Τρόπος ρύθμισης των παραμέτρων ασφαλείας για SQL Server καταγραφής αποστολής

Σύνοψη

Αυτό το άρθρο παρέχει πληροφορίες σχετικά με τον τρόπο ρύθμισης των παραμέτρων ασφαλείας για αποστολή αρχείων καταγραφής. Υπάρχουν διάφορα ζητήματα που πρέπει να λάβετε υπόψη όταν ρυθμίζετε τις παραμέτρους ασφαλείας για SQL Server καταγραφής αποστολής που κυμαίνονται από το λογαριασμό έναρξης για τον SQL Server για να κάνετε κοινή χρήση δικαιώματα για το κοινόχρηστο στοιχείο δικτύου όπου βρίσκονται τα αντίγραφα ασφαλείας του αρχείου καταγραφής συναλλαγών. Τα ζητήματα αυτά περιγράφονται σε αυτό το άρθρο.

Λογαριασμό έναρξης για SQL Server και υπηρεσίες SQL Server Agent σε αρχείο καταγραφής αποστολής διακομιστές

Λογαριασμός τομέα

Εάν έχετε τοποθετήσει SQL Server σε έναν τομέα, η Microsoft συνιστά να χρησιμοποιείτε λογαριασμό τομέα για την εκκίνηση υπηρεσιών SQL Server. Εάν πρόκειται να ρυθμίσετε τις παραμέτρους του SQL Server ώστε να εκτελείται ως έναν εικονικό διακομιστή στην ενότητα Windows Clustering, πρέπει να χρησιμοποιήσετε ένα λογαριασμό τομέα. Ένας λογαριασμός τομέα παρέχει το πλεονέκτημα της ελάχιστη συντήρηση σε περίπτωση αλλαγών κωδικού πρόσβασης. Ωστόσο, ενδέχεται να μην μπορέσετε να ξεκινήσετε SQL σε ένα λογαριασμό τομέα, εάν ο SQL Server βρίσκεται σε ένα διακομιστή που βρίσκεται σε μια ομάδα εργασίας.

Λογαριασμός τοπικού δικτύου

Μπορείτε να χρησιμοποιήσετε το SQL Server να ξεκινούν με ένα λογαριασμό δικτύου δημιουργείται τοπικά. Στην περίπτωση όπου δεν υπάρχει πρόσβαση στο δίκτυο απαιτείται από μια διαδικασία SQL Server, η οποία συμβαίνει εάν έχετε ρυθμίσει τις παραμέτρους του SQL Server για να χρησιμοποιήσετε την αποστολή αρχείων καταγραφής, μπορείτε να χρησιμοποιήσετε ασφάλεια διαβίβασης του δικτύου. Με ασφάλεια διαβίβασης, όλους τους υπολογιστές που θα είναι δυνατή η πρόσβαση από τον SQL Server πρέπει να έχουν τον ίδιο λογαριασμό δικτύου με τον ίδιο κωδικό πρόσβασης και τα κατάλληλα δικαιώματα, έχει ρυθμιστεί τοπικά. Επιπλέον, όταν η διαδικασία SQL Server ζητά πόρους από τον δεύτερο υπολογιστή, παραδοσιακό δίκτυο ασφαλείας παρακάμπτεται εάν υπάρχει στον ίδιο λογαριασμό (κάτω από τις οποίες ξεκινά η αίτηση της υπηρεσίας SQL Server) με τον ίδιο κωδικό πρόσβασης. Κατά το χρονικό διάστημα το λογαριασμό στον δεύτερο υπολογιστή έχει ρυθμιστεί με επαρκή δικαιώματα για την εκτέλεση της εργασίας που απαιτείται από την κλήση του SQL Server, η εργασία θα ολοκληρωθεί με επιτυχία.

Λογαριασμός τοπικού συστήματος

Μπορείτε επίσης να ρυθμίσετε SQL Server για να ξεκινήσετε από το λογαριασμό του τοπικού συστήματος. Τροποποίηση του κωδικού πρόσβασης για το λογαριασμό LocalSystem μπορεί να έχει ως αποτέλεσμα την αποτυχία ορισμένων υπηρεσιών που έχουν ζωτική σημασία για τη σταθερότητα του συστήματος. Αυτός ο λογαριασμός είναι τοπικό υπολογιστή όπου βρίσκεται, που σημαίνει ότι το περιβάλλον ασφαλείας που χρησιμοποιεί υπηρεσίες SQL Server είναι τοπικό. Όπως αναφέρθηκε στην ενότητα λογαριασμός τοπικού δικτύου, δεν μπορείτε να χρησιμοποιήσετε ασφάλεια του δικτύου διαβίβασης κατά την εκκίνηση του SQL Server του λογαριασμού LocalSystem επειδή οι κωδικοί πρόσβασης για το λογαριασμό LocalSystem σε διαφορετικούς υπολογιστές είναι διαφορετικές. Η εκκίνηση του SQL Server σε αυτόν το λογαριασμό όταν απαιτείται πρόσβαση σε πόρους δικτύου κατά πάσα πιθανότητα θα προκαλέσει η επιτυχής ολοκλήρωση των εργασιών.

Για πληροφορίες σχετικά με τα ελάχιστα απαραίτητα δικαιώματα για ένα λογαριασμό δικτύου να ξεκινήσετε και να εκτελέσετε υπηρεσίες SQL Server και παράγοντα διακομιστή SQL με επιτυχία, προβάλετε το παρακάτω θέμα στα ηλεκτρονικά βιβλία του SQL Server:

Κατανόηση του μοντέλου ασφαλείας του διακομιστή SQL

Για να κατανοήσετε πλήρως τις συνέπειες στην ασφάλεια, είναι σημαντικό να κατανοήσετε το μοντέλο ασφαλείας που υλοποιείται Microsoft στον SQL Server 2000. Όταν δημιουργείτε μια σύνδεση, προστίθεται στον πίνακα syslogins στην ΚΎΡΙΑ βάση δεδομένων. Για κάθε βάση δεδομένων που παρέχει πρόσβαση σε αυτή τη σύνδεση προστέθηκε πρόσφατα, προστίθεται στον πίνακα sysusers στη βάση δεδομένων. Η αντιστοίχιση μεταξύ του πίνακα syslogins και sysusers είναι στο πεδίο SID.

Εάν μετακινηθεί μια βάση δεδομένων χρήστη σε διαφορετικό διακομιστή, οι τιμές SID μεταφέρονται από το προηγούμενο διακομιστή. Είτε ασφαλείας βάσης δεδομένων διακόπτεται όταν δεν δημιουργούνται συνδέσεις στο δεύτερο διακομιστή με τις ίδιες τιμές SID ή εάν η εγγύηση δεν έχει ρυθμιστεί σωστά λόγω αμφίδρομα τιμές SID.

Για πρόσθετες πληροφορίες, κάντε κλικ στον αριθμό του άρθρου παρακάτω, για να προβάλετε το άρθρο της Γνωσιακής Βάσης της Microsoft:

240872 INF: Τρόπος για να επιλύσετε το δικαίωμα ζητήματα κατά τη μετακίνηση μιας βάσης δεδομένων

Ρύθμιση παραμέτρων αποστολής αρχείου καταγραφής

Απαιτήσεις ασφαλείας

Κοινή χρήση αντιγράφων ασφαλείας

Ρυθμίστε το κοινόχρηστο στοιχείο δικτύου που έχει ρυθμιστεί για να χωρέσει τα αντίγραφα ασφαλείας του αρχείου καταγραφής συναλλαγών να έχουν δικαιώματα ανάγνωσης/αλλαγής του λογαριασμού κάτω από ποιο διακομιστή SQL εκκίνηση υπηρεσιών (σε δευτερεύοντα διακομιστή που έχει ρυθμιστεί για αποστολή αρχείων καταγραφής).


Το κοινόχρηστο στοιχείο δικτύου που έχει ρυθμιστεί να κρατάτε αντίγραφα ασφαλείας αρχείου καταγραφής συναλλαγών, πρέπει να ρυθμιστεί για να έχετε δικαιώματα ανάγνωσης/αλλαγής του λογαριασμού κάτω από ποιο διακομιστή SQL εκκίνηση υπηρεσιών στο δευτερεύοντα διακομιστή έχει ρυθμιστεί για αποστολή αρχείων καταγραφής. Αυτό το κοινόχρηστο στοιχείο είναι προσπελάσιμη από την εργασία αντιγραφής του δευτερεύοντα διακομιστή για να αντιγράψετε τα αντίγραφα ασφαλείας του αρχείου καταγραφής συναλλαγών στον τοπικό φάκελο στον αντίστοιχο δευτερεύοντα διακομιστή. Στη συνέχεια η εργασία φόρτωσης φορτώνει αυτά τα αντίγραφα ασφαλείας από τον τοπικό φάκελο.


Μεταξύ τομέα καταγραφής αποστολής

Εάν οι υπολογιστές που εκτελούν SQL Server τοποθετούνται σε ένα περιβάλλον πολλών τομέων, η Microsoft συνιστά να ορίσετε αμφίδρομες σχέσεις αξιοπιστίας ανάμεσα σε όλους τους τομείς που έχουν σχέση με την αποστολή αρχείων καταγραφής. Ωστόσο, εάν δεν μπορείτε να δημιουργήσετε σχέσεις αξιοπιστίας μεταξύ τομέων, μπορείτε να χρησιμοποιήσετε το δίκτυο διαβίβασης ασφαλείας για αποστολή αρχείων καταγραφής. Ανατρέξτε στην ενότητα αυτού του άρθρου που ασχολείται με την επιλογή εκκίνησης του τοπικού συστήματος δικτύου λογαριασμός για υπηρεσίες που σχετίζονται με το SQL Server.


Επιλογή της λειτουργίας ελέγχου ταυτότητας για να συνδεθείτε με το διακομιστή εποπτείας

Μπορείτε να επιλέξετε έλεγχο ταυτότητας των Windows ή τον έλεγχο ταυτότητας SQL (από τους πρωτεύοντες και δευτερεύοντες διακομιστές) για να συνδεθείτε με το διακομιστή εποπτείας και την ενημέρωση των πινάκων παρακολούθησης. Μπορείτε να επιλέξετε αυτό είτε κατά τη ρύθμιση ασφαλείας για αποστολή αρχείων καταγραφής ή αφού έχετε ορίσει αποστολής αρχείου καταγραφής και να είναι λειτουργική. Από προεπιλογή, ο SQL Server χρησιμοποιεί έλεγχο ταυτότητας των Windows; Ωστόσο, εάν επιλέξετε τον έλεγχο ταυτότητας SQL, δημιουργείται μια νέα σύνδεση SQL log_shipping_monitor_probe στην κύρια, δευτερεύουσα, και δεν υπάρχει διακομιστές οθόνη εάν μία. Εάν επιλέξετε τον έλεγχο ταυτότητας SQL για το σκοπό αυτό, ρυθμίσετε τις παραμέτρους του SQL Server για να χρησιμοποιήσετε την επιλογή ελέγχου ταυτότητας SQL και Windows .


Ρύθμιση παραμέτρων ασφάλειας σε δευτερεύοντα διακομιστή αναμονής βάσεις δεδομένων

Εάν ρυθμίσετε τη δευτερεύουσα βάση δεδομένων σε κατάσταση αναμονής, μπορείτε να αποκτήσετε πρόσβαση σε αυτήν τη βάση δεδομένων σε κατάσταση μόνο για ανάγνωση. Επαναφέροντας το δευτερεύον βάσης δεδομένων σε αυτήν τη λειτουργία, αυτό μπορεί να παρέχει ένα μέσο με το οποίο θέλετε να εκτελέσετε αναφορές χωρίς σύνδεση, με τον τρόπο αυτό μείωση φόρτου σε ορισμένες από τις εργασίες από το σύστημα παραγωγής. Ωστόσο, για την κατάσταση αναμονής βάση δεδομένων για να υποστηρίξει τη λειτουργία μόνο για ανάγνωση, ίσως χρειαστεί να εφαρμόσετε τις ίδιες ρυθμίσεις ασφαλείας σε δευτερεύοντα διακομιστή. Επειδή η βάση δεδομένων είναι σε κατάσταση αναμονής, δεν μπορείτε να κάνετε ακόμα και τις τροποποιήσεις για το σκοπό της ρύθμισης παραμέτρων ασφαλείας. Στην περίπτωση αυτή, πρέπει να δημιουργήσετε όλες τις συνδέσεις SQL Server με τις ίδιες τιμές SID στο δευτερεύοντα διακομιστή. Συνδέσεις Windows διατηρούν αυτόματα τα ίδια SID, επειδή το GUID των Windows είναι καθολικά μοναδικό, ακόμα και όταν χρησιμοποιείτε πολλούς τομείς.


Για πρόσθετες πληροφορίες σχετικά με τον τρόπο για να δημιουργήσετε συνδέσεις SQL με το ίδιο αναγνωριστικό ΑΣΦΑΛΕΊΑΣ σε διαφορετικούς διακομιστές, κάντε κλικ στον αριθμό του άρθρου παρακάτω, για να προβάλετε το άρθρο της Γνωσιακής Βάσης της Microsoft:
303722 πώς να πρόσβαση στα στοιχεία σύνδεσης SQL σε μια κατάσταση αναμονής βάσης δεδομένων όταν "guest" χρήστη είναι απενεργοποιημένη

Ρύθμιση παραμέτρων ασφαλείας κατά την εκτέλεση αλλαγή ρόλου

Η διαδικασία αλλαγής του ρόλου για αποστολή αρχείων καταγραφής περιλαμβάνει την προώθηση σε ένα δευτερεύοντα διακομιστή να αναλάβει ως κύρια. Μπορείτε να το κάνετε με ή χωρίς στον πρωτεύοντα διακομιστή που online. Ως μέρος της την αλλαγή ρόλου, υπάρχουν έως και τέσσερις αποθηκευμένες διαδικασίες που εκτελούνται. Μία από αυτές τις αποθηκευμένες διαδικασίες, sp_resolve_logins, σας βοηθά να διορθώσετε τις τιμές SID για συνδέσεις που βρίσκονται στη βάση δεδομένων αναμονής ακριβώς πριν γίνεται διαθέσιμο για χρήση ως κύριας βάσης δεδομένων.

Ως μέρος αυτής της αποθηκευμένης διαδικασίας, ένα αρχείο .bcp του πίνακα syslogins από τον πρωτεύοντα διακομιστή πρώην φορτώνεται σε έναν προσωρινό πίνακα. Κάθε σύνδεση που υπάρχει σε αυτόν τον προσωρινό πίνακα στη συνέχεια συγκρίνεται με το syslogins στην ΚΎΡΙΑ βάση δεδομένων του δευτερεύοντα διακομιστή και τον πίνακα sysusers της δευτερεύουσας βάσης δεδομένων. Για κάθε σύνδεση στον προσωρινό πίνακα που έχει μια σύνδεση με το ίδιο όνομα από τον πίνακα syslogins και το ίδιο SID με εκείνο της δευτερεύουσας βάσης δεδομένων στον πίνακα sysusers, διορθώνεται το SID (στη δευτερεύουσα βάση δεδομένων), χρησιμοποιώντας το sp_change_users_login για να ταιριάζει με αυτό που βρίσκεται στον πίνακα syslogins.

Ρύθμιση παραμέτρων ασφαλείας χρησιμοποιεί αυτήν την αποθηκευμένη διαδικασία απαιτεί τα εξής:

  • Στοιχεία σύνδεσης SQL πρέπει να δημιουργηθεί ήδη στο δευτερεύοντα διακομιστή. Για να γίνει αυτό, χρησιμοποιήστε την εργασία DTS συνδέσεις μεταφοράς (που εξηγείται στο SQL Server Books Online θέμα, "Πώς να εγκαταστήσετε και να εκτελέσετε καταγραφής αποστολής αλλαγή ρόλου".
  • Πρέπει να δώσετε ένα αρχείο .bcp του πίνακα syslogins από τον πρωτεύοντα διακομιστή. Αυτό το αρχείο πρέπει να είναι ενημερωμένα, επειδή ένα παλιό αρχείο μπορεί να έχει ως αποτέλεσμα την sp_resolve_logins αποτυγχάνουν να διορθώσετε τις συνδέσεις.
Πριν από την sp_resolve_logins στην πραγματικότητα να διορθώσετε τις συνδέσεις στη δευτερεύουσα βάση δεδομένων, πρέπει να πληρούν τις ακόλουθες τρεις προϋποθέσεις:

  1. Το όνομα της σύνδεσης από το αρχείο .bcp του πίνακα syslogins πρέπει να ταιριάζει με το όνομα του πίνακα syslogins από τον πρωτεύοντα διακομιστή.
  2. Η τιμή SID πρέπει να ταιριάζουν μεταξύ της σύνδεσης στο αρχείο .bcp και τον πίνακα sysusers στη δευτερεύουσα βάση δεδομένων
  3. Η τιμή SID από τη δευτερεύουσα βάση δεδομένων πρέπει να είναι διαφορετική από την τιμή SID στον πίνακα syslogins στη βάση δεδομένων MASTER στο δευτερεύοντα διακομιστή.
Εάν δημιουργείτε συνδέσεις του SQL Server, όπως περιγράφεται στο Q303722, αυτό δεν χρειάζεται να εκτελέσετε αυτή την αποθηκευμένη διεργασία επειδή όλες οι συνδέσεις είναι ήδη να υπάρχουν με την ίδια τιμή SID στον πίνακα syslogins (στην ΚΎΡΙΑ βάση δεδομένων του δευτερεύοντα διακομιστή) και τον πίνακα sysusers (στη δευτερεύουσα βάση δεδομένων).

Συνήθεις ερωτήσεις

Ερώτηση: Αποστολή αρχείων καταγραφής μεταβιβάζονται αλλαγές που σχετίζονται με την ασφάλεια σε ένα δευτερεύοντα διακομιστή αυτόματα;

Απάντηση: Ναι. Επειδή όλες οι αλλαγές σε πίνακες του συστήματος καταγραφής λειτουργιών, αυτές μεταφέρονται μέσω στο δευτερεύοντα διακομιστή (ή διακομιστές) αυτόματα.

Ερώτηση: να έχετε δύο συνδέσεις στον δευτερεύοντα διακομιστή με το ίδιο αναγνωριστικό ΑΣΦΑΛΕΊΑΣ; Αυτό χρειάζεται επειδή χρησιμοποιώ τον ίδιο υπολογιστή SQL Server για να διατηρούν πολλές βάσεις δεδομένων αναμονής από πολλούς διακομιστές.

Απάντηση: Αρ. Μοντέλο ασφαλείας του SQL Server δεν επιτρέπει με δύο συνδέσεις με το ίδιο αναγνωριστικό SID. Εάν υπάρχει διένεξη στο αναγνωριστικό ΑΣΦΑΛΕΊΑΣ κατά τη χρήση του αρχείου καταγραφής αποστολής με πολλούς διακομιστές, ο μόνος τρόπος για να επιλύσετε αυτό το πρόβλημα είναι να αποθέσετε την σύνδεση σε διένεξη στον πρωτεύοντα διακομιστή, και στη συνέχεια να τη δημιουργήσετε με ένα SID το οποίο δεν υπάρχει στο δευτερεύοντα διακομιστή.
Για πρόσθετες πληροφορίες σχετικά με το αρχείο καταγραφής αποστολής αλλαγή ρόλου, κάντε κλικ στον αριθμό του άρθρου παρακάτω, για να προβάλετε το άρθρο της Γνωσιακής Βάσης της Microsoft:

314515 INF: συνήθεις ερωτήσεις - SQL Server 2000 - σύνδεση αποστολής
Ιδιότητες

Αναγνωριστικό άρθρου: 321247 - Τελευταία αναθεώρηση: 17 Ιαν 2017 - Αναθεώρηση: 1

Σχόλια