Я ищу документ Microsoft, статью или технический документ о том, какие разрешения уровня ОС необходимы для SQL DBA (а не для учетной записи службы SQL). Существует общее предположение, что администратору баз данных SQL требуются привилегии локального администратора, но AFAIK это необходимо только во время установки SQL.
Любые указатели на такие документы будут оценены.
Довольно часто администратору базы данных предоставляются права на сервер SQL по следующим причинам:
Тем не менее, это действительно зависит от организации и типа ваших администраторов баз данных. Кроме того, вы можете предоставить администратору базы данных доступ к экземпляру SQL без предоставления административного доступа к ОС. Это предпочтительнее, если вы не доверяете / не можете доверять администратору базы данных для обслуживания ОС, и вам придется взять на себя ответственность за перезагрузку / обслуживание.
Однако вы задали сложный вопрос, поскольку у MS нет четкой позиции по этому вопросу. Вы можете найти несколько технических дискуссий по этому вопросу, но я не вижу, чтобы они выпускали официальный документ. Самое близкое, что я могу вам предложить, - это документ с рекомендациями по безопасности: http://download.microsoft.com/download/8/5/e/85eea4fa-b3bb-4426-97d0-7f7151b2011c/SQL2005SecBestPract.doc
AFAIK предположение должно быть наоборот. Вы должны доказать, что вам нужен доступ администратора. Ясно, что вам это понадобится во время установки (хотя я буду делать установку с моей учетной записью в соответствии с их спецификациями). Администратору баз данных требуется доступ администратора к серверу SQL. Студию управления SQL-сервером следует запускать с их рабочей станции, используя их учетные данные Windows, и предоставлять им весь необходимый доступ.
Изменить: я взял этот вариант в своем ответе не потому, что есть абсолютный ответ, а потому, что OP заявляет: «Существует общее предположение, что SQL DBA нуждается в привилегиях локального администратора»
С точки зрения администратора (будь то администратор SQL ИЛИ системный администратор) я не считаю, что это стандартная практика или лучшая практика. Конечно, все документы Microsoft будут поддерживать наименьшие привилегии
Вот статья MSDN со множеством ссылок на другие статьи, касающиеся безопасности SQL Server.
http://msdn.microsoft.com/en-us/library/bb283235(SQL.90).aspx
Вот статья, в которой говорится об ограничении интерактивного входа в службы SQL Analysis. http://msdn.microsoft.com/en-us/library/ms175588(SQL.90).aspx
В зависимости от того, что входит в должностные обязанности администратора базы данных и что вы подразумеваете под «SQL Server», администратору базы данных могут потребоваться права администратора. SQL Server может означать ядро СУБД SQL, службы аналитики, службы интеграции или службы отчетов.
А еще есть резервные копии и восстановление, и где находятся эти файлы. Нужно ли администратору базы данных создавать новые базы данных и может ли он / она создавать файлы данных и файлы журналов для тех, у кого нет прав администратора. А как насчет перезапуска служб?
Нет, администратор базы данных не обязательно должен быть администратором машины, но часто ожидается, что администратор базы данных будет выполнять множество задач, требующих этих разрешений.
Я не думаю, что М.С. дал бы определенную позицию по этому поводу. Я бы сказал, что если у кого-то есть локальный администратор в ящике, то они берут на себя определенный уровень ответственности за этот ящик: это время безотказной работы, надежность, производительность, безопасность и т. Д. На уровне ОС. Если человек в состоянии взять на себя эту ответственность, и если принятие на себя этой ответственности входит в круг его обязанностей, тогда все в порядке; в противном случае ответ - «нет».
Существует общее СОГЛАШЕНИЕ о том, что администраторам баз данных SQL необходимы права локального администратора.
Если вы свяжете руки человеку, ответственному за благополучие вашей базы данных, ожидайте, что он умрет, и никто не будет винить, кроме вас самих.
Чтобы делать все, что вам нужно, когда вы SQL DBA, вам нужны права администратора. Не скупитесь - или уволите того, что у вас есть, и наймите того, кому можете доверять. ТОГДА не скупитесь.
@Jim B В большинстве сред, в которых я работал, сетевые инженеры изо всех сил стараются НЕ разрешить моей рабочей станции подключаться к SQL Server с помощью SSMS. При этом в организациях, где я работал за свои права в качестве администратора баз данных, почти всегда был локальный администратор на сервере базы данных, так что у меня была возможность подключаться к серверу по протоколу RDP без необходимости запускать сервер в режиме приложения служб терминалов.
Также полезна возможность перезапуска служб, т.е. служб, связанных с SQL Server.
Локальные администраторы имеют полные привилегии системного администратора для SQLServer (в однопользовательском режиме), поэтому невозможно разделить возможности SQL SYSADMIN от того, кому вы доверяете полномочия локального администрирования.
Все, что вы МОЖЕТЕ сделать, это решить;
Вы хотите, чтобы ваш SQL Server полностью контролировался системным администратором или администратором баз данных SQL?
Если вы наняли настоящего администратора баз данных (а не разработчика SQL), его обучение и сертификация включали системное администрирование и безопасность, а не только администрирование баз данных.
Для настройки и установки сервера sql с сегодняшними учетными записями MSA и gMSA администратор баз данных должен иметь достаточный доступ к AD ...
Настройка кластера Windows для группы доступности требует назначения разрешений (чтение всех свойств и создание объектов компьютеров) в AD объекту кластера, чтобы он мог создать объект компьютера прослушивателя для группы доступности сервера sql.
Настройка и поддержание безопасности вашего sql-сервера всегда должны включать AD, если вы не хотите, чтобы вход в систему SQL, который, ради всего святого, должен исчезнуть ... Например, службы основных данных - это все AD ...
Для настройки SQL-сервера для правильной связи и устранения проблем с подключением с помощью Kerberos потребуются права setSPN.
Шифрование SQL Server, свидетели общего файлового ресурса кластера, настройка заданий для экспорта / импорта файлов или резервного копирования / восстановления баз данных потребуют прав на изменение разрешений папок в сети.
Для устранения неполадок и управления производительностью потребуется доступ к vmware, доступ localadmin на поле, чтобы просматривать такие вещи, как длина очереди диска и так далее.
Для планирования емкости и архитектуры базы данных потребуется доступ к хранилищу для оценки показателей производительности.
Администратор баз данных должен будет координировать установку исправлений на уровне ОС, вы не можете просто перезагрузить первичный сервер в группе доступности.
Для устранения неполадок с подключением или манипулирования cnames во время обновлений потребуются права DNS для проверки cnames, установки времени обновления, создания и изменения cnames для указания на новые производственные серверы по мере необходимости, чтобы избежать простоев.
На самом деле все сводится к тому, наняли ли вы администратора баз данных или разработчика SQL, и чего вы от них ожидаете. Если вы хотите, чтобы администратор базы данных мог справиться со всем, на что влияет база данных, установить кластер серверов высокой доступности и обслуживать / устранять неполадки на них, тогда администратору базы данных потребуются права администратора домена. Если вам нужен SQL-разработчик, который может заставить хранимую процедуру работать быстро, а затем каждые 5 минут вводить билеты для ваших системных администраторов для установки / настройки / обслуживания серверов sql, тогда, я думаю, им не нужно ничего, кроме sys_admin в sql уровень сервера.