Anmelden

Select the product you need help with

Wie Sie unerw�nschten Zugriff auf SQL Server 2005 durch den Administrator Betriebssystem schwieriger machen

Artikel-ID: 932881 - Produkte anzeigen, auf die sich dieser Artikel bezieht

Hinweis: Dies ist ein maschinell �bersetzter Artikel.

Maschinell-�bersetzte und englische Version des Artikels nebenander anzeigen

Alles erweitern | Alles schlie�en

Microsoft SQL Server 2005-Setupprogramm erstellt eine lokale Windows-Gruppe f�r jeden Dienst, die Sie installieren. Die Anwendung SQL Server 2005-Setup f�gt das Dienstkonto f�r jeden Dienst in der jeweiligen Gruppe. F�r eine SQL Server Failover Cluster-Installation werden Windows-Dom�nengruppen in der gleichen Weise verwendet. Diese Gruppen der Dom�ne m�ssen von einem Dom�nenadministrator vor dem Ausf�hren des SQL Server 2005-Setupprogramm erstellt werden. Alle Windows NT-Rechte und Berechtigungen, die f�r einen bestimmten Dienst erforderlich sind werden von System Access Control List (SACL) jedes Windows-Gruppe hinzugef�gt. Der Dom�nenadministrator gew�hrt keinen Berechtigungen direkt f�r das Dienstkonto.

Dar�ber hinaus werden Windows-Gruppen, die Sie f�r SQL Server 2005, SQL Server-Agent und die Gruppe VORDEFINIERT\Administratoren erstellt SQL Server 2005 Benutzernamen gew�hrt, die in der festen Serverrolle SYSADMIN f�r SQL Server 2005 bereitgestellt werden. Diese Konfiguration erm�glicht jedes Konto, das Mitglied dieser Gruppen ist, um mithilfe einer Windows NT authentifizierten Verbindung zu SQL Server 2005 anmelden. Da der Benutzer eine Gruppenmitgliedschaft in der festen Serverrolle SYSADMIN f�r SQL Server besitzt, wird der Benutzer in SQL Server 2005 als SQL Server 2005 Systemadministrator angemeldet. (Der Benutzer ist angemeldet mit das sa-Konto). Anschlie�end hat der Benutzer auf SQL Server 2005-Installation und auf seine Daten uneingeschr�nkten Zugriff. Dar�ber hinaus Konto kennt das Kennwort f�r die Instanz von SQL Server 2005 oder f�r das SQLServerAgent-Dienstkonto auf den Dienst verwenden kann jeder Benutzer zur Anmeldung auf dem Computer. Anschlie�end kann der Benutzer eine Windows NT authentifizierten Verbindung zu SQL Server 2005 als SQL Server-Administrator vornehmen.

Windows-Gruppen, die Sie f�r SQL Server 2005 Reporting Services (SSRS) und f�r die Volltext-Suchdienst erstellt haben, werden ebenfalls SQL Server-Benutzernamen erteilt. Reporting Services und der Volltext-Suchdienst sind in der festen Serverrolle SYSADMIN jedoch nicht bereitgestellt.

Einige SQL Server 2005-Administratoren soll die funktionalen Rollen des Datenbankadministrators und des Betriebssystems Administrators streng getrennt werden. Diese Administratoren m�chten SQL Server 2005 gegen unerw�nschten Zugriff vom Administrator Betriebssystem zu sch�tzen.

Zum Anfang | Ihr Feedback an uns

Weitere Informationen

Wie Sie unerw�nschten Zugriff auf SQL Server 2005 durch den Administrator Betriebssystem schwieriger machen

Um unerw�nschten Zugriff auf SQL Server 2005 durch den Administrator Betriebssystem erschweren, m�ssen Sie die Anmeldung Berechtigungen entfernen, die der Gruppe VORDEFINIERT\Administratoren erteilt wurden. Anschlie�end m�ssen Sie direkt zu den Dienstkonten f�r SQL Server 2005 und SQL Server-Agent gew�hren. Als N�chstes m�ssen Sie die Benutzernamen in der festen Serverrolle SYSADMIN bereitstellen. Schlie�lich m�ssen Sie die Benutzernamen l�schen, die Ihre jeweiligen Windows-Gruppen gew�hrt wurden. Gehen Sie hierzu folgenderma�en vor:

Stellen Sie sicher, dass Sie ein Konto verf�gen, die ein Mitglied der festen Serverrolle SYSADMIN ist. Dieses Konto ist nicht die SQL Server 2005 Anmeldung Berechtigung erteilt, nur durch ein Mitglied der Gruppe VORDEFINIERT\Administratoren.
Entfernen Sie die Anmeldung Berechtigungen, die die Gruppe VORDEFINIERT\Administratoren erteilt wurden. Gehen Sie hierzu folgenderma�en vor:
1. Melden Sie sich bei SQL Server 2005 mit einem Benutzerkonto mit die ALTER ANY LOGIN-Berechtigung.
2. Erweitern Sie Sicherheit , erweitern Sie Benutzernamen , klicken Sie mit der rechten Maustaste auf VORDEFINIERT\Administratoren , und klicken Sie dann auf L�schen .
3. Klicken Sie im Dialogfeld Objekt l�schen auf OK .
Hinweis: Jedes Konto, das nur auf Mitgliedschaft in dieser Gruppe zur Anmeldung auf SQL Server 2005 basiert sind werden nicht mehr auf SQL Server 2005 zugreifen k�nnen, nach dem L�schen der Benutzername, der der Gruppe VORDEFINIERT\Administratoren gew�hrt wurde.

Finden Sie Informationen �ber das Dienstkonto (Microsoft Cluster Service, MSCS) im Abschnitt "Microsoft-Clusterdienst (MSCS) Service-Konto".
Verwenden Sie ein Konto, die die ALTER ANY LOGIN Berechtigung hat, SQL Server 2005-Anmeldungen direkt an die Dienstkonten explizit zu erteilen, die von SQL Server 2005 und SQL Server-Agent verwendet werden. F�hren Sie hierzu die folgende SQL-Anweisung.
CREATE LOGIN [<Domain Name>\<SQL Server Service Account>] FROM WINDOWS WITH DEFAULT_DATABASE=[master] CREATE LOGIN [<Domain Name >\<SQL Server Agent Service Account>] FROM WINDOWS WITH DEFAULT_DATABASE=[master]

Verwenden Sie ein Konto, das ein Mitglied der SYSADMIN ist Serverrolle festen, die Anmeldungen bereitzustellen, die Sie in Schritt 2 in der SYSADMIN hinzugef�gt festen Serverrolle.

EXEC master..sp_addsrvrolemember @loginame = N'<Domain Name>\<SQL Server Service Account> ', @rolename = N'sysadmin'
EXEC master..sp_addsrvrolemember @loginame = N'<Domain Name>\<SQL Server Agent Service Account> ', @rolename = N'sysadmin'

Ein �ber Konto mit die ALTER ANY LOGIN-Berechtigung f�r die Benutzernamen l�schen, die zur Gruppe SQL Server 2005 und der SQL Server-Agent-Windows-Gruppe erteilt wurden.
DROP LOGIN [<Computer Name>\<SQLServer2005SQLServerUser>$<Computer Name>$MSSQLSERVER] DROP LOGIN [<Computer Name>\<SQLServer2005AgentUser>$<Computer Name>$MSSQLSERVER]

Selbst nachdem Sie diese Schritte ausgef�hrt haben, muss das Kennwort f�r das SQL Server 2005-Dienstkonto und f�r das SQLServerAgent-Dienstkonto vom Betriebssystem Administrator weitergegeben werden. Wenn das MSCS-Dienstkonto in der festen Serverrolle SYSADMIN bereitgestellt wurde, muss das MSCS-Dienstkontokennwort auch vom Betriebssystem Administrator weitergegeben werden. Wenn der Betriebssystem-Systemadministrator das Kennwort f�r das Dienstkonto von SQL Server 2005 oder f�r das SQLServerAgent-Dienstkonto kennt, k�nnen Betriebssysteme vom Systemadministrator des Dienstkontos Anmelden an einem Computer. Nachdem die Betriebssystem-Administrator auf dem Computer angemeldet, kann der Betriebssystem-Systemadministrator mit der Instanz von SQL Server 2005 als SQL Server-Administrator verbinden.

Damit den Betriebssystem-Systemadministrator erlernen das Kennwort f�r die Dienstkonten, die von SQL Server 2005 und SQL Server-Agent verwendet werden, muss die SQL Server-Systemadministrator ein neues Kennwort f�r das Dienstkonto festlegen k�nnen. In den meisten F�llen ist der SQL Server 2005-Systemadministrator nicht Administrator Betriebssystem. Daher muss ein spezieller-Dienstprogramm zum Bereitstellen dieser Funktion geschrieben werden. Sie k�nnen z. B. einen vertrauensw�rdigen Dienst erstellen, mit denen der Systemadministrator f�r SQL Server 2005 die Kennw�rter f�r die Dienstkonten �ndern, die von SQL Server 2005 verwendet werden k�nnen. Microsoft bietet diesen Dienst derzeit nicht.

Zum Anfang | Ihr Feedback an uns

Dienstkonto (Microsoft Cluster Service, MSCS)

In einer SQL Server 2005 Failover Cluster-Installation st�tzt sich das MSCS-Dienstkonto auf Mitglieder der Gruppe BUILTIN\Administrators an SQL Server 2005 zum Ausf�hren der Lebenszykluspr�fung anmelden. Wenn Sie die Gruppe VORDEFINIERT\Administratoren aus einem Failovercluster entfernen, m�ssen Sie explizit die MSCS-Dienst Konto Berechtigungen an die SQL Server 2005-Failovercluster anmelden gew�hren. F�hren Sie hierzu die folgende SQL-Anweisung in der Instanz von SQL Server 2005.

CREATE LOGIN [<Domain Name>\<MSCS Service Account>] FROM WINDOWS WITH DEFAULT_DATABASE=[master]

SQL Server 2005 Service Pack 2 neue Diagnosefunktionen f�r SQL Server 2005 Failovercluster hinzugef�gt. Die Diagnose erfassen automatisch den Zustand der SQL Server 2005-Clusterressource, bevor der Cluster einen Failover ausf�hrt. SQL Server 2005 Ressource dynamic Link Bibliothek (DLL) macht Datenerfassung diese Diagnose einfacher, wie folgt:

Die SQL Server 2005-Ressource startet eine Instanz des Dienstprogramms "Sqlcmd.exe" unter dem Sicherheitskontext des MSCS-Dienstkontos. Dann f�hrt die SQL Server 2005-Ressource eine SQL-Skript �ber eine dedizierte Administratorverbindung (DAC), die verschiedene dynamische Verwaltungsansichten (DMV)-Beispiele.
Die SQL Server 2005-Ressource erfasst eine Benutzer-Speicherabbilddatei des SQL Server 2005-Prozesses, bevor der Cluster einen Failover ausf�hrt.

Da eine dedizierte Administratorverbindung zum Sammeln von einigen Diagnose Daten verwendet wird, muss das MSCS-Dienstkonto in der festen Serverrolle SYSADMIN bereitgestellt werden. Wenn die Sicherheitsma�nahmen der Organisation bedeuten, dass das MSCS-Dienstkonto in der festen Serverrolle SYSADMIN bereitgestellt werden kann nicht, kann das MSCS-Dienstkonto ein SQL Server-Benutzernamen, der nicht in der SYSADMIN bereitgestellt wird festen Serverrolle erteilt werden. In diesem Szenario wird die Diagnose, die normalerweise durch das Sqlcmd.exe-Dienstprogramm erfasst werden fehlschlagen, weil das Sqlcmd.exe-Dienstprogramm auf SQL Server 2005 nicht anmelden kann. Die SQL Server 2005-Ressource sollte DLL m�glicherweise sammeln eine Benutzer-Speicherabbilddatei unabh�ngig davon, ob das Dienstkonto der SQL Server 2005-Ressource-DLL, in der SYSADMIN bereitgestellt wird Serverrolle festen.

Wenn Sie m�chten, sich zu SQL Server 2005 mit Anmelden ein Konto, das ein Mitglied der festen Serverrolle SYSADMIN ist. F�hren Sie dann die folgende SQL-Anweisung zum Hinzuf�gen der MSCS-Service-Kontos zu der festen Serverrolle SYSADMIN.

EXEC master.sp_addsrvrolemember @loginame = N'<Domain Name>\<MSCS Service Account> ', @rolename = N'sysadmin'

Wie Sie die Dienstkonten �ndern

Obwohl die vorherigen Schritte f�r ein Betriebssystem Systemadministrator Herstellen einer Verbindung mit SQL Server 2005 erschweren k�nnen, vereinfachen die vorherigen Schritte komplizierter so �ndern Sie die Dienstkonten f�r SQL Server 2005 und f�r den SQL Server-Agent. Gehen Sie folgenderma�en vor um die Dienstkonten f�r SQL Server 2005 und f�r SQL Server-Agent zu �ndern:

F�gen Sie die neue Dienstkonto oder Dienstkonten den Windows-Gruppe oder Gruppen, die Sie f�r SQL Server und SQL Server-Agent erstellt haben.
Verwenden Sie ein Konto mit die ALTER ANY LOGIN Berechtigung zum Erstellen eines SQL Server 2005-Benutzernamens f�r die neue Dienstkonten. F�hren Sie dazu die folgende SQL-Anweisung aus dem Konto mit die Berechtigung ALTER ANY LOGIN.
CREATE LOGIN [<Domain Name>\<New SQL Server Service Account>] FROM WINDOWS WITH DEFAULT_DATABASE=[master] CREATE LOGIN [<Domain Name>\<New SQL Server Agent Service Account>] FROM WINDOWS WITH DEFAULT_DATABASE=[master]
Verwenden Sie ein Konto, die in der festen Serverrolle SYSADMIN zur Ausf�hrung der folgenden SQL-Anweisung bereitgestellt wird.
EXEC master..sp_addsrvrolemember @loginame = N? <Domain Name>\<New SQL Server Service Account> ', @rolename = N'sysadmin' EXEC master..sp_addsrvrolemember @loginame = N? <Domain Name>\<New SQL Server Agent Service Account> ', @rolename = N'sysadmin'
Hinweis: diese Anweisung das Dienstkonto von SQL Server 2005 und der SQL Server-Agent-Dienstkonto der festen Serverrolle SYSADMIN hinzugef�gt.
�ndern Sie das Dienstkonto f�r den entsprechenden Dienst mithilfe von SQL Server-Konfigurations-Manager. Gehen Sie hierzu folgenderma�en vor:
1. Klicken Sie in SQL Server-Konfiguration-Manager auf SQL Server 2005 Services .
2. Klicken Sie mit der rechten Maustaste auf den Dienst, den Sie �ndern m�chten, und klicken Sie dann auf Eigenschaften .
3. Klicken Sie auf die Registerkarte Anmelden , und geben Sie die Benutzerkontoinformationen, die, dass der Dienst verwendet werden soll.
4. Klicken Sie auf OK , wenn Sie die Kontoinformationen eingegeben haben.
Hinweis: Wenn Sie das Dienstkonto �ndern, werden Sie von SQL Server-Konfigurationsmanager aufgefordert, den Dienst neu zu starten.
Verwenden Sie ein Konto, die die ALTER ANY LOGIN Berechtigung hat, die Benutzernamen l�schen, die durch das Dienstkonto von SQL Server 2005 und der SQL Server-Agent-Dienstkonto verwendet wurden. F�hren Sie hierzu die folgende SQL-Anweisung.
DROP LOGIN [<Domain Name>\<Old SQL Server Service Account>] DROP LOGIN [<Domain Name>\<Old SQL Server Agent Service Account>]

Hinweis: Sie m�ssen keine neuen Windows NT-Rechte oder Berechtigungen, um den neuen Dienstkonten gew�hren, da Sie Ihre jeweiligen Windows-Gruppen in Schritt 1 die neue Dienstkonten hinzugef�gt.

Empfehlungen zum �berwachen von Prozessen

Wenn Sie SQL Server gegen unerw�nschte Zugriffe von Betriebssystem-Administratoren zu sch�tzen m�chten, sollten Sie auch die folgenden Prozesse �berwachen:

�berwachen Sie starten und Beenden des Windows-basierten Servers.
Audit startet und beendet SQL Server 2005-Dienste und der SQLServerAgent-Dienste.
�berwachen Sie den Zugriff auf die Verzeichnisse in der SQL, die Server Datenbankdateien, Datendateien, Protokolldateien und Datenbank-Sicherungsdateien gespeichert werden.
�berwachen Sie �nderungen an das Dienstkonto von SQL Server 2005 und SQL Server-Agent-Dienstkonto.
�berwachen Sie Netzwerk-Benutzernamen und Computer Benutzernamen, durch das SQL Server 2005-Dienstkonto, vom SQLServerAgent-Dienstkonto oder durch das MSCS-Dienstkonto.

Das Konto NT AUTHORITY\SYSTEM

Das NT-AUTORIT�T\SYSTEM Konto wird auch eine SQL Server-Anmeldung gew�hrt. Das Konto NT AUTHORITY\SYSTEM ist in der festen Serverrolle SYSADMIN bereitgestellt. L�schen Sie dieses Konto oder entfernen Sie ihn aus der festen Serverrolle SYSADMIN. Das NTAUTHORITY\SYSTEM-Konto wird von Microsoft Update und Microsoft SMS verwendet, um Servicepacks und Hotfixes auf einem SQL Server 2005-Installation anzuwenden. Das NTAUTHORITY\SYSTEM-Konto wird auch von der SQL Writer-Dienst verwendet.

Auch wenn SQL Server 2005 im Einzelbenutzermodus gestartet wird, kann jeder Benutzer mit Mitgliedschaft in der Gruppe VORDEFINIERT\Administratoren auf SQL Server 2005 als SQL Server-Administrator herstellen. Der Benutzer kann unabh�ngig davon, ob die Gruppe VORDEFINIERT\Administratoren eine Serveranmeldung erteilt wurde, die in der festen Serverrolle SYSADMIN bereitgestellt wird eine Verbindung herstellen. Es handelt sich hierbei um ein beabsichtigtes Verhalten. Dieses Verhalten soll f�r Daten Wiederherstellungsszenarien verwendet werden.

Weitere Informationen zu bew�hrten Sicherheitsmethoden f�r SQL Server 2005 finden Sie "Security Considerations f�r ein SQL Server-Installation" in der SQL Server 2005-Onlinedokumentation.

Zum Anfang | Ihr Feedback an uns

Informationsquellen

Weitere Informationen zu Sicherheits�berlegungen f�r SQL Server-Installation der folgenden Microsoft TechNet-Website:

http://technet.microsoft.com/en-us/library/ms144228.aspx

(http://technet.microsoft.com/en-us/library/ms144228.aspx)

Zum Anfang | Ihr Feedback an uns

Eigenschaften

Artikel-ID: 932881 - Ge�ndert am: Freitag, 13. Februar 2009 - Version: 3.1

Die Informationen in diesem Artikel beziehen sich auf:

Microsoft SQL Server 2005 Enterprise Edition
Microsoft SQL Server 2005 Enterprise X64 Edition
Microsoft SQL Server 2005 Enterprise Edition for Itanium Based Systems
Microsoft SQL Server 2005 Developer Edition
Microsoft SQL Server 2005 Standard Edition
Microsoft SQL Server 2005 Standard X64 Edition

kbmt kbpubtypekc kbcode kbinfo kbhowto KB932881 KbMtde

Maschinell �bersetzter Artikel

Wichtig: Dieser Artikel wurde maschinell und nicht von einem Menschen �bersetzt. Die Microsoft Knowledge Base ist sehr umfangreich und ihre Inhalte werden st�ndig erg�nzt beziehungsweise �berarbeitet. Um Ihnen dennoch alle Inhalte auf Deutsch anbieten zu k�nnen, werden viele Artikel nicht von Menschen, sondern von �bersetzungsprogrammen �bersetzt, die kontinuierlich optimiert werden. Doch noch sind maschinell �bersetzte Texte in der Regel nicht perfekt, insbesondere hinsichtlich Grammatik und des Einsatzes von Fremdw�rtern sowie Fachbegriffen. Microsoft �bernimmt keine Gew�hr f�r die sprachliche Qualit�t oder die technische Richtigkeit der �bersetzungen und ist nicht f�r Probleme haftbar, die direkt oder indirekt durch �bersetzungsfehler oder die Verwendung der �bersetzten Inhalte durch Kunden entstehen k�nnten.

Den englischen Originalartikel k�nnen Sie �ber folgenden Link abrufen: 932881

(http://support.microsoft.com/kb/932881/en-us/ )

Microsoft stellt Ihnen die in der Knowledge Base angebotenen Artikel und Informationen als Service-Leistung zur Verf�gung. Microsoft �bernimmt keinerlei Gew�hrleistung daf�r, dass die angebotenen Artikel und Informationen auch in Ihrer Einsatzumgebung die erw�nschten Ergebnisse erzielen. Die Entscheidung dar�ber, ob und in welcher Form Sie die angebotenen Artikel und Informationen nutzen, liegt daher allein bei Ihnen. Mit Ausnahme der gesetzlichen Haftung f�r Vorsatz ist jede Haftung von Microsoft im Zusammenhang mit Ihrer Nutzung dieser Artikel oder Informationen ausgeschlossen.

Zum Anfang | Ihr Feedback an uns