ALTER AUTHORIZATION (Transact-SQL)

Применимо к:SQL ServerБаза данных Azure SQLУправляемый экземпляр Azure SQLAzure Synapse AnalyticsСистема платформы аналитики (PDW)Конечная точка SQL аналитики в Microsoft FabricХранилище в Microsoft FabricБаза данных SQL в Microsoft Fabric

Изменяет владельца защищаемой сущности.

Соглашения о синтаксисе Transact-SQL

Syntax

-- Syntax for SQL Server
ALTER AUTHORIZATION
    ON [ <class_type>:: ] entity_name
    TO { principal_name | SCHEMA OWNER }
    [;]

<class_type> ::=
     {
      OBJECT | ASSEMBLY | ASYMMETRIC KEY | AVAILABILITY GROUP | CERTIFICATE
    | CONTRACT | TYPE | DATABASE | ENDPOINT | FULLTEXT CATALOG
    | FULLTEXT STOPLIST | MESSAGE TYPE | REMOTE SERVICE BINDING
    | ROLE | ROUTE | SCHEMA | SEARCH PROPERTY LIST | SERVER ROLE
    | SERVICE | SYMMETRIC KEY | XML SCHEMA COLLECTION
     }

-- Syntax for SQL Database

ALTER AUTHORIZATION
    ON [ <class_type>:: ] entity_name
    TO { principal_name | SCHEMA OWNER }
    [;]

<class_type> ::=
     {
    OBJECT | ASSEMBLY | ASYMMETRIC KEY | CERTIFICATE
     | TYPE | DATABASE | FULLTEXT CATALOG
     | FULLTEXT STOPLIST
     | ROLE | SCHEMA | SEARCH PROPERTY LIST
     | SYMMETRIC KEY | XML SCHEMA COLLECTION
     }

-- Syntax for Azure Synapse Analytics and Microsoft Fabric

ALTER AUTHORIZATION ON
     [ <class_type> :: ] <entity_name>
     TO { principal_name | SCHEMA OWNER }
    [;]

    <class_type> ::= {
    SCHEMA
     | OBJECT
    }

    <entity_name> ::=
    {
    schema_name
     | [ schema_name. ] object_name
    }

-- Syntax for Parallel Data Warehouse

ALTER AUTHORIZATION ON
     [ <class_type> :: ] <entity_name>
     TO { principal_name | SCHEMA OWNER }
    [;]

<class_type> ::= {
    DATABASE
     | SCHEMA
     | OBJECT
    }

<entity_name> ::=
    {
    database_name
     | schema_name
     | [ schema_name. ] object_name
    }

Arguments

<class_type> Защищаемый класс сущности, для которой изменяется владелец. По умолчанию это класс OBJECT.

entity_name — имя сущности.

principal_name | SCHEMA ВЛАДЕЛЕЦ: Имя принципала по ценным бумагам, который будет владеть этим предприятием. Объекты базы данных должны принадлежать субъекту базы данных; пользователю базы данных или роли. Объекты сервера (такие как базы данных) должны принадлежать субъекту сервера (имя для входа). Укажите SCHEMA OWNER в качестве *principal_name- чтобы указать, что объект должен принадлежать принципалу, владеющему схемой объекта.

Remarks

ALTER AUTHORIZATION может использоваться для изменения права собственности на любую организацию, имеющую собственника. Владение содержащимися в базе данных сущностями можно передать любому участнику уровня базы данных. Владение сущностями уровня сервера можно передать только участникам уровня сервера.

Владение можно передавать для следующих, содержащихся в схемах сущностей типа «объект»: таблиц, представлений, функций, процедур, очередей и синонимов.

Невозможно передать владение следующими сущностями: связанные серверы, статистика, ограничения, правила, значения по умолчанию, триггеры, очереди Service Broker, учетные данные, функции секционирования, схемы секционирования, основные ключи базы данных, главный ключ службы и уведомления о событиях.

Нельзя передавать владение элементами следующих защищаемых классов: сервером, именем входа, пользователем, ролью приложения и столбцом.

Опция SCHEMA ВЛАДЕЛЕЦ действует только при передаче права собственности на структуру, содержащую схему. SCHEMA ВЛАДЕЛЕЦ передает право собственности на организацию владельцу схемы, в которой она находится. Только сущности класса OBJECT TYPE, или XML SCHEMA COLLECTION содержатся в схеме.

Если целевая сущность не представляет собой базу данных, а передаваемая сущность передается новому владельцу, все разрешения на целевую сущность удаляются.

Имейте в виду следующее:

Особые случаи и условия

В следующей таблице перечислены особые случаи, исключения и условия, касающиеся изменения авторизации.

ALTER AUTHORIZATION для баз данных

Для SQL Server

Требования к новому владельцу: новый субъект-владелец должен быть одним из следующих:

• имя входа для проверки подлинности SQL Server;
• имя входа для проверки подлинности Windows, представляющее пользователя Windows (а не группу);
• пользователь Windows, проходящий проверку подлинности с использованием имени входа для проверки подлинности Windows, представляющего группу Windows.

Требования к лицу, выполняющему эту ALTER AUTHORIZATION заявку: Если вы не являетесь членом роли системного администратора фиксированного сервера, вы должны иметь как минимум ПРАВО ВЛАДЕНИЯ на базу данных и иметь право на имперентирование при входе нового владельца.

Для Базы данных SQL Azure

Требования к новому владельцу: новый субъект-владелец должен быть одним из следующих:

• имя входа для проверки подлинности SQL Server;
• Федеративный пользователь (а не группа) присутствует в идентификаторе Microsoft Entra.
• Управляемый пользователь (а не группа) или приложение, присутствующих в идентификаторе Microsoft Entra.

Если новый владелец является пользователем Microsoft Entra, он не может существовать как пользователь в базе данных, где новый владелец станет новым владельцем базы данных (dbo). Пользователь Microsoft Entra должен сначала быть удалён из базы данных перед выполнением ALTER AUTHORIZATION инструкции о передаче владельца базы данных новому пользователю. Дополнительные сведения о настройке пользователей Microsoft Entra с База данных SQL см. в разделе "Настройка проверки подлинности Microsoft Entra".

Требования к человеку, выполняющему эту ALTER AUTHORIZATION заявку: Вы должны подключиться к целевой базе данных, чтобы изменить владельца этой базы.

Изменить владельца базы данных могут следующие типы учетных записей.

• Имя входа субъекта уровня обслуживания, которое является администратором SQL, подготовленным при создании логического сервера в Azure .
• Администратор Microsoft Entra для логического сервера..
• Текущий владелец базы данных.

Следующая таблица содержит сводку требований.

Чтобы проверить владельца базы данных Microsoft Entra, выполните следующую команду Transact-SQL в пользовательской базе данных (в этом примере testdb).

SELECT CAST(owner_sid as uniqueidentifier) AS Owner_SID
FROM sys.databases
WHERE name = 'testdb';

Выходные данные будут GUID (например, XXXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXXXXXXXXXX), который соответствует идентификатору объекта пользователя Microsoft Entra или субъекта-службы, назначенного владельцем базы данных. Это можно проверить, проверив идентификатор объекта пользователя в идентификаторе Microsoft Entra ID. Если владельцем базы данных SQL Server является пользователь имени входа, выполните следующую инструкцию в базе данных master для проверки владельца базы данных:

SELECT d.name, d.owner_sid, sl.name
FROM sys.databases AS d
JOIN sys.sql_logins AS sl
ON d.owner_sid = sl.sid;

Лучшие практики

Вместо использования пользователей Microsoft Entra в качестве отдельных владельцев базы данных используйте группу Microsoft Entra в качестве члена предопределенной роли базы данных db_owner . Ниже показано, как настроить отключенное имя входа в качестве владельца базы данных и сделать группу Microsoft Entra (mydbogroup) членом роли db_owner .

1. Войдите в SQL Server от имени администратора Microsoft Entra и измените владельца базы данных на отключенное имя входа проверки подлинности SQL Server. Например, в базе данных пользователя выполните следующую команду:

   ALTER AUTHORIZATION ON database::testdb TO DisabledLogin;
   

2. Создайте группу Microsoft Entra, которая должна принадлежать базе данных и добавить ее в базу данных пользователя. Рассмотрим пример.

   CREATE USER [mydbogroup] FROM EXTERNAL PROVIDER;
   

3. В пользовательской базе данных добавьте пользователя, представляющего группу Microsoft Entra, в роль db_owner предопределенных баз данных. Рассмотрим пример.

   ALTER ROLE db_owner ADD MEMBER mydbogroup;
   

Теперь члены mydbogroup могут централизованно управлять базой данных как члены роли db_owner.

• Когда члены этой группы удаляются из группы Microsoft Entra, они автоматически теряют разрешения dbo для этой базы данных.
• Аналогично, если новые члены добавляются в mydbogroup группу Microsoft Entra, они автоматически получают доступ к dbo для этой базы данных.

Чтобы проверить наличие действующего разрешения dbo у конкретного пользователя, пользователь должен выполнить следующую инструкцию:

SELECT IS_MEMBER ('db_owner');

Возвращаемое значение 1 указывает, что пользователь является членом роли.

Permissions

Требует разрешения TAKE OWNERSHIP для сущности. Если новый владелец не является пользователем, выполняющим данную инструкцию, также требуется одно из следующих условий: 1) разрешение IMPERSONATE для нового владельца, если это пользователь или имя входа; 2) если новый владелец представляет собой роль — членство в роли или разрешение ALTER для этой роли; 3) если новый владелец представляет собой роль приложения — разрешение ALTER для роли приложения.

Examples

A. Передача владения таблицей

В следующем примере владение таблицей Sprockets передается пользователю MichikoOsada. Эта таблица расположена в схеме Parts.

ALTER AUTHORIZATION ON OBJECT::Parts.Sprockets TO MichikoOsada;
GO

Запрос также может выглядеть следующим образом:

ALTER AUTHORIZATION ON Parts.Sprockets TO MichikoOsada;
GO

Если схема объектов не включена в инструкцию, ядро СУБД будет искать объект в схеме по умолчанию для пользователей. Рассмотрим пример.

ALTER AUTHORIZATION ON Sprockets TO MichikoOsada;
ALTER AUTHORIZATION ON OBJECT::Sprockets TO MichikoOsada;

B. Передача владения представлением владельцу схемы

В следующем примере передается владение представлением ProductionView06 владельцу содержащей его схемы. Это представление расположено в схеме Production.

ALTER AUTHORIZATION ON OBJECT::Production.ProductionView06 TO SCHEMA OWNER;
GO

C. Передача владения схемой пользователю

В следующем примере владение схемой SeattleProduction11 передается пользователю SandraAlayo.

ALTER AUTHORIZATION ON SCHEMA::SeattleProduction11 TO SandraAlayo;
GO

D. Передача владения конечной точкой имени входа в SQL Server

В следующем примере владение конечной точкой CantabSalesServer1 передается JaePak. Так как конечная точка представляет собой защищаемую сущность уровня сервера, ее можно передать только участнику уровня сервера.

Применимо: SQL Server 2008 (10.0.x) и более поздних версий.

ALTER AUTHORIZATION ON ENDPOINT::CantabSalesServer1 TO JaePak;
GO

E. Изменение владельца таблицы

В каждом из следующих примеров показано изменение владельца таблицы Sprockets в базе данных Parts на пользователя базы данных MichikoOsada.

ALTER AUTHORIZATION ON Sprockets TO MichikoOsada;
ALTER AUTHORIZATION ON dbo.Sprockets TO MichikoOsada;
ALTER AUTHORIZATION ON OBJECT::Sprockets TO MichikoOsada;
ALTER AUTHORIZATION ON OBJECT::dbo.Sprockets TO MichikoOsada;

F. Изменение владельца базы данных

Применимо к: SQL Server 2008 (10.0.x) и более поздних версий, База данных SQL.

В следующем примере показано, как изменить владельца базы данных Parts на имя входа MichikoOsada.

ALTER AUTHORIZATION ON DATABASE::Parts TO MichikoOsada;

G. Изменение владельца базы данных на пользователя Microsoft Entra

В следующем примере администратор Microsoft Entra для SQL Server в организации с пользовательским доменом cqclinic.onmicrosoft.comMicrosoft Entra может изменить текущее владение базой данных и сделать существующего пользователя targetDB Microsoft Entra новым владельцем базы данных richel@cqclinic.onmicorsoft.com с помощью следующей команды:

ALTER AUTHORIZATION ON database::targetDB TO [rachel@cqclinic.onmicrosoft.com];

См. также

OBJECTPROPERTY (Transact-SQL)TYPEPROPERTY (Transact-SQL)EVENTDATA (Transact-SQL)