Sign in with Microsoft
Sign in or create an account.

PENDAHULUAN

Program penataan Microsoft SQL Server 2005 membuat grup Windows lokal untuk setiap layanan yang diinstal. Program Penataan SQL Server 2005 menambahkan akun layanan untuk setiap layanan ke grup yang bersangkutan. Untuk penginstalan kluster failover SQL Server, grup domain Windows digunakan dengan cara yang sama. Kelompok domain ini harus dibuat oleh administrator domain sebelum Anda menjalankan program Penataan SQL Server 2005. Semua Windows NT hak dan izin yang diperlukan oleh layanan tertentu ditambahkan dengan daftar kontrol akses sistem (SACL) untuk setiap kelompok Windows. Domain administrator tidak memberikan izin langsung ke akun layanan.

Selain itu, grup Windows yang Anda buat untuk SQL Server 2005, untuk agen Server SQL, dan grup BUILTIN\Administrators diberikan login SQL Server 2005 yang ditetapkan dalam peran server tetap SQL Server 2005 SYSADMIN. Konfigurasi ini memungkinkan untuk setiap account yang merupakan anggota dari kelompok ini untuk log masuk ke SQL Server 2005 dengan menggunakan sambungan Windows NT diotentikasi. Karena pengguna memiliki keanggotaan grup peran tetap server SQL Server SYSADMIN, pengguna akan dicatat ke SQL Server 2005 sebagai administrator sistem SQL Server 2005. (Pengguna yang masuk menggunakan akun sa). Kemudian, pengguna memiliki akses tidak terbatas untuk penginstalan SQL Server 2005 dan data. Selain itu, setiap pengguna yang mengetahui sandi untuk contoh SQL Server 2005 atau akun Layanan agen Server SQL dapat menggunakan layanan akun untuk masuk ke komputer. Kemudian, pengguna dapat membuat sambungan Windows NT diotentikasi untuk SQL Server 2005 sebagai administrator SQL Server.

Grup Windows yang Anda buat untuk SQL Server 2005 Reporting Services (SSRS) dan layanan pencarian teks-lengkap juga diberikan login SQL Server. Namun, Layanan pelaporan dan layanan pencarian teks-lengkap tidak ditetapkan dalam peran server tetap SYSADMIN.

Beberapa administrator SQL Server 2005 ingin peran fungsional database administrator dan administrator sistem operasi untuk benar-benar terpisah. Administrator tersebut ingin melindungi SQL Server 2005 akses yang tidak diinginkan oleh administrator sistem operasi.

Informasi lebih lanjut

Cara membuat akses yang tidak diinginkan untuk SQL Server 2005 oleh administrator sistem operasi lebih sulit

Untuk membuat akses yang tidak diinginkan untuk SQL Server 2005 oleh administrator sistem operasi lebih sulit, Anda harus menghapus izin logon yang diberikan ke grup BUILTIN\Administrators. Kemudian, Anda harus memberikan login langsung ke akun layanan untuk SQL Server 2005 dan agen Server SQL. Selanjutnya, Anda harus menetapkan login dalam peran server tetap SYSADMIN. Terakhir, Anda harus menghapus login yang diberikan ke grup Windows mereka masing-masing. Untuk melakukannya, ikuti langkah-langkah berikut:

  1. Pastikan bahwa Anda memiliki account yang merupakan anggota dari peran SYSADMIN tetap server. Akun ini tidak diberikan izin logon SQL Server 2005 hanya dengan menjadi anggota grup BUILTIN\Administrators.

  2. Menghapus izin logon yang diberikan ke grup BUILTIN\Administrators. Untuk melakukannya, ikuti langkah-langkah berikut:

    1. Logon ke SQL Server 2005 dengan menggunakan akun pengguna yang memiliki izin mengubah LOGIN apa pun.

    2. Memperluas keamanan, luaskan login, klik kanan BUILTIN\Administrators, dan kemudian klik Hapus.

    3. Di kotak dialog Hapus objek , klik OK.

    Catatan Setelah Anda menghapus login yang diberikan ke grup BUILTIN\Administrators, akun yang hanya mengandalkan keanggotaan dalam kelompok ini untuk log masuk ke SQL Server 2005 tidak akan dapat mengakses SQL Server 2005.

    Untuk informasi tentang akun layanan Microsoft Cluster Layanan (MSCS), lihat bagian "Akun layanan layanan Microsoft Cluster (MSCS)".

  3. Menggunakan akun yang memiliki izin mengubah LOGIN apa pun secara eksplisit memberikan login SQL Server 2005 secara langsung ke akun layanan yang digunakan oleh SQL Server 2005 dan agen Server SQL. Untuk melakukannya, jalankan pernyataan SQL berikut.

    CREATE LOGIN [<Domain Name>\<SQL Server Service Account>] FROM WINDOWS WITH DEFAULT_DATABASE=[master]CREATE LOGIN [<Domain Name >\<SQL Server Agent Service Account>] FROM WINDOWS WITH DEFAULT_DATABASE=[master]

  4. Gunakan akun anggota sysadmin tetap peran server untuk menetapkan login yang ditambahkan dalam langkah 2 di SYSADMIN tetap peran server.

    EXEC master..sp_addsrvrolemember @loginame = N'<Domain Name>\<SQL Server Service Account> ', @rolename = N'sysadmin'EXEC master..sp_addsrvrolemember @loginame = N'<Domain Name>\<SQL Server Agent Service Account> ', @rolename = N'sysadmin'

  5. Menggunakan akun yang memiliki izin mengubah LOGIN apa pun untuk menghapus login yang diberikan untuk grup SQL Server 2005 dan SQL Server agen Windows grup.

    DROP LOGIN [<Computer Name>\<SQLServer2005SQLServerUser>$<Computer Name>$MSSQLSERVER]DROP LOGIN [<Computer Name>\<SQLServer2005AgentUser>$<Computer Name>$MSSQLSERVER]

Bahkan setelah mengikuti langkah-langkah ini, kata sandi untuk akun layanan SQL Server 2005 dan akun Layanan agen Server SQL harus disimpan rahasia dari administrator sistem operasi. Jika akun Layanan MSCS telah ditetapkan di SYSADMIN tetap peran server, kata sandi akun Layanan MSCS harus juga disimpan rahasia dari administrator sistem operasi. Jika administrator sistem operasi tahu sandi untuk akun layanan SQL Server 2005 atau akun Layanan agen Server SQL, sistem operasi administrator dapat menggunakan akun layanan untuk logon ke komputer. Setelah administrator sistem operasi log on ke komputer, administrator sistem operasi dapat menyambung ke contoh SQL Server 2005 sebagai administrator SQL Server.

Untuk menjaga administrator sistem operasi dari belajar sandi akun layanan yang digunakan oleh SQL Server 2005 dan agen Server SQL, administrator sistem SQL Server harus dapat membuat sandi baru untuk akun layanan. Dalam kebanyakan kasus, administrator sistem SQL Server 2005 bukan administrator sistem operasi. Oleh karena itu, utilitas tujuan khusus yang harus ditulis untuk menyediakan fungsionalitas ini. Misalnya, Anda dapat membuat Layanan terpercaya yang dapat digunakan oleh administrator sistem SQL Server 2005 untuk mengubah sandi untuk akun layanan yang digunakan oleh SQL Server 2005. Microsoft saat ini tidak menawarkan layanan ini.

Akun layanan Microsoft Cluster Layanan (MSCS)

Di kluster failover SQL Server 2005 penginstalan, akun Layanan MSCS bergantung pada keanggotaan grup BUILTIN\Administrators untuk log masuk ke SQL Server 2005 untuk menjalankan IsAlive cek. Jika Anda menghapus Grup BUILTIN\Administrators dari gugusan kegagalan, Anda harus secara eksplisit memberikan izin akun Layanan MSCS untuk log masuk ke kluster failover SQL Server 2005. Untuk melakukannya, jalankan pernyataan SQL berikut dalam contoh SQL Server 2005.

CREATE LOGIN [<Domain Name>\<MSCS Service Account>] FROM WINDOWS WITH DEFAULT_DATABASE=[master]

SQL Server 2005 Paket Layanan 2 menambahkan kemampuan diagnostik baru untuk kluster failover SQL Server 2005. Diagnostik secara otomatis menangkap status SQL Server 2005 cluster sumber daya sebelum kluster gagal atas. SQL Server 2005 sumber daya Perpustakaan tautan dinamis (DLL) yang membuat pengumpulan data diagnostik ini lebih mudah, sebagai berikut:

  • Sumber daya SQL Server 2005 dimulai contoh utilitas Sqlcmd.exe menurut konteks keamanan akun Layanan MSCS. Kemudian, sumber daya SQL Server 2005 menjalankan skrip SQL melalui sambungan khusus administrator (DAC) yang sampel berbagai tampilan manajemen dinamis (DMV).

  • Sumber daya SQL Server 2005 menangkap berkas dump pengguna proses SQL Server 2005 sebelum kluster gagal atas.

Karena administrator khusus sambungan digunakan untuk mengumpulkan data beberapa diagnostik, akun Layanan MSCS harus ditetapkan dalam peran server tetap SYSADMIN. Jika praktik keamanan organisasi Anda berarti bahwa akun Layanan MSCS tidak ditetapkan di SYSADMIN tetap peran server, akun Layanan MSCS dapat diberikan login SQL Server yang tidak tersedia di SYSADMIN tetap peran server. Dalam skenario ini, diagnostik yang biasanya ditangkap oleh utilitas Sqlcmd.exe akan gagal karena utilitas Sqlcmd.exe tidak dapat logon ke SQL Server 2005. Sumber daya SQL Server 2005 DLL harus dapat mengumpulkan berkas dump pengguna tanpa memperhatikan apakah akun layanan SQL Server 2005 sumber DLL yang ditetapkan di SYSADMIN tetap peran server.

Jika Anda ingin, logon ke SQL Server 2005 dengan menggunakan akun anggota sysadmin tetap peran server. Kemudian, jalankan pernyataan SQL berikut ini untuk menambahkan akun Layanan MSCS peran server tetap SYSADMIN.

EXEC master.sp_addsrvrolemember @loginame = N'<Domain Name>\<MSCS Service Account> ', @rolename = N'sysadmin'

Cara mengubah akun Layanan

Meskipun langkah sebelumnya mungkin membuat lebih sulit untuk administrator sistem operasi untuk menyambung ke SQL Server 2005, langkah-langkah sebelumnya membuatnya lebih rumit untuk mengubah akun layanan untuk SQL Server 2005 dan agen Server SQL. Untuk mengubah akun layanan untuk SQL Server 2005 dan agen Server SQL, ikuti langkah-langkah berikut:

  1. Tambahkan akun layanan baru atau akun layanan untuk Windows grup atau grup yang Anda buat untuk SQL Server dan agen Server SQL.

  2. Menggunakan akun yang memiliki izin mengubah LOGIN apa pun untuk membuat login SQL Server 2005 untuk akun layanan baru. Untuk melakukannya, jalankan pernyataan SQL berikut dari akun yang memiliki izin mengubah LOGIN apa pun.

    CREATE LOGIN [<Domain Name>\<New SQL Server Service Account>] FROM WINDOWS WITH DEFAULT_DATABASE=[master]CREATE LOGIN [<Domain Name>\<New SQL Server Agent Service Account>] FROM WINDOWS WITH DEFAULT_DATABASE=[master]

  3. Menggunakan akun yang ditetapkan dalam peran server tetap SYSADMIN untuk menjalankan pernyataan SQL berikut.

    EXEC master..sp_addsrvrolemember @loginame = N’ <Domain Name>\<New SQL Server Service Account> ', @rolename = N'sysadmin'EXEC master..sp_addsrvrolemember @loginame = N’ <Domain Name>\<New SQL Server Agent Service Account> ', @rolename = N'sysadmin'

    Catatan Pernyataan ini menambahkan akun layanan SQL Server 2005 dan akun Layanan agen Server SQL SYSADMIN tetap peran server.

  4. Ubah akun layanan untuk layanan yang sesuai dengan menggunakan Manajer konfigurasi Server SQL. Untuk melakukannya, ikuti langkah-langkah berikut:

    1. Di Manajer konfigurasi SQL Server, klik Layanan SQL Server 2005.

    2. Klik kanan layanan yang ingin Anda ubah, dan kemudian klik properti.

    3. Klik tab Logon , dan kemudian masukkan informasi akun pengguna yang Anda inginkan untuk menggunakan layanan.

    4. Klik OK setelah Anda selesai memasukkan informasi akun.

    Catatan Ketika Anda mengubah akun layanan, manajer konfigurasi Server SQL meminta Anda untuk memulai ulang layanan.

  5. Menggunakan akun yang memiliki izin mengubah LOGIN apa pun untuk menghapus login yang digunakan oleh akun layanan SQL Server 2005 dan akun Layanan agen Server SQL. Untuk melakukannya, jalankan pernyataan SQL berikut.

    DROP LOGIN [<Domain Name>\<Old SQL Server Service Account>]DROP LOGIN [<Domain Name>\<Old SQL Server Agent Service Account>]

Catatan Anda tidak harus memberi izin untuk akun layanan baru atau baru Windows NT hak karena Anda menambahkan akun layanan baru ke grup Windows mereka masing-masing di langkah 1.

Rekomendasi untuk mengaudit proses

Jika Anda ingin melindungi SQL Server akses yang tidak diinginkan oleh administrator sistem operasi, Anda juga harus audit proses berikut ini:

  • Audit dimulai dan berhenti server berbasis Windows.

  • Audit dimulai dan berhenti layanan SQL Server 2005 dan layanan agen Server SQL.

  • Audit akses ke direktori di mana SQL Server database berkas, berkas data, berkas log, dan pangkalan data cadangan file yang disimpan.

  • Audit perubahan untuk akun layanan SQL Server 2005 dan akun Layanan agen Server SQL.

  • Audit login jaringan dan login komputer dengan akun layanan SQL Server 2005, dengan akun Layanan agen Server SQL, atau dengan akun Layanan MSCS.

Akun NT AUTHORITY\SYSTEM

Akun NT AUTHORITY\SYSTEM juga diberikan login SQL Server. Akun NT AUTHORITY\SYSTEM ditetapkan dalam peran server tetap SYSADMIN. Jangan menghapus akun ini atau menghapusnya dari peran SYSADMIN tetap server. Akun NTAUTHORITY\SYSTEM digunakan oleh Microsoft Update dan Microsoft SMS untuk menerapkan paket layanan dan hotfix ke penginstalan SQL Server 2005. Akun NTAUTHORITY\SYSTEM juga digunakan oleh SQL penulis layanan.

Selain itu, jika SQL Server 2005 dimulai dalam mode pengguna tunggal, setiap pengguna yang memiliki keanggotaan grup BUILTIN\Administrators dapat menyambung ke SQL Server 2005 sebagai administrator SQL Server. Pengguna dapat menghubungkan terlepas dari apakah Grup BUILTIN\Administrators yang telah diberikan login server yang ditetapkan di SYSADMIN tetap peran server. Perilaku ini merupakan bagian dari rancangan. Perilaku ini ditujukan untuk digunakan untuk pemulihan data skenario.

Untuk informasi selengkapnya tentang praktik keamanan terbaik untuk SQL Server 2005, lihat topik "Keamanan pertimbangan untuk SQL Server instalasi" di SQL Server 2005 buku daring.

Referensi

Untuk informasi selengkapnya tentang keamanan pertimbangan untuk penginstalan SQL Server, kunjungi situs Microsoft TechNet Web berikut ini:

http://technet.microsoft.com/en-us/library/ms144228.aspx

Perlu bantuan lainnya?

Kembangkan keterampilan Anda
Jelajahi pelatihan
Dapatkan fitur baru terlebih dahulu
Gabung Microsoft Insider

Apakah informasi ini bermanfaat?

Seberapa puaskah Anda dengan kualitas bahasanya?
Apa yang memengaruhi pengalaman Anda?

Terima kasih atas umpan balik Anda!

×