如何利用AD组GUID判断SQL Server用户成员身份实现行级安全？

完全可以通过AD组的GUID（即AD对象的objectGUID属性）来判断用户的成员身份，它不会随组名修改而变化，能解决IS_MEMBER依赖组名的失效问题。以下是具体实现思路：

• 获取AD组的GUID：在Active Directory管理工具中，找到目标组的属性编辑器，复制objectGUID的值（通常为十六进制格式，可转换为字符串形式使用）。
• 通过GUID验证用户成员身份：由于T-SQL没有直接通过GUID查询AD组成员的内置函数，推荐两种方案：
  1. CLR自定义函数：编写.NET CLR函数调用Active Directory的API，传入组的GUID，验证当前登录用户是否属于该组。这种方式直接基于GUID判断，无需依赖组名或SID的映射。
  2. 基于SID的间接方案：AD组的SID（objectSID）同样是持久化标识符，且与GUID绑定。先通过AD组的GUID查询对应的SID，再在SQL Server中使用该SID验证成员身份：
     • 执行SELECT name, sid FROM sys.server_principals WHERE type = 'G'，找到目标AD组对应的SID（即使组名修改，该SID也不会变化）。
     • 在行级安全的谓词函数中，使用SUSER_SID()获取当前用户的SID，结合系统存储过程xp_logininfo或自定义逻辑判断用户是否属于该SID对应的组。

举个T-SQL示例（基于SID的方案）：

CREATE FUNCTION dbo.fn_UserInADGroup(@GroupSID VARBINARY(85))
RETURNS BIT
AS
BEGIN
    DECLARE @IsMember BIT = 0
    DECLARE @LoginName NVARCHAR(128) = SUSER_SNAME()
    DECLARE @TempTable TABLE (account_name NVARCHAR(128), type NVARCHAR(128), privilege NVARCHAR(128), mapped_login_name NVARCHAR(128), permission_path NVARCHAR(128))
    
    INSERT INTO @TempTable
    EXEC xp_logininfo @LoginName, 'members'
    
    IF EXISTS (SELECT 1 FROM @TempTable WHERE permission_path = SUSER_SNAME(@GroupSID))
        SET @IsMember = 1
    
    RETURN @IsMember
END

然后在行级安全策略中使用该函数：

CREATE SECURITY POLICY dbo.RowLevelSecurityPolicy
ADD FILTER PREDICATE dbo.fn_UserInADGroup(0x010500000000000515000000...) -- 替换为目标AD组的SID
ON dbo.YourTable
WITH (STATE = ON);

注意：使用xp_logininfo需要相应权限，且该存储过程在部分环境中可能被限制。如果需要更可靠的方式，CLR函数是更好的选择。

内容的提问来源于stack exchange，提问作者Henrik Halbritter