稽核

稽核是來追蹤 SQL Server 上的活動(activity)，例如查看誰更新了資料，誰更改了權限等等。

稽核系統是在SQL Server 2008版本開始導入一套全新的系統：SQL Server Audit，它讓管理人員可以精確地紀錄所需要之稽核資訊，也可以利用「擴充事件(Extended Event)」來監視系統。

排除安全性問題

資料庫狀況百百種，該如何對症下藥：
若有人在固定伺服器角色中加入或刪除成員，你要使用什麼方法記錄到Application Log？Server Audit Specification
若資料庫發生無法挽回的錯誤，你要使用什麼方法立即得到通知？Alert
若資料庫發生死結，你要用什麼方法去錄製這個過程以便可以在另一台測試機重現？SQL Profiler
你要使用什麼方法防止有人將稽核停掉？Policy

Users and DatabaseRoles

Permissions

SQL Server 是採用角色為基礎的授權模型（Role-base security, RBS）。 這個模型是依據使用者名稱或所屬群組來控制使用者存取資料的權限。 它主要包含兩個機制：

• 驗證 (Authentication) ：取得識別認證的程序。
• 授權 (Authurization) ：授予特定資源的存取權限給通過驗證的識別。

例如，一個主體(Principal)使用特定的使用者名稱和密碼，交由驗證程序進行驗證。 如果認證結果為有效，則回傳給該實體一個已通過驗證的識別。 每個主體都有一個專屬的「識別碼（principal_id）」和「安全性識別碼（SID）」。 這些識別碼資訊，可以利用 sys.server_principals 查閱。

select * from sys.server_principals

Logins and Server Roles