主页 / dba / 问题 / 258803
Accepted
DrewCranmer
Asked: 2020-02-04 10:49:55 +0800 CST

如何从另一个数据库授予在 master 数据库中执行存储过程的权限

  • 772

我们的开发人员有一个由他们的应用程序使用的域帐户，该帐户需要能够执行在主数据库中创建的存储过程，该存储过程使用服务器上其他数据库（SQL Server 2012 企业版）的“sp_”命名约定。

我知道这不是推荐的做法，但这样做的决定是由比我更有权威的其他人做出的。

我自己从服务器上的任何数据库执行此类存储过程都没有问题，但我也有系统管理员权限，并且希望授予该用户尽可能少的权限。

这是我尝试过的：

--create procedure for purpose of testing
USE [master]
GO
CREATE PROCEDURE dbo.sp_HelloWorld
AS
PRINT 'Hello World!'
GO

--create login for test user
USE [master]
GO
CREATE LOGIN [DOMAIN\user] FROM WINDOWS
GO

--create user in master database
USE [master]
GO
CREATE USER [DOMAIN\user] FOR LOGIN [DOMAIN\user]
GO

--create user in another database on server
USE MyDB
GO
CREATE USER [DOMAIN\user] FOR LOGIN [DOMAIN\user]
GO

--grant execute permission on stored procedure in master database
USE [master]
GO
GRANT EXECUTE ON dbo.sp_HelloWorld TO [DOMAIN\user]
GO

我可以EXEC dbo.sp_HelloWorld毫无问题地从服务器上的任何数据库运行自己。

我还可以运行以下命令：

USE [master]
GO
EXECUTE AS USER='DOMAIN\user'
EXEC dbo.sp_HelloWorld
REVERT

但是在模拟用户时尝试从任何其他数据库的上下文中执行存储过程：

USE MyDB
GO
EXECUTE AS USER='DOMAIN\user'
EXEC dbo.sp_HelloWorld
REVERT

导致以下错误：

消息 229，级别 14，状态 5，过程 sp_HelloWorld，第 1 行 [批处理开始第 15 行] 对象“sp_HelloWorld”、数据库“master”、模式“dbo”的 EXECUTE 权限被拒绝。

我错过了什么？

sql-server stored-procedures

1 个回答

  1. Best Answer

    我错过了什么？

    DOMAIN\user 登录应该能够 在上下文中dbo.sp_HelloWorld与它的相应用户一起运行。MyDB

    该EXECUTE AS USER命令是返回错误的原因。

    作为用户文档执行

    指定要模拟的上下文是当前数据库中的用户。模拟的范围仅限于当前数据库。到数据库用户的上下文切换不会继承该用户的服务器级权限。

    重要部分：模拟的范围仅限于当前数据库。

    这就是为什么master在使用EXECUTE AS USER.

    EXECUTE AS LOGIN 如果您想要正确的登录名/用户映射，则需要使用

    作为登录文档执行

    指定要模拟的执行上下文是登录名。模拟的范围是在服务器级别。

    USE MyDB
GO
EXECUTE AS LOGIN ='DOMAIN\user'
EXEC dbo.sp_HelloWorld
REVERT

    结果

    Hello World!
    • 4

相关问题