Ci sono ragioni per cui non dovrei impostare il mio proprietario di database su [sa]?

Ieri ho posto questa domanda riguardo alla modifica del dbo di più database che ho. Il cambiamento ha senso, ma voglio essere chiaro.

C'è qualche buona ragione o circostanza per cui non dovrei impostare il dbo di un database su [sa]?

Rendere SA proprietario di un database semplifica e / o risolve una serie di cose, ma può avere alcune implicazioni per la sicurezza.

In particolare, ricorda che se SA è il proprietario di un database, allora dbo = 'SA'. Ciò significa che, tra le altre cose, tutte le procedure nello schema [dbo] (che è il valore predefinito) che hanno "EXECUTE As Owner" al loro interno, vengono effettivamente eseguite come SA. Questo non è del tutto così male come sembra, perché a meno che non hai segnato il database come affidabile, SQL Server non permetterà una sessione o attività fuori del database con un principal rappresentato a livello di server così.

Il che porta al punto successivo: non contrassegnare mai database come TRUSTWORTHY, a meno che tu non sia davvero , davvero sicuro che sia sicuro. Perché chiunque abbia la possibilità di creare procedure nello schema [dbo] può eseguire come SA, sull'intero server, se lo desidera.

Un altro problema può sorgere perché molti prodotti e applicazioni che dispongono del proprio database SQL Server spesso specificano che il loro accesso all'applicazione deve essere il DBO del database. Ovviamente potresti risolverlo rendendo l'accesso alla loro applicazione 'SA'. Spero che sia anche ovvio che non dovresti mai farlo, a meno che l'istanza di SQL Server non venga utilizzata per nient'altro (anche allora, lo sconsiglio).