Этот вопрос я уже задавал полгода назад. С тех пор ответа на него найти не смог.
Может сейчас кто-нибудь скажет интересное.
Вопрос звучит так: может ли пользователь, владеющий application role (т.е. которая в данный момент у него активна) выполнить процедуру sp_addlogin?
--
В тексте процедуры sp_addlogin есть проверочка на принадлежность к серверной роли securityadmin:
...
IF (not is_srvrolemember('securityadmin') = 1)
begin
dbcc auditevent (104, 1, 0, @loginame, NULL, NULL, @sid)
raiserror(15247,-1,-1)
return (1)
end
...
У пользователя по жизни есть права securityadmin, но как только он сделает sp_setapprole, у него эти права исчезают и эта проверка не выполняется. Никакими ухищрениями ничего добиться не удалось..
--
Сейчас приходится поднимать дополнительный коннект, и в нем выполнять эту процедуру. Но это несколько кривовато.

ничего вышеперичесленное не помогает

Жаль