无法从 db_owner-group 中删除用户

小编典典

无法从 db_owner-group 中删除用户

sql

TL;DR - 出于某种原因由脚本创建时，用户会自动添加到 db_owner 组。但我不能用脚本删除它们。

因此，我编写了一个脚本来将新的 Windows 用户添加到我的数据库中，但由于某种原因，默认情况下它们会自动添加到 db_owner 组中。服务器上的所有者是“sa”，因此服务器上已经有一个所有者集。

当我使用以下脚本添加新用户时会发生这种情况：

CREATE LOGIN [Windows\user1] FROM WINDOWS WITH DEFAULT_DATABASE=[master], DEFAULT_LANGUAGE=[us_english]
GO

USE [dbName]
GO
IF NOT EXISTS (SELECT [name] FROM [sys].[database_principals] WHERE [name] = N'Windows\user1')
BEGIN
    CREATE USER [Windows\user1] FOR LOGIN [Windows\user1]
END
EXECUTE sp_addrolemember 'Admin', 'Windows\user1'
GO
EXECUTE sp_addrolemember 'db_datareader', 'Windows\user1'
GO
EXECUTE sp_addrolemember 'db_datawriter', 'Windows\user1'
GO

但是当我运行以下代码时，它会显示“1 行受影响”。但是用户仍然在 db_owner 组中。

ALTER ROLE [db_owner] DROP MEMBER [Windows\user1]

我现在可以删除它的唯一方法是使用 SSMS 中的 UI 转到用户的属性并取消选中它。有什么方法可以解决这两个问题？

显然这是不正确的。他们甚至不会以这种方式被删除…

更新（1）：我已经设法将其缩小到它似乎与自定义角色“管理员”有关的事实 - 当用户添加到此角色时，它会在运行时自动添加到 db_owner以下脚本。

EXECUTE sp_addrolemember 'Admin', 'Windows\user1'

仍然没有设法弄清楚为什么。

阅读 107

2022-07-22

共1个答案

小编典典

预测：如果您运行以下查询，则结果将为 1：

select   count(*)
from     sys.database_role_members   rm
join     sys.database_principals     rp   on rp.principal_id = rm.role_principal_id
join     sys.database_principals     mp   on mp.principal_id = rm.member_principal_id
where    rp.name = 'db_owner'
         and mp.name = 'Admin';

如果是这种情况（我相信确实如此），那么该Admin角色就是该角色的成员db_owner。所以所有的成员admin都是的成员db_owner。

然后user1被赋予该admin角色的成员资格。我们现在形成一个三段论：

都是。admins_ 是一个。因此是一个。db_owners
user1``admin
user1``db_owner

尝试user1从db_owner角色中移除没有任何效果，因为他们不是db_owner角色的直接成员。他们是角色的成员，而admin角色又是db_owner角色的成员。

如果您想删除他们的db_owner成员资格，您必须通过将他们从admin角色中删除来执行此操作。

2022-07-22