sys.database_permissions (Transact-SQL)

Gäller för:SQL ServerAzure SQL DatabaseAzure SQL Managed InstanceAzure Synapse AnalyticsAnalysplattformssystem (PDW)SQL-analysslutpunkt i Microsoft FabricLager i Microsoft FabricSQL-databas i Microsoft Fabric

Returnerar en rad för varje behörighet eller kolumn-undantagsbehörighet i databasen. För kolumner finns det en rad för varje behörighet som skiljer sig från motsvarande behörighet på objektnivå. Om kolumnbehörigheten är samma som motsvarande objektbehörighet finns det ingen rad för den och den behörighet som tillämpas är objektets.

Databasbehörigheter

Följande typer av behörigheter är möjliga.

REVOKE och kolumnundantagsbehörigheter

I de flesta fall tar kommandot REVOKE bort or-posten GRANTDENY från sys.database_permissions.

Det är dock möjligt att GRANT få behörigheter DENY på ett objekt och sedan REVOKE den behörigheten på en kolumn. Denna kolumnundantagsbehörighet visas som REVOKE i sys.database_permissions. Tänk på följande exempel:

GRANT SELECT ON Person.Person TO [Sales];

REVOKE SELECT ON Person.Person(AdditionalContactInfo) FROM [Sales];

Dessa behörigheter visas i sys.database_permissions som ett GRANT (i tabellen) och ett REVOKE (i kolumnen).

Permissions

Alla användare kan se sina egna behörigheter. För att se behörigheter för andra användare krävs VIEW DEFINITION, ÄNDRA NÅGON USER, eller någon behörighet för en användare. För att se användardefinierade roller krävs ALTER ANY ROLE, eller medlemskap i rollen (såsom offentlig).

Synligheten för metadata i katalogvyer är begränsad till skyddsbara objekt som en användare antingen äger eller som användaren har beviljats viss behörighet för. Mer information finns i konfiguration av metadatasynlighet.

Examples

A. Visa en lista över alla behörigheter för databasobjekt

I följande fråga visas de behörigheter som uttryckligen beviljas eller nekas till databashuvudnamn.

SELECT pr.principal_id
    ,pr.name
    ,pr.type_desc
    ,pr.authentication_type_desc
    ,pe.state_desc
    ,pe.permission_name  
FROM sys.database_principals AS pr  
INNER JOIN sys.database_permissions AS pe ON pe.grantee_principal_id = pr.principal_id;  

B. Visa behörigheter för schemaobjekt i en databas

Följande fråga kopplar sys.database_principals och sys.database_permissions till sys.objects och sys.schemas för att visa behörigheter som beviljats eller nekats till specifika schemaobjekt.

SELECT pr.principal_id
    ,pr.name
    ,pr.type_desc
    ,pr.authentication_type_desc
    ,pe.state_desc
    ,pe.permission_name
    ,s.name + '.' + o.name AS ObjectName
FROM sys.database_principals AS pr
INNER JOIN sys.database_permissions AS pe ON pe.grantee_principal_id = pr.principal_id
INNER JOIN sys.objects AS o ON pe.major_id = o.object_id
INNER JOIN sys.schemas AS s ON o.schema_id = s.schema_id
WHERE pe.class = 1;

C. Visa en lista över behörigheter för ett specifikt objekt

Du kan använda föregående exempel för att fråga efter behörigheter som är specifika för ett enskilt databasobjekt.

Överväg till exempel följande detaljerade behörigheter som beviljats en databasanvändare test i exempeldatabasenAdventureWorksDW2025:

GRANT SELECT ON dbo.vAssocSeqOrders TO [test];

Hitta de detaljerade behörigheter som tilldelats dbo.vAssocSeqOrders:

SELECT pr.principal_id
    ,pr.name
    ,pr.type_desc
    ,pr.authentication_type_desc
    ,pe.state_desc
    ,pe.permission_name
    ,s.name + '.' + o.name AS ObjectName
FROM sys.database_principals AS pr
INNER JOIN sys.database_permissions AS pe ON pe.grantee_principal_id = pr.principal_id
INNER JOIN sys.objects AS o ON pe.major_id = o.object_id
INNER JOIN sys.schemas AS s ON o.schema_id = s.schema_id
WHERE pe.class = 1
    AND o.name = 'vAssocSeqOrders'
    AND s.name = 'dbo';

Returnerar utdata:

principal_id    name    type_desc    authentication_type_desc    state_desc    permission_name    ObjectName
5    test    SQL_USER    INSTANCE    GRANT    SELECT    dbo.vAssocSeqOrders

Se även

• Securables
• behörighetshierarki (databasmotor)
• säkerhetskatalogvyer (Transact-SQL)
• katalogvyer (Transact-SQL)

Nästa steg

• bevilja en behörighet till ett huvudnamn
• GRANT (Transact-SQL)