CREATE LOGIN (Transact-SQL)

Hiermee maakt u een aanmelding voor SQL Server-, Azure SQL Database-, Azure SQL Managed Instance-, Azure Synapse Analytics- of Analytics Platform System-databases. Kies een van de volgende tabbladen voor de syntaxis, argumenten, opmerkingen, machtigingen en voorbeelden voor een bepaalde versie.

CREATE LOGIN neemt deel aan transacties. Als CREATE LOGIN wordt uitgevoerd binnen een transactie en de transactie wordt teruggedraaid, wordt het maken van de aanmelding teruggedraaid. Als deze wordt uitgevoerd binnen een transactie, kan de gemaakte aanmelding pas worden gebruikt als de transactie is doorgevoerd.

Notitie

Microsoft Entra ID voorheen Azure Active Directory (Azure AD) werd genoemd.

Zie Transact-SQL syntaxisconventiesvoor meer informatie over de syntaxisconventies.

Een product selecteren

Selecteer in de volgende rij de productnaam waarin u geïnteresseerd bent en alleen de informatie van dat product wordt weergegeven.

* SQL Server *  

Azure SQL Database-

Azure SQL
Managed Instance

Azure Synapse
Analyse-

Analytics Platform
Systeem (PDW)

 

SQL Server

Syntaxis

-- Syntax for SQL Server
CREATE LOGIN login_name { WITH <option_list1> | FROM <sources> }

<option_list1> ::=
    PASSWORD = { 'password' | hashed_password HASHED } [ MUST_CHANGE ]
    [ , <option_list2> [ ,... ] ]

<option_list2> ::=
    SID = sid
    | DEFAULT_DATABASE = database
    | DEFAULT_LANGUAGE = language
    | CHECK_EXPIRATION = { ON | OFF}
    | CHECK_POLICY = { ON | OFF}
    | CREDENTIAL = credential_name

<sources> ::=
    WINDOWS [ WITH <windows_options>[ ,... ] ]
    | EXTERNAL PROVIDER
    | CERTIFICATE certname
    | ASYMMETRIC KEY asym_key_name

<windows_options> ::=
    DEFAULT_DATABASE = database
    | DEFAULT_LANGUAGE = language

Argumenten

login_name

Hiermee geeft u de naam van de aanmelding die wordt gemaakt. Er zijn vijf typen aanmeldingen: SQL Server-aanmeldingen, Windows-aanmeldingen, Microsoft Entra-aanmeldingen, certificaattoewijzingen en asymmetrische aanmeldingen.

Wanneer u aanmeldingen maakt die zijn toegewezen vanuit een Windows-domeinaccount, moet u de aanmeldingsnaam gebruiken in de notatie [<domeinnaam>\<login_name>]. U kunt geen UPN gebruiken in de indeling login_name@DomainName. Zie voorbeeld E verderop in dit artikel voor een voorbeeld. Verificatieaanmeldingen zijn type sysname en moeten voldoen aan de regels voor id's en mogen geen backslash () bevatten. Windows-aanmeldingen kunnen een '\' bevatten. Aanmeldingen op basis van Active Directory-gebruikers zijn beperkt tot namen van minder dan 21 tekens.

Wanneer u de FROM EXTERNAL PROVIDER component gebruikt, moet de aanmeldingsnaam overeenkomen met de weergavenaam van een bestaande Microsoft Entra-principal in dezelfde tenant waarvoor het SQL-exemplaar arc is ingeschakeld. Microsoft Entra-gebruikers, -groepen en -toepassingen kunnen worden gebruikt om aanmeldingen te maken.

PASSWORD ='wachtwoord'

Alleen van toepassing op SQL Server-aanmeldingen. Hiermee geeft u het wachtwoord op voor de aanmelding die wordt gemaakt. Gebruik een sterk wachtwoord. Zie sterke wachtwoorden en wachtwoordbeleidvoor meer informatie. Vanaf SQL Server 2012 (11.x) wordt opgeslagen wachtwoordgegevens berekend met SHA-512 van het gezouten wachtwoord.

Wachtwoorden zijn hoofdlettergevoelig. Wachtwoorden moeten altijd ten minste acht tekens lang zijn en mogen niet langer zijn dan 128 tekens. Wachtwoorden kunnen a-z, A-Z, 0-9 en de meeste niet-phanumerische tekens bevatten. Wachtwoorden mogen geen enkele aanhalingstekens of de login_namebevatten.

PASSWORD = hashed_password

Alleen van toepassing op het trefwoord HASHED. Hiermee geeft u de gehashte waarde van het wachtwoord voor de aanmelding die wordt gemaakt.

HASHED

Alleen van toepassing op SQL Server-aanmeldingen. Hiermee geeft u op dat het wachtwoord dat is ingevoerd nadat het argument PASSWORD al is gehasht. Als deze optie niet is geselecteerd, wordt de tekenreeks die als wachtwoord is ingevoerd, gehasht voordat deze wordt opgeslagen in de database. Deze optie mag alleen worden gebruikt voor het migreren van databases van de ene server naar de andere. Gebruik de optie HASHED niet om nieuwe aanmeldingen te maken. De optie HASHED kan niet worden gebruikt met hashes die zijn gemaakt door SQL 7 of eerder.

MUST_CHANGE

Alleen van toepassing op SQL Server-aanmeldingen. Als deze optie is opgenomen, vraagt SQL Server de gebruiker om een nieuw wachtwoord wanneer de nieuwe aanmelding voor het eerst wordt gebruikt.

CREDENTIAL =credential_name

De naam van een referentie die moet worden toegewezen aan de nieuwe SQL Server-aanmelding. De referentie moet al aanwezig zijn op de server. Deze optie koppelt momenteel alleen de referenties aan een aanmelding. Een referentie kan niet worden toegewezen aan de aanmelding van de systeembeheerder (sa).

SID = sid

Wordt gebruikt om een aanmelding opnieuw te maken. Is alleen van toepassing op aanmeldingen voor SQL Server-verificatie, niet voor Aanmeldingen met Windows-verificatie. Hiermee geeft u de SID van de nieuwe SQL Server-verificatieaanmelding. Als deze optie niet wordt gebruikt, wijst SQL Server automatisch een SID toe. De SID-structuur is afhankelijk van de SQL Server-versie. SQL Server-aanmeldings-SID: een letterlijke waarde van 16 byte (binary(16)) op basis van een GUID. Bijvoorbeeld SID = 0x14585E90117152449347750164BA00A7.

DEFAULT_DATABASE =database-

Hiermee geeft u de standaarddatabase moet worden toegewezen aan de aanmelding. Als deze optie niet is opgenomen, wordt de standaarddatabase ingesteld op master.

DEFAULT_LANGUAGE =taal

Hiermee geeft u de standaardtaal die moet worden toegewezen aan de aanmelding. Als deze optie niet is opgenomen, wordt de standaardtaal ingesteld op de huidige standaardtaal van de server. Als de standaardtaal van de server later wordt gewijzigd, blijft de standaardtaal van de aanmelding ongewijzigd.

CHECK_EXPIRATION = { AAN | UIT }

Alleen van toepassing op SQL Server-aanmeldingen. Hiermee geeft u op of het wachtwoordverloopbeleid moet worden afgedwongen bij deze aanmelding. De standaardwaarde is UIT.

CHECK_POLICY = { ON | UIT }

Alleen van toepassing op SQL Server-aanmeldingen. Hiermee geeft u op dat het Windows-wachtwoordbeleid van de computer waarop SQL Server wordt uitgevoerd, moet worden afgedwongen bij deze aanmelding. De standaardwaarde is AAN.

Als het Windows-beleid sterke wachtwoorden vereist, moeten wachtwoorden ten minste drie van de volgende vier kenmerken bevatten:

• Een hoofdletter (A-Z).
• Een kleine letter (a-z).
• Een cijfer (0-9).
• Een van de niet-phanumerische tekens, zoals een spatie, _, @, *, ^, %, !, $, #, #of &.

RAMEN

Hiermee geeft u op dat de aanmelding wordt toegewezen aan een Windows-aanmelding.

VAN EXTERNE PROVIDER

Hiermee geeft u op dat de aanmelding is toegewezen aan een Microsoft Entra-principal. Deze optie is beschikbaar voor SQL Server 2022 en latere versies met Arc. Zie Microsoft Entra-verificatie voor SQL Server- voor meer informatie

CERTIFICAAT certificaatnaam

Hiermee geeft u de naam op van een certificaat dat moet worden gekoppeld aan deze aanmelding. Dit certificaat moet al voorkomen in de master-database.

ASYMMETRISCHE SLEUTEL asym_key_name

Hiermee geeft u de naam op van een asymmetrische sleutel die moet worden gekoppeld aan deze aanmelding. Deze sleutel moet al voorkomen in de master-database.

Opmerkingen

• Wachtwoorden zijn hoofdlettergevoelig.
• Prehashing van wachtwoorden wordt alleen ondersteund wanneer u SQL Server-aanmeldingen maakt.
• Als MUST_CHANGE is opgegeven, moeten CHECK_EXPIRATION en CHECK_POLICY worden ingesteld op ON. Anders mislukt de instructie.
• Een combinatie van CHECK_POLICY = OFF en CHECK_EXPIRATION = ON wordt niet ondersteund.
• Wanneer CHECK_POLICY is ingesteld op OFF, wordt lockout_time opnieuw ingesteld en wordt CHECK_EXPIRATION ingesteld op OFF.

Belangrijk

CHECK_EXPIRATION en CHECK_POLICY worden alleen afgedwongen in Windows Server 2003 en latere versies. Zie Wachtwoordbeleidvoor meer informatie.

• Aanmeldingen die zijn gemaakt op basis van certificaten of asymmetrische sleutels, worden alleen gebruikt voor het ondertekenen van code. Ze kunnen niet worden gebruikt om verbinding te maken met SQL Server. U kunt een aanmelding alleen maken vanaf een certificaat of asymmetrische sleutel wanneer het certificaat of de asymmetrische sleutel al bestaat in master.
• Zie How to transfer the logins and the passwords between instances of SQL Server 2005 and SQL Server 2008voor een script voor het overdragen van aanmeldingen.
• Als u een aanmelding maakt, wordt de nieuwe aanmelding automatisch ingeschakeld en wordt de aanmelding verleend op serverniveau CONNECT SQL-machtiging.
• De verificatiemodus van de server moet overeenkomen met het aanmeldingstype om toegang te verlenen.
• Zie Aan de slag met database-enginemachtigingenvoor informatie over het ontwerpen van een machtigingssysteem.

Machtigingen

• Alleen gebruikers met ALTER ANY LOGIN machtiging op de server of lidmaatschap van de securityadmin vaste serverrol kunnen aanmeldingen maken. Zie Server-Level functies en ALTER SERVER ROLEvoor meer informatie.
• Als de optie CREDENTIAL wordt gebruikt, moet u ook ELKE REFERENTIE wijzigen machtiging op de server.

Machtigingen voor SQL Server 2022 en hoger

Vereist de machtiging CREATE LOGIN op de server of het lidmaatschap van de ##MS_LoginManager## vaste serverfunctie.

Na het maken van een aanmelding

Nadat u een aanmelding hebt gemaakt, kan de aanmelding verbinding maken met SQL Server, maar heeft deze alleen de machtigingen die zijn verleend aan de openbare rol. Overweeg enkele van de volgende activiteiten uit te voeren.

• Als u verbinding wilt maken met een database, maakt u een databasegebruiker voor de aanmelding. Zie CREATE USERvoor meer informatie.
• Maak een door de gebruiker gedefinieerde serverfunctie met behulp van SERVERFUNCTIE MAKEN. Gebruik ALTER SERVER ROLE ... ADD MEMBER om de nieuwe aanmelding toe te voegen aan de door de gebruiker gedefinieerde serverfunctie. Zie SERVERFUNCTIE MAKEN en ALTER SERVER ROLEvoor meer informatie.
• Gebruik sp_addsrvrolemember om de aanmelding toe te voegen aan een vaste serverfunctie. Zie Server-Level Rollen en sp_addsrvrolemembervoor meer informatie.
• Gebruik de instructie GRANT om machtigingen op serverniveau te verlenen aan de nieuwe aanmelding of aan een rol die de aanmelding bevat. Zie GRANTvoor meer informatie.

Voorbeelden

Een. Een aanmelding met een wachtwoord maken

In het volgende voorbeeld wordt een aanmelding voor een bepaalde gebruiker gemaakt en wordt een wachtwoord toegewezen.

CREATE LOGIN <login_name> WITH PASSWORD = '<enterStrongPasswordHere>';
GO

B. Een aanmelding maken met een wachtwoord dat moet worden gewijzigd

In het volgende voorbeeld wordt een aanmelding voor een bepaalde gebruiker gemaakt en wordt een wachtwoord toegewezen. De optie MUST_CHANGE vereist dat gebruikers dit wachtwoord wijzigen wanneer ze voor het eerst verbinding maken met de server.

van toepassing op: SQL Server 2008 (10.0.x) en latere versies.

CREATE LOGIN <login_name> WITH PASSWORD = '<enterStrongPasswordHere>'
    MUST_CHANGE, CHECK_EXPIRATION = ON;
GO

Notitie

De optie MUST_CHANGE kan niet worden gebruikt wanneer CHECK_EXPIRATION uit is.

C. Een aanmelding maken die is toegewezen aan een referentie

In het volgende voorbeeld wordt de aanmelding voor een bepaalde gebruiker gemaakt met behulp van de gebruiker. Deze aanmelding wordt toegewezen aan de referentie.

van toepassing op: SQL Server 2008 (10.0.x) en latere versies.

CREATE LOGIN <login_name> WITH PASSWORD = '<enterStrongPasswordHere>',
    CREDENTIAL = <credentialName>;
GO

D. Een aanmelding maken op basis van een certificaat

In het volgende voorbeeld wordt een aanmelding voor een bepaalde gebruiker gemaakt op basis van een certificaat in master.

van toepassing op: SQL Server 2008 (10.0.x) en latere versies.

USE MASTER;
CREATE CERTIFICATE <certificateName>
    WITH SUBJECT = '<login_name> certificate in master database',
    EXPIRY_DATE = '12/05/2025';
GO
CREATE LOGIN <login_name> FROM CERTIFICATE <certificateName>;
GO

E. Een aanmelding maken vanuit een Windows-domeinaccount

In het volgende voorbeeld wordt een aanmelding gemaakt op basis van een Windows-domeinaccount.

van toepassing op: SQL Server 2008 (10.0.x) en latere versies.

CREATE LOGIN [<domainName>\<login_name>] FROM WINDOWS;
GO

F. Een aanmelding maken op basis van een SID

In het volgende voorbeeld wordt eerst een aanmelding voor SQL Server-verificatie gemaakt en wordt de SID van de aanmelding bepaald.

CREATE LOGIN TestLogin WITH PASSWORD = 'SuperSecret52&&';
SELECT name, sid FROM sys.sql_logins WHERE name = 'TestLogin';
GO

Mijn query retourneert 0x241C11948AEEB749B0D22646DB1A19F2 als sid. Uw query retourneert een andere waarde. Met de volgende instructies verwijdert u de aanmelding en maakt u de aanmelding opnieuw. Gebruik de SID van uw vorige query.

DROP LOGIN TestLogin;
GO

CREATE LOGIN TestLogin
WITH PASSWORD = 'SuperSecret52&&', SID = 0x241C11948AEEB749B0D22646DB1A19F2;

SELECT * FROM sys.sql_logins WHERE name = 'TestLogin';
GO

G. Een aanmelding met meerdere argumenten maken

In het volgende voorbeeld ziet u hoe u meerdere argumenten samen tekent met behulp van komma's tussen elk argument. Vervang <password> door een geldig wachtwoord.

CREATE LOGIN [MyUser]
WITH PASSWORD = '<password>',
DEFAULT_DATABASE = MyDatabase,
CHECK_POLICY = OFF,
CHECK_EXPIRATION = OFF ;

H. Een SQL-aanmelding met een gehasht wachtwoord maken

In het volgende voorbeeld ziet u hoe u SQL-aanmeldingen maakt met hetzelfde wachtwoord als bestaande aanmeldingen, zoals in een migratiescenario. De eerste stap is het ophalen van de wachtwoord-hash uit bestaande aanmeldingen op de brondatabaseserver. Vervolgens wordt dezelfde hash gebruikt om de aanmelding op een nieuwe databaseserver te maken. Als u dit doet, heeft de nieuwe aanmelding hetzelfde wachtwoord als op de oude server.

-- run this to retrieve the password hash for an individual Login:
SELECT LOGINPROPERTY('Andreas','PASSWORDHASH') AS password_hash;
-- as an alternative, the catalog view sys.sql_logins can be used to retrieve the password hashes for multiple accounts at once. (This could be used to create a dynamic sql statement from the result set
SELECT name, password_hash
FROM sys.sql_logins
  WHERE
    principal_id > 1    -- excluding sa
    AND
    name NOT LIKE '##MS_%##' -- excluding special MS system accounts
-- create the new SQL Login on the new database server using the hash of the source server
CREATE LOGIN Andreas
  WITH PASSWORD = 0x02000A1A89CD6C6E4C8B30A282354C8EA0860719D5D3AD05E0CAE1952A1C6107A4ED26BEBA2A13B12FAB5093B3CC2A1055910CC0F4B9686A358604E99BB9933C75B4EA48FDEA HASHED;

Ik. Een aanmelding voor een Microsoft Entra-gebruiker maken

In het volgende voorbeeld wordt een aanmelding gemaakt voor het Microsoft Entra-account joe@contoso.onmicrosoft.com die bestaat in de Microsoft Entra-tenant met de naam contoso.

CREATE LOGIN [joe@contoso.onmicrosoft.com] FROM EXTERNAL PROVIDER

GO

J. Een aanmelding maken voor een federatief Microsoft Entra-account

In het volgende voorbeeld wordt een aanmelding gemaakt voor een federatief Microsoft Entra-account bob@contoso.com dat bestaat in een tenant met de naam contoso. Gebruiker bob kan ook een gastgebruiker zijn.

CREATE LOGIN [bob@contoso.com] FROM EXTERNAL PROVIDER
GO

K. Een aanmelding voor een Microsoft Entra-groep maken

In het volgende voorbeeld wordt een aanmelding gemaakt voor de Microsoft Entra-groep mygroup die bestaat in de tenant contoso.

CREATE LOGIN [mygroup] FROM EXTERNAL PROVIDER
GO

L. Een aanmelding voor een Microsoft Entra-toepassing maken

In het volgende voorbeeld wordt een aanmelding gemaakt voor de Microsoft Entra-toepassing myapp- die bestaat in de tenant contoso.

CREATE LOGIN [myapp] FROM EXTERNAL PROVIDER

Verwante inhoud

• Aan de slag met database-enginemachtigingen
• principals
• wachtwoordbeleid
• ALTER LOGIN
• DROP LOGIN
• EVENTDATA-
• Een aanmeldings- maken