DENY 資料庫主體權限 (Transact-SQL)

發行項
03/07/2014

在 SQL Server 中拒絕授與資料庫使用者、資料庫角色或應用程式角色的權限。

適用於：SQL Server (SQL Server 2008 透過目前版本)、Windows Azure SQL 資料庫 (初始版本，透過目前版本)。

語法

DENY permission [ ,...n ]  
    ON 
    {  [ USER :: database_user ]
     | [ ROLE :: database_role ]
     | [ APPLICATION ROLE :: application_role ]
    }
    TO <database_principal> [ ,...n ]
      [ CASCADE ]
      [ AS <database_principal> ]

<database_principal> ::=
    Database_user 
  | Database_role 
  | Application_role 
  | Database_user_mapped_to_Windows_User 
  | Database_user_mapped_to_Windows_Group 
  | Database_user_mapped_to_certificate 
  | Database_user_mapped_to_asymmetric_key 
  | Database_user_with_no_login

引數

permission
指定可拒絕的資料庫主體權限。如需權限清單，請參閱這個主題稍後的「備註」一節。
USER ::database_user
指定拒絕其權限之使用者的類別和名稱。需要範圍限定詞 (::)。
ROLE ::database_role
指定拒絕其權限之角色的類別和名稱。需要範圍限定詞 (::)。
APPLICATION ROLE ::application_role

適用於：SQL Server 2008 至 SQL Server 2014。

指定拒絕其權限之應用程式角色的類別和名稱。需要範圍限定詞 (::)。
CASCADE
指出目前受到拒絕的權限，也為這個主體曾授與此權限的其他主體所拒絕。
AS <database_principal>
指定主體，執行這項查詢的主體會從這個主體衍生其權限來撤銷權限。
Database_user
指定資料庫使用者。
Database_role
指定資料庫角色。
Application_role

適用於：SQL Server 2008 至 SQL Server 2014。

指定應用程式角色。
Database_user_mapped_to_Windows_User

適用於：SQL Server 2008 至 SQL Server 2014。

指定對應至 Windows 使用者的資料庫使用者。
Database_user_mapped_to_Windows_Group

適用於：SQL Server 2008 至 SQL Server 2014。

指定對應至 Windows 群組的資料庫使用者。
Database_user_mapped_to_certificate

適用於：SQL Server 2008 至 SQL Server 2014。

指定對應至憑證的資料庫使用者。
Database_user_mapped_to_asymmetric_key

適用於：SQL Server 2008 至 SQL Server 2014。

指定對應至非對稱金鑰的資料庫使用者。
Database_user_with_no_login
指定不含對應伺服器層級主體的資料庫使用者。

備註

資料庫使用者權限

資料庫使用者是一個由資料庫所包含的資料庫層級安全性實體，在權限階層中，此資料庫為該安全性實體的父系。下表所列的是可以拒絕之最特定且最有限的資料庫使用者權限，並列出利用隱含方式來併入這些權限的較通用權限。

資料庫使用者權限	資料庫使用者權限所隱含	資料庫權限所隱含
CONTROL	CONTROL	CONTROL
IMPERSONATE	CONTROL	CONTROL
ALTER	CONTROL	ALTER ANY USER
VIEW DEFINITION	CONTROL	VIEW DEFINITION

資料庫角色權限

資料庫角色是一個由資料庫所包含的資料庫層級安全性實體，在權限階層中，此資料庫為該安全性實體的父系。下表所列的是可以拒絕之最特定且最有限的資料庫角色權限，並列出利用隱含方式來併入這些權限的較通用權限。

資料庫角色權限	資料庫角色權限所隱含	資料庫權限所隱含
CONTROL	CONTROL	CONTROL
TAKE OWNERSHIP	CONTROL	CONTROL
ALTER	CONTROL	ALTER ANY ROLE
VIEW DEFINITION	CONTROL	VIEW DEFINITION

應用程式角色權限

應用程式角色是一個由資料庫所包含的資料庫層級安全性實體，在權限階層中，此資料庫為該安全性實體的父系。下表所列的是可以拒絕之最特定且最有限的應用程式角色權限，並列出利用隱含方式來併入這些權限的較通用權限。

應用程式角色權限	應用程式角色權限所隱含	資料庫權限所隱含
CONTROL	CONTROL	CONTROL
ALTER	CONTROL	ALTER ANY APPLICATION ROLE
VIEW DEFINITION	CONTROL	VIEW DEFINITION

權限

需要指定主體的 CONTROL 權限，或需要隱含 CONTROL 權限的更高權限。

資料庫之 CONTROL 權限的被授與者 (例如 db_owner 固定資料庫角色的成員) 可以拒絕資料庫中任何安全性實體的任何權限。

範例

A.對其他使用者拒絕使用者的 CONTROL 權限

下列範例會對使用者 RolandX 拒絕 AdventureWorks2012 使用者 Wanida 的 CONTROL 權限。

USE AdventureWorks2012;
DENY CONTROL ON USER::Wanida TO RolandX;
GO

B.對被授與 GRANT OPTION 的使用者，拒絕角色的 VIEW DEFINITION 權限

下列範例會對資料庫使用者 JinghaoLiu 拒絕 AdventureWorks2012 角色 SammamishParking 的 VIEW DEFINITION 權限。有指定 CASCADE 選項，因為使用者 JinghaoLiu 被授與 VIEW DEFINITION 權限 WITH GRANT OPTION。

USE AdventureWorks2012;
DENY VIEW DEFINITION ON ROLE::SammamishParking 
    TO JinghaoLiu CASCADE;
GO

C.對應用程式角色拒絕使用者的 IMPERSONATE 權限

下列範例會對 AdventureWorks2012 應用程式角色 AccountsPayable17，拒絕使用者 HamithaL 的 IMPERSONATE 權限。

適用於：SQL Server 2008 至 SQL Server 2014。

USE AdventureWorks2012;
DENY IMPERSONATE ON USER::HamithaL TO AccountsPayable17;
GO

請參閱

參考

GRANT 資料庫主體權限 (Transact-SQL)

REVOKE 資料庫主體權限 (Transact-SQL)

sys.database_principals (Transact-SQL)

sys.database_permissions (Transact-SQL)

CREATE USER (Transact-SQL)

CREATE APPLICATION ROLE (Transact-SQL)

CREATE ROLE (Transact-SQL)

GRANT (Transact-SQL)

概念

權限 (Database Engine)

主體 (Database Engine)

共用方式為