在SQL Server中安全连接包括身份验证和用户授权是两个方面。验证（authentication）是指检验用户的身份标识，在用户登录SQL Server时进行，授权（authorization）是指允许用户做些什么，即赋予用户访问数据或执行命令的限。
一、验证方法
构造安全策略的第一个步是确定SQL Server用哪种方式验证用户。
一般地，如果服务器可以访问域控制器，我们应该使用Windows身份验证。
在验证过程中，SQL Server接收到操作系统传递的一个访问标记（其中包含了用户的SID和用户组的SID），然后SQL Server通过访问标记中的SID和Master数据库Sysxlogins表中的一个清单进行匹配。并以这些SID为基础授予访问权限。
当用户处于域外，或使用非信任连接尝试连接域中的SQL Server时，首先选取SQL身份验证。
如果使用SQL Server验证的登录，它最大的好处是很容易实现，使用上也较方便。最大的缺点在于SQL Server验证的登录只对特定的服务器有效，也就是说，在一个多域环境中管理比较困难。
使用SQL Server进行验证的第二个重要的缺点是，管理成本较高。对于每一个数据库，我们必须分别地为它管理权限。如果某个用户对两个数据库有相同的权限要求，我们必须手工设置两个数据库的权限，或者编写脚本设置权限。如果用户数量较少，如30个以下，而且这些用户的权限变化不是很频繁，SQL Server验证的登录较适用。
二、Web环境
然而，Internet环境对SQLServer的安全连接的要求特殊---因为域的安全特性，在Web应用中使用Windows验证很不方便。所以，在Internet环境中，进行验证的典型方法是把一组SQL Server登录名称和密码嵌入到Web服务器上运行的程序中，比如ASP页面脚本；然后，由Web服务器负责验证用户，应用程序则使用它自己的登录帐户（或者是系统管理员sa帐户）为用户提供连接，这种方式很方便也有效。这也是目前大多数应用程序开发人员和网站设计者更喜欢 SQL Server 身份验证的原因，因为他们熟悉登录和密码功能。
这种验证存在的安全隐患显而易见，其中最主要的是它不具备对用户在服务器上的活动进行审核的能力，完全依赖于Web应用程序实现用户验证，当SQL Server需要限定用户权限时不同的用户之间不易区别。
不过，如果你使用的是IIS，你还可以采用四种方法来加强安全：
第一种常用方法是为每一个网站和每一个虚拟目录创建一个匿名用户的帐户。此后，所有应用程序登录SQL Server时都使用该安全环境。我们可以通过授予匿名帐户合适的权限，改进审核和验证功能。
第二种方法是让所有网站使用基本验证。此时，只有当用户在对话框中输入了合法的帐户和密码，IIS才会允许他们访问页面。IIS依靠一个Windows安全数据库实现登录身份验证，安全数据库既可以在本地服务器上，也可以在域控制器上。当用户运行一个访问SQL Server数据库的程序或者脚本时，IIS把用户为了浏览页面而提供的身份信息发送给服务器。如果你使用这种方法，应该记住：在通常情况下，浏览器与服务器之间的密码传送一般是不加密的，对于那些使用基本验证而安全又很重要的网站，你最好使用SSL（Secure Sockets Layer，安全套接字）来加强安全性能。
第三种方法基于在客户端只使用IE浏览器的情况。可以在Web网站上和虚拟目录上都启用验证。IE会把用户登录计算机的身份信息发送给IIS，当该用户试图登录SQL Server时IIS就使用这些登录信息。使用这种简化的方法时，我们可以在一个远程网站的域上对用户身份进行验证（该远程网站要登录到一个与运行着Web服务器的域有着信任关系的域中）。
最后，如果用户都有个人数字证书，你可以把那些证书映射到本地域的帐户上。个人数字证书与服务器数字证书以同样的技术为基础，它证明用户身份标识的合法性，所以可以取代windows的验证算法。浏览器会自动在每一个页面请求中把证书信息发送给IIS。因此，我们可以用数字证书取代通常的提供帐户名字和密码的登录过程。
由此可见，即使当用户通过IIS跨越Internet连接SQL Server时，我们仍可以使用针对Internet的多种安全策略来加强这种安全。其他的方法还有，根据企业的软硬件环境来选用。
不过，从以上讨论可以看出，使用Windows集成的身份验证是相对更明智的选择。
三、设置访问组
既然使用Windows账户来构造安全连接，那下一个步骤是确定用户应该属于什么组。通常，每一个组织或应用程序的用户都可以按照他们对数据的特定访问要求分成许多类别。例如，财务软件的用户一般包括：数据（凭证）输入员，数据管理员，会计师，审计师，财务经理等。每一组用户都有不同的数据库访问要求。
控制数据访问权限最简单的方法是，对于每一组用户，分别地为它创建一个满足该组用户权限要求的、域内全局有效的组。我们既可以为每一个应用分别创建组，也可以创建适用于整个企业的、涵盖用户类别的组。当然，如果你想要能够精确地了解组成员可以做些什么，为每一个应用程序分别创建组是一种较好的选择。例如，在前面的会计系统中，我们应该创建Data Entry Operators、Accounting Managers等组。原则上，为了简化管理，最好为组取一个能够明确表示出作用的名字。
除了面向特定应用程序的组之外，我们还需要几个基本组。基本组的成员负责管理服务器。按照习惯，我们可以创建下面这些基本组：SQL Server Administrators，SQL Server Users，SQL Server Denied Users，SQL Server DB Creators，SQL Server Security Operators，SQL Server Database Security Operators，SQL Server Developers，以及财务数据库用户组。当然，如果必要的话，你还可以创建其他组。
创建了全局组之后，接下来我们可以授予它们访问SQL Server的权限。首先为SQL Server Users授予登录权限，把Master数据库设置为它的默认数据库，但不要授予它访问任何其他数据库的权限，也不要把这个登录帐户设置为任何服务器角色的成员。接着再为SQL Server Denied Users重复这个过程，但这次要拒绝登录访问。在SQL Server中，拒绝权限始终优先。创建了这两个组之后，我们就有了一种允许或拒绝用户访问服务器的便捷方法。
为那些没有直接在Sysxlogins系统表里面登记的组授权时，我们不能使用Enterprise Manager，因为Enterprise Manager只允许我们从现有登录名字的列表选择，而不是域内所有组的列表。要访问所有的组，请打开Query Analyzer，然后用系统存储过程sp_addsrvrolemember以及sp_addrolemember进行授权。
对于操作服务器的各个组，我们可以用sp_addsrvrolemember存储过程把各个登录加入到合适的服务器角色：SQL Server Administrators成为Sysadmins角色的成员，SQL Server DB Creators成为Dbcreator角色的成员，SQL Server Security Operators成为Securityadmin角色的成员。注意sp_addsrvrolemember存储过程的第一个参数要求是帐户的完整路径。例如，Benet域的zhang应该是Benet\zhang（如果你想用本地帐户，则路径应该是server_name\zhang
要创建在所有新数据库中都存在的用户，你可以修改Model数据库。为了简化工作，SQL Server自动把所有对Model数据库的改动复制到新的数据库。只要正确运用Model数据库，我们无需定制每一个新创建的数据库。另外，我们可以用sp_addrolemember存储过程把SQL Server Security Operators加入到db_securityadmin，把SQL Server Developers加入到db_owner角色。
注意我们仍然没有授权任何组或帐户访问数据库。事实上，我们不能通过Enterprise Manager授权数据库访问，因为Enterprise Manager的用户界面只允许我们把数据库访问权限授予合法的登录帐户。SQL Server不要求windows帐户在我们把它设置为数据库角色的成员或分配对象权限之前能够访问数据库，但Enterprise Manager有这种限制。尽管如此，只要我们使用的是sp_addrolemember存储过程而不是Enterprise Manager，就可以在不授予域内NT帐户数据库访问权限的情况下为任意windows帐户分配权限。
到这里为止，对Model数据库的设置已经完成。但是，如果你的用户群体对企业范围内各个应用数据库有着类似的访问要求，你可以把下面这些操作移到Model数据库上进行，而不是在面向特定应用的数据库上进行。
四、允许数据库访问
在数据库内部，与迄今为止我们对登录验证的处理方式不同，我们可以把权限分配给角色而不是直接把它们分配给全局组。这种能力使得我们能够轻松地在安全策略中使用SQL Server验证的登录。即使你从来没有想要使用SQL Server登录帐户，仍建议分配权限给角色，因为这样你能够为未来可能出现的变化做好准备。
创建了数据库之后，我们可以用sp_grantdbaccess存储过程授权DB_Name Users组访问它。但应该注意的是，与sp_grantdbaccess对应的sp_denydbaccess存储过程并不存在，也就是说，你不能按照拒绝对服务器访问的方法拒绝对数据库的访问。如果要拒绝数据库访问，我们可以创建另外一个名为 Denied Users的全局组，授权它访问数据库，然后把它设置为db_denydatareader以及db_denydatawriter角色的成员。注意SQL语句权限的分配，这里的角色只限制对对象的访问，但不限制对DDL（Data Definition Language，数据定义语言）命令的访问。
正如对登录过程的处理，如果访问标记中的任意SID已经在Sysusers系统表登记，SQL将允许用户访问数据库。因此，我们既可以通过用户的个人windows帐户SID授权用户访问数据库，也可以通过用户所在的一个（或者多个）组的SID授权。为了简化管理，我们可以创建一个用户数据库的Users组拥有数据库访问权限，同时不把访问权授予所有其他的组。这样，我们只需简单地在一个全局组中添加或者删除成员就可以增加或者减少数据库用户。
五、分配权限
实施安全连接的最后一个步骤是创建用户定义的数据库角色，然后分配权限。完成这个步骤最简单的方法是创建一些名字与全局组名字配套的角色。例如对于前面例子中的会计系统，我们可以创建Accounting Data Entry Operators、Accounting Data Entry Managers之类的角色。由于会计数据库中的角色与帐务处理任务有关，你可能想要缩短这些角色的名字。然而，如果角色名字与全局组的名字配套，你可以减少混乱，能够更方便地判断出哪些组属于特定的角色。
创建好角色之后就可以分配权限。在这个过程中，我们只需用到标准DCL：GRANT、REVOKE和DENY命令。
这里请注意DENY权限，这个权限优先于所有其他权限。如果用户是任意具有DENY权限的角色或者组的成员，SQL Server将拒绝用户访问对象。
接下来我们就可以加入所有SQL Server验证的登录。用户定义的数据库角色可以包含SQL Server登录以及windows全局组、本地组、个人帐户。用户定义的数据库角色可以作为各种登录的通用容器，我们使用用户定义角色而不是直接把权限分配给全局组的主要原因就在于此。
由于内建的角色一般适用于整个数据库而不是单独的对象，因此这里建议你只使用两个内建的数据库角色，即db_securityadmin和db_owner。其他内建数据库角色，例如db_datareader，它授予对数据库里面所有对象的SELECT权限。虽然你可以用db_datareader角色授予SELECT权限，然后有选择地对个别用户或组拒绝SELECT权限，但使用这种方法时，你可能忘记为某些用户或者对象设置权限。一种更简单、更直接而且不容易出现错误的方法是为这些特殊的用户创建一个用户定义的角色，然后只把那些用户访问对象所需要的权限授予这个用户定义的角色。
六、总结
SQL Server验证的登录不仅能够方便地实现，而且与windows验证的登录相比，它更容易编写到应用程序里。但是，如果用户的数量超过30，或者服务器数量在一个以上，或者每个用户都可以访问一个以上的数据库，或者数据库有多个管理员，SQL Server验证的登录不容易管理。由于SQL Server没有显示用户有效权限的工具，要记忆每个用户具有哪些权限以及他们为何要得到这些权限就更加困难。即使对于一个数据库管理员还要担负其他责任的小型系统，简化安全策略也有助于减轻问题的复杂程度。因此，首选的方法应该是使用windows验证的登录，然后通过一些精心选择的全局组和数据库角色完善数据库访问管理。
下面是一些简化安全策略的经验规则：
1.用户通过SQL Server 服务器角色获得服务器访问，通过对特定数据库用户组获得数据库访问。
2.用户通过加入全局组获得权限，而全局组通过加入角色获得权限，角色直接拥有数据库里的权限。
3.需要多种权限的用户通过加入多个全局组的方式获得权限。
只要规划得恰当，你能够在域控制器上完成所有的访问和权限维护工作，使得服务器反映出你在域控制器上进行的各种设置调整。虽然实际应用中情况可能有所变化，但以上介绍的基本措施仍旧适用，它们能够帮助你构造出很容易管理的数据库安全连接策略