SKAPA INLOGGNING (Transact-SQL)

Skapar en inloggning för SQL Server-, Azure SQL Database-, Azure SQL Managed Instance-, Azure Synapse Analytics- eller Analytics Platform System-databaser. Välj någon av följande flikar för syntax, argument, kommentarer, behörigheter och exempel för en viss version.

CREATE LOGIN deltar i transaktioner. Om CREATE LOGIN körs i en transaktion och transaktionen återställs återställs, återställs skapandet av inloggningen. Om den körs i en transaktion kan den skapade inloggningen inte användas förrän transaktionen har checkats in.

Not

Microsoft Entra ID tidigare kallades Azure Active Directory (Azure AD).

Mer information om syntaxkonventionerna finns i Transact-SQL syntaxkonventioner.

Välj en produkt

På följande rad väljer du det produktnamn som du är intresserad av och endast den produktinformationen visas.

* SQL Server *  

Azure SQL Database

Azure SQL
Hanterad instans

Azure Synapse
Analys

Analytics Platform
System (PDW)

 

SQL Server

Syntax

-- Syntax for SQL Server
CREATE LOGIN login_name { WITH <option_list1> | FROM <sources> }

<option_list1> ::=
    PASSWORD = { 'password' | hashed_password HASHED } [ MUST_CHANGE ]
    [ , <option_list2> [ ,... ] ]

<option_list2> ::=
    SID = sid
    | DEFAULT_DATABASE = database
    | DEFAULT_LANGUAGE = language
    | CHECK_EXPIRATION = { ON | OFF}
    | CHECK_POLICY = { ON | OFF}
    | CREDENTIAL = credential_name

<sources> ::=
    WINDOWS [ WITH <windows_options>[ ,... ] ]
    | EXTERNAL PROVIDER
    | CERTIFICATE certname
    | ASYMMETRIC KEY asym_key_name

<windows_options> ::=
    DEFAULT_DATABASE = database
    | DEFAULT_LANGUAGE = language

Argument

login_name

Anger namnet på den inloggning som skapas. Det finns fem typer av inloggningar: SQL Server-inloggningar, Windows-inloggningar, Microsoft Entra-inloggningar, certifikatmappade inloggningar och asymmetriska nyckelmappade inloggningar.

När du skapar inloggningar som mappas från ett Windows-domänkonto måste du använda inloggningsnamnet i formatet [<domainName>\<login_name>]. Du kan inte använda ett UPN i formatet login_name@DomainName. Ett exempel finns i exempel E senare i den här artikeln. Autentiseringsinloggningar är typ sysname och måste följa reglerna för identifierare och får inte innehålla ett omvänt snedstreck (). Windows-inloggningar kan innehålla en\. Inloggningar baserade på Active Directory-användare är begränsade till namn på färre än 21 tecken.

När du använder satsen FROM EXTERNAL PROVIDER måste inloggningsnamnet matcha visningsnamnet för ett befintligt Microsoft Entra-huvudnamn i samma klientorganisation som SQL-instansen är Arc-aktiverad för. Microsoft Entra-användare, grupper och program kan användas för att skapa inloggningar.

PASSWORD ='lösenord'

Gäller endast för SQL Server-inloggningar. Anger lösenordet för inloggningen som skapas. Använd ett starkt lösenord. Mer information finns i Starka lösenord och lösenordsprincip. Från och med SQL Server 2012 (11.x) beräknas lagrad lösenordsinformation med SHA-512 av det saltade lösenordet.

Lösenord är skiftlägeskänsliga. Lösenord ska alltid vara minst åtta tecken långa och får inte överstiga 128 tecken. Lösenord kan innehålla a-z, A-Z, 0-9 och de flesta icke-numeriska tecken. Lösenord får inte innehålla enkla citattecken eller login_name.

PASSWORD = hashed_password

Gäller endast för HASHED-nyckelordet. Anger hashvärdet för lösenordet för inloggningen som skapas.

HASHED

Gäller endast för SQL Server-inloggningar. Anger att lösenordet som angetts efter argumentet LÖSENORD redan har hashats. Om det här alternativet inte är markerat hashas strängen som angetts som lösenord innan den lagras i databasen. Det här alternativet bör endast användas för att migrera databaser från en server till en annan. Använd inte HASHED-alternativet för att skapa nya inloggningar. Hashed-alternativet kan inte användas med hashvärden som skapats av SQL 7 eller tidigare.

MUST_CHANGE

Gäller endast för SQL Server-inloggningar. Om det här alternativet ingår uppmanar SQL Server användaren att ange ett nytt lösenord första gången den nya inloggningen används.

CREDENTIAL =credential_name

Namnet på en autentiseringsuppgift som ska mappas till den nya SQL Server-inloggningen. Autentiseringsuppgifterna måste redan finnas på servern. För närvarande länkar det här alternativet endast autentiseringsuppgifterna till en inloggning. Det går inte att mappa en autentiseringsuppgift till systemadministratörens (sa) inloggning.

SID = sid

Används för att återskapa en inloggning. Gäller endast för SQL Server-autentiseringsinloggningar, inte Windows-autentiseringsinloggningar. Anger SID för den nya SQL Server-autentiseringsinloggningen. Om det här alternativet inte används tilldelar SQL Server automatiskt ett SID. SID-strukturen beror på SQL Server-versionen. SQL Server-inloggnings-SID: ett 16 byte (binärt(16)) literalvärde baserat på ett GUID. Till exempel SID = 0x14585E90117152449347750164BA00A7.

DEFAULT_DATABASE =databas

Anger den standarddatabas som ska tilldelas till inloggningen. Om det här alternativet inte ingår är standarddatabasen inställd på master.

DEFAULT_LANGUAGE =språk

Anger det standardspråk som ska tilldelas till inloggningen. Om det här alternativet inte ingår är standardspråket inställt på serverns aktuella standardspråk. Om standardspråket för servern ändras senare förblir standardspråket för inloggningen oförändrat.

CHECK_EXPIRATION = { ON | AV }

Gäller endast för SQL Server-inloggningar. Anger om lösenordets förfalloprincip ska tillämpas vid den här inloggningen. Standardvärdet är AV.

CHECK_POLICY = { ON | AV }

Gäller endast för SQL Server-inloggningar. Anger att Windows-lösenordsprinciperna för den dator där SQL Server körs ska tillämpas vid den här inloggningen. Standardvärdet är PÅ.

Om Windows-principen kräver starka lösenord måste lösenord innehålla minst tre av följande fyra egenskaper:

• Ett versaler (A-Z).
• Ett gemener (a-z).
• En siffra (0–9).
• Ett av de icke-numeriska tecknen, till exempel blanksteg, _, @, *, ^, %, !, $, #eller &.

WINDOWS

Anger att inloggningen ska mappas till en Windows-inloggning.

FRÅN EXTERN PROVIDER

Anger att inloggningen är mappad till ett Microsoft Entra-huvudnamn. Det här alternativet är tillgängligt för Arc-aktiverade SQL Server 2022- och senare versioner. Mer information finns i Microsoft Entra-autentisering för SQL Server

CERTIFIKAT certifikatnamn

Anger namnet på ett certifikat som ska associeras med den här inloggningen. Det här certifikatet måste redan finnas i master-databasen.

ASYMMETRISK NYCKEL asym_key_name

Anger namnet på en asymmetrisk nyckel som ska associeras med den här inloggningen. Den här nyckeln måste redan finnas i master-databasen.

Anmärkningar

• Lösenord är skiftlägeskänsliga.
• Prehashing av lösenord stöds endast när du skapar SQL Server-inloggningar.
• Om MUST_CHANGE anges måste CHECK_EXPIRATION och CHECK_POLICY anges till ON. Annars misslyckas -instruktionen.
• En kombination av CHECK_POLICY = OFF och CHECK_EXPIRATION = ON stöds inte.
• När CHECK_POLICY är inställt på OFFåterställs lockout_time och CHECK_EXPIRATION är inställt på OFF.

Viktig

CHECK_EXPIRATION och CHECK_POLICY tillämpas endast på Windows Server 2003 och senare versioner. Mer information finns i lösenordsprincip.

• Inloggningar som skapats från certifikat eller asymmetriska nycklar används endast för kodsignering. De kan inte användas för att ansluta till SQL Server. Du kan bara skapa en inloggning från ett certifikat eller en asymmetrisk nyckel när certifikatet eller den asymmetriska nyckeln redan finns i master.
• Ett skript för att överföra inloggningar finns i Så här överför du inloggningar och lösenord mellan instanser av SQL Server 2005 och SQL Server 2008.
• När du skapar en inloggning aktiveras automatiskt den nya inloggningen och ger inloggningen behörigheten CONNECT SQL behörighet.
• Serverns autentiseringsläge måste matcha inloggningstypen för att tillåta åtkomst.
• Information om hur du utformar ett behörighetssystem finns i Komma igång med behörigheter för databasmotorn.

Behörigheter

• Endast användare med ÄNDRA BEHÖRIGHETER FÖR INLOGGNING på servern eller medlemskapet i securityadmin fast serverroll kan skapa inloggningar. Mer information finns i Server-Level Roller och ALTER SERVER ROLE.
• Om alternativet CREDENTIAL används, krävs även ÄNDRA BEHÖRIGHET BEHÖRIGHET PÅ servern.

Behörigheter för SQL Server 2022 och senare

Kräver behörigheten SKAPA INLOGGNING på servern eller medlemskapet i ##MS_LoginManager## fast serverroll.

När du har skapat en inloggning

När du har skapat en inloggning kan inloggningen ansluta till SQL Server, men har bara behörigheter som beviljats till offentliga roll. Överväg att utföra några av följande aktiviteter.

• Om du vill ansluta till en databas skapar du en databasanvändare för inloggningen. Mer information finns i CREATE USER.
• Skapa en användardefinierad serverroll med hjälp av CREATE SERVER ROLE. Använd ALTER SERVER ROLE ... ADD MEMBER för att lägga till den nya inloggningen till den användardefinierade serverrollen. Mer information finns i CREATE SERVER ROLE and ALTER SERVER ROLE.
• Använd sp_addsrvrolemember för att lägga till inloggningen till en fast serverroll. Mer information finns i Server-Level Roller och sp_addsrvrolemember.
• Använd instruktionen GRANT för att bevilja behörigheter på servernivå till den nya inloggningen eller till en roll som innehåller inloggningen. Mer information finns i GRANT.

Exempel

A. Skapa en inloggning med ett lösenord

I följande exempel skapas en inloggning för en viss användare och ett lösenord tilldelas.

CREATE LOGIN <login_name> WITH PASSWORD = '<enterStrongPasswordHere>';
GO

B. Skapa en inloggning med ett lösenord som måste ändras

I följande exempel skapas en inloggning för en viss användare och ett lösenord tilldelas. Alternativet MUST_CHANGE kräver att användarna ändrar lösenordet första gången de ansluter till servern.

gäller för: SQL Server 2008 (10.0.x) och senare versioner.

CREATE LOGIN <login_name> WITH PASSWORD = '<enterStrongPasswordHere>'
    MUST_CHANGE, CHECK_EXPIRATION = ON;
GO

Not

Det går inte att använda alternativet MUST_CHANGE när CHECK_EXPIRATION är AV.

C. Skapa en inloggning mappad till en autentiseringsuppgift

I följande exempel skapas inloggningen för en viss användare med hjälp av användaren. Den här inloggningen mappas till autentiseringsuppgifterna.

gäller för: SQL Server 2008 (10.0.x) och senare versioner.

CREATE LOGIN <login_name> WITH PASSWORD = '<enterStrongPasswordHere>',
    CREDENTIAL = <credentialName>;
GO

D. Skapa en inloggning från ett certifikat

I följande exempel skapas inloggning för en viss användare från ett certifikat i master.

gäller för: SQL Server 2008 (10.0.x) och senare versioner.

USE MASTER;
CREATE CERTIFICATE <certificateName>
    WITH SUBJECT = '<login_name> certificate in master database',
    EXPIRY_DATE = '12/05/2025';
GO
CREATE LOGIN <login_name> FROM CERTIFICATE <certificateName>;
GO

E. Skapa en inloggning från ett Windows-domänkonto

I följande exempel skapas en inloggning från ett Windows-domänkonto.

gäller för: SQL Server 2008 (10.0.x) och senare versioner.

CREATE LOGIN [<domainName>\<login_name>] FROM WINDOWS;
GO

F. Skapa en inloggning från ett SID

I följande exempel skapas först en SQL Server-autentiseringsinloggning och anger SID för inloggningen.

CREATE LOGIN TestLogin WITH PASSWORD = 'SuperSecret52&&';
SELECT name, sid FROM sys.sql_logins WHERE name = 'TestLogin';
GO

Min fråga returnerar 0x241C11948AEEB749B0D22646DB1A19F2 som SID. Frågan returnerar ett annat värde. Följande instruktioner tar bort inloggningen och återskapar sedan inloggningen. Använd SID från föregående fråga.

DROP LOGIN TestLogin;
GO

CREATE LOGIN TestLogin
WITH PASSWORD = 'SuperSecret52&&', SID = 0x241C11948AEEB749B0D22646DB1A19F2;

SELECT * FROM sys.sql_logins WHERE name = 'TestLogin';
GO

G. Skapa en inloggning med flera argument

I följande exempel visas hur du stränger flera argument tillsammans med kommatecken mellan varje argument. Ersätt <password> med ett giltigt lösenord.

CREATE LOGIN [MyUser]
WITH PASSWORD = '<password>',
DEFAULT_DATABASE = MyDatabase,
CHECK_POLICY = OFF,
CHECK_EXPIRATION = OFF ;

H. Skapa en SQL-inloggning med hash-lösenord

I följande exempel visas hur du skapar SQL-inloggningar med samma lösenord som befintliga inloggningar som i ett migreringsscenario. Det första steget är att hämta lösenordshash från befintliga inloggningar på källdatabasservern. Sedan används samma hash för att skapa inloggningen på en ny databasserver. Genom att göra detta har den nya inloggningen samma lösenord som på den gamla servern.

-- run this to retrieve the password hash for an individual Login:
SELECT LOGINPROPERTY('Andreas','PASSWORDHASH') AS password_hash;
-- as an alternative, the catalog view sys.sql_logins can be used to retrieve the password hashes for multiple accounts at once. (This could be used to create a dynamic sql statement from the result set
SELECT name, password_hash
FROM sys.sql_logins
  WHERE
    principal_id > 1    -- excluding sa
    AND
    name NOT LIKE '##MS_%##' -- excluding special MS system accounts
-- create the new SQL Login on the new database server using the hash of the source server
CREATE LOGIN Andreas
  WITH PASSWORD = 0x02000A1A89CD6C6E4C8B30A282354C8EA0860719D5D3AD05E0CAE1952A1C6107A4ED26BEBA2A13B12FAB5093B3CC2A1055910CC0F4B9686A358604E99BB9933C75B4EA48FDEA HASHED;

Jag. Skapa en inloggning för en Microsoft Entra-användare

I följande exempel skapas en inloggning för Microsoft Entra-kontot joe@contoso.onmicrosoft.com som finns i Microsoft Entra-klientorganisationen med namnet contoso.

CREATE LOGIN [joe@contoso.onmicrosoft.com] FROM EXTERNAL PROVIDER

GO

J. Skapa en inloggning för ett federerat Microsoft Entra-konto

I följande exempel skapas en inloggning för ett federerat Microsoft Entra-konto bob@contoso.com som finns i en klientorganisation som heter contoso. Användaren bob kan också vara en gästanvändare.

CREATE LOGIN [bob@contoso.com] FROM EXTERNAL PROVIDER
GO

K. Skapa en inloggning för en Microsoft Entra-grupp

I följande exempel skapas en inloggning för Microsoft Entra-gruppen mygroup- som finns i klientorganisationen contoso.

CREATE LOGIN [mygroup] FROM EXTERNAL PROVIDER
GO

L. Skapa en inloggning för ett Microsoft Entra-program

I följande exempel skapas en inloggning för Microsoft Entra-programmet myapp som finns i klientorganisationen contoso.

CREATE LOGIN [myapp] FROM EXTERNAL PROVIDER

Relaterat innehåll

• Komma igång med behörigheter för databasmotorn
• Huvudnamn
• lösenordsprincip
• ÄNDRA INLOGGNING
• SLÄPP INLOGGNING
• EVENTDATA
• Skapa en inloggning