Como alterar a conta do serviço SQL Server ou SQL Server Agent sem usar o SQL Enterprise Manager no SQL Server 2000 ou SQL Server Configuration Manager no SQL Server 2005

Quando instala o Microsoft SQL Server para executar sob uma conta do Microsoft Windows NT pela primeira vez, o SQL Server define para que o Windows NT conta vários direitos de usuário do Windows e permissões sobre determinados arquivos, pastas e chaves do Registro. Se posteriormente você alterar a conta de inicialização para SQL Server (o serviço MSSQLServer) e o serviço SQL Server Agent usando SQL Server Enterprise Manager (SEM) ou SQL Server Configuration Manager (SSCM), o SEM atribui automaticamente todas as permissões necessárias e direitos de usuário do Windows para a nova conta de inicialização para você para que não é necessário fazer mais nada. Recomendamos que você use isso é a abordagem para alterar a conta de serviço.

Observação Você deve ter direitos de administrador no servidor remoto para essa funcionalidade esteja disponível no SQL Server Enterprise Manager.

No entanto, se você usar o suplemento serviços no painel de controle ou em Ferramentas administrativas para alterar as informações de conta de inicialização para o MSSQLServer serviço ou o serviço SQL Server Agent, há permissões adicionais e direitos de usuário que devem ser definidas.

Este artigo descreve as etapas que você deve seguir quando você altera as informações de conta de inicialização usando os Serviços de suplemento.

Antes de continuar, visite os seguintes sites e ler os artigos na Base de dados de Conhecimento da Microsoft: Boletim de segurança da Microsoft MS02-038
http://www.microsoft.com/technet/security/bulletin/MS02-038.mspx

(http://www.microsoft.com/technet/security/bulletin/MS02-038.mspx)

Boletim de segurança da Microsoft MS02-034
http://www.microsoft.com/technet/security/bulletin/MS02-034.mspx

(http://www.microsoft.com/technet/security/bulletin/MS02-034.mspx)

CORRECÇÃO 322853

(http://support.microsoft.com/kb/322853/ )

: SQL Server concede permissões desnecessárias ou uma função de criptografia contém buffers não-verificados

Observação Conformidade com o MS02-034 e MS02-038 remove vulnerabilidades de elevação de credencial administrativa existente e ajuda a impedir que as futuras.

Alterar o SQL Server ou conta de serviço de agente do SQL Server usando o suplemento serviços em vez de usar SQL Enterprise Manager ou SQL Server Management Studio

Se você alterar a conta de serviço do SQL Server ou a conta de serviço de agente do SQL Server usando o suplemento serviços em vez de usar SEM ou SSCM, há determinados de registro e arquivos NTFS permissões do sistema e direitos de usuário Microsoft Windows também devem ser definidos. Isso é especialmente verdadeiro para SQL Server Desktop Engine (também conhecido como MSDE 2000) ou instalações do SQL Server 2005 Express Edition porque você não tem SEM ou SSCM para usar para executar as alterações de permissões. Há três áreas específicas que você deve se concentrar em:

• Chaves do Registro.
• As permissões do sistema de arquivos NTFS no disco.
• Direitos de usuário do Windows.

Cada um deles será discutido separadamente parágrafos a seguir.

Chaves do registro

Defina Controle total para a conta de inicialização para o serviço MSSQLServer e o serviço SQLServerAgent (uma conta local do Microsoft Windows NT, ou uma conta de domínio do Windows NT) nas chaves do registro que estão na lista a seguir. Sob as seguintes seções, chaves de thes nessa lista correspondem às chaves onde as listas de controle de acesso (ACLs) são definidas. Para clusters, siga esta etapa em cada nó no cluster.

A permissão Controle total se aplica aos seguintes chaves e todas as chaves filho:

• Para uma instância nomeada:
  HKEY_LOCAL_MACHINE\Software\Clients\Mail
  
  HKEY_LOCAL_MACHINE\Software\Microsoft\Microsoft SQL Server\80
  
  HKEY_LOCAL_MACHINE\Software\Microsoft\Microsoft SQL servidor\ <Instancename >
• Para uma instância padrão:
  HKEY_LOCAL_MACHINE\Software\Clients\Mail
  
  HKEY_LOCAL_MACHINE\Software\Microsoft\Microsoft SQL Server\80
  
  HKEY_LOCAL_MACHINE\Software\Microsoft\MSSQLServer\Cluster
  
  HKEY_LOCAL_MACHINE\Software\Microsoft\MSSQLServer\MSSQLServer
  
  HKEY_LOCAL_MACHINE\Software\Microsoft\MSSQLServer\Providers
  
  HKEY_LOCAL_MACHINE\Software\Microsoft\MSSQLServer\Replication
  
  HKEY_LOCAL_MACHINE\Software\Microsoft\MSSQLServer\Setup
  
  HKEY_LOCAL_MACHINE\Software\Microsoft\MSSQLServer\SQLServerAgent
  
  HKEY_LOCAL_MACHINE\Software\Microsoft\MSSQLServer\Tracking
  

Se você estiver usando o SQL Server 2005

Para uma instância nomeada ou uma instância padrão, aplica-se a permissão Controle total às seguintes chaves e todas as chaves filho: Observação Nessa subchave do Registro, <MSSQL.x> é um espaço reservado para o valor correspondente para o sistema. Você pode determinar o valor correspondente para o sistema do valor da entrada do registro é nomeado como o nome da instância na seguinte subchave do Registro. Para uma instância padrão, o nome de instância é MSSQLSERVER:

As permissões do sistema de arquivos NTFS no disco

Definir o Controle total para a conta de inicialização para o serviço MSSQLServer e o serviço SQLServerAgent (em um local Windows NT conta, ou de domínio Windows NT) dessas pastas NTFS. Para clusters, você deve também modificar os caminhos correspondentes em cada nó do computador.

Aqui está um exemplo para uma instância nomeada:Aqui está um exemplo para uma instância padrão:Subpastas e arquivos também devem ter as mesmas permissões.

Se você estiver usando o SQL Server 2005

a pasta correspondente é o seguinte:
Drive: \Arquivos de Programas\Microsoft SQL Server\<MSSQL.1>\MSSQL

Direitos de usuário do Windows

Normalmente, a instalação padrão do sistema operacional fornece o Grupo de administradores local todos os direitos que o SQL Server necessita para funcionar corretamente. Portanto, contas locais do Windows NT ou contas de domínio que foram adicionadas ao Grupo Administradores Local , com a intenção de sendo a inicialização de conta para o SQL Server de serviço, ter todos os direitos de usuário que necessitam. No entanto, não recomendamos que você execute o SQL Server em tais direitos de usuário alta.

Para o SQL Server 2005, se você não quiser o SQL Server ou a conta de inicialização do SQL Server Agent ser um membro do grupo de administradores local, consulte a seção "Revisão Windows NT direitos e privilégios permitido para SQL Server contas de serviço" no tópico "Configuração de contas de serviço do Windows" nos manuais online do SQL Server 2005.

Para o SQL Server 2000, se você não quiser que o SQL Server ou a conta de inicialização do SQL Server Agent ser um membro do Grupo Administradores Local , em seguida, a conta de inicialização para o serviço MSSQLServer e o serviço SQLServerAgent (uma conta local do Windows NT, ou uma conta de domínio do Windows NT) deve ter esses direitos de usuário:

• Atuar como parte do Brazilian OS = SeTcbPrivilege
• Ignorar a verificação traverse = SeChangeNotify
• Bloquear páginas na memória = SeLockMemory
• Faça logon como um trabalho em lotes = SeBatchLogonRight
• Faça logon como um serviço = SeServiceLogonRight
• Substituir um token de nível de processo = SeAssignPrimaryTokenPrivilege

Observação Para conveniência de programação, nomes de direitos de usuário do Microsoft Windows NT estão localizados ao lado para o nome completo do direito de usuário.

Observação Inicialização de arquivo instantânea somente estará disponível se a conta de serviço do SQL Server (MSSQLSERVER) recebeu o direito de SE_MANAGE_VOLUME_NAME. Os membros do grupo administrador do Windows têm esse direito. Esses membros podem conceder esse direito a outros usuários, adicionando os usuários à diretiva de segurança executar tarefas de manutenção de volume.

Diversas etapas

Observação Se o padrão, as permissões de sistema de arquivo NTFS no computador foram alteradas, certifique-se a conta de inicialização do SQL Server tem permissão Listar pasta ativado unidade raiz onde o SQL Server dados e banco de dados os arquivos de log estão localizados.

Para obter mais informações, clique no número abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:
Se a conta que o serviço MSSQLServer será para começar é uma das seguintes duas contas, você deve adicionar a conta de inicialização para o MSSQLServer e os serviços do SQLServerAgent ou ambos, para o SQL Server sysadmin ) função e conceder ao usuário [Domain\NTaccount] um logon para o SQL Server.

• Não um membro do Grupo de administradores local do computador de .
• O logon BUILTIN\Administrators do SQL Server foi removido.

Por exemplo: E, adicionar essa conta à função de sysadmin :
Se você estiver usando o SQL Server junto com qualquer pesquisa de texto completo ou com cluster, alterar as contas de inicialização do SQL Server usando outro diferente SEM pode causar vários problemas.

Se você tiver problemas com pesquisa de texto completo ou cluster, consulte a seção "Referências" deste artigo para obter mais informações.

Se você estiver usando autenticação SSPI (Kerberos Security Support Provider Interface) em um ambiente SQL Server 2000 e Microsoft Windows 2000, você deve soltar seu antigo principal nome de serviço (SPN) e, em seguida, crie um novo com as novas informações de conta. Consulte o tópico "Delegação de conta de segurança" nos manuais online do SQL Server 2000 para obter mais informações sobre como usar SETSPN para fazer isso.

Para obter mais informações, clique nos números abaixo para ler os artigos na Base de dados de Conhecimento da Microsoft: Para obter mais informações, visite o seguinte site: