Role vytvořené rozšířením Azure pro instalaci SQL Server

platí pro:SQL Server

Tento článek uvádí role serveru a databáze a mapování, které instalace rozšíření Azure pro SQL Server vytvoří.

Role

Při instalaci rozšíření Azure pro SQL Server v režimu bez nejnižších oprávnění instalace:

1. Vytvoří roli na úrovni serveru: SQLArcExtensionServerRole
2. Vytvoří roli na úrovni databáze: SQLArcExtensionUserRole
3. NT AUTHORITY\SYSTEM Přidá účet do každé role.
4. Mapy NT AUTHORITY\SYSTEM na úrovni databáze pro každou databázi
5. Uděluje minimální oprávnění pro povolené funkce.

Alternativně můžete nakonfigurovat SQL Server povolenou Azure Arc tak, aby běžela v režimu s nejnižšími oprávněními. Další informace najdete v tématu Operate SQL Server povolené Azure Arc s nejnižšími oprávněními.

Kromě toho Azure Rozšíření pro SQL Server odvolá oprávnění pro tyto role, pokud už nejsou potřeba pro konkrétní funkce.

Poznámka

Dříve popsané akce vyžadují, aby se nasazovač připojil k SQL Server jako NT AUTHORITY\SYSTEM. Pokud je NT AUTHORITY\SYSTEM přihlášení odebráno, zakázáno nebo odepřeno CONNECT SQL oprávnění, nemůže deployer provést žádnou z těchto akcí a rozšíření Azure pro SQL Server se nepodaří zřídit. Postup ověření a obnovení tohoto přihlášení najdete v části Požadavky .

SqlServerExtensionPermissionProvider je úkol Windows. Spustí Deployer.exe udělit nebo odvolat oprávnění v SQL Server, když zjistí:

• Na hostiteli se nainstaluje nová instance SQL Server.
• Z hostitele se odinstaluje instance SQL Server.
• Funkce na úrovni instance je povolená nebo zakázaná nebo se aktualizují nastavení.
• Služba rozšíření se restartuje.
• Oprávnění JIT (Just-in-Time) jsou povolená nebo zakázaná.

Poznámka

Před vydáním z července 2024 byl naplánovaný úkol, SqlServerExtensionPermissionProvider který běžel každou hodinu.

Podrobnosti najdete v Konfigurování účtů služby Windows a oprávnění pro rozšíření Azure pro SQL Server.

Pokud odinstalujete rozšíření Azure pro SQL Server, role na úrovni serveru a databáze se odeberou.

Dovolení

Rys	Povolení	Úroveň	Role
Výchozí	VIEW SERVER STATE	Úroveň serveru	SQLArcExtensionServerRole
	CONNECT SQL	Úroveň serveru	SQLArcExtensionServerRole
	VIEW ANY DEFINITION	Úroveň serveru	SQLArcExtensionServerRole
	VIEW ANY DATABASE	Úroveň serveru	SQLArcExtensionServerRole
	CONNECT ANY DATABASE	Úroveň serveru	SQLArcExtensionServerRole
	SELECT dbo.sysjobactivity	msdb	SQLArcExtensionUserRole
	SELECT dbo.sysjobs	msdb	SQLArcExtensionUserRole
	SELECT dbo.syssessions	msdb	SQLArcExtensionUserRole
	SELECT dbo.sysjobHistory	msdb	SQLArcExtensionUserRole
	SELECT dbo.sysjobSteps	msdb	SQLArcExtensionUserRole
	SELECT dbo.syscategories	msdb	SQLArcExtensionUserRole
	SELECT dbo.sysoperators	msdb	SQLArcExtensionUserRole
	SELECT dbo.suspectpages	msdb	SQLArcExtensionUserRole
	SELECT dbo.backupset	msdb	SQLArcExtensionUserRole
	SELECT dbo.backupmediaset	msdb	SQLArcExtensionUserRole
	SELECT dbo.backupmediafamily	msdb	SQLArcExtensionUserRole
	SELECT dbo.backupfile	msdb	SQLArcExtensionUserRole
Backup	CREATE ANY DATABASE	Úroveň serveru	SQLArcExtensionServerRole
	role db_backupoperator	Všechny databáze	SQLArcExtensionUserRole
	dbcreator	Úroveň serveru	SQLArcExtensionServerRole
řídicí rovina Azure	CREATE TABLE	msdb	SQLArcExtensionUserRole
	ALTER ANY SCHEMA	msdb	SQLArcExtensionUserRole
	CREATE TYPE	msdb	SQLArcExtensionUserRole
	EXECUTE	msdb	SQLArcExtensionUserRole
	role db_datawriter	msdb	SQLArcExtensionUserRole
	role db_datareader	msdb	SQLArcExtensionUserRole
Zjišťování skupin dostupnosti	VIEW ANY DEFINITION	Úroveň serveru	SQLArcExtensionServerRole
Převzetí služeb při selhání skupiny dostupnosti	ALTER ANY AVAILABILITY GROUP	Úroveň serveru	SQLArcExtensionServerRole
Purview	SELECT	Všechny databáze	SQLArcExtensionUserRole
	EXECUTE	Všechny databáze	SQLArcExtensionUserRole
Posouzení migrace	EXECUTE dbo.agent_datetime	msdb	SQLArcExtensionUserRole
	SELECT dbo.sysjobs	msdb	SQLArcExtensionUserRole
	SELECT dbo.sysmail_account	msdb	SQLArcExtensionUserRole
	SELECT dbo.sysmail_profile	msdb	SQLArcExtensionUserRole
	SELECT dbo.sysmail_profileaccount	msdb	SQLArcExtensionUserRole
	SELECT dbo.syssubsystems	msdb	SQLArcExtensionUserRole
	SELECT sys.sql_expression_dependencies	Všechny databáze	SQLArcExtensionUserRole

Spuštění s nejnižšími oprávněními

Pokud chcete spustit rozšíření Azure pro SQL Server s nejnižšími oprávněními, postupujte podle pokynů v Operate SQL Server povolené Azure Arc s nejnižšími oprávněními.

V tuto chvíli není výchozí konfigurace nejnižších oprávnění.

Související obsah

• Konfigurování účtů a oprávnění služby Windows