SQL 問題彙編（二）：角色體系重構、NT 集成深度與安全模式演進史

角色體系：從「超級 sa」到最小權限原則

7 大固定服務器角色 + 9 大固定數據庫角色

• 服務器角色：分散系統管理員職責。sysadmin 替代舊 sa 全權，dbcreator、securityadmin 等專職專權
• 數據庫角色：db_owner 替代 dbo 偽裝，db_accessadmin、db_securityadmin、db_backupoperator 細粒度授權
• 支援用戶自定義角色與應用程序角色，用戶可屬多角色
• sa 保留僅為向後兼容，實權來自 sysadmin 成員身份
• 審計追蹤記錄真實 Windows NT/SQL 登錄名，而非角色名

Windows NT 集成：雙贏的安全與易用性

為什麼 6.5 標準安全模式不夠？

• 無密碼過期策略
• 允許空密碼
• 無長度/複雜度要求
• 無高級口令管理

NT 原生具備以上所有，集成即繼承企業級密碼策略。

管理效率質變

• 6.5：加入 NT 組需枚舉成員，組員變動需重跑
• 7.0：直接加入 Domain Users 組作為登錄，組員增減零維護，動態生效

最關鍵變革：NT 安全機制原生化

6.5 兩種模式皆非真集成：

• 完全控制註冊表 → sa 登錄（權限過大）
• 只讀註冊表 → 映射登錄（仍用標準安全，附加映射層）

7.0 直接讀取 Windows NT 訪問令牌，映射 SID 至 master..sysxlogins，**移除映射層**，大幅減少管理時間、降低出錯率、真正工作。

歷史對比：6.5 映射機制的痛點

• NT 組登錄 → 全組映射同一 SQL 登錄，無法區分個體操作
• 否則每用戶需單獨登錄，產生海量管理任務

7.0 徹底解決：個體身份透傳，角色權限動態計算，審計精準到人。