CREATE LOGIN (Transact-SQL)

Crea un account di accesso per i database di sistema di SQL Server, database SQL di Azure, Istanza gestita di SQL di Azure, Azure Synapse Analytics o Analytics Platform. Scegliere una delle schede seguenti per la sintassi, gli argomenti, le osservazioni, le autorizzazioni e gli esempi per una determinata versione.

CREATE LOGIN partecipa nelle transazioni. Se si esegue CREATE LOGIN all'interno di una transazione di cui viene eseguito il rollback, la creazione dell'account di accesso viene sottoposta a rollback. Se si esegue all'interno di una transazione, l'account di accesso creato può essere usato solo dopo il commit della transazione.

Nota

Microsoft Entra ID era precedentemente conosciuto come Azure Active Directory (Azure AD).

Per altre informazioni sulle convenzioni della sintassi, vedere Convenzioni della sintassi Transact-SQL.

Selezionare un prodotto

Nella riga seguente selezionare il nome del prodotto a cui si è interessati. Verranno visualizzate solo le informazioni per tale prodotto.

* SQL Server *  

Database SQL di Azure

Azure SQL
database SQL

Azure Synapse
Analitica

Piattaforma di strumenti
(PDW)

 

SQL Server

Sintassi

-- Syntax for SQL Server
CREATE LOGIN login_name { WITH <option_list1> | FROM <sources> }

<option_list1> ::=
    PASSWORD = { 'password' | hashed_password HASHED } [ MUST_CHANGE ]
    [ , <option_list2> [ ,... ] ]

<option_list2> ::=
    SID = sid
    | DEFAULT_DATABASE = database
    | DEFAULT_LANGUAGE = language
    | CHECK_EXPIRATION = { ON | OFF}
    | CHECK_POLICY = { ON | OFF}
    | CREDENTIAL = credential_name

<sources> ::=
    WINDOWS [ WITH <windows_options>[ ,... ] ]
    | EXTERNAL PROVIDER
    | CERTIFICATE certname
    | ASYMMETRIC KEY asym_key_name

<windows_options> ::=
    DEFAULT_DATABASE = database
    | DEFAULT_LANGUAGE = language

Argomenti

login_name

Specifica il nome dell'account di accesso creato. Esistono cinque tipi di account di accesso: account di accesso di SQL Server, account di accesso di Windows, account di accesso microsoft Entra, account di accesso mappati ai certificati e account di accesso con mapping a chiave asimmetrica.

Quando si creano account di accesso mappati da un account di dominio di Windows, è necessario usare il nome di accesso nel formato [<domainName>\<login_name>]. Non è possibile usare un UPN nel formato login_name@DomainName. Per un esempio, vedere l'esempio E più avanti in questo articolo. Gli account di accesso di autenticazione sono di tipo sysname e devono essere conformi alle regole per gli identificatori e non possono contenere una barra rovesciata (). Gli account di accesso di Windows possono contenere un simbolo "\". Gli account di accesso basati sugli utenti di Active Directory sono limitati a nomi di meno di 21 caratteri.

Quando si usa la clausola FROM EXTERNAL PROVIDER , il nome dell'account di accesso deve corrispondere al nome visualizzato di un'entità Microsoft Entra esistente nello stesso tenant a cui l'istanza DI SQL è abilitata per Arc. Gli utenti, i gruppi e le applicazioni di Microsoft Entra possono essere usati per creare account di accesso.

PASSWORD ='password'

Si applica solo agli account di accesso SQL Server. Specifica la password per l'account di accesso che viene creato. Usare una password complessa. Per altre informazioni, vedere Password complesse e Criteri password. A partire da SQL Server 2012 (11.x), le informazioni relative alle password archiviate vengono calcolate usando l'algoritmo SHA-512 della password con salting.

Per le password viene fatta distinzione tra maiuscole e minuscole. Le password devono essere sempre lunghe almeno otto caratteri e non possono superare i 128 caratteri. Le password possono includere i caratteri a-z, A-Z, 0-9 e la maggior parte dei caratteri non alfanumerici. Le password non possono contenere virgolette singole o il login_name.

PASSWORD = hashed_password

Si applica solo alla parola chiave HASHED. Specifica il valore hash della password per l'account di accesso in fase di creazione.

HASH

Si applica solo agli account di accesso SQL Server. Specifica che è già stato eseguito l'hashing per la password immessa dopo l'argomento PASSWORD. Se questa opzione non è selezionata, la stringa immessa come password viene sottoposto a hashing prima che venga archiviata nel database. Questa opzione deve essere utilizzata solo per la migrazione dei database da un server a un altro. Non usare l'opzione HASHED per creare nuovi account di accesso. L'opzione HASHED non può essere usata con gli hash creati da SQL 7 o versioni precedenti.

MUST_CHANGE

Si applica solo agli account di accesso SQL Server. Se questa opzione è inclusa, in SQL Server viene richiesto all'utente di immettere una nuova password al primo uso del nuovo account di accesso.

CREDENTIAL =credential_name

Nome della credenziale su cui eseguire il mapping al nuovo account di accesso di SQL Server. La credenziale deve già esistere nel server. Attualmente questa opzione consente solo di connettere la credenziale a un account di accesso. Non è possibile eseguire il mapping di credenziali all'account di accesso amministratore di sistema (sa).

SID = sid

Usato per ricreare un account di accesso. Si applica solo agli account di accesso con autenticazione di SQL Server, non agli account di accesso con autenticazione di Windows. Specifica il SID del nuovo account di accesso con autenticazione di SQL Server. Se questa opzione non viene usata, SQL Server assegna un SID automaticamente. La struttura del SID dipende dalla versione di SQL Server. SID di account di accesso di SQL Server: valore letterale (binary(16)) a 16 byte basato su un GUID. Ad esempio: SID = 0x14585E90117152449347750164BA00A7.

DEFAULT_DATABASE =database

Specifica il database predefinito da assegnare all'account di accesso. Se questa opzione non è inclusa, il database predefinito è impostato su master.

DEFAULT_LANGUAGE =language

Specifica la lingua predefinita da assegnare all'account di accesso. Se questa opzione non è inclusa, la lingua predefinita viene impostata sulla lingua predefinita corrente del server. Se la lingua predefinita del server viene modificata in seguito, la lingua predefinita dell'account di accesso rimane inalterata.

CHECK_EXPIRATION = { ON | OFF }

Si applica solo agli account di accesso SQL Server. Specifica se i criteri di scadenza delle password devono essere applicati a questo account di accesso. Il valore predefinito è OFF.

CHECK_POLICY = { ON | OFF }

Si applica solo agli account di accesso SQL Server. Specifica che i criteri password di Windows del computer in cui è in esecuzione SQL Server devono essere applicati a questo account di accesso. Il valore predefinito è ON.

Se i criteri di Windows richiedono password complesse, queste devono contenere almeno tre dei quattro caratteri seguenti:

• Un carattere maiuscolo (A-Z).
• Un carattere minuscolo (a-z)
• Una cifra (0-9).
• Uno dei caratteri non alfanumerici, ad esempio uno spazio, _, @, *, ^, %, !, $, #, #o &.

WINDOWS

Specifica che è stato eseguito il mapping dell'account di accesso a un account di accesso di Windows.

FROM EXTERNAL PROVIDER

Specifica che l'account di accesso viene mappato a un'entità Di sicurezza Microsoft Entra. Questa opzione è disponibile per SQL Server 2022 e versioni successive abilitate per Arc. Per altre informazioni, vedere Autenticazione di Microsoft Entra per SQL Server

CERTIFICATE certname

Specifica il nome di un certificato da associare all'account di accesso. Questo certificato deve essere già presente nel master database.

ASYMMETRIC KEY asym_key_name

Specifica il nome di una chiave asimmetrica da associare all'account di accesso. Questa chiave deve essere già presente nel master database.

Osservazioni:

• Per le password viene fatta distinzione tra maiuscole e minuscole.
• Il prehashing delle password è supportato solo quando si creano account di accesso di SQL Server.
• Se MUST_CHANGE è specificato, CHECK_EXPIRATION e CHECK_POLICY devono essere impostati su ON. In caso contrario, l'istruzione non verrà eseguita correttamente.
• Una combinazione di CHECK_POLICY = OFF e CHECK_EXPIRATION = ON non è supportata.
• Quando CHECK_POLICY è impostato su OFF, lockout_time viene reimpostato e CHECK_EXPIRATION viene impostato su OFF.

Importante

CHECK_EXPIRATION e CHECK_POLICY vengono applicati solo in Windows Server 2003 e versioni successive. Per ulteriori informazioni, vedere Password Policy.

• Gli account di accesso creati da certificati o chiavi asimmetriche vengono utilizzati solo per la firma del codice Non possono essere usati per connettersi a SQL Server. È possibile creare un account di accesso da un certificato o una chiave asimmetrica solo quando il certificato o la chiave asimmetrica esiste già in master.
• Per uno script con cui trasferire gli account di accesso, vedere Trasferimento di accessi e password tra istanze di SQL Server.
• La creazione automatica di un account di accesso abilita il nuovo account a cui viene concessa l'autorizzazione CONNECT SQL a livello di server.
• La modalità di autenticazione del server deve corrispondere al tipo di account di accesso per consentire l'accesso.
• Per informazioni sulla progettazione di un sistema di autorizzazioni, vedere Introduzione alle autorizzazioni del motore di database.

Autorizzazioni

• Solo gli utenti con autorizzazione ALTER ANY LOGIN per il server o appartenenza al ruolo predefinito del server securityadmin possono creare account di accesso. Per altre informazioni, vedere Ruoli a livello di server e ALTER SERVER ROLE.
• Se viene usata l'opzione CREDENTIAL, è richiesta anche l'autorizzazione ALTER ANY CREDENTIAL nel server.

Autorizzazioni per SQL Server 2022 e versioni successive

È richiesta l'autorizzazione CREATE LOGIN per il server o l'appartenenza al ruolo predefinito del server ##MS_LoginManager## .

Dopo la creazione di un account di accesso

Una volta creato, un account di accesso può connettersi a SQL Server ma ha solo le autorizzazioni concesse al ruolo public. Provare a eseguire alcune delle attività seguenti.

• Per connettersi a un database, creare un utente del database per l'account di accesso. Per altre informazioni, vedere CREATE USER.
• Creare un ruolo del server definito dall'utente tramite CREATE SERVER ROLE. Usare ALTER SERVER ROLE ... ADD MEMBER per aggiungere il nuovo account di accesso al ruolo del server definito dall'utente. Per altre informazioni, vedere CREATE SERVER ROLE e ALTER SERVER ROLE.
• Usare sp_addsrvrolemember per aggiungere l'account di accesso a un ruolo predefinito del server. Per altre informazioni, vedere Ruoli a livello di Server e sp_addsrvrolemember.
• Usare l'istruzione GRANT per concedere le autorizzazioni a livello di server al nuovo account di accesso o a un ruolo in cui esso è contenuto. Per altre informazioni, vedere GRANT.

Esempi

R. Creare un account di accesso con una password

Nell'esempio seguente viene creato un account di accesso per un utente specifico e viene assegnata una password.

CREATE LOGIN <login_name> WITH PASSWORD = '<enterStrongPasswordHere>';
GO

B. Creare un account di accesso con una password che deve essere modificata

Nell'esempio seguente viene creato un account di accesso per un utente specifico e viene assegnata una password. L'opzione MUST_CHANGE richiede all'utente di modificare questa password alla prima connessione al server.

Si applica a: SQL Server 2008 (10.0.x) e versioni successive.

CREATE LOGIN <login_name> WITH PASSWORD = '<enterStrongPasswordHere>'
    MUST_CHANGE, CHECK_EXPIRATION = ON;
GO

Nota

Impossibile utilizzare l'opzione MUST_CHANGE se CHECK_EXPIRATION è impostato su OFF.

C. Creare un account di accesso mappato a una credenziale

Nell'esempio seguente viene creato l'account di accesso per utente specifico, utilizzando il relativo nome. Su questo account di accesso viene eseguito il mapping alla credenziale.

Si applica a: SQL Server 2008 (10.0.x) e versioni successive.

CREATE LOGIN <login_name> WITH PASSWORD = '<enterStrongPasswordHere>',
    CREDENTIAL = <credentialName>;
GO

D. Creare un account di accesso da un certificato

Nell'esempio seguente viene creato l'account di accesso per un determinato utente da un certificato in master.

Si applica a: SQL Server 2008 (10.0.x) e versioni successive.

USE MASTER;
CREATE CERTIFICATE <certificateName>
    WITH SUBJECT = '<login_name> certificate in master database',
    EXPIRY_DATE = '12/05/2025';
GO
CREATE LOGIN <login_name> FROM CERTIFICATE <certificateName>;
GO

E. Creare un account di accesso da un account di dominio di Windows

Nell'esempio seguente viene creato un account di accesso da un account di dominio di Windows.

Si applica a: SQL Server 2008 (10.0.x) e versioni successive.

CREATE LOGIN [<domainName>\<login_name>] FROM WINDOWS;
GO

F. Creare un account di accesso da un SID

L'esempio seguente crea prima un account di accesso con autenticazione di SQL Server e determina il SID dell'account di accesso.

CREATE LOGIN TestLogin WITH PASSWORD = 'SuperSecret52&&';
SELECT name, sid FROM sys.sql_logins WHERE name = 'TestLogin';
GO

La query restituisce 0x241C11948AEEB749B0D22646DB1A19F2 come SID. La query dell'utente restituirà un valore diverso. Le istruzioni seguenti eliminano l'account di accesso e quindi ricreano l'account di accesso. Utilizzare il SID della query precedente.

DROP LOGIN TestLogin;
GO

CREATE LOGIN TestLogin
WITH PASSWORD = 'SuperSecret52&&', SID = 0x241C11948AEEB749B0D22646DB1A19F2;

SELECT * FROM sys.sql_logins WHERE name = 'TestLogin';
GO

G. Creare un account di accesso con più argomenti

Nell'esempio seguente viene illustrato come collegare più argomenti insieme usando le virgole tra ogni argomento.

CREATE LOGIN [MyUser]
WITH PASSWORD = 'MyPassword',
DEFAULT_DATABASE = MyDatabase,
CHECK_POLICY = OFF,
CHECK_EXPIRATION = OFF ;

H. Creare un account di accesso SQL con password con hash

L'esempio seguente mostra come creare account di accesso SQL con la stessa password degli account di accesso esistenti come avviene in uno scenario di migrazione. Il primo passaggio consiste nel recuperare l'hash delle password dagli account di accesso esistenti nel server di database di origine. Verrà quindi usato lo stesso hash per creare l'account di accesso in un nuovo server di database. In questo modo, il nuovo account di accesso avrà la stessa password del server precedente.

-- run this to retrieve the password hash for an individual Login:
SELECT LOGINPROPERTY('Andreas','PASSWORDHASH') AS password_hash;
-- as an alternative, the catalog view sys.sql_logins can be used to retrieve the password hashes for multiple accounts at once. (This could be used to create a dynamic sql statemnt from the result set)
SELECT name, password_hash
FROM sys.sql_logins
  WHERE
    principal_id > 1    -- excluding sa
    AND
    name NOT LIKE '##MS_%##' -- excluding special MS system accounts
-- create the new SQL Login on the new database server using the hash of the source server
CREATE LOGIN Andreas
  WITH PASSWORD = 0x02000A1A89CD6C6E4C8B30A282354C8EA0860719D5D3AD05E0CAE1952A1C6107A4ED26BEBA2A13B12FAB5093B3CC2A1055910CC0F4B9686A358604E99BB9933C75B4EA48FDEA HASHED;

I. Creare un account di accesso per un utente di Microsoft Entra

Nell'esempio seguente viene creato un account di accesso per l'account joe@contoso.onmicrosoft.com Microsoft Entra esistente nel tenant di Microsoft Entra denominato contoso.

CREATE LOGIN [joe@contoso.onmicrosoft.com] FROM EXTERNAL PROVIDER

GO

J. Creare un account di accesso per un account Microsoft Entra federato

Nell'esempio seguente viene creato un account di accesso per un account bob@contoso.com Microsoft Entra federato esistente in un tenant denominato contoso. L'utente bob può anche essere un utente guest.

CREATE LOGIN [bob@contoso.com] FROM EXTERNAL PROVIDER
GO

K. Creare un account di accesso per un gruppo Microsoft Entra

L'esempio seguente crea un account di accesso per il gruppo mygroup Microsoft Entra esistente nel tenant contoso.

CREATE LOGIN [mygroup] FROM EXTERNAL PROVIDER
GO

.L Creare un account di accesso per un'applicazione Microsoft Entra

Nell'esempio seguente viene creato un account di accesso per l'applicazione Microsoft Entra myapp esistente nel tenant contoso.

CREATE LOGIN [myapp] FROM EXTERNAL PROVIDER

Contenuto correlato

• Introduzione alle autorizzazioni del motore di database
• Entità
• Criteri password
• ALTER LOGIN
• DROP LOGIN
• EVENTDATA
• Creare un account di accesso