sys.database_permissions (Transact-SQL)

Gilt für:SQL ServerAzure SQL-DatenbankVerwaltete Azure SQL-InstanzAzure Synapse AnalyticsAnalytics Platform System (PDW)SQL-Analyseendpunkt in Microsoft FabricLagerhaus in Microsoft FabricSQL-Datenbank in Microsoft Fabric

Gibt eine Zeile für jede Berechtigung oder Spaltenausnahmeberechtigung in der Datenbank zurück. Für Spalten gibt es eine Zeile für jede Berechtigung, die von der entsprechenden Berechtigung auf Objektebene abweicht. Falls die Spaltenberechtigung mit der entsprechenden Objektberechtigung identisch ist, gibt es dafür keine Zeile, und es wird die Objektberechtigung angewendet.

Datenbankberechtigungen

Die folgenden Arten von Berechtigungen sind möglich.

REVOKE und Spalten-Ausnahmeberechtigungen

In den meisten Fällen entfernt der REVOKE Befehl den GRANT Eintrag "oder DENY " aus sys.database_permissions.

Allerdings ist es möglich, Berechtigungen GRANTDENY auf einem Objekt oder REVOKE dann auf eine Spalte zu übertragen. Diese Spalten-Ausnahme-Erlaubnis wird wie REVOKE in sys.database_permissions angezeigt. Betrachten Sie das folgende Beispiel:

GRANT SELECT ON Person.Person TO [Sales];

REVOKE SELECT ON Person.Person(AdditionalContactInfo) FROM [Sales];

Diese Berechtigungen erscheinen in sys.database_permissions als eins GRANT (in der Tabelle) und eins REVOKE (in der Spalte).

Permissions

Jedem Benutzer werden die eigenen Berechtigungen angezeigt. Um Berechtigungen für andere Nutzer einzusehen, ist DEFINITION, ÄNDERUNG EINES BELIEBIGEN USERoder einer Berechtigung eines Benutzers erforderlichVIEW. Um benutzerdefinierte Rollen zu sehen, ist ALTER ANY ROLEerforderlich, oder eine Mitgliedschaft in der Rolle (wie z. B. öffentlich).

Die Sichtbarkeit der Metadaten in Katalogsichten ist auf sicherungsfähige Elemente eingeschränkt, bei denen der Benutzer entweder der Besitzer ist oder für die dem Benutzer eine Berechtigung erteilt wurde. Weitere Informationen finden Sie unter Metadata Visibility Configuration.

Examples

A. Alle Berechtigungen von Datenbankprinzipalen auflisten

Mit der folgenden Abfrage werden die Berechtigungen aufgelistet, die Datenbankprinzipalen ausdrücklich gewährt oder verweigert wurden.

SELECT pr.principal_id
    ,pr.name
    ,pr.type_desc
    ,pr.authentication_type_desc
    ,pe.state_desc
    ,pe.permission_name  
FROM sys.database_principals AS pr  
INNER JOIN sys.database_permissions AS pe ON pe.grantee_principal_id = pr.principal_id;  

B. Auflisten von Berechtigungen für Schemaobjekte in einer Datenbank

Die folgende Abfrage verknüpft sys.database_principals und sys.database_permissionssys.objects und sys.schemas, um Berechtigungen auflisten, die bestimmten Schemaobjekten gewährt oder verweigert wurden.

SELECT pr.principal_id
    ,pr.name
    ,pr.type_desc
    ,pr.authentication_type_desc
    ,pe.state_desc
    ,pe.permission_name
    ,s.name + '.' + o.name AS ObjectName
FROM sys.database_principals AS pr
INNER JOIN sys.database_permissions AS pe ON pe.grantee_principal_id = pr.principal_id
INNER JOIN sys.objects AS o ON pe.major_id = o.object_id
INNER JOIN sys.schemas AS s ON o.schema_id = s.schema_id
WHERE pe.class = 1;

C. Listenberechtigungen für ein bestimmtes Objekt

Sie können das vorherige Beispiel verwenden, um Berechtigungen abzufragen, die für ein einzelnes Datenbankobjekt spezifisch sind.

Betrachten Sie beispielsweise die folgenden granularen Berechtigungen, die einem Datenbankbenutzer test in der BeispieldatenbankAdventureWorksDW2025gewährt werden:

GRANT SELECT ON dbo.vAssocSeqOrders TO [test];

Suchen Sie die granularen Berechtigungen, die zugewiesen sind:dbo.vAssocSeqOrders

SELECT pr.principal_id
    ,pr.name
    ,pr.type_desc
    ,pr.authentication_type_desc
    ,pe.state_desc
    ,pe.permission_name
    ,s.name + '.' + o.name AS ObjectName
FROM sys.database_principals AS pr
INNER JOIN sys.database_permissions AS pe ON pe.grantee_principal_id = pr.principal_id
INNER JOIN sys.objects AS o ON pe.major_id = o.object_id
INNER JOIN sys.schemas AS s ON o.schema_id = s.schema_id
WHERE pe.class = 1
    AND o.name = 'vAssocSeqOrders'
    AND s.name = 'dbo';

Gibt die Ausgabe zurück:

principal_id    name    type_desc    authentication_type_desc    state_desc    permission_name    ObjectName
5    test    SQL_USER    INSTANCE    GRANT    SELECT    dbo.vAssocSeqOrders

Siehe auch

• Securables
• Berechtigungshierarchie (Datenbank-Engine)
• Sicherheitskatalogsichten (Transact-SQL)
• Katalogsichten (Transact-SQL)

Nächste Schritte

• Erteilen einer Berechtigung für einen Prinzipal
• GRANT (Transact-SQL)