从AD组分配的SQL Server DB中的用户权限

Question

我们有用于生产的MS SQL Server 2012和MS AD。

简而言之，让我解释一下分配用户权限的概念。

对于可以访问特定应用程序的特定用户组，我们创建AD组并将AD用户分配给它。 由于此应用程序需要访问其他数据库中的数据，因此我们也将该组添加到该数据库中，并设置了对所需对象（特定对象或架构）的访问/执行权限。

由于某些人使用其他应用程序和数据库，因此它们也会添加到其他AD组中。 毫不奇怪，这些组也需要访问一些对象到第二个数据库。

因此，当某些用户位于几个不同的AD组中，并且对DB中的相同对象具有不同的访问权限时，就会遇到这种情况。 当某些用户突然被拒绝访问数据库中的对象时，这会导致许多“奇怪”的行为。

我的问题是：

是否有任何方法可以找出某个用户具有哪些特权（通过哪个AD组）访问/拒绝从应用程序触发的某些sql查询？

有人可以解释sql server在这种环境下如何处理特权吗？

我愿意就如何完全不同地处理/设置访问但不涉及对应用程序进行重新编程的任何建议（仅DBA站点）。

谢谢。

Answer 1

假设您是管理员，则可以假冒有问题的用户来了解一下sys.login_token ， sys.user_token和sys.fn_my_permissions() 。 就像是：

execute as login='yourDom\User1';
select * from sys.login_token;
select * from sys.user_token;
select * from sys.fn_my_permission('dbo.someObject', 'OBJECT');
revert;