SQL Server批量创建登录与权限分配自动化脚本

1. 项目背景与需求场景

在SQL Server数据库运维工作中，管理员经常需要为新的开发人员或应用程序创建登录账号并分配权限。传统的手工操作方式存在几个痛点：

1. 重复劳动：当需要为同一个账号在多个数据库上分配相同权限时，需要反复执行grant语句
2. 容易遗漏：在包含数十个甚至上百个数据库的实例中，人工操作难免遗漏某些数据库
3. 权限不一致：手工操作可能导致不同数据库上的权限配置出现差异
4. 效率低下：新建一个账号并完成所有授权可能需要10-15分钟

这个脚本正是为了解决这些痛点而设计的自动化方案。它特别适合以下场景：

• 新员工入职需要开通数据库访问权限
• 新应用上线需要配置服务账号
• 定期维护时批量调整权限
• 数据库实例迁移后的权限重建

提示：在生产环境执行权限变更前，务必先在测试环境验证脚本行为，避免误操作导致权限过度分配。

2. 脚本核心功能设计

2.1 登录账号创建模块

脚本首先处理服务器登录账号的创建，这是权限分配的前提条件。核心逻辑包括：

sql复制-- 创建SQL Server登录账号
CREATE LOGIN [用户名] WITH PASSWORD = '密码', 
    DEFAULT_DATABASE = [master],
    CHECK_EXPIRATION = OFF,
    CHECK_POLICY = OFF

关键参数说明：

• CHECK_EXPIRATION：设置密码是否过期（生产环境建议设为ON）
• CHECK_POLICY：是否应用密码复杂度策略
• DEFAULT_DATABASE：登录后的默认数据库

2.2 数据库用户映射模块

为每个数据库创建与登录账号对应的用户，这是权限继承的桥梁：

sql复制USE [数据库名]
CREATE USER [用户名] FOR LOGIN [用户名]

这里需要注意：

1. 用户名称可以与登录名不同，但保持相同便于管理
2. 在包含数据库(contained database)中，可以直接创建用户而无需先创建登录

2.3 批量权限分配模块

这是脚本的核心价值所在，实现跨数据库的批量权限配置：

sql复制USE [数据库名]
EXEC sp_addrolemember '角色名', '用户名'

支持配置的常见数据库角色包括：

• db_owner：数据库完全控制权
• db_datareader：只读权限
• db_datawriter：数据修改权限
• db_ddladmin：DDL操作权限
• 自定义角色：满足特定业务需求

3. 脚本实现细节与参数化设计

3.1 动态SQL生成技术

脚本采用动态SQL技术实现灵活性，核心思路是：

1. 查询所有用户数据库列表
2. 为每个数据库生成对应的用户创建和权限