Compartilhar via

  • Artigo

Alterações de segurança no SQL Server 2008

A partir do SQL Server 2005, foram implementadas alterações significativas para garantir que o SQL Server fosse mais seguro do que as versões anteriores. As alterações incluíram uma estratégia “segura por design, segura por padrão e segura na implantação” projetada para ajudar a proteger a instância do servidor e seus bancos de dados contra ataques de segurança.

O SQL Server 2008 apresenta aperfeiçoamentos de segurança adicionais. O SQL Server 2008 também aproveita as alterações dos sistemas operacionais mais recentes da Microsoft, como o UAC (Controle de Conta de Usuário), encontrado no Windows Vista e no Windows Server 2008. As seguintes alterações feitas no SQL Server 2008 diminuem as áreas da superfície e de ataque do SQL Server e de seus bancos de dados instituindo uma diretiva de privilégios mínimos, além de aumentar a separação entre administradores do Windows e administradores do SQL Server.

  • Por padrão, o Grupo do Windows BUILTIN\Administrador deixarão de ser incluídos na função de servidor fixa sysadmin do SQL Server em novas instalações do SQL Server 2008.

    Observação importanteImportante

    Se seus processos ou código dependem do acesso ao grupo local BUILTIN\Administrador do Windows, você deverá conceder explicitamente a permissão para logon no SQL Server. Já não é mais concedido automaticamente às contas o acesso ao SQL Server devido à sua associação ao grupo Administrador do Windows. Se você não incluir pelo menos um usuário na função sysadmin, ocorrerá o bloqueio da instância do SQL Server. Para obter mais informações, consulte Configuração do Mecanismo de Banco de Dados – Provisionamento de conta e Configuração do Analysis Services - Provisionamento de conta.

  • Os grupos do Windows criados para serem usados pelo serviço do SQL Server, como SQLServerMSSQLUser$ COMPUTERNAME $ INSTANCENAMEe SQLServerSQLAgentUser$ COMPUTERNAME $ INSTANCENAME, não serão mais incluídos na função de servidor fixa sysadmin. Em vez disso, a conta de serviço que é usada para iniciar o serviço do SQL Server e o serviço SQL Server Agent tem direitos sysadmin concedidos individualmente no SQL Server. Quando o SQL Server for instalado nos sistemas operacionais Windows Server 2008 ou Windows Vista, um serviço SID será provisionado como membro da função de servidor fixa sysadmin. Para obter mais informações, consulte Configurando as contas de serviço do Windows.

  • A ferramenta SAC (Configuração da Área de Superfície) foi eliminada e substituída pelo recurso de Gerenciamento com Base em Diretivas e por alterações na ferramenta Gerenciador de Configurações do SQL Server.

  • O suporte para autenticação Kerberos foi expandido e agora inclui pipes nomeados e memória compartilhada, além do TCP/IP.

Essas alterações afetarão seu planejamento de segurança para o SQL Server e permitirão que você crie um perfil de segurança mais abrangente para o sistema.

Alterações em grupos locais do Windows

Vários grupos locais do Windows são criados durante o processo de instalação do SQL Server. As contas de serviços usadas para iniciar os serviços do SQL Server (ou SIDs de serviços, se disponíveis) foram colocadas nesses grupos locais. Esses grupos de serviços são usados como um mecanismo de controle de acesso aos recursos do SQL Server e os privilégios ou direitos apropriados são concedidos a eles durante a instalação. Somente as contas de serviço do SQL Server e do SQL Server Agent recebem associação à função de servidor fixa sysadmin. Para obter mais informações, consulte Configurando as contas de serviço do Windows.

Alterações nas ferramentas de controle da superfície

Introduzida no SQL Server 2005, a Configuração da Área da Superfície lhe permitia habilitar ou desabilitar recursos que concediam acesso a componentes e opções de configuração do SQL Server.

A partir do SQL Server 2008, a ferramenta Configuração da Área da Superfície foi removida. Os recursos da ferramenta que controlam o comportamento do SQL Server foram substituídos e altamente aprimorados no recurso Gerenciamento Baseado em Diretivas. O recurso permite que você crie diretivas para componentes do SQL Server e as aplique de forma granular às entidades e funções do SQL Server. Para obter mais informações sobre o recurso Gerenciamento Baseado em Diretivas, consulte Administrando servidores com Gerenciamento Baseado em Diretivas.

Os recursos de gerenciamento de conectividade da ferramenta Configuração da Área da superfície estão disponíveis com a ferramenta Gerenciador de Configurações. Para obter mais informações sobre essa ferramenta, consulte SQL Server Configuration Manager.

Autenticação Kerberos

A partir do SQL Server 2008, o suporte para autenticação Kerberos é expandido para incluir os pipes nomeados e os protocolos de memória compartilhada. Além disso, o Kerberos pode ser usado sem o Windows Active Directory. Para obter mais informações, consulte Autenticação Kerberos e SQL Server.