AI 助理
备案控制台
官方文档
输入文档关键字查找
首页 云数据库 RDS RDS SQL Server数据库 操作指南 账号与权限 创建普通账号、高权限账号与全局只读账号

创建普通账号、高权限账号与全局只读账号

更新时间：
产品详情
我的收藏

您可以通过RDS控制台或API接口为RDS SQL Server实例创建普通账号、高权限账号和全局只读账号。

适用范围

  • 实例的第一个账号必须创建为高权限账号或超级权限账号（SA权限）。

  • 所有规格实例均可创建高权限账号与普通账号，符合以下条件的实例可创建全局只读账号：

    • 数据库版本：SQL Server 2016及以上。

    • 规格族类型：通用型或独享型。

  • 账号数量限制：

    • 普通账号：无数量限制。

    • 高权限账号：每个实例至多一个高权限账号。

    • 全局只读账号：每个实例至多两个全局只读账号。

账号权限规则

高权限账号管理规则

操作场景

权限行为说明

创建高权限账号

创建时该账号将自动获得已有数据库的db_owner角色权限，无需额外手动授权。

新增数据库

  • 创建账号后新建的数据库，该账号默认无访问权限。

  • 需登录RDS控制台，修改高权限账号的权限范围，授权后方可获得该数据库的db_owner权限。

删除高权限账号

  • 删除操作会彻底移除该账号，及其在所有数据库中的操作权限。

  • 账号无法再用于登录或执行任何数据库操作。

重新创建高权限账号

  • 再次创建高权限账号，无论是否使用原账号名，系统将自动授予其对当前实例中所有已存在数据库的db_owner权限。

  • 对此后新创建的数据库，仍需手动修改权限才能获得该数据库的db_owner权限。

普通账号管理规则

操作场景

权限行为说明

创建普通账号

  • 创建时需手动指定授权数据库和对应权限（读写、只读或所有者）。

  • 若未选择任何数据库，则该账号创建成功但无任何数据库访问权限。

  • 账号无任何数据库的权限，必须手动授权。

新增数据库

删除普通账号

  • 删除后，该账号的所有数据库访问权限被彻底清除。

  • 无法再通过该账号登录或执行任何数据库操作。

  • 已绑定的应用连接将失败，需及时更新账号密码信息。

重新创建同名普通账号

  • 即使使用与之前相同的账号名称重新创建，也不会自动恢复原有权限。

  • 新建账号为“空白状态”，无任何数据库的权限。

  • 必须手动重新授权数据库并设置权限，才能恢复访问能力。

全局只读账号管理规则

操作场景

权限行为说明

创建全局只读账号

  • 账号创建后，该账号自动获取实例内所有已存在数据库的只读权限，无需逐库授权。

  • 该账号没有master与rdscore（如存在的） 系统库访问权限。

新增数据库

对于新创建的数据库（创建账号之后新增的数据库），该账号自动拥有只读访问权限，无需手动授权或变更范围。

删除全局只读账号

  • 删除操作会彻底移除该账号及其只读权限。

  • 账号将无法再用于登录或执行任何数据库操作。

重新创建全局只读账号

  • 再次创建全局只读账号（无论是否沿用原账号名），系统会自动授予其对当前实例中所有已存在数据库的只读权限。

  • 对此后新创建的数据库，仍自动获取只读权限，无需手动授权。

注意事项

  • 设置强密码：为保障数据库的安全，请将数据库账号的密码设置为强密码，并定期更换。您也可以为账号设置密码策略，以控制账号密码的使用时长，增强账号的安全性。

  • 最小权限原则：分配数据库账号权限时，请按最小权限原则和业务角色创建账号，并合理分配只读和读写权限。必要时可以把数据库账号和数据库拆分成更小粒度，使每个数据库账号只能访问其业务之内的数据。如果不需要数据库写入操作，请分配只读权限。

创建账号

  1. 访问RDS实例列表，在上方选择地域，然后单击目标实例ID。

  2. 在左侧导航栏单击账号管理。

  3. 单击创建账号，设置如下参数。

    说明

    SQL Server实例的第一个账号必须为高权限账号或超级权限账号。创建高权限账号或超级权限账号之后才能创建普通账号或全局只读账号。

    高权限账号

    参数

    说明

    数据库账号

    填写数据库账号名称，需由小写字母、数字、下划线组成，以字母开头，以字母或数字结尾。账号名称不能与关键字重复。

    账号类型

    选择高权限账号，一个实例仅支持有一个高权限账号。

    新密码

    填写账号密码。要求如下：

    • 长度为8~32个字符。

    • 由大写字母、小写字母、数字、特殊字符中的任意三种组成。

    • 特殊字符为!@#$%^&*()_+-=。

    确认密码

    填写与新密码一致的字段，需确保密码输入正确。

    应用密码策略

    应用密码策略可以控制账号密码的使用时长，增强账号的安全性。应用前您需要先设置账号密码策略。

    备注

    输入备注说明，最多256个字符。

    普通账号

    参数

    说明

    数据库账号

    填写数据库账号名称，需由小写字母、数字、下划线组成，以字母开头，以字母或数字结尾。账号名称不能与关键字重复。

    账号类型

    选择普通账号，一个实例支持有多个普通账号。

    授权数据库：

    您可以为普通账号授权一个或多个数据库，并为其设置不同的权限。若尚未创建数据库，该值可以为空，后续为账号重新授权数据库即可。授权操作如下：

    1. 在未授权数据库栏中，选中要授权的数据库。

    2. 单击image.png，将数据库添加到已授权数据库栏中。

    3. 为该账号设置数据库权限，可设置为读写（DML）、只读或所有者。权限详情，请参见账号权限列表。

    新密码

    填写账号密码。要求如下：

    • 长度为8~32个字符。

    • 由大写字母、小写字母、数字、特殊字符中的任意三种组成。

    • 特殊字符为!@#$%^&*()_+-=。

    确认密码

    填写与新密码一致的字段，需确保密码输入正确。

    应用密码策略

    应用密码策略可以控制账号密码的使用时长，增强账号的安全性。应用前您需要先设置账号密码策略。

    备注

    输入备注说明，最多256个字符。

    全局只读账号

    参数

    说明

    数据库账号

    填写数据库账号名称，需由小写字母、数字、下划线组成，以字母开头，以字母或数字结尾。账号名称不能与关键字重复。

    账号类型

    选择全局只读账号，该账号创建后将自动拥有实例内所有已存在数据库的只读权限，且对新建数据库自动生效。

    新密码

    填写账号密码。要求如下：

    • 长度为8~32个字符。

    • 由大写字母、小写字母、数字、特殊字符中的任意三种组成。

    • 特殊字符为!@#$%^&*()_+-=。

    确认密码

    填写与新密码一致的字段，需确保密码输入正确。

    应用密码策略

    应用密码策略可以控制账号密码的使用时长，增强账号的安全性。应用前您需要先设置账号密码策略。

    备注

    输入备注说明，最多256个字符。

  4. 单击确定，刷新后即可查看已创建的账号。

相关文档

常见问题

主实例创建的账号是否可以在只读实例上使用？

主实例创建的账号会同步到只读实例，只读实例无法管理账号。只读实例上的账号权限仅限于读操作，不能进行写操作。

RDS SQL Server实例如何跳过用户账号密码复杂度的限制？

为保障数据库的安全，RDS SQL Server限制用户的账号密码必须由大写字母、小写字母、数字、特殊字符中的任意三种组成，并要求密码长度在8~32字符间。

但若因业务需要，必须跳过密码复杂度的限制，可按照如下操作进行：

重要

密码过于简单会增加系统被攻击的风险，建议您将数据库账号的密码设置为强密码，并定期更换。

  1. 在RDS实例中创建一个用户账号A，并使用账号A通过SSMS连接SQL Server实例。

  2. 通过账号A创建目标账号，并在创建目标账号时关闭密码检查复杂度的策略，SQL如下：

    说明

    通过DMS连接SQL Server数据库无法切换到master库，请通过SSMS连接并执行SQL。

    -- 先切换到master库
USE master
GO
-- 创建目标账号
CREATE LOGIN [目标账号名称] WITH PASSWORD=N'目标账号密码', CHECK_EXPIRATION=OFF, CHECK_POLICY=OFF
GO
-- 启用目标账号
ALTER LOGIN [目标账号名称] ENABLE
GO

    CHECK_EXPIRATION = OFF表示将关闭密码过期功能，CHECK_POLICY = OFF表示将关闭密码复杂性策略的检查（例如密码长度、复杂性等要求）。

    说明

    您可以通过RDS控制台为RDS SQL Server实例的用户账号单独自定义账号密码策略，以实现精细化的密码管理，增强账号的安全性。

RDS SQL Server账号显示未激活，且登录报错The account is disabled.？

问题描述

RDS SQL Server实例账号管理页面中，用户账号状态显示为未激活。通过未激活的账号登录数据库时，会报错The account is disabled.。

image

image

问题原因

通过RDS SQL Server实例账号管理页面或API创建的用户账号默认是已激活状态，无需用户手动激活。如果账号状态变为未激活，通常可能是：

  • 用户通过SQL自行创建账号时，指定了账号状态为禁用（Disabled）。

  • 用户通过RDS控制台或API创建账号后，手动修改了账号状态为禁用（Disabled）。

解决方案

  1. 使用其他处于激活状态的账号，通过SSMS连接到SQL Server实例。

  2. 检查目标用户账号的禁用状态，若被禁用则修改状态为启用（Enabled）。

    • 方法一：通过SSMS图形化界面查看并修改目标账号的使用状态。

      image

    • 方法二：通过SQL查看并修改目标账号的使用状态。

      1. 执行以下SQL查询，确认目标账号的当前状态：

        -- 查询目标登录名的状态
SELECT 
    name AS LoginName,          -- 登录名
    is_disabled AS IsDisabled   -- 状态：1表示禁用，0表示启用
FROM 
    sys.server_principals
WHERE 
    name = '替换为目标登录名';

        image

      2. 如果目标账号被禁用（is_disabled = 1），执行以下SQL命令启用账号：

        ALTER LOGIN [替换为目标登录名] ENABLE;

        image

通过CreateAccount接口创建用户时报错AccountLimitExceeded？

问题描述

用户通过CreateAccount接口创建数据库账号时，如果参数设置不正确，可能出现如下报错：

"Code": "AccountLimitExceeded",
"Message": "AccountQuotaExceeded: Exceeding the allowed amount of account"

此错误表明当前实例中已达到允许的最大账号数量限制。

image

报错原因

  • 账号数量限制：最多允许一个高权限账号和一个超级权限账号，且高权限账号不可删除。

  • 参数设置问题：在SQL Server中，若AccountType设置为Sysadmin（超级权限账号）或Super（高权限账号），但数据库中已有对应权限账号，则会触发AccountLimitExceeded报错。

解决方案

  • 创建普通账号：确保AccountType设置为Normal，RDS通常对普通账号数量无限制，具体的数量与实例内核有关。

  • 创建高权限账号：确保AccountType设置为Super，可通过RDS控制台账号管理页面检查实例中是否已存在高权限账号，若已存在，请避免重复创建。

  • 创建超级权限账号：确保AccountType设置为Sysadmin，可通过RDS控制台账号管理页面检查实例中是否已存在高权限账号，若已存在，请避免重复创建。

上一篇：自定义账号密码策略下一篇：创建SA权限的数据库账号