Aracılığıyla paylaş

SQL Server Agent güvenliğini uygulama

Şunlar için geçerlidir:SQL ServerAzure SQL Yönetilen Örneği

Önemli

Azure SQL Managed Instanceüzerinde, SQL Server Agent özelliklerinin çoğu şu anda desteklenmektedir fakat hepsi değil. Ayrıntılar için bkz. SQL Yönetilen Örneği'nde SQL Server veya SQL Aracısı iş sınırlamalarından Azure SQL Yönetilen Örneği T-SQL farkları .

SQL Server Aracısı, veritabanı yöneticisinin her iş adımını yalnızca bir SQL Server Aracısı ara sunucusu tarafından belirlenen bu iş adımını gerçekleştirmek için gereken izinlere sahip bir güvenlik bağlamında çalıştırmasına olanak tanır. Belirli bir iş adımının izinlerini ayarlamak için, gerekli izinlere sahip bir ara sunucu oluşturur ve ardından bu proxy'yi iş adımına atarsınız. Birden fazla iş adımı için bir ara sunucu belirtilebilir. Aynı izinleri gerektiren iş adımları için aynı ara sunucuyu kullanırsınız.

Aşağıdaki bölümde, SQL Server Agent kullanarak iş oluşturabilmeleri veya yürütebilmeleri için kullanıcılara hangi veritabanı rolünü vermeniz gerektiği açıklanmaktadır.

SQL Server Aracısı'na erişim izni verme

SQL Server Aracısı'nı kullanmak için kullanıcıların aşağıdaki sabit veritabanı rollerinden birinin veya daha fazlasının üyesi olması gerekir:

  • SQLAgentUserRole
  • SQLAgentReaderRole
  • SQLAgentOperatorRole

Bu roller veritabanında depolanır msdb . Varsayılan olarak, hiçbir kullanıcı bu veritabanı rollerinin üyesi değildir. Bu rollerdeki üyelikler açıkça verilmelidir. Sysadmin sabit sunucu rolünün üyesi olan kullanıcıların SQL Server Aracısı'na tam erişimi vardır ve SQL Server Aracısı'nı kullanmak için bu sabit veritabanı rollerinin üyesi olması gerekmez. Kullanıcı bu veritabanı rollerinden birinin veya sysadmin rolünün üyesi değilse, SQL Server Management Studio kullanarak SQL Server'a bağlandığında SQL Server Aracısı düğümü bu kullanıcılar tarafından kullanılamaz.

Bu veritabanı rollerinin üyeleri sahip oldukları işleri görüntüleyebilir ve yürütebilir ve var olan bir proxy hesabı olarak çalışan iş adımları oluşturabilir. Bu rollerin her biriyle ilişkili belirli izinler hakkında daha fazla bilgi için bkz. SQL Server Agent sabit veritabanı rolleri.

Sysadmin sabit sunucu rolünün üyeleri ara sunucu hesapları oluşturma, değiştirme ve silme iznine sahiptir. Sysadmin rolünün üyeleri ara sunucu belirtmeyen iş adımları oluşturma iznine sahiptir, bunun yerine SQL Server Aracısı'nı başlatmak için kullanılan hesap olan SQL Server Aracısı hizmet hesabı olarak çalışır.

Yönergeler

SQL Server Agent uygulamanızın güvenliğini artırmak için şu yönergeleri izleyin:

  • Proxy'ler için özel olarak ayrılmış kullanıcı hesapları oluşturun ve bu proxy kullanıcı hesaplarını yalnızca iş adımlarını çalıştırmak için kullanın.

  • Yalnızca proxy kullanıcı hesapları için gerekli izinleri verin. Yalnızca belirli bir proxy hesabına atanan iş adımlarını çalıştırmak için gereken izinleri verin.

  • SQL Server Agent hizmetini Windows Administrators grubunun üyesi olan bir Microsoft Windows hesabı altında çalıştırmayın.

  • Proxy'ler yalnızca SQL Server kimlik bilgisi deposu kadar güvenlidir.

  • Kullanıcı yazma işlemleri Windows Server Olay günlüğüne yazabiliyorsa, SQL Server Aracısı aracılığıyla uyarı oluşturabilir.

  • Windows Server Yönetici hesabını hizmet hesabı veya ara sunucu hesabı olarak belirtmeyin.

  • SQL Server ve SQL Server Aracısı birbirlerinin varlıklarına erişebilir. İki hizmet tek bir işlem alanını paylaşır ve SQL Server Aracısı SQL Server hizmetinde sysadmin'dir.

  • Çok sunuculu ortam oluşturma bir MSX (ana sunucu) ile listelendiğinde, MSX sysadmins SQL Server'ın TSX örneği üzerinde tam denetime sahip olur.

  • ACE bir uzantıdır ve kendisini çağıramaz. Zincirleyici ScenarioEngine.exe (olarak Microsoft.SqlServer.Chainer.Setup.exeda bilinir) ACE'i çağırabilir. Diğer konak işlemleri de ACE'yi çağırabilir.

  • ACE, SSDP'nin sahip olduğu aşağıdaki yapılandırma DLL'lerine bağlıdır çünkü bu DLL'lerin API'leri ACE tarafından çağrılır:

    • Sanal hesaplar için yeni SCO doğrulamaları dahil olmak üzere SCO - Microsoft.SqlServer.Configuration.Sco.dll

    • Küme - Microsoft.SqlServer.Configuration.Cluster.dll

    • SFC - Microsoft.SqlServer.Configuration.SqlConfigBase.dll

    • Uzantı - Microsoft.SqlServer.Configuration.ConfigExtension.dll

Bağlı sunucular

Azure SQL Yönetilen Örneği nedir? gibi bazı senaryolarda, bağlı bir sunucu aracılığıyla uzak sunucuda Transact-SQL (T-SQL) sorgusu yürüten bir SQL Aracısı işi çalıştırmak için, yerel oturum açma bilgilerini uzak sunucudaki bir oturum açmayla eşlemeniz gerekir.

T-SQL sorgusunu yürütmek için gerekli izne sahip uzak sunucudaki oturum açma bilgileriyle yerel sunucudaki oturum açma bilgileri arasında eşleme oluşturmak için sp_addlinkedsrvlogin kullanın. SQL Aracısı işi bağlı sunucu aracılığıyla uzak sunucuya bağlandığında, uzaktan oturum açma bağlamında T-SQL sorgusunu yürütür.

Aşağıdaki tabloda, Azure SQL Yönetilen Örneği'nde SQL Aracısı iş sahibine göre oturum açma bilgilerinin nasıl eşleneceği açıklanmaktadır:

SQL Agent görev sahibi Oturum açma bilgilerini eşleme
Sysadmin olmayan kullanıcı SQL Aracısı işinin sahibi olan yerel kullanıcıyı uzaktan oturum açma bilgileriyle eşleyin.
sysadmin Tüm yerel kullanıcıları uzak oturum açma için eşlemek amacıyla @locallogin parametresini NULL olarak ayarlayın.

Yerel sunucu Azure SQL Yönetilen Örneği olduğunda, SQL Agent işleri için uzak sunucuda oturum açma bilgileri oluşturulması gerekir. Kullanıcıların doğru eşlenememesi aşağıdaki örnekler gibi hatalara neden olabilir:

  • Windows logins are not supported in this version of SQL Server
  • Linked servers cannot be used under impersonation without a mapping for the impersonated login

İlgili içerik

  • Last updated on