Konfigurowanie kont serwisowych (Analysis Services)

Dotyczy: SQL Server Analysis Services Azure Analysis Services Fabric/Power BI Premium

Aprowizacja kont w całym produkcie jest udokumentowana w temacie Configure Windows Service Accounts and Permissions (Konfigurowanie kont usług systemu Windows i uprawnień), który zawiera kompleksowe informacje o koncie usługi dla wszystkich usług programu SQL Server, w tym usług SQL Server Analysis Services. Zapoznaj się z nim, aby dowiedzieć się więcej o prawidłowych typach kont, uprawnieniach systemu Windows przypisanych przez instalatora, uprawnieniach systemu plików, uprawnieniach rejestru i nie tylko.

Ten temat zawiera dodatkowe informacje dotyczące usług SQL Server Analysis Services, w tym dodatkowe uprawnienia niezbędne do instalacji tabelarycznych i klastrowanych. Obejmuje również uprawnienia wymagane do obsługi operacji serwera. Na przykład można skonfigurować operacje przetwarzania i wykonywania zapytań w ramach konta usługi — w tym scenariuszu potrzebne są dodatkowe uprawnienia.

• Uprawnienia systemu Windows przypisane do usług Analysis Services

• Uprawnienia systemu plików przypisane do usług Analysis Services

• Udzielanie dodatkowych uprawnień dla określonych operacji serwera

Innym krokiem konfiguracji, który nie został opisany w tym miejscu, jest zarejestrowanie głównej nazwy usługi (SPN) dla wystąpienia i konta usługi usług SQL Server Analysis Services. Ten krok umożliwia uwierzytelnianie przekazywane z aplikacji klienckich do źródeł danych zaplecza w scenariuszach podwójnego przeskoku. Ten krok dotyczy tylko usług skonfigurowanych dla ograniczonego delegowania Protokołu Kerberos. Aby uzyskać więcej instrukcji, zobacz Konfiguracja Analysis Services dla ograniczonego delegowania Kerberos.

Zalecenia dotyczące konta logowania

Konto uruchamiania usługi MSSQLServerOLAPService systemu Windows może być kontem użytkownika domeny systemu Windows, kontem wirtualnym, kontem usługi zarządzanej (MSA) lub wbudowanym kontem, takim jak identyfikator SID dla usługi, usługa sieciowa lub system lokalny. Używanie konta użytkownika domeny jako konta logowania do usługi zawiera szczegółowe informacje o formatach kont użytkowników.

W klastrze awaryjnym wszystkie wystąpienia usług Analysis Services powinny być skonfigurowane do używania konta użytkownika domeny Windows. Przypisz to samo konto do wszystkich wystąpień. Aby uzyskać szczegółowe informacje, zobacz Jak przeprowadzić klastrowanie usług analizy.

Wystąpienia autonomiczne powinny używać domyślnego konta wirtualnego NT Service\MSSQLServerOLAPService dla wystąpienia domyślnego lub NT Service\MSOLAP$instance-name dla nazwanego wystąpienia. To zalecenie dotyczy wystąpień usług Analysis Services we wszystkich trybach serwera, przy założeniu, że system Windows Server 2008 R2 lub nowszy dla systemu operacyjnego oraz program SQL Server 2012 i nowsze dla usług Analysis Services.

Udzielanie uprawnień do usług Analysis Services

W tej sekcji opisano uprawnienia wymagane przez usługi Analysis Services dla operacji lokalnych i wewnętrznych. Te operacje obejmują uruchamianie pliku wykonywalnego, odczytywanie pliku konfiguracji i ładowanie baz danych z katalogu danych. Wskazówki dotyczące ustawiania uprawnień dostępu do danych zewnętrznych i współdziałania z innymi usługami i aplikacjami są dostępne w temacie Udzielanie dodatkowych uprawnień dla określonych operacji serwera w dalszej części tego tematu.

W przypadku operacji wewnętrznych posiadacz uprawnień w usługach Analysis Services nie jest kontem logowania, lecz lokalną grupą zabezpieczeń systemu Windows utworzoną podczas instalacji, która zawiera identyfikator SID dla danej usługi. Przypisywanie uprawnień do grupy zabezpieczeń jest zgodne z poprzednimi wersjami usług Analysis Services. Ponadto konta logowania mogą się zmieniać w czasie, ale identyfikator SID dla usługi i lokalna grupa zabezpieczeń są stałe przez okres istnienia instalacji serwera. W przypadku usług Analysis Services grupa zabezpieczeń jest lepszym wyborem do przechowywania uprawnień niż konto logowania. Za każdym razem, gdy ręcznie udzielasz uprawnień dla wystąpienia usługi, niezależnie od tego, czy chodzi o uprawnienia systemu plików, czy o uprawnienia systemu Windows, upewnij się, że udzielasz uprawnień lokalnej grupie zabezpieczeń utworzonej dla tego wystąpienia serwera.

Nazwa grupy zabezpieczeń jest zgodna ze wzorcem. Prefiks to zawsze SQLServerMSASUser$, a następnie nazwa komputera, kończąca się nazwą wystąpienia. Domyślne wystąpienie to MSSQLSERVER. Nazwa wystąpienia to nazwa nadana podczas konfiguracji.

Tę grupę zabezpieczeń można wyświetlić w ustawieniach zabezpieczeń lokalnych:

• Uruchamianie polecenia compmgmt.msc | Użytkownicy i grupy | lokalneGrupy | SQLServerMSASUser$<nazwa> serwera$MSSQLSERVER (dla wystąpienia domyślnego).

• Aby wyświetlić jej członków, kliknij dwukrotnie grupę zabezpieczeń.

Jedynym członkiem grupy jest SID przypisany do danej usługi. Obok niego znajduje się konto logowania. Nazwa konta logowania ma charakter wyłącznie estetyczny, służy jedynie do dostarczenia kontekstu dla SID przypisanego do poszczególnych usług. Jeśli zmienisz konto logowania, grupa zabezpieczeń i identyfikator SID dla usługi nie zmieni się. Tylko etykieta konta logowania jest inna.

Uprawnienia systemu Windows przypisane do konta usługi Analysis Services

Usługi Analysis Services wymagają uprawnień z systemu operacyjnego na potrzeby uruchamiania usługi i żądania zasobów systemowych. Wymagania różnią się w zależności od trybu serwera i tego, czy wystąpienie jest klastrowane.

Wszystkie wystąpienia usług Analysis Services wymagają uprawnień Logowania jako usługi (SeServiceLogonRight). Instalator programu SQL Server przypisuje uprawnienia na koncie usługi określonym podczas instalacji. W przypadku serwerów działających w trybie wielowymiarowym i wyszukiwania danych jest to jedyne uprawnienie systemu Windows wymagane przez konto usługi Analysis Services dla instalacji autonomicznych serwerów i jest to jedyne uprawnienie, które Instalator konfiguruje dla usług Analysis Services. W przypadku wystąpień klastrowanych i tabelarycznych należy ręcznie dodać dodatkowe uprawnienia systemu Windows.

Wystąpienia klastrów przełączających awaryjnie w trybie tabelarycznym lub wielowymiarowym muszą mieć zwiększony priorytet planowania (SeIncreaseBasePriorityPrivilege).

Tabelaryczne wystąpienia wymagają następujących trzech dodatkowych uprawnień, które trzeba przyznać ręcznie po ich zainstalowaniu.

Przywilej	Opis
Zwiększanie zestawu roboczego procesu (SeIncreaseWorkingSetPrivilege)	To uprawnienie jest domyślnie dostępne dla wszystkich użytkowników za pośrednictwem grupy zabezpieczeń Użytkownicy . Jeśli zablokujesz serwer, usuwając uprawnienia dla tej grupy, uruchomienie usług Analysis Services może zakończyć się niepowodzeniem, rejestrowanie tego błędu: "Wymagane uprawnienia nie są przechowywane przez klienta". W przypadku wystąpienia tego błędu przywróć uprawnienie do usług Analysis Services, udzielając go odpowiedniej grupie zabezpieczeń usług Analysis Services.
Dostosowywanie przydziałów pamięci dla procesu (SeIncreaseQuotaPrivilege)	To uprawnienie jest używane do żądania większej ilości pamięci, jeśli proces ma niewystarczające zasoby do ukończenia swojego wykonywania, zgodnie z progami pamięci ustanowionymi dla instancji.
Blokowanie stron w pamięci (SeLockMemoryPrivilege)	To uprawnienie jest potrzebne tylko wtedy, gdy stronicowanie jest całkowicie wyłączone. Domyślnie wystąpienie serwera tabelarycznego używa pliku stronicowania systemu Windows, ale można zapobiec używaniu pliku stronicowania systemu Windows, ustawiając wartość VertiPaqPagingPolicy na 0. VertiPaqPagingPolicy na 1 (wartość domyślna) ustawia wystąpienie serwera tabelarycznego, aby używało pliku stronicowania systemu Windows. Alokacje nie są zablokowane, co pozwala systemowi Windows na odstronicowanie zgodnie z potrzebami. Ponieważ stronicowanie jest używane, nie ma potrzeby blokowania stron w pamięci. W związku z tym w przypadku konfiguracji domyślnej (gdzie VertiPaqPagingPolicy = 1) nie trzeba udzielać uprawnień Blokuj strony w pamięci do wystąpienia tabelarycznego. VertiPaqPagingPolicy na 0. Jeśli wyłączysz stronicowanie dla usług Analysis Services, alokacje są zablokowane, przy założeniu, że uprawnienie Zablokuj strony w pamięci zostanie przyznane wystąpieniu tabelarycznym. Biorąc pod uwagę to ustawienie i uprawnienia Blokuj strony w pamięci , system Windows nie może odstronicować alokacji pamięci w usługach Analysis Services, gdy system jest pod obciążeniem pamięci. Usługi Analysis Services opierają się na uprawnieniu 'Zablokuj strony w pamięci' jako mechanizm wymuszający dla ustawienia VertiPaqPagingPolicy = 0. Należy pamiętać, że wyłączenie stronicowania systemu Windows nie jest zalecane. Zwiększy to częstotliwość błędów braku pamięci dla operacji, które mogłyby zakończyć się powodzeniem, gdyby użycie stronicowania było dozwolone. Zobacz Właściwości pamięci , aby uzyskać więcej informacji o VertiPaqPagingPolicy.

Aby wyświetlić lub dodać uprawnienia systemu Windows na koncie usługi

1. Uruchamianie gpEDIT.msc | Zasady komputera lokalnego | Konfiguracja komputera | Ustawienia systemu Windows | Ustawienia zabezpieczeń | Zasady lokalne | Przypisania praw użytkownika.

2. Przejrzyj istniejące zasady, które obejmują SQLServerMSASUser$. Jest to lokalna grupa zabezpieczeń znaleziona na komputerach z instalacją usług Analysis Services. Uprawnienia systemu Windows i uprawnienia do folderu plików są przyznawane tej grupie zabezpieczeń. Kliknij dwukrotnie pozycję Zaloguj się jako usługa, aby zobaczyć, jak zdefiniowana jest grupa zabezpieczeń w systemie. Pełna nazwa grupy zabezpieczeń będzie się różnić w zależności od tego, czy zainstalowano Analysis Services jako nazwane wystąpienie. Użyj tej grupy zabezpieczeń, a nie rzeczywistego konta usługi podczas dodawania uprawnień do konta.

3. Aby dodać uprawnienia konta w GPEDIT, kliknij prawym przyciskiem myszy pozycję Zwiększ zestaw roboczy procesu i wybierz Właściwości.

4. Kliknij pozycję Dodaj użytkownika lub grupę.

5. Wprowadź grupę użytkowników dla wystąpienia usług Analysis Services. Pamiętaj, że konto usługi jest członkiem lokalnej grupy zabezpieczeń, wymagając, aby nazwa komputera lokalnego została wstępnie utworzona jako domena konta.

   Na poniższej liście znajdują się dwa przykłady wystąpienia domyślnego i nazwane wystąpienie "Tabular" na maszynie o nazwie "SQL01-WIN12", a nazwa komputera to domena lokalna.

   • SQL01-WIN12\SQL01-WIN12$SQLServerMSASUser$MSSQLSERVER

   • SQL01-WIN12\SQL01-WIN12$SQLServerMSASUser$TABULAR

6. Powtórz wartość dla opcji Dostosuj limity przydziału pamięci dla procesu, a opcjonalnie dla opcji Blokuj strony w pamięci lub Zwiększ priorytet planowania.

Uwaga / Notatka

Poprzednie wersje programu instalacyjnego przypadkowo dodały konto usługi Analysis Services do grupy Użytkownicy dziennika wydajności. Mimo że ta usterka została usunięta, istniejące instalacje mogą mieć to niepotrzebne członkostwo w grupie. Ponieważ konto usługi SQL Server Analysis Services nie wymaga członkostwa w grupie Użytkownicy dziennika wydajności , możesz usunąć je z grupy.

Uprawnienia systemu plików przypisane do konta usługi Analysis Services

Uwaga / Notatka

Zobacz Konfigurowanie kont usług systemu Windows i uprawnień , aby uzyskać listę uprawnień skojarzonych z każdym folderem programu.

Zobacz Konfigurowanie dostępu HTTP do usług Analysis Services w usługach Internet Information Services (IIS) 8.0 , aby uzyskać informacje o uprawnieniach do plików związane z konfiguracją usług IIS i usługami SQL Server Analysis Services.

Wszystkie uprawnienia systemu plików wymagane do operacji serwera, w tym uprawnienia wymagane do ładowania i zwalniania baz danych z wyznaczonego folderu danych, są przypisywane przez Instalatora programu SQL Server podczas instalacji.

Właściciel uprawnień w plikach danych, plikach wykonywalnych pliku programu, plikach konfiguracji, plikach dziennika i plikach tymczasowych jest lokalną grupą zabezpieczeń utworzoną przez instalatora programu SQL Server.

Istnieje jedna grupa zabezpieczeń utworzona dla każdego zainstalowanego wystąpienia. Grupa zabezpieczeń nosi nazwę odpowiadającą wystąpieniu — SQLServerMSASUser$MSSQLSERVER dla domyślnego wystąpienia lub SQLServerMSASUser$<servername>$<instancename> dla nazwanego wystąpienia. Instalator aprowizuje tę grupę zabezpieczeń z uprawnieniami do plików wymaganymi do wykonywania operacji serwera. Jeśli sprawdzisz uprawnienia zabezpieczeń w katalogu \MSAS13\MSSQLSERVER\OLAP\BIN, zobaczysz, że grupa zabezpieczeń (a nie konto usługi lub jego identyfikator SID dla usługi) jest posiadaczem uprawnień w tym katalogu.

Grupa zabezpieczeń zawiera tylko jeden element członkowski: identyfikator zabezpieczeń dla usługi (SID) konta uruchamiania wystąpienia usług SQL Server Analysis Services. Setup dodaje identyfikator SID przypisany do usługi do lokalnej grupy zabezpieczeń. Użycie lokalnej grupy zabezpieczeń z członkostwem SID jest niewielką, ale zauważalną różnicą w sposobie konfigurowania usług Analysis Services przez instalator SQL Server, w porównaniu do silnika bazy danych.

Jeśli uważasz, że uprawnienia do plików są uszkodzone, wykonaj następujące kroki, aby sprawdzić, czy usługa jest nadal poprawnie aprowizowana:

1. Użyj narzędzia wiersza polecenia kontroli usługi (sc.exe), aby uzyskać identyfikator SID domyślnego wystąpienia usługi.

   SC showsid MSSqlServerOlapService

   W przypadku nazwanego wystąpienia (gdzie nazwa wystąpienia jest tabelaryczna), użyj następującej składni:

   SC showsid MSOlap$Tabular

2. Użyj Menedżera komputerów | Lokalni użytkownicy i grupy | Grupy do sprawdzenia członkostwa grupy zabezpieczeń SQLServerMSASUser$<servername>$<instancename>.

   Identyfikator SID członkowskiego powinien być zgodny z identyfikatorem SID usługi z kroku 1.

3. Użyj Windows Explorer | Program Files | Microsoft SQL Server | MSASxx.MSSQLServer | OLAP | bin, aby sprawdzić, czy właściwości zabezpieczeń folderu są przyznane grupie zabezpieczeń w kroku 2.

Uwaga / Notatka

Nigdy nie usuwaj ani nie modyfikuj identyfikatora SID. Aby przywrócić identyfikator SID dla usługi, który został przypadkowo usunięty, zobacz Używanie identyfikatorów SID usługi do udzielania uprawnień do usług w programie SQL Server 2017.

Więcej informacji na temat identyfikatorów SID dla usługi

Każde konto systemu Windows ma skojarzony identyfikator SID, ale usługi mogą również mieć identyfikatory SID, dlatego nazywane identyfikatorami SID poszczególnych usług. Identyfikator SID dla każdej usługi jest tworzony podczas instalacji wystąpienia usługi jako unikatowy i trwały element tej usługi. Identyfikator SID dla usługi to lokalny identyfikator SID na poziomie komputera wygenerowany na podstawie nazwy usługi. W domyślnym wystąpieniu przyjazna nazwa to NT SERVICE\MSSQLServerOLAPService.

Zaletą identyfikatora SID dla usługi jest to, że umożliwia ona dowolną zmianę bardziej widocznego konta logowania bez wpływu na uprawnienia do plików. Załóżmy na przykład, że zainstalowano dwa wystąpienia usług Analysis Services, wystąpienie domyślne i nazwane wystąpienie, które działa w ramach tego samego konta użytkownika systemu Windows. Mimo że konto logowania jest wspólne, każda instancja usługi będzie miała unikalny identyfikator SID przypisany do usługi. Identyfikator SID jest odmienny od identyfikatora SID konta logowania. Identyfikator SID dla usługi jest używany na potrzeby uprawnień do plików i uprawnień systemu Windows. W przeciwieństwie do tego, identyfikator SID konta logowania jest używany do scenariuszy uwierzytelniania i autoryzacji, zaś inne identyfikatory SID służą do różnych celów.

Ponieważ identyfikator SID jest niezmienny, listy ACL systemu plików utworzone podczas instalacji usługi mogą być używane przez czas nieokreślony, niezależnie od częstotliwości zmiany konta usługi. Jako dodatkowa miara zabezpieczeń listy ACL określające uprawnienia za pośrednictwem identyfikatora SID zapewniają dostęp do plików wykonywalnych i folderów danych programu tylko przez pojedyncze wystąpienie usługi, nawet jeśli inne usługi działają na tym samym koncie.

Udzielanie dodatkowych uprawnień usług Analysis Services dla określonych operacji serwera

Usługi SQL Server Analysis Services wykonują niektóre zadania w kontekście zabezpieczeń konta usługi (lub konta logowania), które są używane do uruchamiania usług SQL Server Analysis Services i wykonuje inne zadania w kontekście zabezpieczeń użytkownika, który żąda zadania.

W poniższej tabeli opisano dodatkowe uprawnienia wymagane do obsługi zadań wykonywanych jako konto usługi.

Operacja serwera	Element roboczy	Uzasadnienie
Zdalny dostęp do relacyjnych źródeł danych	Utwórz login do bazy danych dla kontu systemowego	Przetwarzanie odwołuje się do pobierania danych z zewnętrznego źródła danych (zazwyczaj relacyjnej bazy danych), która jest następnie ładowana do bazy danych usług SQL Server Analysis Services. Jedną z opcji poświadczeń do pobierania danych zewnętrznych jest użycie konta usługi. Ta opcja poświadczeń działa tylko wtedy, gdy utworzysz identyfikator logowania bazy danych dla konta usługi i przyznasz uprawnienia do odczytu źródłowej bazy danych. Aby uzyskać więcej informacji na temat sposobu użycia opcji konta usługi dla tego zadania, zobacz Ustawianie opcji personifikacji (SSAS — wielowymiarowe). Podobnie, jeśli ROLAP jest używany jako tryb przechowywania, dostępne są te same opcje personifikacji. W takim przypadku konto musi mieć również dostęp do zapisu do danych źródłowych, aby przetwarzać partycje ROLAP (czyli przechowywać agregacje).
DirectQuery	Utwórz login do bazy danych dla kontu systemowego	DirectQuery to funkcja tabelaryczna używana do wykonywania zapytań względem zewnętrznych zestawów danych, które są zbyt duże, aby zmieścić się w modelu tabelarycznym, lub mają inne cechy, które sprawiają, że tryb DirectQuery jest korzystniejszy niż domyślny opcjalny magazyn w pamięci. Jedną z opcji połączenia dostępnych w trybie DirectQuery jest użycie konta usługi. Po raz kolejny ta opcja działa tylko wtedy, gdy konto usługi ma uprawnienia logowania do bazy danych i odczytu w docelowym źródle danych. Aby uzyskać więcej informacji na temat sposobu użycia opcji konta usługi dla tego zadania, zobacz Ustawianie opcji personifikacji (SSAS — wielowymiarowe). Alternatywnie można użyć poświadczeń bieżącego użytkownika do pobrania danych. W większości przypadków ta opcja wiąże się z połączeniem typu double-hop, dlatego należy skonfigurować konto usługi dla ograniczonego delegowania Kerberos, aby konto usługi mogło delegować tożsamości do serwera podrzędnego. Aby uzyskać więcej informacji, zobacz Configure Analysis Services for Kerberos constrained delegation (Konfigurowanie usług Analysis Services dla ograniczonego delegowania protokołu Kerberos).
Zdalny dostęp do innych wystąpień SSAS	Dodawanie konta usługi do ról bazy danych usług Analysis Services zdefiniowanych na serwerze zdalnym	Partycje zdalne i odwoływanie się do połączonych obiektów w innych zdalnych wystąpieniach usług SQL Server Analysis Services to możliwości systemowe wymagające uprawnień na komputerze zdalnym lub urządzeniu. Gdy osoba tworzy i wypełnia partycje zdalne lub konfiguruje połączony obiekt, ta operacja jest uruchamiana w kontekście zabezpieczeń bieżącego użytkownika. Jeśli następnie zautomatyzujesz te operacje, usługi SQL Server Analysis Services będą uzyskiwać dostęp do wystąpień zdalnych w kontekście zabezpieczeń konta usługi. Aby uzyskać dostęp do połączonych obiektów w zdalnym wystąpieniu usług SQL Server Analysis Services, konto logowania musi mieć uprawnienia do odczytywania odpowiednich obiektów w wystąpieniu zdalnym, takich jak dostęp do odczytu do niektórych wymiarów. Podobnie użycie partycji zdalnych wymaga, aby konto usługi miało uprawnienia administracyjne do wystąpienia zdalnego. Takie uprawnienia są przyznawane na zdalnej instance usług Analysis Services przy użyciu ról, które łączą dozwolone operacje z konkretnym obiektem. Aby uzyskać instrukcje dotyczące udzielania uprawnień pełnej kontroli, które umożliwiają przetwarzanie i wykonywanie zapytań, zobacz Udzielanie uprawnień bazy danych (Analysis Services ). Aby uzyskać więcej informacji na temat partycji zdalnych, zobacz Create and Manage a Remote Partition (Analysis Services) (Tworzenie partycji zdalnych i zarządzanie nią).
Zapisywanie zwrotne	Dodawanie konta usługi do ról bazy danych usług Analysis Services zdefiniowanych na serwerze zdalnym	Po włączeniu funkcji zapisywania zwrotnego w aplikacjach klienckich funkcja zapisywania zwrotnego jest funkcją modeli wielowymiarowych, które umożliwiają tworzenie nowych wartości danych podczas analizy danych. Jeśli zapisywanie zwrotne jest włączone w jakimkolwiek wymiarze lub kostce, konto usługi SQL Server Analysis Services musi posiadać uprawnienia do zapisu w tabeli zapisywania zwrotnego w źródłowej relacyjnej bazie danych programu SQL Server. Jeśli ta tabela jeszcze nie istnieje i należy ją utworzyć, konto usługi SQL Server Analysis Services musi również mieć uprawnienia do tworzenia tabeli w wyznaczonej bazie danych programu SQL Server.
Zapisywanie do tabeli dziennika zapytań w relacyjnej bazie danych SQL Server.	Utwórz identyfikator logowania bazy danych dla konta usługi i przypisz uprawnienia do zapisu w tabeli dziennika zapytań	Rejestrowanie zapytań można włączyć w celu zbierania danych użycia w tabeli bazy danych na potrzeby kolejnej analizy. Konto usługi SQL Server Analysis Services musi mieć uprawnienia do zapisu w tabeli dziennika zapytań w wyznaczonej bazie danych programu SQL Server. Jeśli ta tabela jeszcze nie istnieje i należy ją utworzyć, konto logowania usług SQL Server Analysis Services musi również mieć uprawnienia do tworzenia tabeli w wyznaczonej bazie danych programu SQL Server. Aby uzyskać więcej informacji, zobacz Poprawianie wydajności usług SQL Server Analysis Services za pomocą Kreatora optymalizacji opartej na użyciu (blog).

Treści powiązane

Konfigurowanie kont usług i uprawnień usług systemu Windows
Konto usługi programu SQL Server i identyfikator SID Per-Service (blog)
Używanie identyfikatorów SID serwisu do przyznawania uprawnień serwisom w programie SQL Server 2017
Token dostępu (MSDN)
Identyfikatory zabezpieczeń (MSDN)
Token dostępu (Wikipedia)
Listy kontroli dostępu (Wikipedia)