Todos los productos
Search

Este producto

    ApsaraDB RDS:Create standard, privileged, and global read-only accounts

    Centro de documentos

    ApsaraDB RDS:Create standard, privileged, and global read-only accounts

    Última actualización: Sep 03, 2026

    Puede crear cuentas estándar, con privilegios y globales de solo lectura para una instancia de ApsaraDB RDS for SQL Server mediante la consola de ApsaraDB RDS o al invocar una operación de API.

    Requisitos previos y límites

    • La primera cuenta de una instancia debe ser una cuenta con privilegios o una superuser account (with SA permissions).

    • Puede crear cuentas con privilegios y estándar en instancias de cualquier especificación. Las cuentas globales de solo lectura solo se pueden crear en instancias que cumplen los siguientes requisitos:

      • Versión de la base de datos: SQL Server 2016 o posterior.

      • Familia de instancias: de propósito general o dedicada.

    • Límites de cuentas:

      • Cuentas estándar: sin límite.

      • Cuentas con privilegios: máximo una cuenta con privilegios por instancia.

      • Cuentas globales de solo lectura: máximo dos cuentas globales de solo lectura por instancia.

    Reglas de permisos de las cuentas

    Cuenta con privilegios

    Escenario

    Descripción

    Crear una cuenta con privilegios

    Al crearse, se otorga automáticamente a la cuenta el permiso db_owner role sobre todas las bases de datos existentes.

    Agregar una base de datos

    Eliminar una cuenta con privilegios

    • Esta operación elimina permanentemente la cuenta y sus permisos sobre todas las bases de datos.

    • La cuenta ya no se puede utilizar para iniciar sesión ni realizar operaciones en la base de datos.

    Volver a crear una cuenta con privilegios

    • Si vuelve a crear una cuenta con privilegios, independientemente de si utiliza el nombre original, el sistema otorga automáticamente a la nueva cuenta el permiso db_owner sobre todas las bases de datos existentes en la instancia actual.

    • Para las bases de datos creadas posteriormente, aún debe manually modify permissions para otorgar el permiso db_owner a la cuenta.

    Seleccionar manualmente el rol de servidor sysadmin para una cuenta con privilegios en SQL Server Management Studio (SSMS) no surte efecto. ApsaraDB RDS aplica restricciones de seguridad a las cuentas con privilegios y no permite otorgar directamente el permiso sysadmin. Si necesita el permiso sysadmin, cree una cuenta de superusuario (con permisos SA). Después de crear una cuenta de superusuario, la instancia deja de estar cubierta por el SLA. Para obtener más información, consulte Create a database account with SA permissions.

    Cuenta estándar

    Escenario

    Descripción

    Crear una cuenta estándar

    • Al crear la cuenta, debe especificar manualmente las bases de datos que se autorizarán y los permisos correspondientes (lectura/escritura, solo lectura o propietario).

    • Si no autoriza ninguna base de datos durante la creación, la cuenta se creará sin acceso a ninguna base de datos.

    • Posteriormente, debe manually grant permissions para que la cuenta acceda a bases de datos específicas.

    Agregar una base de datos

    Eliminar una cuenta estándar

    • Eliminar la cuenta quita permanentemente todos sus permisos de acceso a la base de datos.

    • La cuenta ya no se puede utilizar para iniciar sesión ni realizar operaciones en la base de datos.

    • Las conexiones desde aplicaciones asociadas fallarán. Debe actualizar oportunamente la información de la cuenta y la contraseña.

    Volver a crear una cuenta estándar con el mismo nombre

    • Incluso si vuelve a crear una cuenta con el mismo nombre, sus permisos originales no se restauran automáticamente.

    • La nueva cuenta no tiene permisos sobre ninguna base de datos.

    • Debe manually re-authorize databases and set permissions para restaurar el acceso.

    Cuenta global de solo lectura

    Escenario

    Descripción

    Crear una cuenta global de solo lectura

    • Al crearse, se otorgan automáticamente a la cuenta permisos de solo lectura sobre todas las bases de datos existentes en la instancia.

    • La cuenta no tiene acceso a las bases de datos del sistema master y rdscore (si existe).

    Agregar una base de datos

    Se otorga automáticamente a la cuenta acceso de solo lectura a las nuevas bases de datos.

    Eliminar una cuenta global de solo lectura

    • Eliminar la cuenta quita permanentemente sus permisos de solo lectura.

    • La cuenta ya no se puede utilizar para iniciar sesión ni realizar operaciones en la base de datos.

    Volver a crear una cuenta global de solo lectura

    • Si vuelve a crear una cuenta global de solo lectura, independientemente de si utiliza el nombre original, el sistema le otorga automáticamente permisos de solo lectura sobre todas las bases de datos existentes en la instancia actual.

    • También se otorgan automáticamente permisos de solo lectura para las bases de datos creadas posteriormente.

    Precauciones

    • Establezca una contraseña segura: Para garantizar la seguridad de la base de datos, configure una contraseña segura para la cuenta de la base de datos y cámbiela periódicamente. También puede set a password policy for an account para controlar el periodo de validez de la contraseña y mejorar la seguridad de la cuenta.

    • Principio de menor privilegio: Al asignar permisos, siga el principio de menor privilegio. Cree cuentas según los roles empresariales y asigne permisos de solo lectura y de lectura/escritura según sea necesario. Si es necesario, puede crear cuentas de base de datos y bases de datos con una granularidad más fina. Esto garantiza que cada cuenta de base de datos solo pueda acceder a los datos requeridos para su actividad empresarial. Si una cuenta no necesita modificar datos, otórguele permisos de solo lectura.

    Crear una cuenta

    1. Vaya a la página Instances. En la barra de navegación superior, seleccione la región donde reside la instancia de RDS. A continuación, busque la instancia de RDS y haga clic en el ID de la instancia.

    2. En el panel de navegación izquierdo, haga clic en Accounts.

    3. Haga clic en Create Account y configure los parámetros.

      Nota

      La primera cuenta de una instancia de ApsaraDB RDS for SQL Server debe ser una cuenta con privilegios o una superuser account. Solo puede crear una cuenta estándar o global de solo lectura después de haber creado una de estas cuentas.

      Cuenta con privilegios

      Parámetro

      Descripción

      Database Account

      Introduzca un nombre de cuenta de base de datos. El nombre debe comenzar con una letra, terminar con una letra o un dígito, y contener solo letras minúsculas, dígitos y guiones bajos (_). El nombre de la cuenta no puede coincidir con una reserved keyword.

      Account Type

      Seleccione Privileged Account. Cada instancia solo puede tener una cuenta con privilegios.

      New Password

      Introduzca una contraseña para la cuenta. La contraseña debe cumplir los siguientes requisitos:

      • Longitud de 8 a 32 caracteres.

      • Debe contener como mínimo tres de los siguientes tipos de caracteres: letras mayúsculas, letras minúsculas, dígitos y caracteres especiales.

      • Los caracteres especiales compatibles son !@#$%^&*()_+-=.

      Confirm Password

      Introduzca nuevamente la misma contraseña para confirmarla.

      Apply password policy

      Aplicar una política de contraseñas permite controlar el periodo de validez de la contraseña y mejorar la seguridad de la cuenta. Antes de aplicar una política, primero debe set a password policy for an account.

      Description

      Introduzca una descripción. La descripción puede tener una longitud máxima de 256 caracteres.

      Cuenta estándar

      Parámetro

      Descripción

      Database Account

      Introduzca un nombre de cuenta de base de datos. El nombre debe comenzar con una letra, terminar con una letra o un dígito, y contener solo letras minúsculas, dígitos y guiones bajos (_). El nombre de la cuenta no puede coincidir con una reserved keyword.

      Account Type

      Seleccione Standard Account. Una instancia puede tener varias cuentas estándar.

      Authorize Database:

      Puede otorgar a una Standard Account permisos sobre una o más bases de datos y establecer permisos diferentes para cada una. Si no existen bases de datos, puede dejar este campo vacío y otorgar permisos más adelante. Para otorgar permisos:

      1. En la lista Unauthorized Databases, seleccione las bases de datos que desea autorizar.

      2. Haga clic en image.png para agregar las bases de datos a la lista Authorized Databases.

      3. Establezca los permisos sobre las bases de datos para la cuenta. Los permisos pueden ser Read/Write (DML), Read-Only u Owner. Para obtener más información sobre los permisos, consulte Account permissions.

      New Password

      Introduzca una contraseña para la cuenta. La contraseña debe cumplir los siguientes requisitos:

      • Longitud de 8 a 32 caracteres.

      • Debe contener como mínimo tres de los siguientes tipos de caracteres: letras mayúsculas, letras minúsculas, dígitos y caracteres especiales.

      • Los caracteres especiales compatibles son !@#$%^&*()_+-=.

      Confirm Password

      Introduzca nuevamente la misma contraseña para confirmarla.

      Apply password policy

      Aplicar una política de contraseñas permite controlar el periodo de validez de la contraseña y mejorar la seguridad de la cuenta. Antes de aplicar una política, primero debe set a password policy for an account.

      Description

      Introduzca una descripción. La descripción puede tener una longitud máxima de 256 caracteres.

      Cuenta global de solo lectura

      Parámetro

      Descripción

      Database Account

      Introduzca un nombre de cuenta de base de datos. El nombre debe comenzar con una letra, terminar con una letra o un dígito, y contener solo letras minúsculas, dígitos y guiones bajos (_). El nombre de la cuenta no puede coincidir con una reserved keyword.

      Account Type

      Seleccione Global Read-Only Account. Una vez creada esta cuenta, se le otorgan automáticamente permisos de solo lectura sobre todas las bases de datos existentes en la instancia. Estos permisos también se aplican a cualquier nueva base de datos que cree.

      New Password

      Introduzca una contraseña para la cuenta. La contraseña debe cumplir los siguientes requisitos:

      • Longitud de 8 a 32 caracteres.

      • Debe contener como mínimo tres de los siguientes tipos de caracteres: letras mayúsculas, letras minúsculas, dígitos y caracteres especiales.

      • Los caracteres especiales compatibles son !@#$%^&*()_+-=.

      Confirm Password

      Introduzca nuevamente la misma contraseña para confirmarla.

      Apply password policy

      Aplicar una política de contraseñas permite controlar el periodo de validez de la contraseña y mejorar la seguridad de la cuenta. Antes de aplicar una política, primero debe set a password policy for an account.

      Description

      Introduzca una descripción. La descripción puede tener una longitud máxima de 256 caracteres.

    4. Haga clic en OK. Una vez que se actualice la página, podrá consultar la cuenta creada.

    Documentos relacionados

    Preguntas frecuentes

    Cuentas en instancias de solo lectura

    Las cuentas creadas en una instancia principal se sincronizan con sus instancias de solo lectura. No puede gestionar cuentas en instancias de solo lectura. Estas cuentas sincronizadas tienen permisos de solo lectura en las instancias de solo lectura y no se pueden utilizar para operaciones de escritura.

    Omitir la complejidad de la contraseña

    Para garantizar la seguridad de la base de datos, ApsaraDB RDS for SQL Server requiere que una contraseña contenga como mínimo tres de los siguientes tipos de caracteres: letras mayúsculas, letras minúsculas, dígitos y caracteres especiales, y tenga una longitud de 8 a 32 caracteres.

    Sin embargo, si debe omitir los requisitos de complejidad de la contraseña por necesidades empresariales, realice los siguientes pasos:

    Importante

    Una contraseña sencilla aumenta el riesgo de ataques al sistema. Se recomienda establecer una contraseña segura para su cuenta de base de datos y cambiarla periódicamente.

    1. En su instancia de ApsaraDB RDS, cree una cuenta de usuario (por ejemplo, A). Utilice esta cuenta para connect to the SQL Server instance con SQL Server Management Studio (SSMS).

    2. Utilice la cuenta A para crear la cuenta objetivo ejecutando la siguiente sentencia SQL, que también deshabilita la comprobación de complejidad de la contraseña:

      Nota

      Dado que Data Management (DMS) no permite cambiar a la base de datos master, debe usar SSMS para ejecutar esta sentencia SQL.

      -- Switch to the master database.
USE master
GO
-- Create the target account.
CREATE LOGIN [your_account_name] WITH PASSWORD=N'your_password', CHECK_EXPIRATION=OFF, CHECK_POLICY=OFF
GO
-- Enable the target account.
ALTER LOGIN [your_account_name] ENABLE
GO

      CHECK_EXPIRATION = OFF deshabilita la función de caducidad de la contraseña. CHECK_POLICY = OFF deshabilita la comprobación de la política de complejidad de la contraseña, lo que incluye requisitos de longitud y complejidad.

      Nota

      Puede utilizar la consola de ApsaraDB RDS para customize a password policy para una cuenta de usuario individual en una instancia de ApsaraDB RDS for SQL Server con el fin de implementar una gestión detallada de contraseñas y mejorar la seguridad de la cuenta.

    Una cuenta de ApsaraDB RDS for SQL Server está inactiva y el inicio de sesión falla con el error**The account is disabled.**?

    Problema

    En la página Accounts de una instancia de ApsaraDB RDS for SQL Server, el estado de la cuenta se muestra como Inactive. Cuando intenta iniciar sesión en la base de datos con una cuenta inactiva, se reporta el mensaje de error The account is disabled..

    image

    image

    Causa

    Las cuentas de usuario creadas en la página Accounts de una instancia de ApsaraDB RDS for SQL Server o al invocar una operación API están activas de forma predeterminada. No es necesario activarlas manualmente. Una cuenta puede quedar inactiva por las siguientes razones:

    • La cuenta se creó en estado deshabilitado mediante una sentencia SQL.

    • La cuenta se deshabilitó manualmente después de su creación.

    Solución

    1. Utilice otra cuenta activa para connect to the SQL Server instance by using SQL Server Management Studio (SSMS).

    2. Compruebe si la cuenta objetivo está deshabilitada. Si lo está, habilite la cuenta.

      • Método 1: Consulte y modifique el estado de la cuenta en la interfaz gráfica de usuario (GUI) de SSMS.

        image

      • Método 2: Consulte y modifique el estado de la cuenta mediante sentencias SQL.

        1. Ejecute la siguiente consulta SQL para comprobar el estado actual de la cuenta objetivo:

          -- Query the status of the target logon name.
SELECT 
    name AS LoginName,          -- Logon name
    is_disabled AS IsDisabled   -- Status: 1 indicates disabled, 0 indicates enabled.
FROM 
    sys.server_principals
WHERE 
    name = 'your_logon_name';

          image

        2. Si la cuenta objetivo está deshabilitada (is_disabled = 1), ejecute el siguiente comando SQL para habilitar la cuenta:image

          ALTER LOGIN [your_logon_name] ENABLE;

    Error de CreateAccount: **AccountLimitExceeded**

    Problema

    When you call the CreateAccount API operation to create a database account, you may receive the following error if you specify incorrect parameters:

    "Code": "AccountLimitExceeded",
"Message": "AccountQuotaExceeded: Exceeding the allowed amount of account"

    Este error indica que el número de cuentas en la instancia ha alcanzado el límite máximo.

    Causa

    • Cada instancia está limitada a una cuenta con privilegios y una cuenta de superusuario. La cuenta con privilegios no se puede eliminar.

    • Problema con la configuración de parámetros: En SQL Server, si el parámetro AccountType se establece en Sysadmin (cuenta de superusuario) o Super (cuenta con privilegios), y ya existe una cuenta con privilegios correspondiente en la base de datos, se activa el error AccountLimitExceeded.

    Solución

    • Crear una cuenta estándar: Asegúrese de que AccountType esté configurado como Normal. Por lo general, ApsaraDB RDS no limita el número de cuentas estándar, pero la cantidad específica depende del kernel de la instancia.

    • Crear una cuenta con privilegios: Asegúrese de que AccountType esté configurado como Super. En la página Accounts de la consola de ApsaraDB RDS, compruebe si ya existe una cuenta con privilegios en la instancia. Si ya existe una, evite crear un duplicado.

    • Crear una cuenta de superusuario: Asegúrese de que AccountType esté configurado como Sysadmin. Puede comprobar si ya existe una cuenta con privilegios para la instancia en la página Accounts de la consola de ApsaraDB RDS. Si ya existe una, no cree un duplicado.