CREATE LOGIN (Transact-SQL)

Cria um logon para bancos de dados SQL Server, Banco de Dados SQL do Azure, Instância Gerenciada de SQL do Azure, Azure Synapse Analytics ou Analytics Platform System. Escolha uma das guias a seguir para a sintaxe, argumentos, observações, permissões e exemplos de uma versão específica.

CREATE LOGIN participa de transações. Se CREATE LOGIN for executado em uma transação e a transação for revertida, criação do logon será revertida. Se executado em uma transação, o logon criado não poderá ser usado até a transação ser confirmada.

Observação

O Microsoft Entra ID era conhecido como Azure Active Directory (Azure AD).

Para obter mais informações sobre as convenções de sintaxe, confira Convenções de sintaxe Transact-SQL.

Selecionar um produto

Na linha a seguir, selecione o nome do produto em que você tem interesse e somente as informações do produto serão exibidas.

* SQL Server *  

Banco de Dados SQL do Azure

SQL do Azure
Banco de Dados SQL

Azure Synapse
Análise

Analytics Platform
System (PDW)

 

SQL Server

Sintaxe

-- Syntax for SQL Server
CREATE LOGIN login_name { WITH <option_list1> | FROM <sources> }

<option_list1> ::=
    PASSWORD = { 'password' | hashed_password HASHED } [ MUST_CHANGE ]
    [ , <option_list2> [ ,... ] ]

<option_list2> ::=
    SID = sid
    | DEFAULT_DATABASE = database
    | DEFAULT_LANGUAGE = language
    | CHECK_EXPIRATION = { ON | OFF}
    | CHECK_POLICY = { ON | OFF}
    | CREDENTIAL = credential_name

<sources> ::=
    WINDOWS [ WITH <windows_options>[ ,... ] ]
    | EXTERNAL PROVIDER
    | CERTIFICATE certname
    | ASYMMETRIC KEY asym_key_name

<windows_options> ::=
    DEFAULT_DATABASE = database
    | DEFAULT_LANGUAGE = language

Argumentos

login_name

Especifica o nome do logon criado. Há cinco tipos de logons: logons do SQL Server, logons do Windows, logons do Microsoft Entra, logons mapeados por certificado e logons mapeados por chave assimétrica.

Ao criar logons mapeados de uma conta de domínio do Windows, você deve usar o nome de logon no formato [<domainName>\<login_name>]. Não é possível usar um UPN no formato nome_de_logon@NomedeDomínio. Para obter um exemplo, consulte o exemplo E mais adiante neste artigo. Os logons de autenticação são do tipo sysname e devem estar em conformidade com as regras para Identificadores e não podem conter uma barra invertida (). Os logons do Windows podem conter um ' \ '. Os logons baseados em usuários do Active Directory são limitados a nomes com menos de 21 caracteres.

Ao usar a cláusula FROM EXTERNAL PROVIDER , o nome de logon deve corresponder ao nome de exibição de uma entidade de segurança existente do Microsoft Entra no mesmo locatário para o qual a instância SQL está habilitada para Arc. Usuários, grupos e aplicativos do Microsoft Entra podem ser usados para criar logons.

PASSWORD ='password'

Aplica-se apenas a logons do SQL Server. Especifica a senha do logon que está sendo criado. Use uma senha forte. Para obter mais informações, consulte Senhas fortes e Política de senha. Começando com SQL Server 2012 (11.x)armazenadas, informações de senha armazenadas são calculadas usando SHA-512 da senha com valor de sal.

As senhas diferenciam maiúsculas de minúsculas. As senhas devem sempre ter pelo menos oito caracteres e não podem exceder 128 caracteres. Elas podem incluir caracteres de a-z, A-Z, 0-9, e a maioria dos caracteres não alfanuméricos. As senhas não podem conter aspas simples ou login_name.

SENHA = hashed_password

Só se aplica à palavra-chave HASHED. Especifica o valor com hash da senha para o logon que está sendo criado.

HASHED

Aplica-se apenas a logons do SQL Server. Especifica que a senha digitada depois do argumento PASSWORD já esteja com hash. Se essa opção não estiver selecionada, a cadeia de caracteres inserida como senha será criptografada antes de ser armazenada no banco de dados. Essa opção deve ser usada somente para migrar bancos de dados de um servidor para outro. Não use a opção HASHED para criar novos logins. A opção HASHED não pode ser usada com hashes criados pelo SQL 7 ou anterior.

MUST_CHANGE

Aplica-se apenas a logons do SQL Server. Se esta opção estiver incluída, o SQL Server solicitará ao usuário uma nova senha quando o novo logon for usado pela primeira vez.

CREDENCIAL =credential_name

O nome de uma credencial a ser mapeada para o novo logon do SQL Server. A credencial já deve existir no servidor. Atualmente, esta opção vincula apenas a credencial a um logon. Uma credencial não pode ser mapeada para o logon do Administrador do Sistema (sa).

SID = sid

Usado para recriar um logon. Aplica-se apenas aos logons de autenticação do SQL Server, e não aos logons de autenticação do Windows. Especifica o SID do novo logon de autenticação do SQL Server. Se essa opção não for usada, o SQL Server atribuirá um SID automaticamente. A estrutura do SID depende da versão do SQL Server. SID de logon do SQL Server: um valor literal de 16 bytes (binary(16) ) baseado em um GUID. Por exemplo, SID = 0x14585E90117152449347750164BA00A7.

DEFAULT_DATABASE =banco de dados

Especifica o banco de dados padrão a ser atribuído ao logon. Se essa opção não estiver incluída, o banco de dados padrão será definido como master.

DEFAULT_LANGUAGE =idioma

Especifica o idioma padrão a ser atribuído ao logon. Se essa opção não estiver incluída, o idioma padrão será definido como o idioma padrão atual do servidor. Se o idioma padrão do servidor for alterado posteriormente, o idioma padrão do logon permanecerá inalterado.

CHECK_EXPIRATION = { ON | OFF }

Aplica-se apenas a logons do SQL Server. Especifica se a política de expiração de senha deve ser aplicada neste logon. O valor padrão é OFF.

CHECK_POLICY = { ON | DESLIGADO }

Aplica-se apenas a logons do SQL Server. Especifica se as políticas de senha do Windows do computador em que o SQL Server está em execução devem ser aplicadas neste logon. O valor padrão é ON.

Se a diretiva de Windows exigir senhas fortes, as senhas deverão conter pelo menos três das quatro características a seguir:

• Um caractere maiúsculo (A-Z).
• Um caractere minúsculo (a-z).
• Um dígito (0-9).
• Um dos caracteres não alfanuméricos, como um espaço, _, @, *, ^, %, !, $, # ou &.

WINDOWS

Especifica que o logon seja mapeado para um logon do Windows.

FROM EXTERNAL PROVIDER

Especifica que o logon é mapeado para uma entidade de segurança do Microsoft Entra. Essa opção está disponível para o SQL Server habilitado para Arc 2022 e versões posteriores. Para obter mais informações, consulte Autenticação do Microsoft Entra para SQL Server

CERTIFICATE certname

Especifica o nome de um certificado a ser associado a este logon. Esse certificado já deve ocorrer no master banco de dados.

ASYMMETRIC KEY asym_key_name

Especifica o nome de uma chave assimétrica a ser associada a este logon. Essa chave já deve ocorrer no master banco de dados.

Comentários

• As senhas diferenciam maiúsculas de minúsculas.
• O pré-hash de senhas só tem suporte quando você está criando logons do SQL Server.
• Se MUST_CHANGE for especificado, CHECK_EXPIRATION e CHECK_POLICY devem ser definidos como ON. Caso contrário, a instrução falhará.
• Não há suporte para uma combinação de CHECK_POLICY = OFF e CHECK_EXPIRATION = ON
• Quando CHECK_POLICY é definido como OFF, lockout_time é redefinido e CHECK_EXPIRATION definido como OFF.

Importante

CHECK_EXPIRATION e CHECK_POLICY são impostas apenas no Windows Server 2003 e versões posteriores. Para obter mais informações, consulte Password Policy.

• Os logons criados a partir de certificados ou chaves assimétricas só são usados para assinatura de código. Eles não podem ser usados para se conectar ao SQL Server. Você pode criar um logon a partir de um certificado ou chave assimétrica somente quando o certificado ou a chave assimétrica já existir no master.
• Para um script transferir logons, consulte Como transferir os logons e senhas entre instâncias do SQL Server 2005 e SQL Server 2008.
• Criar um logon automaticamente habilita o novo logon e concede a ele a permissão CONNECT SQL de nível de servidor.
• O modo de autenticação do servidor deve corresponder ao tipo de logon para permitir o acesso.
• Para obter informações sobre como criar um sistema de permissões, veja Introdução às permissões do mecanismo de banco de dados.

Permissões

• Apenas usuários com a permissão ALTER ANY LOGIN no servidor ou com associação na função de servidor fixa securityadmin podem criar logons. Para obter mais informações, confira Funções de nível de servidor e ALTER SERVER ROLE.
• Se a opção CREDENTIAL for usada, também será necessária a permissão ALTER ANY CREDENTIAL no servidor.

Permissões do SQL Server 2022 e posteriores

Requer a permissão CREATE LOGIN no servidor ou associação na função de servidor fixa ##MS_LoginManager##.

Após criar um logon

Depois de criar um logon, ele poderá se conectar ao SQL Server, mas terá as permissões concedidas apenas à função pública. Execute algumas das atividades a seguir.

• Para conectar-se a um banco de dados, crie um usuário de banco de dados para o logon. Para obter mais informações, confira CREATE USER.
• Crie uma função de servidor definida pelo usuário usando CREATE SERVER ROLE. Use ALTER SERVER ROLE ... ADD MEMBER para adicionar o novo logon à função de servidor definida pelo usuário. Para obter mais informações, consulte CREATE SERVER ROLE e ALTER SERVER ROLE.
• Use sp_addsrvrolemember para adicionar o logon a uma função de servidor fixa. Para obter mais informações, consulte Funções de nível de servidor e sp_addsrvrolemember.
• Use a instrução GRANT para conceder permissões do nível de servidor para o novo logon ou para uma função que contém o logon. Para obter mais informações, consulte GRANT.

Exemplos

R. Crie um login com uma senha

O exemplo a seguir cria um logon para um usuário específico e atribui uma senha.

CREATE LOGIN <login_name> WITH PASSWORD = '<enterStrongPasswordHere>';
GO

B. Crie um login com uma senha que deve ser alterada

O exemplo a seguir cria um logon para um usuário específico e atribui uma senha. A opção MUST_CHANGE requer que os usuários alterem essa senha na primeira vez em que eles conectam ao servidor.

Aplica-se a: SQL Server 2008 (10.0.x) e versões posteriores.

CREATE LOGIN <login_name> WITH PASSWORD = '<enterStrongPasswordHere>'
    MUST_CHANGE, CHECK_EXPIRATION = ON;
GO

Observação

A opção MUST_CHANGE não pode ser usada quando CHECK_EXPIRATION estiver OFF.

C. Criar um logon mapeado para uma credencial

O exemplo a seguir cria o logon para um usuário específico usando o usuário. Esse logon é mapeado para a credencial.

Aplica-se a: SQL Server 2008 (10.0.x) e versões posteriores.

CREATE LOGIN <login_name> WITH PASSWORD = '<enterStrongPasswordHere>',
    CREDENTIAL = <credentialName>;
GO

D. Criar um logon a partir de um certificado

O exemplo a seguir cria logon para um usuário específico a partir de um certificado no master.

Aplica-se a: SQL Server 2008 (10.0.x) e versões posteriores.

USE MASTER;
CREATE CERTIFICATE <certificateName>
    WITH SUBJECT = '<login_name> certificate in master database',
    EXPIRY_DATE = '12/05/2025';
GO
CREATE LOGIN <login_name> FROM CERTIFICATE <certificateName>;
GO

E. Criar um logon de uma conta de domínio do Windows

O exemplo a seguir cria um logon a partir de uma conta de domínio do Windows.

Aplica-se a: SQL Server 2008 (10.0.x) e versões posteriores.

CREATE LOGIN [<domainName>\<login_name>] FROM WINDOWS;
GO

F. Criar um logon a partir de um SID

O exemplo a seguir cria primeiro um logon de autenticação do SQL Server e determina seu SID.

CREATE LOGIN TestLogin WITH PASSWORD = 'SuperSecret52&&';
SELECT name, sid FROM sys.sql_logins WHERE name = 'TestLogin';
GO

Minha consulta retorna 0x241C11948AEEB749B0D22646DB1A19F2 como o SID. Sua consulta retornará um valor diferente. As instruções a seguir excluem o logon e depois o recriam. Use o SID da consulta anterior.

DROP LOGIN TestLogin;
GO

CREATE LOGIN TestLogin
WITH PASSWORD = 'SuperSecret52&&', SID = 0x241C11948AEEB749B0D22646DB1A19F2;

SELECT * FROM sys.sql_logins WHERE name = 'TestLogin';
GO

G. Criar um logon com vários argumentos

O exemplo a seguir mostra como encadear vários argumentos usando vírgulas entre cada argumento.

CREATE LOGIN [MyUser]
WITH PASSWORD = 'MyPassword',
DEFAULT_DATABASE = MyDatabase,
CHECK_POLICY = OFF,
CHECK_EXPIRATION = OFF ;

H. Criar um logon SQL com senha com hash

O exemplo a seguir mostra como criar Logons do SQL com a mesma senha que os logins existentes, como é feito em um cenário de migração. A primeira etapa é recuperar o hash de senha de Logons existentes no servidor de banco de dados de origem. Em seguida, o mesmo hash será usado para criar o Logon em um novo servidor de banco de dados. Ao fazer isso, o novo Logon terá a mesma senha do servidor antigo.

-- run this to retrieve the password hash for an individual Login:
SELECT LOGINPROPERTY('Andreas','PASSWORDHASH') AS password_hash;
-- as an alternative, the catalog view sys.sql_logins can be used to retrieve the password hashes for multiple accounts at once. (This could be used to create a dynamic sql statement from the result set
SELECT name, password_hash
FROM sys.sql_logins
  WHERE
    principal_id > 1    -- excluding sa
    AND
    name NOT LIKE '##MS_%##' -- excluding special MS system accounts
-- create the new SQL Login on the new database server using the hash of the source server
CREATE LOGIN Andreas
  WITH PASSWORD = 0x02000A1A89CD6C6E4C8B30A282354C8EA0860719D5D3AD05E0CAE1952A1C6107A4ED26BEBA2A13B12FAB5093B3CC2A1055910CC0F4B9686A358604E99BB9933C75B4EA48FDEA HASHED;

I. Criar um logon para um usuário do Microsoft Entra

O exemplo a seguir cria um logon para a conta joe@contoso.onmicrosoft.com do Microsoft Entra que existe no locatário do Microsoft Entra chamado contoso.

CREATE LOGIN [joe@contoso.onmicrosoft.com] FROM EXTERNAL PROVIDER

GO

J. Criar um logon para uma conta federada do Microsoft Entra

O exemplo a seguir cria um logon para uma conta bob@contoso.com federada do Microsoft Entra que existe em um locatário chamado contoso. O usuário Bob também pode ser um usuário convidado.

CREATE LOGIN [bob@contoso.com] FROM EXTERNAL PROVIDER
GO

K. Criar um logon para um grupo do Microsoft Entra

O exemplo a seguir cria um logon para o grupo mygroup do Microsoft Entra que existe no locatário contoso.

CREATE LOGIN [mygroup] FROM EXTERNAL PROVIDER
GO

L. Criar um logon para um aplicativo do Microsoft Entra

O exemplo a seguir cria um logon para o aplicativo myapp do Microsoft Entra que existe no locatário contoso.

CREATE LOGIN [myapp] FROM EXTERNAL PROVIDER

Conteúdo relacionado

• Guia de Introdução às permissões do mecanismo de banco de dados
• Entidades
• Política de senha
• ALTER LOGIN
• DROP LOGIN
• EVENTDATA
• Criar um logon