Руководство по основным приемам работы в ms sql server 2014 по дисциплине

Оператор DENY
. 
С помощью инструкции DENY может быть сделано исключение к 
совокупным наследуемым разрешениям. Инструкция DENY явно запрещает 
конкретное разрешение участника на защищаемый объект и отменяет любые 
другие явные и наследуемые разрешения, которые могут быть предоставлены 
участнику. 
Формат инструкции DENY аналогичен формату инструкции GRANT, как 
показано в следующем псевдокоде: 
DENY < permissions > ON < securables > TO < principals > 
Фактически это означает «ЗАПРЕТИТЬ (Отказать) субъектам безопасности в 
выдаче разрешений на защищаемые объекты».
Например, пользователь, который является членом роли базы данных, 
которая в свою очередь имеет разрешение SELECT на схему, автоматически 
имеет разрешение SELECT на все таблицы и представления в этой схеме. 
Если схема содержит таблицу, к которой пользователь не должен иметь 

---

65
доступ, можно запретить (забрать) разрешение SELECT для пользователя. В 
этом случае, даже если пользователь унаследовал разрешение SELECT через 
членство в роли базы данных (которая в свою очередь унаследовали 
разрешение SELECT от родительской схемы), он не сможет запросить 
таблицу. 
Обратите внимание, что разрешения DENY наследуются и не могут быть 
переопределены вниз по иерархии. Например, если забрать (DENY) у 
пользователя разрешение SELECT на схему, предоставление (GRANT) 
разрешения SELECT на отдельную таблицу в схеме не позволит 
пользователю обратиться к этой таблице. Важно помнить, что разрешение 
DENY не может использоваться для предотвращения доступа к 
защищаемому объекту его владельца или члена серверной роли sysadmin. 
DENY следует использовать осторожно и нечасто. Необходимость 
запрещать много разрешений, как правило, указывает на возможную 
проблему в схеме безопасности.