跨库存储过程调用场景下的执行权限限制配置问题

这场景我熟！要满足业务需求同时做到权限最小化，证书签名存储过程是最优选择（比EXECUTE AS更安全可控），完全不需要给user1或者sp1本身赋予访问database2的权限，一步步来：

方法一：证书签名存储过程（推荐） #

这种方式让database1的sp1通过证书临时获得调用database2.sp2的权限，而user1本身完全没有database2的访问权限，完美贴合最小权限原则。

• 第一步：在database1创建用于签名的证书

USE database1;
GO
-- 创建证书（记得替换密码和过期时间为实际值）
CREATE CERTIFICATE Cert_SP1_Call_SP2
    ENCRYPTION BY PASSWORD = 'YourStrongPasswordHere123!'
    WITH SUBJECT = 'Certificate for sp1 to execute sp2 in database2',
    EXPIRY_DATE = '2035-12-31';
GO

• 第二步：备份证书并在database2中还原

-- 在database1备份证书到本地文件（路径需SQL Server服务账号有读写权限）
USE database1;
GO
BACKUP CERTIFICATE Cert_SP1_Call_SP2
    TO FILE = 'C:\SQL_Certs\Cert_SP1_Call_SP2.cer'
    WITH PRIVATE KEY (
        FILE = 'C:\SQL_Certs\Cert_SP1_Call_SP2.pvk',
        ENCRYPTION BY PASSWORD = 'YourStrongPasswordHere123!',
        DECRYPTION BY PASSWORD = 'YourStrongPasswordHere123!'
    );
GO

-- 在database2还原证书
USE database2;
GO
CREATE CERTIFICATE Cert_SP1_Call_SP2
    FROM FILE = 'C:\SQL_Certs\Cert_SP1_Call_SP2.cer'
    WITH PRIVATE KEY (
        FILE = 'C:\SQL_Certs\Cert_SP1_Call_SP2.pvk',
        DECRYPTION BY PASSWORD = 'YourStrongPasswordHere123!',
        ENCRYPTION BY PASSWORD = 'YourStrongPasswordHere123!'
    );
GO

• 第三步：在database2基于证书创建用户并授予sp2执行权限

USE database2;
GO
-- 创建绑定证书的用户
CREATE USER User_Cert_SP1_Call_SP2 FOR CERTIFICATE Cert_SP1_Call_SP2;
GO
-- 仅授予执行sp2的权限（最小权限）
GRANT EXECUTE ON sp2 TO User_Cert_SP1_Call_SP2;
GO

• 第四步：用证书给database1的sp1签名

USE database1;
GO
-- 给sp1添加证书签名
ADD SIGNATURE TO sp1
    BY CERTIFICATE Cert_SP1_Call_SP2
    WITH PASSWORD = 'YourStrongPasswordHere123!';
GO

设置完成后，当user1执行sp1时，sp1会通过证书临时获得User_Cert_SP1_Call_SP2的权限，顺利调用database2.sp2，但user1直接访问database2会被拒绝，完全符合权限最小化要求。

方法二：EXECUTE AS（备选，需注意权限隔离） #

如果暂时不想用证书，也可以通过身份切换实现，但要注意权限边界：

• 修改database1的sp1，添加身份切换逻辑

USE database1;
GO
ALTER PROCEDURE sp1
AS
BEGIN
    SET NOCOUNT ON;
    -- 切换到user2身份执行（user2已拥有sp2执行权限）
    EXECUTE AS USER = 'user2';
    
    -- 调用database2的sp2
    EXEC database2.dbo.sp2;
    
    -- 切回原调用者身份
    REVERT;
END
GO

• 给user1授予模拟user2的权限

USE database1;
GO
GRANT IMPERSONATE ON USER::user2 TO user1;
GO

⚠️ 注意：这种方式的风险是user1拥有了模拟user2的权限，如果后续user2被赋予其他额外权限，可能会导致权限溢出，所以更推荐证书签名方案。

验证权限有效性 #

用user1登录后执行：

1. 执行EXEC database1.dbo.sp1;，确认能成功修改database2的敏感数据
2. 直接执行EXEC database2.dbo.sp2;，应该收到权限拒绝的错误，说明user1本身无database2访问权限

内容的提问来源于stack exchange，提问作者boggy