Hannah Vernon
- 相关问题
- 28 微软SQL Server中拥有模式和角色成员身份的区别 在微软SQL Server中，拥有模式和角色成员身份是两个不同的概念，它们在数据库管理中起着不同的作用。 拥有模式是指用户或登录账户对数据库中特定模式的所有权。当一个用户或登录账户拥有某个模式时，他们可以对该模式下的对象进行创建、修改、删除等操作。这种权限通常被用于控制数据库中不同模块的访问和管理。 而角色成员身份则是指用户或登录账户被分配到某个角色中，并获得了该角色所具有的权限。角色是一种逻辑上的组织方式，可以将一组用户或登录账户归为一个角色，并为该角色分配相应的权限。通过将用户或登录账户分配到角色中，可以简化权限管理，提高安全性和可维护性。 总结来说，拥有模式是指对数据库中特定模式的所有权，而角色成员身份是指被分配到某个角色并获得相应权限的用户或登录账户。这两个概念在数据库管理中都扮演着重要的角色，帮助管理员有效地控制和管理数据库的访问和权限。
- 16 角色db_owner允许什么操作？
- 3 数据库中具有db_owner角色的SQL登录用户无法创建存储过程。