SQL Server用户创建全权限数据库副本的权限缺失问题求助

基于你描述的场景——user拥有db_datareader、部分存储过程执行权限（含数据库复制存储过程）及全局dbcreator角色，且无法通过IMPERSONATE sa来临时提升权限——我整理了几个可行的方案，能让user自动获得副本数据库的所有权或db_owner权限，无需sa手动操作：

方案1：利用dbcreator角色的原生权限配置 #

因为user属于全局dbcreator角色，该角色允许成员管理自己创建（或通过复制生成）的数据库。你可以在复制存储过程的末尾追加以下语句，确保复制完成后立即为user配置权限：

-- 将user添加为副本数据库的db_owner成员
ALTER ROLE db_owner ADD MEMBER [user];
-- 可选：将副本数据库的所有权转移给user
ALTER AUTHORIZATION ON DATABASE::copyDB TO [user];

⚠️ 注意：这些语句必须在数据库复制操作完全完成后执行（比如复制过程是同步执行的，或者添加逻辑检查copyDB的状态是否为ONLINE），否则会因数据库不存在而报错。

方案2：修改复制存储过程的执行上下文 #

既然user无法直接模拟sa，可以通过调整存储过程的所有者和执行上下文，让存储过程以sa的权限运行：

1. 先将存储过程的所有者改为sa：

ALTER AUTHORIZATION ON PROCEDURE::YourCopyProcedure TO [sa];

2. 修改存储过程，添加WITH EXECUTE AS OWNER（如果是新建存储过程，直接在定义中加入即可）：

ALTER PROCEDURE YourCopyProcedure
WITH EXECUTE AS OWNER
AS
BEGIN
    -- 原有的数据库复制逻辑
    -- ...
    -- 复制完成后自动配置权限
    ALTER ROLE db_owner ADD MEMBER [user];
    ALTER AUTHORIZATION ON DATABASE::copyDB TO [user];
END

这个方案的核心是：存储过程以其所有者（sa）的权限运行，user执行时无需拥有IMPERSONATE sa的权限，就能完成原本需要sa手动操作的权限配置。但要确保存储过程的逻辑是安全的，避免被滥用。

方案3：授予user精细化的特定权限 #

如果不想依赖dbcreator的全局权限，可以给user授予针对权限配置的特定权限：

-- 授予修改任意数据库的权限（权限范围较大，谨慎使用）
GRANT ALTER ANY DATABASE TO [user];
-- 或者仅针对目标副本数据库授予控制权（若能提前确定数据库名称）
GRANT CONTROL ON DATABASE::copyDB TO [user];

不过这个方案的安全性相对较低，因为ALTER ANY DATABASE权限会允许user修改所有数据库的配置，建议仅在必要时使用。

内容的提问来源于stack exchange，提问作者Sarvaruis