Wie beschränkt man einen Benutzer auf den Zugriff auf Objekte von nur einem Schema in SQL Server 2008?

Eine Kombination aus DENYs und einem GRANT. Zum Beispiel:

DENY SELECT ON schema::[dbo] TO [user_name]
DENY SELECT ON schema::[other_schema] TO [user_name]
GRANT SELECT ON schema::[safe_schema] TO [user_name]