SQL Server 代理固定数据库角色

SQLAgentUserRole 是具有最低特权的 SQL Server 代理固定数据库角色。它只对运算符、本地作业和作业计划拥有权限。SQLAgentUserRole 的成员只对它们所拥有的本地作业和作业计划拥有权限。它们不能使用多服务器作业（主服务器作业和目标服务器作业），也不能通过更改作业所有权来获得对它们还没有拥有的作业的访问权限。SQLAgentUserRole 的成员只能在 SQL Server Management Studio 的**“作业步骤属性”对话框中查看可用的代理列表。在 SQL Server Management Studio 对象资源管理器中，SQLAgentUserRole 的成员只能看到“作业”**节点。

安全说明
在授予 SQL Server 代理数据库角色成员代理访问权限之前，请考虑此设置的安全含义。SQLAgentReaderRole 和 SQLAgentOperatorRole 自动成为 SQLAgentUserRole 的成员。这意味着 SQLAgentReaderRole 和 SQLAgentOperatorRole 的成员可以访问已被授予 SQLAgentUserRole 的所有 SQL Server 代理，并且可以使用这些代理。

下表汇总了 SQLAgentUserRole 对 SQL Server 代理对象的权限。

1 无法更改作业所有权。

2 可以获得可在 sp_notify_operator 和 Management Studio 的**“作业属性”**对话框中使用的可用运算符列表。

3 只能在 Management Studio 的**“作业步骤属性”**对话框中使用代理列表。

4 必须为 SQLAgentUserRole 的成员显式授予对 sp_purge_jobhistory 的 EXECUTE 权限才能删除它们所拥有的作业的作业历史记录。这些成员不能删除任何其他作业的历史记录。

SQLAgentReaderRole 包括所有的 SQLAgentUserRole 权限，以及查看可用的多服务器作业及其属性和历史记录的列表的权限。此角色的成员还可以查看所有可用作业和作业计划以及它们的属性的列表，而不只是它们所拥有的那些作业和作业计划。SQLAgentReaderRole 成员不能通过更改作业所有权来获得对它们还没有拥有的作业的访问权限。在 SQL Server Management Studio 对象资源管理器中，SQLAgentReaderRole 的成员只能看到**“作业”**节点。

安全说明
在授予 SQL Server 代理数据库角色成员代理访问权限之前，请考虑此设置的安全含义。SQLAgentReaderRole 的成员将自动成为 SQLAgentUserRole 的成员。这意味着 SQLAgentReaderRole 成员可以访问已被授予 SQLAgentUserRole 的所有 SQL Server 代理，并且可以使用这些代理。

下表汇总了 SQLAgentReaderRole 对 SQL Server 代理对象的权限。

1 无法更改作业所有权。

2 可以获得可在 sp_notify_operator 和 Management Studio 的**“作业属性”**对话框中使用的可用运算符列表。

3 只能在 Management Studio 的**“作业步骤属性”**对话框中使用代理列表。

4 必须为 SQLAgentReaderRole 的成员显式授予对 sp_purge_jobhistory 的 EXECUTE 权限才能删除它们所拥有的作业的作业历史记录。这些成员不能删除任何其他作业的历史记录。

SQLAgentOperatorRole 是具有最高特权的 SQL Server 代理固定数据库角色。它的权限包括 SQLAgentUserRole 和 SQLAgentReaderRole 的所有权限。此角色的成员还可以查看运算符和代理的属性，并且可以枚举服务器上的可用代理和警报。

SQLAgentOperatorRole 的成员还拥有对本地作业和计划的其他权限。它们可以执行、停止或启动所有本地作业，还可以删除服务器上的任何本地作业的作业历史记录。它们还可以启用或禁用服务器上的所有本地作业和计划。若要启用或禁用本地作业或计划，此角色的成员必须使用存储过程 sp_update_job 和 sp_update_schedule。SQLAgentOperatorRole 的成员只能指定那些指定了作业名称、计划名称或标识符的参数和 @enabled 参数。如果它们指定了任何其他参数，则执行这些存储过程将失败。SQLAgentOperatorRole 的成员不能通过更改作业所有权来获得对它们还没有拥有的作业的访问权限。

在 SQL Server Management Studio 对象资源管理器中，SQLAgentOperatorRole 的成员可以看到**“作业”、“警报”、“运算符”和“代理”节点。但此角色的成员看不到“错误日志”**节点。

安全说明
在授予 SQL Server 代理数据库角色成员代理访问权限之前，请考虑此设置的安全含义。SQLAgentOperatorRole 的成员将自动成为 SQLAgentUserRole 和 SQLAgentReaderRole 的成员。这意味着 SQLAgentOperatorRole 的成员可以访问已被授予 SQLAgentUserRole 或 SQLAgentReaderRole 的所有 SQL Server 代理，并且可以使用这些代理。

下表汇总了 SQLAgentOperatorRole 对 SQL Server 代理对象的权限。

1 可以获得可在 sp_notify_operator 和 Management Studio 的**“作业属性”**对话框中使用的可用运算符列表。

2 无法更改作业所有权。

3SQLAgentOperatorRole 的成员可以通过使用存储过程 sp_update_job 并指定 @enabled 和 @job_id（或 @job_name）参数的值来启用或禁用它们尚未拥有的本地作业。如果此角色的成员为此存储过程指定任何其他参数，则执行此过程将会失败。

4SQLAgentOperatorRole 的成员可以通过使用存储过程 sp_update_schedule 并指定 @enabled 和 @schedule_id（或 @name）参数的值来启用或禁用它们尚未拥有的计划。如果此角色的成员为此存储过程指定任何其他参数，则执行此过程将会失败。