Segurança do Distributed Replay

Aplica-se a: SQL Server 2016 (13.x) SQL Server 2017 (14.x) SQL Server 2019 (15.x)

Importante

O SQL Server Distributed Replay não está disponível com o SQL Server 2022 (16.x) (versão prévia).

Antes de instalar e usar o recurso Microsoft SQL Server Distributed Replay, examine as informações de segurança importantes neste tópico. Este tópico descreve as etapas de configuração de segurança pós-instalação que são necessárias antes de usar o Distributed Replay. Este tópico também descreve considerações importantes referentes à proteção de dados e etapas de remoção importantes.

Contas de usuário e serviço

A tabela a seguir descreve as contas usadas no Distributed Replay. Depois da instalação do Distributed Replay, atribua as entidades de segurança com que as contas de controlador e serviço cliente serão executadas. Portanto, é recomendável configurar as contas de usuário de domínio correspondentes antes de instalar os recursos do Distributed Replay.

Conta de usuário Requisitos
SQL Server Distributed Replay Pode ser uma conta de usuário de domínio ou uma conta de usuário local. Se você usar uma conta de usuário local, a ferramenta de administração, o controlador e o cliente deverão estar em execução no mesmo computador.

** Observação de segurança ** É recomendável que a conta não seja membro do grupo Administradores local no Windows.
SQL Server Conta de serviço do cliente do Distributed Replay Pode ser uma conta de usuário de domínio ou uma conta de usuário local. Se você usar uma conta de usuário local, o controlador, o cliente e o SQL Server de destino deverão estar em execução no mesmo computador.

** Observação de segurança ** É recomendável que a conta não seja membro do grupo Administradores local no Windows.
Conta de usuário interativa que é usada para executar a ferramenta de administração do Distributed Replay Pode ser uma conta de usuário local ou uma conta de usuário de domínio. Para usar uma conta de usuário local, a ferramenta de administração e o controlador devem estar em execução no mesmo computador.

Importante

Ao configurar o Distributed Replay Controller é possível especificar uma ou mais contas de usuário que serão usadas para executar os serviços de cliente do Distributed Replay. Esta é a lista das contas com suporte:

  • Conta de usuário do domínio

  • Conta de usuário local criada pelo usuário

  • Administrador

  • Conta virtual e MSA (Conta de Serviço Gerenciada)

  • Serviços de rede, serviços locais e sistema

Não são aceitas contas de grupo (local ou domínio) e outras contas internas (como Todos).

Para definir as contas de serviço ou suas senhas depois de instalar o Distributed Replay, você pode usar a ferramenta Serviços do Windows. Para alterar as contas de serviço associadas com serviços de controlador ou cliente do Distributed Replay, siga estas etapas:

  1. Execute um destes procedimentos, dependendo do sistema operacional:

    • Selecione Iniciar, digite services.msc na caixa Pesquisar e pressione ENTER.

    • Selecione Iniciar, clique em Executar, digite services.msc e pressione ENTER.

  2. Na caixa de diálogo Serviços, clique com o botão direito do mouse no serviço a ser configurado e selecione Propriedades.

  3. Na guia Logon, selecione Esta conta.

  4. Configure a conta de usuário a ser usada.

Permissões de arquivo e pasta

Depois que as contas de serviço forem especificadas, conceda as permissões necessárias de arquivo e pasta a essas contas de serviço. Configure permissões de arquivo e pasta de acordo com a seguinte tabela:

Conta Permissões de pasta
SQL Server Distributed Replay <Controller_Installation_Path>\DReplayController (Leitura, Gravação, Exclusão)

DReplayServer.xml arquivo (Leitura, Gravação)
SQL Server Conta de serviço do cliente do Distributed Replay <Client_Installation_Path>\DReplayClient (Leitura, Gravação, Exclusão)

DReplayClient.xml arquivo (Leitura, Gravação)

Os diretórios de trabalho e resultado, conforme especificado no arquivo de configuração de cliente pelos elementos WorkingDirectory e ResultDirectory , respectivamente. (Leitura, Gravação)

Permissões DCOM

O DCOM é usado na RPC (chamada de procedimento remoto) entre o controlador e a ferramenta de administração, e entre o controlador e todos os clientes. Você deve configurar permissões DCOM específicas do aplicativo no computador inteiro no controlador após a instalação de recursos do Distributed Replay.

Para configurar permissões do controlador DCOM, siga estas etapas:

  1. Abra dcomcnfg.exe, o snap-in de Serviços de componentes: Essa é a ferramenta usada para configurar permissões DCOM.

    1. No computador do controlador, selecione Iniciar.

    2. Tipo dcomcnfg.exe na caixa Pesquisa .

    3. Pressione ENTER.

  2. Configurar permissões DCOM em todo o computador: conceda as permissões DCOM correspondentes no computador inteiro para cada conta listada na tabela a seguir. Para obter mais informações sobre como definir permissões no computador inteiro, confira Lista de verificação: Gerenciar aplicativos DCOM.

  3. Configurar as permissões DCOM específicas do aplicativo: conceda as permissões DCOM específicas do aplicativo correspondentes para cada conta listada na tabela a seguir. O nome do aplicativo DCOM para o serviço do controlador é DReplayController. Para obter mais informações sobre como definir permissões específicas do aplicativo, veja Lista de verificação: Gerenciar aplicativos DCOM.

A seguinte tabela descreve quais permissões DCOM são necessárias para a conta de usuário interativa da ferramenta de administração e para as contas de serviço cliente:

Recurso Conta Permissões DCOM necessárias no controlador
Ferramenta de administração Distributed Replay A conta de usuário interativa Acesso local

Acesso remoto

Inicialização local

Inicialização remota

Ativação local

Ativação remota
Distributed Replay Client SQL Server Conta de serviço do cliente do Distributed Replay Acesso local

Acesso remoto

Inicialização local

Inicialização remota

Ativação local

Ativação remota

Importante

Para ajudar a proteger contra consultas mal-intencionadas ou ataques de negação de serviço, verifique se está usando apenas uma conta de usuário de confiança para a conta de serviço do cliente. Esta conta poderá se conectar e reproduzir cargas de trabalho na instância de destino do SQL Server.

Permissões do SQL Server

As contas de serviço de cliente do SQL Server Distributed Replay são usadas na conexão à instância de destino da carga de trabalho do SQL Server. Apenas o modo de Autenticação do Windows tem suporte para essas conexões.

Depois de instalar o serviço de cliente do SQL Server Distributed Replay em um conjunto de computadores, conceda à entidade de segurança usada para essas contas de serviço a função de servidor sysadmin na instância do SQL Server em que você pretende reproduzir a carga de trabalho de rastreamento. Esta etapa não é executada automaticamente durante a Instalação do Distributed Replay.

Proteção de dados

No ambiente do Distributed Replay, é concedido total acesso das seguintes contas de usuário à instância de servidor de destino do SQL Server, aos dados de rastreamento de entrada e aos arquivos de rastreamento de resultado:

  • A conta de usuário interativa que é usada para executar a ferramenta de administração.

  • A conta de serviço do controlador.

  • A conta de serviço do cliente.

  • Membros do grupo Administradores local no controlador.

  • Membros do grupo Administradores local nos clientes.

    Importante

    Estas contas têm total acesso a PII (informações pessoalmente identificáveis) ou a informações confidenciais que estão contidas nos arquivos de rastreamento, intermediários, de distribuição ou de dados do SQL Server que foram usados pelo Distributed Replay.

É recomendável adotar estas medidas de segurança:

  • Armazene os dados de rastreamento de entrada, os resultados de rastreamento de saída e os arquivos de banco de dados em um local que use o NTFS (sistema de arquivos NTFS) e aplique as ACLs (listas de controle de acesso) apropriadas. Se for preciso, criptografe os dados que são armazenados no computador do SQL Server. Lembre-se de que ACLs não são aplicados aos arquivos de rastreamento e não há mascaramento de dados ou ofuscação. Você deve excluir estes arquivos rapidamente após usá-los.

  • Aplique as ACLs apropriadas e a política de retenção a todos os arquivos intermediários e de distribuição gerados através do Distributed Replay.

  • Use o protocolo TLS, anteriormente conhecido como protocolo SSL, para ajudar a proteger o transporte de rede.

Etapas de remoção importantes

É recomendável usar o Distributed Replay apenas em um ambiente de teste. Após concluir os testes, e antes de provisionar esses computadores para uma tarefa diferente, siga estes procedimentos:

  • Desinstale recursos do Distributed Replay e remova os arquivos de configuração relacionados do controlador e de todos os clientes.

  • Exclua qualquer arquivo de rastreamento, intermediário, de distribuição e de banco de dados do SQL Server que tenham sido usados em testes. Os arquivos intermediários e de distribuição são armazenados no diretório de trabalho no controlador e no cliente, respectivamente.

Confira também