Início / dba / Perguntas / 212274
Accepted
gotqn
Asked: 2018-07-16 22:11:19 +0800 CST

Como verificar o esquema padrão do WINDOWS_GROUP?

  • 772

Estou usando a seguinte consulta para verificar se o esquema padrão está definido como dbo.

SELECT DB_NAME() AS [database] 
      ,[name]
      ,[type_desc]
      ,[default_schema_name]
FROM [sys].[database_principals]
WHERE [type] IN ('U', 'G')
    --AND [default_schema_name] <> 'dbo';

Se não for definido como dboe alguém criar um objeto sem especificar um identificador de esquema, um novo schemaserá criado com suas credenciais do Windows.

Então, eu queria escrever um script para verificar (em determinado período de tempo) se tudo está correto (porque novas máquinas e bancos de dados são restaurados/criados diariamente).

O problema com o script acima é que consigo ver que o esquema padrão do meu usuário não é dbo, mas quando executado com outra conta, meu usuário não está listado.

Suponho que seja por causa do WINDOWS_GROUPqual todos somos membros, então preciso verificar suas configurações, mas sempre obter NULLvalor para grupos.

sql-server sql-server-2016

1 respostas

  1. Best Answer

    Como verificar o esquema padrão do WINDOWS_GROUP

    O default schemade a grouppode ser verificado com seu script.

    Quando este script é exibido NULLpara um grupo, significa que default schemanão foi definido explicitamente para este grupo.

    but when executed with other account, my user is not listed

    Isso significa que isso accountnão é mapeado explicitamente para esse banco de dados, mas é membro de um Windows groupsou mais minérios mapeados.

    A regra aqui é:

    Se o usuário tiver um esquema padrão, esse esquema padrão será usado. Se o usuário não tiver um esquema padrão, mas for membro de um grupo que tenha um esquema padrão, será usado o esquema padrão do grupo. Se o usuário não tiver um esquema padrão e for membro de mais de um grupo, o esquema padrão para o usuário será o do grupo do Windows com o principal_id mais baixo e um esquema padrão definido explicitamente.

    Quando você vê isso

    alguém cria um objeto sem especificar um identificador de esquema, um novo esquema é criado com suas credenciais do Windows

    isso significa que esse usuário o usuário é membro de um ou mais grupos do Windows e nenhum desses grupos possui um esquema padrão.

    Se você quiser evitar essa "criação de esquema", você não deve deixar users- Windows groupssem default schema, apenas atribua dboo esquema a dbo:

    alter user [someDomain\someGroup] with default_schema = dbo

    Para verificar os grupos de usuários mapeados para este banco de dados execute o seguinte código:

    select *
from sys.user_token
where principal_id > 0

    Você pode filtrar aqui, type = 'WINDOWS GROUP'mas quando não filtrado, você vê todos os tokens, portanto, se você não vê a conta do Windows como está, é porque ela não foi mapeada explicitamente para esse banco de dados e chega ao banco de dados por meio de grupo(s) do Windows

    ATUALIZAR

    Esse comportamento é chamado implicit schema creatione está documentado aqui: CREATE SCHEMA (Transact-SQL)

    Esquema Implícito e Criação de Usuário

    Em alguns casos, um usuário pode usar um banco de dados sem ter uma conta de usuário de banco de dados (uma entidade de banco de dados no banco de dados). Isso pode acontecer nas seguintes situações:

    Um login tem privilégios CONTROL SERVER.

    Um usuário do Windows não tem uma conta de usuário de banco de dados individual (um banco de dados principal no banco de dados), mas acessa um banco de dados como membro de um grupo do Windows que possui uma conta de usuário de banco de dados (um banco de dados principal para o grupo Windows).

    Quando um usuário sem uma conta de usuário de banco de dados cria um objeto sem especificar um esquema existente, uma entidade de banco de dados e um esquema padrão serão criados automaticamente no banco de dados para esse usuário. A entidade de segurança e o esquema do banco de dados criados terão o mesmo nome que o nome que o usuário usou ao se conectar ao SQL Server (o nome de logon de autenticação do SQL Server ou o nome de usuário do Windows).

    Esse comportamento é necessário para permitir que usuários baseados em grupos do Windows criem e possuam objetos. No entanto, pode resultar na criação não intencional de esquemas e usuários. Para evitar a criação implícita de usuários e esquemas, sempre que possível, crie explicitamente entidades de banco de dados e atribua um esquema padrão. Ou declare explicitamente um esquema existente ao criar objetos em um banco de dados, usando nomes de objetos de duas ou três partes.

    • 1

relate perguntas