Назад | Перейти на главную страницу

Запуск службы SQL Server под учетной записью администратора домена

Наша текущая служба SQL Server работает под учетной записью Local System. Для резервного копирования на сетевой / подключенный диск я думаю запустить его под учетной записью администратора домена. Может ли такое изменение учетной записи что-нибудь сломать с SQL Server?

Это ничего не сломает, но это также совершенно не нужно и действительно не рекомендуется Microsoft. Администратор домена дает вашей службе SQL слишком много прав, которые ей просто не нужны.

Обычно это делается следующим образом: - Создайте отдельную учетную запись пользователя домена для каждой службы SQL, которую нужно использовать. Это должна быть обычная учетная запись пользователя, не добавляйте ее к администраторам домена или какой-либо специальной группе. - используйте диспетчер конфигурации SQL Server для изменения учетных записей служб, используемых каждой службой.

Когда вы это сделаете, вы можете предоставить права конкретной учетной записи пользователя домена SQL на общий ресурс UNC, куда SQL должен записывать файлы. Я немного заржавел с SQL, поэтому я не уверен, какая именно служба задействована, я уверен, что кто-то еще поможет с этим ... :-)

Я бы рекомендовал вам прочитать Microsoft Рекомендации по безопасности SQL Server 2005 документ.

В мире SQL 2000 вам приходилось использовать учетную запись домена, если вы хотели, чтобы ваши задания SQL-агента могли отправлять электронную почту, поскольку это было необходимо для MAPI (SQL Mail).

Для Database Mail (SMTP) в SQL 2005 и последующих версиях учетная запись домена не требуется.

Это ничего не сломает с SQL Server (как это может? Больше разрешения). Но это довольно глупо с точки зрения безопасности. Вы будете эффективно это делать Больше Вероятно, что ваша учетная запись администратора домена будет взломана. Вместо того, чтобы подвергаться воздействию только эксплойтов Active Directory, теперь на него также влияют эксплойты SQL Server.

Правильнее всего будет создать автономную учетную запись пользователя в AD для запуска службы от имени. Затем дайте ему только те разрешения, которые необходимы для правильной работы.