Techniquement, oui. Que ce soit vrai ou faux... pas de commentaire.
Quoi qu'il en soit, la sécurité de la base de données est divisée en 2 fonctions :
- db_accessadmin pour gérer les utilisateurs (ou l'autorisation "ALTER ANY USER" comme vous l'avez mentionné)
- db_securityadmin vous permet de gérer les appartenances aux rôles et les autorisations d'objet (ou "autorisation ALTER ANY ROLE)
Ceci est mentionné pour sp_addrolemember .
Vous modifiez en fait le rôle, pas l'utilisateur, en exécutant sp_addrolemember donc "ALTER ANY ROLE" est suffisant sans avoir les droits db_owner complets.
