Zp�sob p�enosu p�ihl�en� a hesla mezi instancemi serveru SQL Server

Tento �l�nek popisuje, jak p�ev�st p�ihl�en� a hesla mezi instance Microsoft SQL Server 2005, Microsoft SQL Server 2008 a Microsoft SQL Server 2012 na r�zn�ch serverech.

Dal�� informace o tom, jak p�ev�st p�ihl�en� a hesla mezi instanc� jin� verze serveru SQL Server klepn�te na n�sleduj�c� ��slo �l�nku datab�ze Microsoft Knowledge Base:

V tomto �l�nku jsou r�zn� servery A a server B. Nav�c servery A a server B se syst�mem SQL Server 2005.

Pozn�mka: Tyto informace plat� tak� pro SQL Server 2008 a SQL Server 2012.

Po p�esunut� datab�ze z instance SQL Server na serveru A instance serveru SQL Server na serveru B, u�ivatel� nebudou moci p�ihl�sit k datab�zi na serveru B. d�le, u�ivatel� obdr�et n�sleduj�c� chybovou zpr�vu:K tomuto probl�mu doch�z�, proto�e jste nep�evedly p�ihl�en� a hesla z instance serveru SQL na serveru A instance serveru SQL Server na serveru B.

P�en�st p�ihl�en�, pou�ijte jednu z n�sleduj�c�ch metod jako situace.

Metoda 1: P�ihlaste se pomoc� hesla pro SQL Server 2000

Chcete-li tento probl�m vy�e�it, po��dejte u�ivatele pro p�ihl�en� k serveru, na kter�m je spu�t�n SQL Server pomoc� p�ihl�en� pre SQL Server 2000.

Pozn�mka: Algoritmus hash hesla se automaticky aktualizuje p�i p�ihl�en� u�ivatele pomoc� hesla pro SQL Server 2000.

Metoda 2: Obnoven� hesla na serveru SQL Server

Chcete-li tento probl�m vy�e�it, obnoven� hesla na serveru SQL Server a potom mimo p�ihla�ovac� skript.

Pozn�mka: Pou��v� algoritmus hash hesla p�i obnoven� hesla.

Metoda 3: Vytvo�te protokol ve skriptu, kter� m� pr�zdn� heslo

Chcete-li vytvo�it protokol ve skriptu, kter� m� pr�zdn� heslo, postupujte takto:

1. Na server A spustit SQL Server Management Studio a p�ipojte se k instanci serveru SQL Server, ze kter�ho p�esunuta do datab�ze.
2. Otev��t nov� okno editoru dotazu a spus�te n�sleduj�c� skript.

   USE master
   GO
   IF OBJECT_ID ('sp_hexadecimal') IS NOT NULL
     DROP PROCEDURE sp_hexadecimal
   GO
   CREATE PROCEDURE sp_hexadecimal
       @binvalue varbinary(256),
       @hexvalue varchar (514) OUTPUT
   AS
   DECLARE @charvalue varchar (514)
   DECLARE @i int
   DECLARE @length int
   DECLARE @hexstring char(16)
   SELECT @charvalue = '0x'
   SELECT @i = 1
   SELECT @length = DATALENGTH (@binvalue)
   SELECT @hexstring = '0123456789ABCDEF'
   WHILE (@i <= @length)
   BEGIN
     DECLARE @tempint int
     DECLARE @firstint int
     DECLARE @secondint int
     SELECT @tempint = CONVERT(int, SUBSTRING(@binvalue,@i,1))
     SELECT @firstint = FLOOR(@tempint/16)
     SELECT @secondint = @tempint - (@firstint*16)
     SELECT @charvalue = @charvalue +
       SUBSTRING(@hexstring, @firstint+1, 1) +
       SUBSTRING(@hexstring, @secondint+1, 1)
     SELECT @i = @i + 1
   END
   
   SELECT @hexvalue = @charvalue
   GO
    
   IF OBJECT_ID ('sp_help_revlogin') IS NOT NULL
     DROP PROCEDURE sp_help_revlogin
   GO
   CREATE PROCEDURE sp_help_revlogin @login_name sysname = NULL AS
   DECLARE @name sysname
   DECLARE @type varchar (1)
   DECLARE @hasaccess int
   DECLARE @denylogin int
   DECLARE @is_disabled int
   DECLARE @PWD_varbinary  varbinary (256)
   DECLARE @PWD_string  varchar (514)
   DECLARE @SID_varbinary varbinary (85)
   DECLARE @SID_string varchar (514)
   DECLARE @tmpstr  varchar (1024)
   DECLARE @is_policy_checked varchar (3)
   DECLARE @is_expiration_checked varchar (3)
   
   DECLARE @defaultdb sysname
    
   IF (@login_name IS NULL)
     DECLARE login_curs CURSOR FOR
   
         SELECT p.sid, p.name, p.type, p.is_disabled, p.default_database_name, l.hasaccess, l.denylogin FROM 
   sys.server_principals p LEFT JOIN sys.syslogins l
         ON ( l.name = p.name ) WHERE p.type IN ( 'S', 'G', 'U' ) AND p.name <> 'sa'
   ELSE
     DECLARE login_curs CURSOR FOR
   
   
         SELECT p.sid, p.name, p.type, p.is_disabled, p.default_database_name, l.hasaccess, l.denylogin FROM 
   sys.server_principals p LEFT JOIN sys.syslogins l
         ON ( l.name = p.name ) WHERE p.type IN ( 'S', 'G', 'U' ) AND p.name = @login_name
   OPEN login_curs
   
   FETCH NEXT FROM login_curs INTO @SID_varbinary, @name, @type, @is_disabled, @defaultdb, @hasaccess, @denylogin
   IF (@@fetch_status = -1)
   BEGIN
     PRINT 'No login(s) found.'
     CLOSE login_curs
     DEALLOCATE login_curs
     RETURN -1
   END
   SET @tmpstr = '/* sp_help_revlogin script '
   PRINT @tmpstr
   SET @tmpstr = '** Generated ' + CONVERT (varchar, GETDATE()) + ' on ' + @@SERVERNAME + ' */'
   PRINT @tmpstr
   PRINT ''
   WHILE (@@fetch_status <> -1)
   BEGIN
     IF (@@fetch_status <> -2)
     BEGIN
       PRINT ''
       SET @tmpstr = '-- Login: ' + @name
       PRINT @tmpstr
       IF (@type IN ( 'G', 'U'))
       BEGIN -- NT authenticated account/group
   
         SET @tmpstr = 'CREATE LOGIN ' + QUOTENAME( @name ) + ' FROM WINDOWS WITH DEFAULT_DATABASE = [' + @defaultdb + ']'
       END
       ELSE BEGIN -- SQL Server authentication
           -- obtain password and sid
               SET @PWD_varbinary = CAST( LOGINPROPERTY( @name, 'PasswordHash' ) AS varbinary (256) )
           EXEC sp_hexadecimal @PWD_varbinary, @PWD_string OUT
           EXEC sp_hexadecimal @SID_varbinary,@SID_string OUT
    
           -- obtain password policy state
           SELECT @is_policy_checked = CASE is_policy_checked WHEN 1 THEN 'ON' WHEN 0 THEN 'OFF' ELSE NULL END FROM sys.sql_logins WHERE name = @name
           SELECT @is_expiration_checked = CASE is_expiration_checked WHEN 1 THEN 'ON' WHEN 0 THEN 'OFF' ELSE NULL END FROM sys.sql_logins WHERE name = @name
    
               SET @tmpstr = 'CREATE LOGIN ' + QUOTENAME( @name ) + ' WITH PASSWORD = ' + @PWD_string + ' HASHED, SID = ' + @SID_string + ', DEFAULT_DATABASE = [' + @defaultdb + ']'
   
           IF ( @is_policy_checked IS NOT NULL )
           BEGIN
             SET @tmpstr = @tmpstr + ', CHECK_POLICY = ' + @is_policy_checked
           END
           IF ( @is_expiration_checked IS NOT NULL )
           BEGIN
             SET @tmpstr = @tmpstr + ', CHECK_EXPIRATION = ' + @is_expiration_checked
           END
       END
       IF (@denylogin = 1)
       BEGIN -- login is denied access
         SET @tmpstr = @tmpstr + '; DENY CONNECT SQL TO ' + QUOTENAME( @name )
       END
       ELSE IF (@hasaccess = 0)
       BEGIN -- login exists but does not have access
         SET @tmpstr = @tmpstr + '; REVOKE CONNECT SQL TO ' + QUOTENAME( @name )
       END
       IF (@is_disabled = 1)
       BEGIN -- login is disabled
         SET @tmpstr = @tmpstr + '; ALTER LOGIN ' + QUOTENAME( @name ) + ' DISABLE'
       END
       PRINT @tmpstr
     END
   
     FETCH NEXT FROM login_curs INTO @SID_varbinary, @name, @type, @is_disabled, @defaultdb, @hasaccess, @denylogin
      END
   CLOSE login_curs
   DEALLOCATE login_curs
   RETURN 0
   GO
   

   
   
   Pozn�mka:Tento skript vytvo�� dv� ulo�en� procedury v hlavn� datab�zi. Postupy jsou pojmenov�ny sp_hexadecimal a sp_help_revlogin.
3. Spus�te n�sleduj�c� p��kaz:

   EXEC sp_help_revlogin

   V�stupu skriptu, kter� generuje sp_help_revlogin ulo�en� procedury je p�ihla�ovac� skript. Tento p�ihla�ovac� skript vytvo�� p�ihl�en�, kter� maj� p�vodn� identifik�tor zabezpe�en� (SID) a p�vodn� heslo.
4. Na serveru B spus�te SQL Server Management Studio a p�ipojte se k instanci serveru SQL Server, ke kter�mu jste p�esunuli do datab�ze.
   
   D�le�it� D��ve ne� p�ejdete ke kroku 5, p�e�t�te si informace v ��sti "Pozn�mky".
5. Otev��t nov� okno editoru dotazu a potom spus�te skript v�stup vytvo�en� v kroku 3.

Pozn�mky

Zkontrolujte n�sleduj�c� informace p�ed spu�t�n�m skriptu v�stup na instanci na server b

• Pokud se pokus�te vytvo�it nov� p�ihl�en� SQL Server 2012 pre-p�ihl�en� k SQL Server 2000, je skriptov�ny, obdr��te n�sleduj�c� chyb�:
  Msg 15021, �rove� 16, stav 2, ��dek 1
  Neplatn� hodnota pro parametr heslo. Zadejte hodnotu pro parametr platn�.
  Pozn�mka: Tato chyba se zobraz� v SQL Server 2012 z d�vodu hash hesla 16 bajt�, dodan� k vytvo�en� p�ihl�en� a zm�nit P�IHLA�OVAC� prohl�en�.
  
  Chcete-li vy�e�it tento probl�m na serveru se syst�mem SQL Server 2012, vytvo�te p�ihl�en�, kter� m� pr�zdn� heslo. Chcete-li to prov�st, spus�te n�sleduj�c� skript:
  

  CREATE LOGIN [Test] WITH PASSWORD = '', SID = 0x90FD605DCEFAE14FAB4D5EB0BBA1AECC, 
  DEFAULT_DATABASE = [master], CHECK_POLICY = ON, CHECK_EXPIRATION = OFF

  
  Po vytvo�en� p�ihl�en�, kter� m� pr�zdn� heslo, m��e u�ivatel zm�nit heslo p�i dal��m pokusu o p�ihl�en�.
• Heslo m��ete pou��t algoritmus hash t�emi zp�soby:
  • VERSION_LEGACY: Tento algoritmus hash je algoritmus hash 16 bajt� pre SQL Server 2000.
  • VERSION_SHA1: Tato hodnota hash je generov�n pomoc� algoritmu SHA1 a pou��v� se k serveru SQL Server 2000 pomoc� SQL Server 2008 R2.
  • VERSION_SHA2: Tato hodnota hash je generov�n pomoc� algoritmus SHA2 512 a je pou��v�n SQL Server 2012.
• V SQL Server 2008 R1 a ve star��ch verz�ch byly podporov�ny pre SQL Server 2000 hesla za�ifrovan� algoritmem hash. Pokud u�ivatel p�ihl�en pomoc� hesla, kter� pou��v� algoritmus hash pre SQL Server 2000, hodnota hash byl upgradov�n pou��t algoritmus hash SHA1 hesla.
• Pokud u�ivatel, kter� m� heslo, kter� pou��v� hash pre SQL Server 2000 na serveru se syst�mem SQL Server 2008 R2, to znamen�, �e u�ivatel nen� p�ihl�en k tomuto serveru.
• Pe�liv� zkontrolujte v�stup skriptu. A a server B jsou v r�zn�ch dom�n�ch, je nutn� zm�nit v�stup skriptu. Potom je t�eba nahradit p�vodn� n�zev dom�ny pomoc� p��kaz� vytvo�it P�IHLA�OVAC� n�zev nov� dom�ny. Integrovan� p�ihl�en�, kter� je ud�len p��stup do nov� dom�ny v p�vodn� dom�n� nemaj� stejn� SID jako p�ihl�en�. Proto jsou u�ivatel� osamocen�ho z t�chto p�ihl�en�. Dal�� informace o �e�en� t�chto osamocen� u�ivatel� klepn�te na n�sleduj�c� ��slo �l�nku datab�ze Microsoft Knowledge Base:
  240872

  (http://support.microsoft.com/kb/240872/ )

  Jak vy�e�it probl�my opr�vn�n� p�i p�esunu datab�ze mezi servery se syst�mem SQL Server
  Pokud A a server B ve stejn� dom�n�, je pou�it stejn� identifik�tor SID. Proto jsou u�ivatel� pravd�podobn� m�t synchronn� kopii.
• Ve v�stupu skriptu jsou vytv��eny pomoc� �ifrovan� heslo p�ihl�en�. To je kv�li argument HASHED v p��kazu vytvo�it p�ihl�en�. Tento argument ur�uje, �e heslo zadan� po argument heslo je zat��d�na ji�.
• Ve v�choz�m nastaven� lze pouze �len role sysadmin dlouhodob�ho serveru spustit p��kaz SELECT v sys.server_principals zobrazen�. Pokud nen� �lenem sysadmin pevn� role serveru ud�luje pot�ebn� opr�vn�n� pro u�ivatele, u�ivatele nelze vytvo�it, nebo spustit skript v�stup.
• Kroky v tomto �l�nku k p�enosu informac� v�choz� datab�ze pro konkr�tn� p�ihl�en�. D�vodem je, �e v�dy v�choz� datab�ze neexistuje na serveru B. Chcete-li definovat v�choz� datab�ze pro p�ihl�en�, pou�ijte p��kaz ALTER LOGIN p�ed�n�m p�ihla�ovac� jm�no a v�choz� datab�ze jako argumenty.
• Velk� a mal� p�smena A a velk� a mal� p�smena server B: po�ad� �azen� serveru A m��e b�t velk� a mal� p�smena a m��e b�t mal� a velk� p�smena �azen� serveru B. V tomto p��pad� u�ivatel� mus� zadat heslo velk�mi p�smeny po p�enesen� p�ihl�en� a hesla k instanci na server B.
  
  Velk� a mal� p�smena A a velk� a mal� p�smena server B: po�ad� �azen� serveru A m��e b�t mal� a velk� p�smena a server B po�ad� �azen� m��e b�t velk� a mal� p�smena. U�ivatele nelze v tomto p��pad� p�ihl�sit pomoc� u�ivatelsk� jm�na a hesla, kter� p�enesete k instanci na server B, pokud je spln�na jedna z n�sleduj�c�ch podm�nek:
  • P�vodn� hesla obsahovat ��dn� p�smena.
  • V�echna p�smena v p�vodn�ch hesel jsou velk�mi p�smeny.
  Rozli�ovat mal� a velk� a mal� p�smena na obou serverech: m��e b�t mal� a velk� p�smena �azen� A i server B nebo po�ad� �azen� A i server B m��e b�t velk� a mal� p�smena. V t�chto p��padech nejsou u�ivatel� doj�t k pot��m.
• P�ihl�en�, kter� je ji� v instanci na server B m��e m�t n�zev, kter� je stejn� jako n�zev v v�stupu skriptu. V tomto p��pad� se zobraz� n�sleduj�c� chybov� zpr�va p�i spu�t�n� skriptu v�stup na instanci na server b
  Zpr�va 15025, �rove� 16 stav 1, ��dek 1
  Hlavn� server "MyLogin' ji� existuje.
  Obdobn� m��e m�t jedna p�ihl�en�, kter� je ji� v instanci na server B SID, kter� je stejn� jako identifik�tor SID ve v�stupu skriptu. V tomto p��pad� se zobraz� n�sleduj�c� chybov� zpr�va p�i spu�t�n� skriptu v�stup na instanci na server b
  Msg 15433, �rove� 16 stav 1, ��dek 1
  Zadan� parametr sid je pou��v�n.
  Proto je nutn� prov�st n�sleduj�c�:
  1. Pe�liv� zkontrolujte v�stup skriptu.
  2. Zkontrolujte obsah sys.server_principals zobrazen� v instanci na server B.
  3. Tyto chybov� zpr�vy, p��padn� adresa.
• V SQL Server 2005 ��slo SID pro p�ihl�en� slou�� k implementaci datab�ze �rove� p��stupu. P�ihla�ovac� jm�no m��e m�t jin� SID v r�zn�ch datab�z�ch na serveru. V tomto p��pad� p�ihl�en� pouze p��stup datab�zi, kter� m� identifik�tor SID odpov�daj�c� identifik�tor SID v sys.server_principals zobrazen�. K tomuto probl�mu m��e doj�t, pokud jsou dv� datab�ze kombinovan� z r�zn�ch server�. Chcete-li tento probl�m vy�e�it, ru�n� odeberte p�ihla�ovac� jm�no z datab�ze, kter� m� pomoc� p��kazu DROP USER neshod� identifik�tor� SID. Potom p�ihl�en� znovu p�id�te pomoc� p��kazu Vytvo�it u�ivatele.

Dal�� informace o �e�en� pot�� s osamocen� u�ivatel�, p�ejd�te Poradce p�i pot��ch osamocen�ch u�ivatele Web Microsoft Developer Network (MSDN).

Dal�� informace o p��kazu vytvo�it p�ihl�en�, p�ejd�te VYTVO�IT p�ihl�en� (Transact-SQL) Web MSDN.

Dal�� informace o p��kazu ALTER LOGIN, p�ejd�te ALTER LOGIN (Transact-SQL) Web MSDN.