如何禁止特定帳號使用 LinkServer？用假帳號直接封鎖

結論#

用「假帳號 mapping」覆蓋 LinkServer 登入，讓指定使用者永遠連線失敗，是最簡單可控的封鎖方式。

適合用在哪裡#

想限制「特定帳號」不能用 LinkServer
不想影響其他使用者（維持 public 可用）
無法用 DENY 精準控管 LinkServer 時
權限已混亂，需要快速止血

流程步驟#

1. 確認目前 LinkServer 登入設定#

使用 sp_helplinkedsrvlogin 檢視 mapping
可以看到誰對應哪個遠端帳號
判斷是否有 NULL（代表所有人共用）

1
EXEC sp_helplinkedsrvlogin;

2. 移除目標使用者的既有 mapping#

針對所有 LinkServer
刪除該 User 的登入對應
避免舊設定干擾

1
EXEC sp_droplinkedsrvlogin
2
    @rmtsrvname = N'LinkServerName',
3
    @locallogin = N'UserA';

3. 建立「假帳號」強制登入失敗#

核心做法：指定一組不存在的帳號
當 User 呼叫 LinkServer 時 → 一定登入失敗
等同「軟性 DENY」

1
EXEC sp_addlinkedsrvlogin
2
    @rmtsrvname = N'LinkServerName',
3
    @useself = N'False',
4
    @locallogin = N'UserA',
5
    @rmtuser = N'FakeDenyUser',
6
    @rmtpassword = N'WrongPassword';

補充#

沒有 DENY USE LINKSERVER 這種權限，只能用 mapping 控制
@locallogin = NULL 代表所有人共用，需特別注意覆蓋順序
此方法不影響其他使用者（只針對指定帳號）

指令 / 範例整理#

Click to expand

1
-- 檢視權限
2
EXEC sp_helplinkedsrvlogin;
3

4
-- 動態產生：刪除 + 建立 Fake Mapping
5
DECLARE @UserName sysname = N'UserA';
6
DECLARE @FakeUser sysname = N'FakeDenyUser';
7
DECLARE @FakePassword nvarchar(200) = N'WrongPassword';
8

9
DECLARE @SQL nvarchar(max) = N'';
10

11
-- 1. 刪除 mapping
12
SELECT
13
    @SQL = @SQL +
14
    N'BEGIN TRY
15
        EXEC sp_droplinkedsrvlogin
16
            @rmtsrvname = N''' + REPLACE(name, '''', '''''') + ''',
17
            @locallogin = N''' + REPLACE(@UserName, '''', '''''') + ''';
18
    END TRY
19
    BEGIN CATCH
20
    END CATCH;' + CHAR(13) + CHAR(10)
21
FROM sys.servers
22
WHERE is_linked = 1;
23

24
-- 2. 建立 Fake mapping
25
SELECT
26
    @SQL = @SQL +
27
    N'EXEC sp_addlinkedsrvlogin
28
        @rmtsrvname = N''' + REPLACE(name, '''', '''''') + ''',
29
        @useself = N''False'',
30
        @locallogin = N''' + REPLACE(@UserName, '''', '''''') + ''',
31
        @rmtuser = N''' + REPLACE(@FakeUser, '''', '''''') + ''',
32
        @rmtpassword = N''' + REPLACE(@FakePassword, '''', '''''') + ''';'
33
    + CHAR(13) + CHAR(10)
34
FROM sys.servers
35
WHERE is_linked = 1;
36

37
-- Debug
38
PRINT @SQL;
39

40
-- 執行
41
EXEC sp_executesql @SQL;

收尾#

LinkServer 沒有權限控管？那就用「讓他永遠連不上」這招，乾脆俐落。實務建議：權限設計一開始就分帳號，不然後面都只能補破網。