未经作者同意，不论什么人不得以“原创”形式公布，也不得已用于商业用途。本人不负责不论什么法律责任。

前一篇：http://blog.csdn.net/dba_huangzj/article/details/39577861

前言：

数据库层级的角色同意把数据库权限像server级别角色一样组合管理。你能够配置固定server角色，创建用户自己定义角色等。

实现：

1. 在SSMS中，进入某个数据库的节点。点击【安全性】。然后点击【数据库角色】节点：

2. 假设加入成员到某个角色，能够双击这个角色，在【属性】页的【此角色的成员】中加入：

3. 也能够使用T-SQL实现：

ALTER ROLE db_accessadmin ADD MEMBER test;

4. 假设须要创建自己定义角色。能够右键【数据库角色】节点然后选择【新建数据库角色】，输入角色名和拥有者，用于控制这个角色的全部权限。建议使用dbo或者留空。

5. 不要让GUI界面混淆了你，在【常规】页，有两个listboxes，第一个是【此角色拥有的架构】，列出了这个数据库的架构，在后面介绍。

6. 如今忘记第一个listbox，并到第二个listbox，【此角色的成员】。能够加入角色成员。

7. 然后到【安全对象】页，在这里能够选择安全对象，也能够用T-SQL实现：

USE marketing;
CREATE ROLE ProspectManager;
ALTER ROLE  ProspectManager ADD MEMBER Fred;
GRANT INSERT, UPDATE, DELETE, SELECT ON dbo.Prospect TO ProspectManager;
GRANT INSERT, SELECT ON dbo.Contact TO ProspectManager;

原理：

固定角色同意授权全局权限到数据库的全部对象中，大部分时间里面，不须要使用db_datareader/db_datawriter。由于权限限制太少，而db_denydatareader/db_denydatawriter却非常实用，能够限制用户不同意訪问表、视图。

全部用户都属于public数据库角色的成员，不能被移除，而db_owner角色的成员在数据库中以dbo用户的形式出现。

能够使用以下语句查看某个登录名是否属于某个数据库角色的成员：

SELECT IS_ROLEMEMBER ( ‘ProspectManager‘, ‘fred‘ );

返回1的话代表Fred是ProspectManager角色的成员。

很多其它：

假设使用了WITH GRANT OPTION授权到Windows组中，那么这个角色的成员选哟在授权时使用ASkeyword。

USE marketing;
CREATE USER fred WITHOUT LOGIN;
CREATE USER mary WITHOUT LOGIN;
GO
CREATE ROLE contactReaders;
ALTER ROLE contactReaders ADD MEMBER fred;
GO
GRANT SELECT ON dbo.contact TO contactReaders WITH GRANT OPTION;
GO
EXECUTE AS USER = ‘fred‘;
-- this does not work
GRANT SELECT ON dbo.contact TO mary;
-- this works
GRANT SELECT ON dbo.contact TO mary AS contactReaders;
REVERT;

当Fred使用GRANT命令。必须使用AS contactReaders。

MSDB角色：

MSDB由于其重要性，角色的数量和功能都和常规的库不一样：

关于SSIS角色和Data Collector 安全性，能够查看以下文章：

• Integration Services Roles:  http://msdn.microsoft.com/en-us/library/ms141053.aspx
• Data Collector Security:  http://msdn.microsoft.com/en-us/library/bb630341.aspx

下一个：http://blog.csdn.net/dba_huangzj/article/details/39927713