This Domain(Admin5.com) is for Sale:

建立安全的MSSQLServer启动账号

时间:2007-12-23  来源:不详  作者:迈克DB
SQLSERVER的安全问题一直是困扰DBA的一个难题，作为开发者和用户希望自己的权限越大越好，最好是SA,而作为DBA希望所有的用户权限越小越好，这总是一对矛盾。一般来说，我们会考虑采用WINDOWS验证模式，建立安全的用户权限，改变SQLSERVERTCP/IP的默认端口...等安全措施，但很多DBA还是忽略了MSSQLSERVER服务的启动账号，这也是一个非常值得重点关注的问题。非凡是MSSQLSERVER提供了许多操作系统和注册表扩展存储过程，比如：xp_cmdshell,xp_regdeletekey,xp_regdeletevalue等等。

我们先往返顾一下MSSQLSERVER执行这些扩展存储过程的步骤。MSSQLSERVER提供的扩展存储过程使你可以向T-SQL一样调用一些动态链接库的内部函数逻辑，而且这些扩展存储过程可以包括WIN32和COM的大多数功能。
当关系数据库引擎确定Transact-SQL语句引用扩展存储过程时：
关系数据库引擎将扩展存储过程请求传递到开放式数据服务层。
然后开放式数据服务将包含扩展存储过程函数的DLL装载到SQLServer2000地址空间（假如还没有装载）。
开放式数据服务将请求传递到扩展存储过程。
开放式数据服务将操作结果传递到数据库引擎。
从上图中我们可以清楚的看到SQLServer2000的数据库引擎通过扩展存储过程和WindowsResources进行交互。而扩展存储过程可以完成处理操作系统任务的要害是要有一个自己的身份SID，这个SID就来自MSSQLSERVER服务启动账号。所以假如这个MSSQLSERVER服务启动账号是administrators组的用户，我们就可以通过这些扩展存储过程做任意想做的事情：删除系统信息，破坏注册表等等。假如我们限制MSSQLSERVER服务启动账号的权限，这样即使“黑客”或怀有恶意的开发人员获得数据库的治理员权限，也不会对操作系统造成很大的影响。只要有数据库的备份我们可以非常方便的恢复数据库，而不要重新安装系统。所以为了更安全的保护我们的系统，我们希望MSSQLSERVER服务启动账号的权限越低越好。 织梦好，好织梦
作为系统的一个服务，启动MSSQLSERVER2000服务的用户账号也需要一些必要的权限，下面我们就通过一个具体的实例来解释这些权限(本实例只针对成员服务器，假如是DC和启动了活动目录ActiveDirectory还需要其它的配置)：
1．通过本地用户治理，建立一个本地用户sqlserver，密码：123456；
2．假如现在就我们打开SERVICES配置通过该用户启动，系统会报错误：
Source:ServiceControlManager
EventID:7000
Description:
The%service%servicefailedtostartduetothefollowingerror:
Theservicedidnotstartduetoalogonfailure.
NoDatawillbeavailable.
这是因为作为一个普通用户是无法启动服务的，我们需要给sqlserver用户分配必要的权限。
SQLServer服务启动账号必须有3个基本权限：
l数据库本地目录的读写权限；
l启动本地服务的权限；
l读取注册表的权限；

3．赋予sqlserver用户MSSQL目录的读写权限；
因为我的SQLSERVER是安装在D盘，所以我在权限治理中，将D:\PROGRMAMFILE\MicrosoftSQLServer\MSSQL读写权限赋予sqlserver用户。
4．分配sqlserver用户启动本地服务的权限；
这个比较复杂，我只举例作为成员服务器的情况。
l启动“LocalSecuritySetting”MMC治理单元。
内容来自dedecms

l展开LocalPolicy，然后单击UserRightsAssignment。
l在右侧窗格中，右键单击LogonasService，将用户添加到该策略，然后单击OK。
l在右侧窗格中，右键单击Logonasabatchjob，将用户添加到该策略，然后单击OK
l在右侧窗格中，右键单击Lockspagesinmemory，将用户添加到该策略，然后单击OK
标签云:账号 启动 安全 建立 用户 权限 服务 我们 单击 扩展

看完这篇，您有何感觉呢？

文章评论

共有位Admini5网友发表了评论 查看完整内容

推荐信息

24小时热门信息

最新信息