CREATE LOGIN (Transact-SQL)

建立 SQL Server、Azure SQL 資料庫、Azure SQL 受控執行個體、Azure Synapse Analytics 或 Analytics Platform System 資料庫的登入。 針對特定版本的語法、自變數、備註、許可權和範例，選擇下列其中一個索引標籤。

CREATE LOGIN 會參與交易。 如果在交易內執行 CREATE LOGIN 並復原交易，將會復原建立登入作業。 如果在交易內執行，則在認可交易之前，無法使用建立的登入。

注意

Microsoft Entra ID 先前稱為 Azure Active Directory (Azure AD)。

如需語法慣例的詳細資訊，請參閱 Transact-SQL 語法慣例。

選取產品

在以下資料列中，選取您感興趣的產品名稱，隨即只會顯示該產品的資訊。

* SQL Server *  

Azure SQL Database

Azure SQL
受控執行個體

Azure Synapse
分析

Analytics Platform
System (PDW)

 

SQL Server

語法

-- Syntax for SQL Server
CREATE LOGIN login_name { WITH <option_list1> | FROM <sources> }

<option_list1> ::=
    PASSWORD = { 'password' | hashed_password HASHED } [ MUST_CHANGE ]
    [ , <option_list2> [ ,... ] ]

<option_list2> ::=
    SID = sid
    | DEFAULT_DATABASE = database
    | DEFAULT_LANGUAGE = language
    | CHECK_EXPIRATION = { ON | OFF}
    | CHECK_POLICY = { ON | OFF}
    | CREDENTIAL = credential_name

<sources> ::=
    WINDOWS [ WITH <windows_options>[ ,... ] ]
    | EXTERNAL PROVIDER
    | CERTIFICATE certname
    | ASYMMETRIC KEY asym_key_name

<windows_options> ::=
    DEFAULT_DATABASE = database
    | DEFAULT_LANGUAGE = language

引數

login_name

指定建立的登入名稱。 登入有五種類型：SQL Server 登入、Windows 登入、Microsoft Entra 登入、憑證對應登入，以及非對稱密鑰對應登入。

當您建立從 Windows 網域帳戶對應的登入時，必須使用 [<domainName>\<login_name>] 格式的登入名稱。 您無法使用 login_name@DomainName 格式的 UPN。 如需範例，請參閱 本文稍後的範例 E 。 驗證登入的類型為 sysname，且必須符合標識符的規則，且不能包含反斜杠 （）。 Windows 登入可以包含 ' \ '。 以 Active Directory 用戶為基礎的登入限制為少於 21 個字元的名稱。

使用 FROM EXTERNAL PROVIDER 子句時，登入名稱必須符合SQL實例啟用Arc之相同租用戶中現有Microsoft Entra 主體的顯示名稱。 Microsoft Entra 使用者、群組和應用程式可用來建立登入。

PASSWORD ='password'

僅適用於 SQL Server 登入。 指定要建立的登入密碼。 請使用增強式密碼。 如需詳細資訊，請參閱強式密碼和密碼原則。 從 SQL Server 2012 (11.x) 開始，預存密碼資訊會使用加料式 (Salted) 密碼的 SHA-512 加以計算。

密碼會區分大小寫。 密碼長度應一律至少為8個字元，且不能超過128個字元。 密碼可以包含 a-z、A-Z、0-9 及大多數非英數字元。 密碼不能包含單引號或 login_name。

PASSWORD = hashed_password

僅適用於 HASHED 關鍵字。 指定要建立之登入的密碼雜湊值。

HASHED

僅適用於 SQL Server 登入。 指定在 PASSWORD 引數之後輸入的密碼已雜湊處理。 如果未選取此選項，輸入為密碼的字串會在儲存在資料庫中之前進行哈希處理。 只有要在兩部伺服器之間移轉資料庫時，才應使用這個選項。 請勿使用HASHED選項來建立新的登入。 HASHED 選項無法與 SQL 7 或更早版本所建立的哈希搭配使用。

MUST_CHANGE

僅適用於 SQL Server 登入。 如果有包含這個選項，第一次使用新登入時，SQL Server 會提示使用者輸入新密碼。

CREDENTIAL =credential_name

對應到新 SQL Server 登入的認證名稱。 認證必須已存在於伺服器中。 目前這個選項只會將認證連結到登入。 認證無法對應至系統管理員登入。

SID = sid

用來重新建立登入。 僅適用於 SQL Server 驗證登入，不適用於 Windows 驗證登入。 指定新 SQL Server 驗證登入的 SID。 如果未使用這個選項，SQL Server 將自動指派 SID。 SID 結構取決於 SQL Server 版本。 SQL Server 登入 SID：以 GUID 為基礎的 16 位元組 (binary(16) ) 常值。 例如： SID = 0x14585E90117152449347750164BA00A7 。

DEFAULT_DATABASE =database

指定要指派給登入的預設資料庫。 如果未包含這個選項，預設資料庫會設定為 master。

DEFAULT_LANGUAGE =language

指定要指派給登入的預設語言。 如果未包含此選項，預設語言會設定為伺服器目前的默認語言。 如果伺服器的預設語言在未來有所變更，登入的預設語言會保持不變。

CHECK_EXPIRATION = { ON |OFF }

僅適用於 SQL Server 登入。 指定是否應該對這個登入強制執行密碼逾期原則。 預設值是 OFF。

CHECK_POLICY = { ON |OFF }

僅適用於 SQL Server 登入。 指定應該在這項登入上強制使用執行 SQL Server 之電腦的 Windows 密碼原則。 預設值是 ON。

如果 Windows 原則要求增強式密碼，則密碼必須至少包含下列四個特性的其中三個：

• 大寫字元 (A-Z)。
• 小寫字元 (a-z)。
• 數字 (0-9)。
• 其中一個非虛構字元，例如空格、_、@、*、^、%、!、$、#或 &。

WINDOWS

指定登入對應到 Windows 登入。

從外部提供者

指定登入對應至Microsoft Entra 主體。 此選項適用於已啟用 Arc 的 SQL Server 2022 和更新版本。 如需詳細資訊，請參閱 Microsoft SQL Server 的 Entra 驗證

CERTIFICATE certname

指定與這項登入相關聯的憑證名稱。 此憑證必須已在資料庫中發生 master 。

ASYMMETRIC KEY asym_key_name

指定與這項登入相關聯的非對稱金鑰名稱。 此金鑰必須已在資料庫中發生 master 。

備註

• 密碼會區分大小寫。
• 只有在建立 SQL Server 登入時，才支援密碼預先隱藏。
• 如果 MUST_CHANGE 指定了 ，則必須將 CHECK_EXPIRATION 和 CHECK_POLICY 設定為 ON。 否則，陳述式便會失敗。
• 不支援和 CHECK_EXPIRATION = ON 的組合CHECK_POLICY = OFF。
• 當CHECK_POLICY設定為 OFF時， lockout_time 會重設，且 CHECK_EXPIRATION 設定為 OFF。

重要

CHECK_EXPIRATION和CHECK_POLICY只會在 Windows Server 2003 和更新版本上強制執行。 如需詳細資訊，請參閱＜ Password Policy＞。

• 從憑證或非對稱金鑰建立的登入只能用於程式碼簽章。 它們無法用來連線到 SQL Server。 只有當憑證或非對稱密鑰已經存在 master時，您才能從憑證或非對稱密鑰建立登入。
• 如需傳送登入的指令碼，請參閱 如何在 SQL Server 2005 和 SQL Server 2008 的執行個體之間傳送登入和密碼。
• 建立登入會自動啟用新登入，並授與登入伺服器層級的 CONNECT SQL 權限。
• 伺服器的驗證模式必須符合登入類型，以允許存取。
• 如需設計權限系統的資訊，請參閱 資料庫引擎權限使用者入門。

權限

• 只有具備伺服器的 ALTER ANY LOGIN 權限或 securityadmin 固定伺服器角色之成員資格的使用者才能建立登入。 如需詳細資訊，請參閱伺服器層級角色和 ALTER SERVER ROLE。
• 如果使用 CREDENTIAL 選項，則也需要伺服器的 ALTER ANY CREDENTIAL 權限。

SQL Server 2022 和更新版本的權限

需要伺服器的 CREATE LOGIN 許可權，或 ##MS_LoginManager## 固定伺服器角色的成員資格。

建立登入之後

建立登入之後，登入就可以連線至 SQL Server，但是只會取得 public 角色的權限。 請考慮執行下列其中一些活動。

• 若要連接至資料庫，請建立用於登入的資料庫使用者。 如需詳細資訊，請參閱 CREATE USER。
• 使用 CREATE SERVER ROLE 建立使用者定義的伺服器角色。 使用 ALTER SERVER ROLE ... ADD MEMBER 將新的登入新增至使用者定義的伺服器角色。 如需詳細資訊，請參閱 CREATE SERVER ROL 和 ALTER SERVER ROLE。
• 使用 sp_addsrvrolemember 將登入新增至固定伺服器角色。 如需詳細資訊，請參閱伺服器層級角色和 sp_addsrvrolemember。
• 使用 GRANT 陳述式將伺服器層級權限授與新登入或包含登入的角色。 如需詳細資訊，請參閱 GRANT。

範例

A. 使用密碼建立登入

下列範例會針對特定的使用者建立登入，並指派密碼。

CREATE LOGIN <login_name> WITH PASSWORD = '<enterStrongPasswordHere>';
GO

B. 使用必須變更的密碼建立登入

下列範例會針對特定的使用者建立登入，並指派密碼。 MUST_CHANGE 選項需要使用者在第一次連接到伺服器時變更這個密碼。

適用於：SQL Server 2008 (10.0.x) 和更新版本。

CREATE LOGIN <login_name> WITH PASSWORD = '<enterStrongPasswordHere>'
    MUST_CHANGE, CHECK_EXPIRATION = ON;
GO

注意

當 CHECK_EXPIRATION 為 OFF 時，不可使用 MUST_CHANGE 選項。

C. 建立對應至認證的登入

下列範例會針對特定使用者建立登入 (透過使用者)。 此登入會對應到認證。

適用於：SQL Server 2008 (10.0.x) 和更新版本。

CREATE LOGIN <login_name> WITH PASSWORD = '<enterStrongPasswordHere>',
    CREDENTIAL = <credentialName>;
GO

D. 從憑證建立登入

下列範例會從 中的 master憑證建立特定使用者的登入。

適用於：SQL Server 2008 (10.0.x) 和更新版本。

USE MASTER;
CREATE CERTIFICATE <certificateName>
    WITH SUBJECT = '<login_name> certificate in master database',
    EXPIRY_DATE = '12/05/2025';
GO
CREATE LOGIN <login_name> FROM CERTIFICATE <certificateName>;
GO

E. 從 Windows 網域帳戶建立登入

下列範例會從 Windows 網域帳戶建立登入。

適用於：SQL Server 2008 (10.0.x) 和更新版本。

CREATE LOGIN [<domainName>\<login_name>] FROM WINDOWS;
GO

F. 從 SID 建立登入

下列範例會先建立 SQL Server 驗證登入，並判斷登入的 SID。

CREATE LOGIN TestLogin WITH PASSWORD = 'SuperSecret52&&';
SELECT name, sid FROM sys.sql_logins WHERE name = 'TestLogin';
GO

我的查詢會傳回 0x241C11948AEEB749B0D22646DB1A19F2 作為 SID。 您的查詢將傳回不同的值。 下列陳述式會刪除登入，並重新建立登入。 使用來自前一個查詢的 SID。

DROP LOGIN TestLogin;
GO

CREATE LOGIN TestLogin
WITH PASSWORD = 'SuperSecret52&&', SID = 0x241C11948AEEB749B0D22646DB1A19F2;

SELECT * FROM sys.sql_logins WHERE name = 'TestLogin';
GO

G. 建立具有多個自變數的登入

下例示範如何在各引數間使用逗號串連引數。

CREATE LOGIN [MyUser]
WITH PASSWORD = 'MyPassword',
DEFAULT_DATABASE = MyDatabase,
CHECK_POLICY = OFF,
CHECK_EXPIRATION = OFF ;

H. 使用哈希密碼建立 SQL 登入

下列範例示範如何使用與移轉案例中現有登入相同的密碼來建立 SQL 登入。 第一個步驟是從來源資料庫伺服器上的現有登入擷取密碼雜湊。 然後，相同的雜湊將用來在新資料庫伺服器上建立登入。 如此一來，新的登入將會有與舊伺服器上相同的密碼。

-- run this to retrieve the password hash for an individual Login:
SELECT LOGINPROPERTY('Andreas','PASSWORDHASH') AS password_hash;
-- as an alternative, the catalog view sys.sql_logins can be used to retrieve the password hashes for multiple accounts at once. (This could be used to create a dynamic sql statemnt from the result set)
SELECT name, password_hash
FROM sys.sql_logins
  WHERE
    principal_id > 1    -- excluding sa
    AND
    name NOT LIKE '##MS_%##' -- excluding special MS system accounts
-- create the new SQL Login on the new database server using the hash of the source server
CREATE LOGIN Andreas
  WITH PASSWORD = 0x02000A1A89CD6C6E4C8B30A282354C8EA0860719D5D3AD05E0CAE1952A1C6107A4ED26BEBA2A13B12FAB5093B3CC2A1055910CC0F4B9686A358604E99BB9933C75B4EA48FDEA HASHED;

I. 建立 Microsoft Entra 使用者的登入

下列範例會建立Microsoft Entra 帳戶的登入，該帳戶 joe@contoso.onmicrosoft.com 存在於名為 contoso 的 Microsoft Entra 租使用者中。

CREATE LOGIN [joe@contoso.onmicrosoft.com] FROM EXTERNAL PROVIDER

GO

J. 建立同盟Microsoft Entra 帳戶的登入

下列範例會為租用戶中名為 contoso 的同盟Microsoft Entra 帳戶bob@contoso.com建立登入。 使用者 bob 也可以是來賓使用者。

CREATE LOGIN [bob@contoso.com] FROM EXTERNAL PROVIDER
GO

K. 建立Microsoft Entra 群組的登入

下列範例會為租使用者 contoso 中存在的 Microsoft Entra 群組 mygroup 建立登入。

CREATE LOGIN [mygroup] FROM EXTERNAL PROVIDER
GO

L. 建立 Microsoft Entra 應用程式的登入

下列範例會為租使用者 contoso 中存在的 Microsoft Entra 應用程式 myapp 建立登入。

CREATE LOGIN [myapp] FROM EXTERNAL PROVIDER

相關內容

• 資料庫引擎權限使用者入門
• 主體
• 密碼原則
• ALTER LOGIN
• DROP LOGIN
• EVENTDATA
• 建立登入