如何创建映射到dbo用户的AWS RDS登录名？

核心结论 #

1. 无法创建映射至dbo用户的登录名：AWS RDS SQL Server中，系统自带的rdsa登录虽映射到dbo，但处于禁用状态且无法获取凭据；自定义登录也不允许直接映射到dbo用户，这是RDS的固有限制。
2. 无需强制迁移dbo表：存在更轻量的方案解决所有权链问题，无需大规模调整现有表架构。

可行解决方案 #

方案1：修改bi架构及视图的所有者为dbo

通过统一视图与底层dbo表的所有者，让SQL Server的所有权链机制生效，bi用户仅需bi架构的SELECT权限即可访问视图，无需额外授予dbo架构权限。

操作步骤：

1. 修改bi架构的所有者为dbo：

ALTER AUTHORIZATION ON SCHEMA::bi TO dbo;

2. 批量修改bi架构下所有现有视图的所有者为dbo（避免旧视图仍归migration用户所有）：

DECLARE @sql NVARCHAR(MAX) = N'';

SELECT @sql += N'ALTER AUTHORIZATION ON OBJECT::bi.' + QUOTENAME(name) + N' TO dbo;' + CHAR(13)
FROM sys.objects
WHERE schema_id = SCHEMA_ID('bi') AND type IN ('V', 'FN', 'IF', 'TF'); -- 覆盖视图和表值函数

EXEC sp_executesql @sql;

方案2：将应用表迁移至自定义架构并统一所有权

如果希望长期架构更清晰，可将dbo下的应用表迁移到独立架构，统一架构所有者，确保所有权链生效。

操作步骤：

1. 创建专属应用架构：

CREATE SCHEMA app;

2. 设置app架构的所有者为migration用户（或专门的业务用户）：

ALTER AUTHORIZATION ON SCHEMA::app TO migration;

3. 将dbo下的应用表迁移至app架构：

-- 单表迁移示例
ALTER SCHEMA app TRANSFER dbo.[YourTableName];

-- 批量迁移所有用户表（过滤系统表）
DECLARE @sql NVARCHAR(MAX) = N'';

SELECT @sql += N'ALTER SCHEMA app TRANSFER dbo.' + QUOTENAME(name) + N';' + CHAR(13)
FROM sys.tables
WHERE schema_id = SCHEMA_ID('dbo') AND is_ms_shipped = 0;

EXEC sp_executesql @sql;

4. 修改bi架构的所有者为同一用户（migration）：

ALTER AUTHORIZATION ON SCHEMA::bi TO migration;

此时bi视图与app表的所有者一致，所有权链生效，bi用户无需app架构权限即可通过视图访问数据。

方案3：证书签名存储过程（特殊场景备选）

如果无法修改架构或所有者，可通过证书签名封装视图逻辑的存储过程，让bi用户通过执行存储过程间接访问数据，无需直接授予dbo权限。

操作步骤（简化版）：

1. 创建证书：

CREATE CERTIFICATE Cert_BIAccess
WITH SUBJECT = 'BI Access Certificate';

2. 用证书创建用户并授予dbo表的SELECT权限：

CREATE USER User_BIAccess FOR CERTIFICATE Cert_BIAccess;
GRANT SELECT ON SCHEMA::dbo TO User_BIAccess;

3. 为访问bi视图的存储过程签名：

ADD SIGNATURE TO [bi].[GetBIReport] BY CERTIFICATE Cert_BIAccess;

4. 授予bi用户执行存储过程的权限：

GRANT EXECUTE ON [bi].[GetBIReport] TO bi;

方案对比 #

• 方案1：改动最小，快速解决问题，适合现有架构无需调整的场景。
• 方案2：架构更规范，便于长期维护，适合有架构优化需求的场景。
• 方案3：复杂度较高，适合无法修改架构/所有者的特殊限制场景。

内容的提问来源于stack exchange，提问作者Drew