SQL Server 2000 固定伺服器角色、資料庫角色與權限管理完整指南

兩層角色體系

SQL Server 2000 採雙層權限模型：

• 伺服器層級：固定伺服器角色 (8 種)，跨越所有資料庫。
• 資料庫層級：固定資料庫角色 + 使用者自訂角色，限定於單一資料庫。

八大固定伺服器角色

關鍵事實：Windows 管理員自動成為 sysadmin

屬於 BUILTIN\Administrators 群組的 Windows 帳號，**自動擁有 sysadmin 權限**，無需在 SQL Server 額外設定。這是常見權限外洩來源，建議：

• 從 BUILTIN\Administrators 移除不需 DBA 權限的帳號。
• 或執行 EXEC sp_droplogin 'BUILTIN\Administrators' 移除該群組登入 (需先建立專屬 DBA 登入)。

固定資料庫角色 (每資料庫獨立)

實務操作腳本

新增登入並加入伺服器角色

-- Windows 帳號
EXEC sp_grantlogin 'DOMAIN\User';
EXEC sp_addsrvrolemember 'DOMAIN\User', 'sysadmin';

-- SQL Server 驗證帳號
EXEC sp_addlogin 'etl_user', 'StrongP@ssw0rd', 'MyDB';
EXEC sp_addsrvrolemember 'etl_user', 'bulkadmin';

資料庫使用者與角色對應

USE MyDB;
-- 建立使用者對應登入
EXEC sp_grantdbaccess 'etl_user', 'etl_user';
-- 加入固定資料庫角色
EXEC sp_addrolemember 'db_datawriter', 'etl_user';
EXEC sp_addrolemember 'db_datareader', 'etl_user';

-- 建立自訂角色並授權細粒度權限
EXEC sp_addrole 'role_etl_staging';
GRANT INSERT, UPDATE ON staging_table TO role_etl_staging;
GRANT SELECT ON dim_table TO role_etl_staging;
EXEC sp_addrolemember 'role_etl_staging', 'etl_user';

撤銷與清理

EXEC sp_droprolemember 'db_datawriter', 'etl_user';
EXEC sp_revokedbaccess 'etl_user';
EXEC sp_droplogin 'etl_user';

權限檢查查詢

-- 登入的伺服器角色
SELECT l.name AS LoginName, r.name AS ServerRole
FROM syslogins l
JOIN syssrvrolemembers m ON l.sid = m.sid
JOIN syssrvroles r ON m.srvrole = r.srvrole;

-- 資料庫使用者的角色
USE MyDB;
SELECT u.name AS UserName, r.name AS DbRole
FROM sysusers u
JOIN sysmembers m ON u.uid = m.memberuid
JOIN sysusers r ON m.groupuid = r.uid
WHERE u.issqluser = 1 OR u.isntuser = 1;

最佳實務原則

1. 最小權限：應用程式帳號僅獲 db_datareader + db_datawriter 或自訂角色，嚴禁 sysadmin/db_owner。
2. 角色基礎授權：權限授予角色，使用者透過加入角色繼承，便於批次變更。
3. 定期審計：每季檢視 sysadmin 成員、db_owner 成員、BUILTIN\Administrators 成員。
4. 分離職責：備份操作員、ETL 載入、開發部署、審計查詢使用不同帳號/角色。

結語

SQL Server 2000 雖已停止支援，其角色權限模型仍是理解後續版本 (含 Azure SQL) 權限體系的基石。掌握固定角色職掌、Windows 群組自動映射機制、角色基礎授權流程，能有效落實最小權限原則，降低內部與外部威脅風險。

1. 上一篇文章： SQL Server T-SQL 實作資料庫備份與還原自動化：含預設路徑取得、強制離線還原與排程作業建立
2. 下一篇文章： 解決 SQL Server 「Ad Hoc Distributed Queries」停用導致 OPENROWSET/OPENDATASOURCE 失敗

關於SqlServer

使用 SQL Server Analysis Services 資料探勘定位目標客戶實戰

業務目標 預算有限時，透過歷史交易資料挖掘高潛力客戶，最大化

SQL Server 2000 呼叫自訂函數報錯「無法辨識的函數名」解決方案

問題現象 在 SQL Server 2000 中建立自訂函數

SQL Server 2000 遠端呼叫 SQL 6.5 兩表 JOIN 失敗的替代方案：暫存表分步處理

問題背景 SQL Server 2000 透過連結伺服器存取

MS SQL 基礎教學：SQL Server 警報建立與管理完整指南（事件警報與效能警報）

SQL Server 警報管理器依據 Windows 應用程