Estou assumindo um projeto que envolve a remoção e limitação de permissões de todos os usuários de banco de dados em nosso farm de servidores. (momentos divertidos)
Uma das permissões atualmente limitadas são as permissões db_owner.
Essa permissão está sendo analisada caso a caso, mas uma alteração comum é substituir as permissões db_owner pelo seguinte:
- db_datareader
- db_datawriter
- db_ddladmin
- db_executor
Eu gostaria de definir a diferença exata entre os dois (para informar os clientes).
No entanto, tanto quanto posso dizer, a diferença entre os dois deve ser:
- permissões db_accessadmin
- permissões db_backupoperator
- permissões db_securityadmin
Então, com efeito, eles perderiam:
[ALTER ANY USER]
[CREATE SCHEMA]
[BACKUP DATABASE]
, [BACKUP LOG]
, [CHECKPOINT]
[ALTER ANY APPLICATION ROLE]
,[ALTER ANY ROLE]
[DROP DATABASE]
Existe mais alguma coisa que um usuário perderia quando db_owner for substituído pelas quatro funções acima?
Isso realmente serve muito para um propósito de segurança?