我应该创建映射到 Active Directory 组的 NT 身份验证登录吗？
我们希望使用 Active Directory 组来限制对 SQL Server 2005 数据库的访问。我看到您可以在映射到 AD 组的 SQL 中创建登录名（使用 Windows 身份验证），但这是一个好主意吗？明显的好处是我们将能够通过 AD 维护组成员身份，我们已经在网络访问和各种应用程序中这样做了。 还有其他好处吗？缺点呢？我想，如果一个 AD 用户属于多个作为单独登录名存在的 AD 组，那么情况可能会有点棘手。
我当前计划创建模式来包含各种安全数据库对象组。然后，我将使用适当的默认架构创建用户，并且仅在需要时才授予对其他架构的访问权限。
We want to use Active Directory groups to restrict access to SQL Server 2005 databases. I see that you can create an Login in SQL (using Windows authentication) mapped to an AD group, but is this a good idea? The obvious benefit is that we would be able to maintain group membership through AD, which we already do for network access and various applications. Are there any other benefits? What about drawbacks? I imagine it could get a bit hairy if an AD user belongs to multiple AD groups that exist as separate Logins.
My current plan to create Schemas to contain the various groups of securable database objects. Then I'd create users with the appropriate default Schema and only give access to other Schemas if they need it.
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（2）
您无法将“SQL 登录名”映射到 AD 组：您在 SQL 级别授予对 AD 组的访问权限。我这样说是因为“SQL 登录”意味着用户名和密码。
无论如何，管理 AD 组更加容易。在实践中你的替代方案是什么？
如果用户位于两个 AD 组中，那么您需要控件来检查这一点。或者使用登录触发器来测试多个成员身份并拒绝访问
You can't map a "SQL login" to an AD group: you grant access to an AD group at the SQL level. I say this because "SQL Login" implies username and password.
In any event, it's easier to manage AD groups. And what would your alternatives be in practice?
If a user is in two AD groups, then you need controls to check this. Or use a Logon trigger to test for multiple memberships and reject access
SQL Server 支持两种登录：SQL 身份验证和 NT 身份验证。您正在描述 NT 身份验证。多年来，Microsoft、行业专家以及我读过的几乎所有书籍都强烈建议仅使用 NT 身份验证，而根本不使用 SQL 身份验证。事实上，您可以禁用 SQL 身份验证，但不能禁用 NT 身份验证。
换句话说，是的，这就是要走的路。
SQL Server supports two kinds of logins: SQL authenticated, and NT authenticated. You are describing NT authentication. For years, both Microsoft, industry experts, and just about every book I've read strongly recommend using only NT authentication, and not using SQL authentication at all. In fact, you can disable SQL authentication, but you cannot disable NT authentication.
In other words, yes, this is the way to go.