带你随便看看SQL Server登录那些事儿，怎么管才不慌乱

行，那咱们就直接聊聊 SQL Server 登录这点事儿，管理这玩意儿，最怕的就是乱，今天这个说要个账号，明天那个说登不进去了，权限给大了怕出事，给小了又被人催，要是没个章法，那真是头疼，你别把它想得多高深，就当成是管一个大楼的钥匙，谁有哪扇门的钥匙，什么时候给，什么时候收回,心里得有本账。

第一件事，先搞清楚“登录名”和“用户名”是两码事。

这事儿是很多新手最容易晕的地方，你得这么理解（这个比喻来自很多老司机的经验总结）：

• 登录名（Login）：相当于大楼的门禁卡，有了这张卡，你才能走进这栋大楼（也就是连接到 SQL Server 服务器本身），管这个卡的地方，在 SQL Server 的“安全性”文件夹下面，那个“登录名”里面。
• 用户名（User）：相当于某个具体房间的钥匙，你进了大楼还没用，你想进 301 办公室（也就是某个具体的数据库，销售数据库”），你得有 301 的钥匙，这个“用户名”是存在于每个数据库里面的，在“销售数据库” -> “安全性” -> “用户”里面能看到。

那它们俩是啥关系呢？你得先把门禁卡（登录名）发给人，然后再用这张卡去配具体房间的钥匙（用户名），我们会建立一个映射关系，让这个登录名能对应到某个数据库里的一个用户名，管理的第一步，别弄混了，先发卡,再配钥匙。

第二件事，怎么创建登录名？别只会用 SA！

SA 是 SQL Server 自带的超级管理员账号，权力太大，就像大楼的总钥匙，谁都能开，平时绝对不能随便用，太危险了,那普通员工怎么进门？

1. 最常用的：用 Windows 账号登录，如果你们公司都用 Windows 电脑，并且加入了域（可以理解成一个统一的公司网络），这是最省心、最安全的方法，你直接在 SQL Server 里创建一个登录名，这个登录名就选那个同事的 Windows 域账号（公司名\张三），好处是，张三用他自己的电脑账号密码就能登录 SQL Server 了，他改电脑密码，SQL Server 的登录密码也跟着变，你不用管,这在微软的官方文档里一直是推荐的最佳实践。
2. 不得已的办法：创建 SQL Server 自己的登录名，如果有些人不在你们公司网络里，比如外包人员，那就得单独给他们创建一个 SQL Server 的账号密码，这时候你要小心了，密码得设复杂点,并且要定期更换。

第三件事，权限别瞎给，要讲究“最小权限”原则。

这是保证安全、避免慌乱的核心，千万别图省事，给一个人“db_owner”（数据库所有者）这种最大权限，除非他真的是这个库的负责人，权限就像权力，给出去容易，收回来难,乱给必出事。

那该怎么给呢？参考一下数据库领域的通用原则——最小权限原则,即只授予用户完成其工作所必需的最小权限。

• 能读不能写：如果这个人只是要查数据、做报表，那就只给他 db_datareader 这个角色，这样他只能看，不能改，不能删,安全多了。
• 能写但不能乱搞：如果他要往数据库里添加或修改数据，可以给他 db_datawriter 角色，但注意，这个角色也能删除数据，如果不想让他删，就别用这个角色，而是更精细地只授予对具体表的 INSERT 和 UPDATE 权限。
• 千万别碰数据库结构：对于绝大多数业务人员，绝对不要给 db_ddladmin 这类能创建、修改、删除表结构的权限，否则他一个误操作把表删了,你就等着哭吧。

第四件事，建几个“角色”来管，别一个一个给人授权。

想象一下，如果销售部有10个新人入职，你难道要一个个地去给这10个人设置完全一样的权限吗？那不得累死,而且很容易出错。

这时候就要用“数据库角色”这个好工具了，你可以自己创建一个角色，比如就叫“销售部只读角色”，然后把这个角色应该有的权限（比如能查哪些表）一次性设置好，以后再来销售部的新人，你只需要做两步：1. 给他创建登录名和用户；2. 把他的用户加到“销售部只读角色”里，他的权限就自动和这个角色一样了，修改权限时，也只需要改这个角色，所有属于这个角色的人权限就都变了，非常方便省心，这种方法在各种管理指南里都被反复强调,是规模化管理的必备技巧。

第五件事，日常维护的规矩不能少。

管理不能只是一次性的，得有长期的规矩,这样才能不慌乱。

• 定期检查：每个季度或者每半年，拉个清单看看，现在都有哪些登录名，对应的真人是谁，还有没有用，那个离职半年的人的账号还开着？这就是个大隐患！赶紧删掉。
• 日志盯着点：SQL Server 会记录谁什么时候登录了，干了啥（尤其是失败登录），你偶尔得去看看有没有什么异常情况，比如半夜三更有好多失败的登录尝试,可能就有人想黑进来。
• 备份那个 MASTER 数据库：你可能知道要备份业务数据库，但别忘了，你创建的所有登录名信息都存在 master 这个系统数据库里，如果你不小心删了 master 库或者服务器坏了，就算恢复了业务数据库，登录名全没了，大家也都登不进去了，改完登录信息，顺手备份一下 master 库,是个好习惯。

管 SQL Server 登录，核心就是心中有图：谁（登录名）能进哪个屋（数据库），在屋里能干什么（权限），用角色来批量管理，用最小权限来保证安全，再配上定期的检查和清理，这套流程跑顺了，你自然就不会慌乱了，这就像管家里的钥匙，分门别类放好，做好标签，定期清点,再多的钥匙也乱不了。