Proteja el editor

Se aplica a:SQL ServerAzure SQL Managed Instance

Los siguientes agentes de replicación se conectan al publicador:

  • Agentes lectores de registros
  • Agente de instantáneas
  • Agente lector de colas
  • Agente de mezcla

Se recomienda proporcionar un inicio de sesión adecuado para estos agentes, seguir el principio de conceder los derechos mínimos necesarios y proteger el almacenamiento de todas las contraseñas. Para obtener información acerca de los permisos necesarios para cada agente, vea Replication Agent Security Model.

Además de administrar inicios de sesión y contraseñas correctamente, es necesario comprender el rol de la lista de acceso a la publicación (PAL). El PAL se utiliza para permitir inicios de sesión con acceso a los datos de publicaciones, al tiempo que se restringe el acceso ad hoc a la base de datos del editor.

Lista de acceso a la publicación

La PAL es el mecanismo principal para proteger las publicaciones en el publicador. La PAL funciona de forma similar a las listas de control de acceso de Microsoft Windows. Al crear una publicación, la replicación crea una PAL para dicha publicación. La PAL puede configurarse para que contenga una lista de nombres de usuario y grupos a los que se les concede acceso a la publicación. Cuando un agente se conecta al publicador o al distribuidor y solicita acceso a una publicación, la información de autenticación de la PAL se compara con el inicio de sesión del publicador que proporciona el agente. Este proceso proporciona seguridad adicional para el publicador al impedir que una herramienta de cliente utilice el inicio de sesión del publicador y del distribuidor para realizar modificaciones directamente en el publicador.

Nota:

La replicación crea un rol en el publicador para cada publicación para exigir la pertenencia a la PAL. El rol tiene un nombre con el formato Msmerge_<PublicationID> para la replicación de fusión y MSReplPAL_<PublicationDatabaseID>_<PublicationID> para la replicación transaccional y de instantáneas.

De forma predeterminada, se incluyen los siguientes inicios de sesión en la PAL: los miembros del rol fijo de servidor sysadmin en el momento en que se crea la publicación y el inicio de sesión que se utiliza para crear la publicación. De forma predeterminada, todos los inicios de sesión miembros del rol fijo de servidor sysadmin o el rol fijo de base de datos db_owner en la base de datos de publicaciones pueden suscribirse a una publicación sin agregarse explícitamente a la PAL.

Cuando utilice la PAL, tenga en cuenta las siguientes directrices:

  • Debe asociar el inicio de sesión de SQL Server a un usuario de la base de datos de publicaciones antes de agregar el inicio de sesión a la PAL.

  • Siga el principio de privilegio mínimo concediendo a las cuentas de inicio de sesión de PAL únicamente los permisos necesarios para realizar las tareas de replicación. No agregue los inicios de sesión a los roles fijos de base de datos ni a los roles de servidor que no sean necesarios para replicación. Para obtener más información acerca de los permisos necesarios, vea Replication Agent Security Model y Replication Security Best Practices.

  • Si se utiliza un Distributor remoto, las cuentas del PAL deben estar disponibles tanto en el Publisher como en el Distributor. La cuenta debe ser una cuenta de dominio o una cuenta local que esté definida en ambos servidores. Las contraseñas asociadas a ambos inicios de sesión deben ser iguales.

  • Si la PAL contiene cuentas de Windows y el dominio utiliza Active Directory, la cuenta con la que se ejecuta SQL Server debe tener permisos de lectura en Active Directory. Si tiene problemas con cuentas de Windows, asegúrese de que la cuenta con la que se ejecuta SQL Server tiene permisos suficientes. Para obtener más información, consulte la documentación de Windows.

Para administrar la PAL, vea Manage Logins in the Publication Access List (Administrar inicios de sesión en la lista de acceso a la publicación).

Agente de instantáneas

Existe un Agente de instantáneas para cada publicación. Para obtener más información, vea Crear una suscripción.

Entrega de instantáneas a través de FTP

Si especifica que las instantáneas deben estar disponibles a través de un recurso compartido FTP en lugar de un recurso compartido UNC, es preciso indicar un inicio de sesión y una contraseña al configurar el acceso FTP. Para obtener más información, vea Entregar una instantánea mediante FTP.

Agente lector de registros

Existe un Agente Lector de registros para cada base de datos publicada para la replicación transaccional. Para obtener más información, vea Crear una suscripción.

Agente lector de colas

Existe un Agente de lectura de cola para todos los publicadores y publicaciones (que permite las suscripciones de actualización en cola) asociados a un distribuidor determinado. Para más información, vea Enable Updating Subscriptions for Transactional Publications (Habilitar suscripciones actualizables para publicaciones transaccionales).

Contenido relacionado

  • Last updated on