SQLServer中执行ALTER LOGIN sa WITH CHECK_POLICY = ON后，为何sa登录仍不受密码策略限制？

Question

在SQL Server中，执行`ALTER LOGIN sa WITH CHECK_POLICY = ON`后，为何`sa`登录仍可能不受密码策略限制？这是一个常见的技术问题。理论上，启用`CHECK_POLICY`应使`sa`账户遵循操作系统定义的密码策略，包括密码复杂性和过期规则。然而，在某些场景下，如SQL Server配置为混合身份验证模式或运行于特定Windows环境时，`sa`账户可能绕过这些限制。原因可能涉及：1) 系统级权限覆盖了常规策略；2) 密码策略仅在密码变更时触发检查；3) 部分策略规则未被SQL Server完全继承。因此，即使启用了`CHECK_POLICY`，仍需结合其他安全措施确保`sa`账户符合组织的安全标准。此问题提醒DBA需全面理解密码策略的应用范围及潜在例外情况。

Answer 1

1. 问题概述

在SQL Server中，执行ALTER LOGIN sa WITH CHECK_POLICY = ON后，理论上应使sa账户遵循操作系统定义的密码策略。然而，在某些场景下，sa登录仍可能不受密码策略限制。这一现象引发了DBA对密码策略应用范围及例外情况的关注。

• 关键词：SQL Server, 密码策略, CHECK_POLICY, sa账户, 安全性, 系统级权限

此问题涉及的技术点包括：密码复杂性、过期规则、身份验证模式以及Windows环境的影响。

2. 技术分析

以下是可能导致sa账户绕过密码策略的几个原因：

1. 系统级权限覆盖常规策略：即使启用了CHECK_POLICY，sa作为超级管理员可能拥有更高的权限，从而规避某些限制。
2. 密码策略仅在密码变更时触发检查：如果密码未更改，则不会重新评估其是否符合复杂性和过期规则。
3. 部分策略规则未被SQL Server完全继承：例如，Windows环境中的一些特定配置可能未正确传递到SQL Server。

这些因素共同作用，导致sa账户的行为与预期不符。

3. 解决方案与最佳实践

为确保sa账户的安全性，建议采取以下措施：

解决方案	描述
定期更新密码	强制要求定期更改sa账户的密码，以激活密码策略检查。
禁用sa账户	推荐创建其他具有管理员权限的登录名，并禁用默认的sa账户。
启用额外审计	通过SQL Server Audit功能监控sa账户的使用情况。

此外，还需结合组织的具体安全标准，制定适合的管理策略。

4. 流程图说明

以下流程图展示了sa账户密码策略的应用逻辑：

graph TD;
            A[启动CHECK_POLICY] --> B{密码已变更？};
            B --是--> C[检查密码复杂性和过期规则];
            B --否--> D[跳过检查];
            C --> E[策略生效];
            D --> F[可能绕过限制];

此图清晰地揭示了密码策略的实际执行路径。