ALTER AUTHORIZATION (Transact-SQL)

Область применения: SQL Server База данных SQL Azure Управляемый экземпляр SQL Azure конечной точке аналитики платформы Аналитики Azure Synapse Analytics (PDW) в Microsoft Fabric Хранилище в Microsoft Fabric

Изменяет владельца защищаемой сущности.

Соглашения о синтаксисе Transact-SQL

Синтаксис

-- Syntax for SQL Server
ALTER AUTHORIZATION
    ON [ <class_type>:: ] entity_name
    TO { principal_name | SCHEMA OWNER }
    [;]

<class_type> ::=
     {
      OBJECT | ASSEMBLY | ASYMMETRIC KEY | AVAILABILITY GROUP | CERTIFICATE
    | CONTRACT | TYPE | DATABASE | ENDPOINT | FULLTEXT CATALOG
    | FULLTEXT STOPLIST | MESSAGE TYPE | REMOTE SERVICE BINDING
    | ROLE | ROUTE | SCHEMA | SEARCH PROPERTY LIST | SERVER ROLE
    | SERVICE | SYMMETRIC KEY | XML SCHEMA COLLECTION
     }

-- Syntax for SQL Database

ALTER AUTHORIZATION
    ON [ <class_type>:: ] entity_name
    TO { principal_name | SCHEMA OWNER }
    [;]

<class_type> ::=
     {
    OBJECT | ASSEMBLY | ASYMMETRIC KEY | CERTIFICATE
     | TYPE | DATABASE | FULLTEXT CATALOG
     | FULLTEXT STOPLIST
     | ROLE | SCHEMA | SEARCH PROPERTY LIST
     | SYMMETRIC KEY | XML SCHEMA COLLECTION
     }

-- Syntax for Azure Synapse Analytics and Microsoft Fabric

ALTER AUTHORIZATION ON
     [ <class_type> :: ] <entity_name>
     TO { principal_name | SCHEMA OWNER }
    [;]

    <class_type> ::= {
    SCHEMA
     | OBJECT
    }

    <entity_name> ::=
    {
    schema_name
     | [ schema_name. ] object_name
    }

-- Syntax for Parallel Data Warehouse

ALTER AUTHORIZATION ON
     [ <class_type> :: ] <entity_name>
     TO { principal_name | SCHEMA OWNER }
    [;]

<class_type> ::= {
    DATABASE
     | SCHEMA
     | OBJECT
    }

<entity_name> ::=
    {
    database_name
     | schema_name
     | [ schema_name. ] object_name
    }

Аргументы

<class_type> Защищаемый класс сущности, для которой изменяется владелец. По умолчанию это класс OBJECT.

entity_name — имя сущности.

principal_name | SCHEMA OWNER —имя субъекта безопасности, который будет являться владельцем сущности. Объекты базы данных должны принадлежать субъекту базы данных; пользователю базы данных или роли. Объекты сервера (такие как базы данных) должны принадлежать субъекту сервера (имя для входа). Определите SCHEMA OWNER в качестве *principal_name-, чтобы показать, что объект должен принадлежать участнику, который владеет схемой объекта.

Замечания

Инструкция ALTER AUTHORIZATION может использоваться для изменения владельца любой сущности, у которой он есть. Владение содержащимися в базе данных сущностями можно передать любому участнику уровня базы данных. Владение сущностями уровня сервера можно передать только участникам уровня сервера.

Владение можно передавать для следующих, содержащихся в схемах сущностей типа «объект»: таблиц, представлений, функций, процедур, очередей и синонимов.

Невозможно передать владение следующими сущностями: связанные серверы, статистика, ограничения, правила, значения по умолчанию, триггеры, очереди Service Broker, учетные данные, функции секционирования, схемы секционирования, основные ключи базы данных, главный ключ службы и уведомления о событиях.

Нельзя передавать владение элементами следующих защищаемых классов: сервером, именем входа, пользователем, ролью приложения и столбцом.

Аргумент SCHEMA OWNER допустим только в случае передачи владения сущностью, содержащейся в схеме. Аргумент SCHEMA OWNER позволяет передать владение сущностью владельцу схемы, в которой она находится. В схемах содержатся только сущности классов OBJECT, TYPE или XML SCHEMA COLLECTION.

Если целевая сущность не представляет собой базу данных, а передаваемая сущность передается новому владельцу, все разрешения на целевую сущность удаляются.

Имейте в виду следующее:

Особые случаи и условия

В следующей таблице перечислены особые случаи, исключения и условия, касающиеся изменения авторизации.

ALTER AUTHORIZATION для баз данных

Для SQL Server

Требования к новому владельцу: новый субъект-владелец должен быть одним из следующих:

• имя входа для проверки подлинности SQL Server;
• имя входа для проверки подлинности Windows, представляющее пользователя Windows (а не группу);
• пользователь Windows, проходящий проверку подлинности с использованием имени входа для проверки подлинности Windows, представляющего группу Windows.

Требования для пользователя, выполняющего инструкцию ALTER AUTHORIZATION: если вы не являетесь членом предопределенной роли сервера sysadmin , необходимо иметь по крайней мере разрешение TAKE OWNER в базе данных и иметь разрешение IMPERSONATE на новое имя входа владельца.

Для Базы данных SQL Azure

Требования к новому владельцу: новый субъект-владелец должен быть одним из следующих:

• имя входа для проверки подлинности SQL Server;
• Федеративный пользователь (а не группа) присутствует в идентификаторе Microsoft Entra.
• Управляемый пользователь (а не группа) или приложение, присутствующих в идентификаторе Microsoft Entra.

Если новый владелец является пользователем Microsoft Entra, он не может существовать как пользователь в базе данных, где новый владелец станет новым владельцем базы данных (dbo). Сначала пользователь Microsoft Entra должен быть удален из базы данных перед выполнением инструкции ALTER AUTHORIZATION, изменив владение базой данных новым пользователем. Дополнительные сведения о настройке пользователей Microsoft Entra с База данных SQL см. в разделе "Настройка проверки подлинности Microsoft Entra".

Требования для пользователя, выполняющего инструкцию ALTER AUTHORIZATION: необходимо подключиться к целевой базе данных, чтобы изменить владельца этой базы данных.

Изменить владельца базы данных могут следующие типы учетных записей.

• Имя входа субъекта уровня обслуживания, которое является администратором SQL, подготовленным при создании логического сервера в Azure .
• Администратор Microsoft Entra для логического сервера..
• Текущий владелец базы данных.

Следующая таблица содержит сводку требований.

Чтобы проверить владельца базы данных Microsoft Entra, выполните следующую команду Transact-SQL в пользовательской базе данных (в этом примере testdb).

SELECT CAST(owner_sid as uniqueidentifier) AS Owner_SID
FROM sys.databases
WHERE name = 'testdb';

Выходные данные будут GUID (например, XXXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXXXXXXXXXX), который соответствует идентификатору объекта пользователя Microsoft Entra или субъекта-службы, назначенного владельцем базы данных. Это можно проверить, проверив идентификатор объекта пользователя в идентификаторе Microsoft Entra ID. Если владельцем базы данных SQL Server является пользователь имени входа, выполните следующую инструкцию в базе данных master для проверки владельца базы данных:

SELECT d.name, d.owner_sid, sl.name
FROM sys.databases AS d
JOIN sys.sql_logins AS sl
ON d.owner_sid = sl.sid;

Рекомендация

Вместо использования пользователей Microsoft Entra в качестве отдельных владельцев базы данных используйте группу Microsoft Entra в качестве члена предопределенной роли базы данных db_owner . Ниже показано, как настроить отключенное имя входа в качестве владельца базы данных и сделать группу Microsoft Entra (mydbogroup) членом роли db_owner .

1. Войдите в SQL Server от имени администратора Microsoft Entra и измените владельца базы данных на отключенное имя входа проверки подлинности SQL Server. Например, в базе данных пользователя выполните следующую команду:

   ALTER AUTHORIZATION ON database::testdb TO DisabledLogin;
   

2. Создайте группу Microsoft Entra, которая должна принадлежать базе данных и добавить ее в базу данных пользователя. Например:

   CREATE USER [mydbogroup] FROM EXTERNAL PROVIDER;
   

3. В пользовательской базе данных добавьте пользователя, представляющего группу Microsoft Entra, в роль db_owner предопределенных баз данных. Например:

   ALTER ROLE db_owner ADD MEMBER mydbogroup;
   

Теперь члены mydbogroup могут централизованно управлять базой данных как члены роли db_owner.

• Когда члены этой группы удаляются из группы Microsoft Entra, они автоматически теряют разрешения dbo для этой базы данных.
• Аналогично, если новые члены добавляются в mydbogroup группу Microsoft Entra, они автоматически получают доступ к dbo для этой базы данных.

Чтобы проверить наличие действующего разрешения dbo у конкретного пользователя, пользователь должен выполнить следующую инструкцию:

SELECT IS_MEMBER ('db_owner');

Возвращаемое значение 1 указывает, что пользователь является членом роли.

Разрешения

Требует разрешения TAKE OWNERSHIP для сущности. Если новый владелец не является пользователем, выполняющим данную инструкцию, также требуется одно из следующих условий: 1) разрешение IMPERSONATE для нового владельца, если это пользователь или имя входа; 2) если новый владелец представляет собой роль — членство в роли или разрешение ALTER для этой роли; 3) если новый владелец представляет собой роль приложения — разрешение ALTER для роли приложения.

Примеры

А. Передача владения таблицей

В следующем примере владение таблицей Sprockets передается пользователю MichikoOsada. Эта таблица расположена в схеме Parts.

ALTER AUTHORIZATION ON OBJECT::Parts.Sprockets TO MichikoOsada;
GO

Запрос также может выглядеть следующим образом:

ALTER AUTHORIZATION ON Parts.Sprockets TO MichikoOsada;
GO

Если схема объектов не включена в инструкцию, ядро СУБД будет искать объект в схеме по умолчанию для пользователей. Например:

ALTER AUTHORIZATION ON Sprockets TO MichikoOsada;
ALTER AUTHORIZATION ON OBJECT::Sprockets TO MichikoOsada;

B. Передача владения представлением владельцу схемы

В следующем примере передается владение представлением ProductionView06 владельцу содержащей его схемы. Это представление расположено в схеме Production.

ALTER AUTHORIZATION ON OBJECT::Production.ProductionView06 TO SCHEMA OWNER;
GO

C. Передача владения схемой пользователю

В следующем примере владение схемой SeattleProduction11 передается пользователю SandraAlayo.

ALTER AUTHORIZATION ON SCHEMA::SeattleProduction11 TO SandraAlayo;
GO

D. Передача владения конечной точкой имени входа в SQL Server

В следующем примере владение конечной точкой CantabSalesServer1 передается JaePak. Так как конечная точка представляет собой защищаемую сущность уровня сервера, ее можно передать только участнику уровня сервера.

Применимо: SQL Server 2008 (10.0.x) и более поздних версий.

ALTER AUTHORIZATION ON ENDPOINT::CantabSalesServer1 TO JaePak;
GO

Е. Изменение владельца таблицы

В каждом из следующих примеров показано изменение владельца таблицы Sprockets в базе данных Parts на пользователя базы данных MichikoOsada.

ALTER AUTHORIZATION ON Sprockets TO MichikoOsada;
ALTER AUTHORIZATION ON dbo.Sprockets TO MichikoOsada;
ALTER AUTHORIZATION ON OBJECT::Sprockets TO MichikoOsada;
ALTER AUTHORIZATION ON OBJECT::dbo.Sprockets TO MichikoOsada;

F. Изменение владельца базы данных

Применимо к: SQL Server 2008 (10.0.x) и более поздних версий, База данных SQL.

В следующем примере показано, как изменить владельца базы данных Parts на имя входа MichikoOsada.

ALTER AUTHORIZATION ON DATABASE::Parts TO MichikoOsada;

G. Изменение владельца базы данных на пользователя Microsoft Entra

В следующем примере администратор Microsoft Entra для SQL Server в организации с пользовательским доменом cqclinic.onmicrosoft.comMicrosoft Entra может изменить текущее владение базой данных и сделать существующего пользователя richel@cqclinic.onmicorsoft.com Microsoft Entra новым владельцем базы данных targetDB с помощью следующей команды:

ALTER AUTHORIZATION ON database::targetDB TO [rachel@cqclinic.onmicrosoft.com];

См. также

OBJECTPROPERTY (Transact-SQL)TYPEPROPERTY (Transact-SQL)EVENTDATA (Transact-SQL)