在 SQL Server 中使用 AD 组与角色

Question

什么是 sql server 安全的最佳实践？使用被授予架构对象权限的 AD 组，还是应该将 AD 组添加到被授予架构对象权限的数据库角色？如果后者是最佳实践，那么使用数据库角色的真正好处是什么？

Answer 1

一般而言，将 AD 组添加到数据库角色并授予角色权限可让您实现某种目的分离。在这种情况下，您可以将它们用作：

1. AD 组 = 一组共享相同数据库访问需求的登录名。
2. 角色 = 一组权限，定义一组登录名共享的权限。

优点是该角色可以添加多个 AD 组。同样，如果删除了 AD 组，权限集仍会保留。这样就可以添加原始 AD 组、一个或多个新 AD 组，而无需重新定义权限。

而且，当然，多个 AD 组可以使用一个角色，一个 AD 组可以使用多个角色。这完全取决于您希望如何使用和重用权限。

如果权限直接授予 AD 组，则删除该组也会删除该组拥有的权限。如果您在其他地方需要这些权利，这将意味着重新创建这些权利。