如何限制user1通过SSMS远程登录SQL Server且不影响应用？

完全禁用远程访问会阻断所有外部连接（包括应用），所以需要精准限制user1的SSMS远程连接，以下是可行方案：

方案一：通过登录触发器限制客户端工具类型 #

利用SQL Server的登录触发器，根据登录账号、客户端应用名称和连接来源判断是否拒绝连接，只拦截user1从远程发起的SSMS连接。

步骤1：创建登录触发器 #

执行以下SQL脚本创建触发器：

CREATE TRIGGER [BlockSSMSRemoteLogin]
ON ALL SERVER FOR LOGON
AS
BEGIN
    -- 匹配user1账号、SSMS客户端、远程连接
    IF ORIGINAL_LOGIN() = 'user1' 
       AND APP_NAME() IN ('Microsoft SQL Server Management Studio - Query', 'Microsoft SQL Server Management Studio')
       AND HOST_NAME() <> SERVERPROPERTY('MachineName')
    BEGIN
        RAISERROR('User1 禁止通过SSMS远程连接SQL Server实例。', 16, 1);
        ROLLBACK;
    END
END;
GO

关键说明 #

• APP_NAME()：SSMS的客户端名称通常是上述两个值，若你的SSMS版本名称不同，可先在SSMS中执行SELECT APP_NAME();获取准确名称。
• HOST_NAME() <> SERVERPROPERTY('MachineName')：判断是否为远程连接（本地连接时主机名与服务器名一致）。
• 应用连接不受影响：应用的客户端名称（APP_NAME()）与SSMS不同，若应用未指定自定义名称，可在应用连接字符串中添加Application Name=YourAppName，确保触发器不会误拦截。

测试与回滚 #

• 测试：本地用SSMS登录user1可正常访问，远程用SSMS登录会触发错误提示；应用连接无异常。
• 临时禁用触发器（若出现问题）：

DISABLE TRIGGER [BlockSSMSRemoteLogin] ON ALL SERVER;
GO

方案二：基于IP的防火墙限制（适用于应用与SSMS来源IP不同的场景） #

如果应用固定从特定服务器IP连接，可在SQL Server所在服务器的防火墙中：

• 允许应用服务器IP访问SQL Server的端口（默认1433）。
• 拒绝其他所有IP访问该端口，若需更严格控制，可结合方案一拦截允许IP内的SSMS连接。

内容的提问来源于stack exchange，提问作者user1460901