固定服务器角色指什么，常见固定服务器角色有哪些？

固定服务器角色是SQL Server里九个内置在服务器层面的预定义权限身份，sysadmin和serveradmin最常用，前者是最高权限，后者偏向服务器配置管理。

这九个角色装在一次安装好的SQL Server实例里就没法改名字、没法删除，你只能选择把登录名放进去或拿出来，用一张权限地图来理解，它们就是九个固定的工位：有人管全局、有人管配置、有人管账号、有人管进程、有人管磁盘，下面逐个拆开看。

加载中

【更改MC服务器标题/更改服务器图标/颜色】超详细服教程！【翔龙我的世界开服教程】

翔

翔龙我的世界服务器VPS

4.3万--

原视频地址

SQL Server固定服务器角色有哪些？九大内置角色逐个拆解

固定服务器角色定义的是整个实例级别的操作权限，跟你登录哪个数据库无关，只要登录名被塞进某个固定服务器角色，它对这台服务器上所有数据库都有对应等级的通行权。

sysadmin和serveradmin有什么区别：管理员角色核心对比

sysadmin是这台SQL Server的“超级管理员”，它的成员能在服务器上执行任何操作：改服务器配置、创建和删除登录名、终止任意会话、读写所有数据库、接管任何对象的权限，甚至包括关闭服务，装SQL Server时设置的当前Windows管理员账号，默认就是sysadmin成员，sa账号也是。

serveradmin则像一个“运维调度员”，它的核心权限集中在服务器范围配置和关停操作上，改动max server memory这类配置选项、执行SHUTDOWN关闭实例，都是它的活，但它动不了数据库内容，也管不了登录名密码。

很多新手把这两个角色搞混,实际差别很大：sysadmin能改你的数据库数据、把你踢下线、重置你密码，serveradmin顶多调整一下运行参数或让人家重启服务。

securityadmin、processadmin、setupadmin：三个容易被低估的角色

securityadmin负责管理登录名和分级权限，包括创建登录名、重置密码、授予或撤销服务器级权限（GRANT、DENY、REVOKE），因为它能重置任何登录名的密码，包括sysadmin成员的密码，实际权限含金量很高，业内专家指出，给这个角色授权的人，等于给了对方一条通往服务器最高权限的后门。

processadmin只干一件事：终止进程，凡是实例上运行的会话或请求，它都能用KILL命令杀掉，主要用于排查阻塞和死锁，无法修改配置或管理账号。

setupadmin管理链接服务器和部分启动扩展存储过程，内部团队做跨服务器查询、配置分布式作业时常用，平时很少涉及。

bulkadmin和diskadmin：大容量操作与磁盘管理专用角色

bulkadmin专门放行大容量插入操作，即BULK INSERT和OPENROWSET(BULK...)，没有这个角色，普通登录名即便有表权限也无法从文件批量导数据，适合安排给负责数据迁移、ETL作业的同事。

diskadmin管理磁盘文件，比如添加或收缩数据库文件、管理备份设备，国内企业运维场景里，负责磁盘空间规划和备份的DBA一般拿这个角色。

dbcreator和public：一个管建库，一个被所有人忽略

dbcreator能创建、修改、删除数据库，但改不了服务器配置和登录名，适合开放给研发环境里需要频繁建库的同事，限制效果刚刚好。

public最特殊，每个登录名默认都是它的成员，且无法把任何登录名从public中移除，它承载的是服务器层面的默认权限，比如查看部分系统元数据，在配置得当的服务器上，public权限非常小，但你不能删除它，因为系统内部很多会话上下文依赖这个角色。

固定服务器角色和数据库角色区别在哪：两套权限体系别搞混

这是新手最容易踩坑的地方,固定服务器角色管的是这台服务器本身，数据库角色管的是某一个数据库内部，一个登录名能进数据库，不代表它能操作里面的表。

数据库角色里也有一组固定成员,比如db_owner拥有数据库内一切操作权，db_datareader能读所有用户表，db_datawriter能写所有用户表，db_accessadmin管理数据库用户，db_backupoperator负责备份，db_denydatareader则禁止读取，这些角色只在当前数据库范围内生效。

两者的管理入口也不同：固定服务器角色在实例级别管理，可以通过登录名属性里的“服务器角色”页签查看，固定数据库角色则要进入具体数据库的安全选项里配置，权限判定逻辑是“先过服务器角色，再在数据库内看数据库角色的权限”，两层叠加起来才是一个登录名的真实权限。

实际分配时有个常见误区：给普通业务同事直接加sysadmin，然后告诉他“表权限自己看着办”，这是对自己权限体系最粗暴的破坏，正确做法是：登录名什么服务器角色都不给，进入指定数据库后，只给db_datareader或者db_datawriter，这样对方只能处理自己该处理的那张表。

服务器角色权限分配实操：最小权限原则怎么落地

行业共识认为,所有账号的权限都该从最小口径起步，之后再按需补充，具体到固定服务器角色，流程很明确。

假设你现在是一家电商公司的数据库管理员,新来的数据分析师需要能从SQL Server里读订单数据。你不能直接把他的登录名加进sysadmin，正确分配路径如下。

第一步,创建登录名并设置密码。

CREATE LOGIN [data_analyst] WITH PASSWORD = '强密码';

第二步,把登录名加进固定服务器角色，常见命令是sp_addsrvrolemember，以加入dbcreator为例。

EXEC sp_addsrvrolemember 'data_analyst', 'dbcreator';

sp_addsrvrolemember可以接受两个参数，第一个是登录名，第二个是角色名，要移除角色，反向操作即可。

EXEC sp_dropsrvrolemember 'data_analyst', 'dbcreator';

删除登录名则用DROP LOGIN。

DROP LOGIN data_analyst;

第三步,授予数据库级别的读取权限，数据分析师并不需要服务器级别的建库权，进入业务数据库后，把固定数据库角色db_datareader交给他就够用了。

USE [OrderDB];
EXEC sp_addrolemember 'db_datareader', 'data_analyst';

如果是SQL Server 2012以上的版本，还有一种现代做法：用CREATE SERVER ROLE定义自定义服务器角色，再用GRANT ALTER ANY LOGIN这类粒度更细的授权来替代固定角色，这样权限边界更贴合实际业务。

查看当前实例上所有固定服务器角色成员,可以用系统存储过程sp_helpsrvrolemember。

EXEC sp_helpsrvrolemember 'sysadmin';

不带参数执行,会列出所有角色和成员对照关系，如果只想确认某个登录名的服务器级权限，用IS_SRVROLEMEMBER判断。

SELECT IS_SRVROLEMEMBER('sysadmin', 'data_analyst');

返回1为是,0为否，NULL表示登录名无效。

固定服务器角色权限异常排查与日常管理建议

很多企业会定期检查哪些登录名拥有sysadmin权限,操作路径是：SSMS对象资源管理器 → 安全性 → 登录名 → 右键属性 → 服务器角色页签，逐个确认是否有不该出现的角色勾选。

实际运维中常见的权限异常案例：某个业务应用账号之前为了跑定时导入，被临时加进了bulkadmin和dbcreator，后来应用下线了，账号却一直留在角色里，这类历史遗留账号是攻击者最喜欢的目标，定期用sp_helpsrvrolemember导出成员清单，和现有负责人确认每个账号的去留，是控制风险最有效的手段。

对账号数量较多的中大型企业,建议额外记录每个固定服务器角色的授权依据，比如申请单号、变更日期和申请理由，这样后续审计时能直接追溯，不用靠回忆，固定服务器角色没有“只读版”，任何授权都要以真实运维需求为准。

关于固定服务器角色的常见问题解答

为什么我不能修改sysadmin角色的权限列表？
固定服务器角色是系统内置的，SQL Server不允许修改其权限定义，你不能给sysadmin去掉某项操作，或给public增加一项全局权限，如果需要更细致的服务器级授权，在SQL Server 2012以上版本可以授予CONTROL SERVER、ALTER ANY LOGIN这类具体服务器权限，或使用CREATE SERVER ROLE创建自定义服务器角色。

public角色成员无法移除，会不会是安全隐患？
public只承载系统默认的服务器权限，在默认安装下权限极其有限，安全基线检查关注的不是public本身，而是有没有人手工给public授予了额外权限，只要确认public没有多余的GRANT语句，单纯保留所有登录名在public里是安全的，也符合微软官方文档的预期行为。

给普通同事授予sysadmin权限，和授予CONTROL SERVER权限有什么区别？
SQL Server 2012以后，CONTROL SERVER是可通过GRANT显式授予的服务器级最高权限，覆盖全实例范围内几乎所有操作，实际效果和sysadmin非常接近，两者的差别主要在内部实现链路上：sysadmin走的是固定角色权限校验，CONTROL SERVER走的是常规权限校验，在跨版本兼容性和个别底层诊断操作上sysadmin更稳定，多数运维场景中，这两者不推荐日常使用，仅限少数顶级管理员持有。

固定服务器角色理解起来只有一个核心：sysadmin管全部、serveradmin管配置、securityadmin管账号、dbcreator管建库，其余角色都是解决特定场景问题的专用工具，分配权限时按需给，不从最高级起步，就不会出大乱子。