使用最低特权操作 Azure Arc 启用的 SQL Server

适用范围：SQL Server

最低特权的信息安全原则认为，应仅向用户和应用程序授予对执行其作业所需的数据和操作的访问权限。使用由 Azure Arc 启用的 SQL Server 后，可使用最低特权运行代理扩展服务。本文介绍如何使用最低特权运行代理扩展服务。

请按照本文中介绍的步骤，配置使用最低特权运行该服务（可选）。目前，该服务不自动使用最低特权运行。

注意

具有扩展（从 2024 年 11 月版本或更高版本开始）的现有服务器将自动应用最低特权配置。此应用将逐渐实现。

要防止自动应用最低特权，请阻止将扩展升级到 2024 年 11 月版本。

配置代理扩展服务使用最低特权运行后，它使用 NT Service\SQLServerExtension 服务帐户。

NT Service\SQLServerExtension 帐户为本地的 Windows 服务帐户：

启用最低特权选项后，由适用于 SQL Server 的 Azure Extension 创建和管理。
在 Windows 操作系统上已授予运行适用于 SQL Server 服务的 Azure 扩展所需的最低权限和特权。仅有权访问用于读取和存储配置或写入日志的文件夹和目录。
利用专供具有最低所需权限的服务帐户使用的新登录，在 SQL Server 中授予的连接和查询权限。最低权限取决于启用的功能。
当权限不再是必需时更新。例如，如果禁用某项功能、禁用最低特权配置或卸载适用于 SQL Server 的 Azure 扩展，则会撤销权限。吊销可确保不再需要权限后，权限不再存在。

先决条件

本部分介绍完成本文中的示例所需的系统需求和工具。

具有最低特权的配置需要以下条件：

Linux 目前不支持具有最低特权的配置。

若要完成本文中的步骤，需要以下工具：

如果验证是否将 Azure Arc 启用的 SQL Server 配置为使用最低特权运行：

在 Windows 服务中，找到 Windows SQL Server 扩展服务服务。验证服务是否在下方作为服务帐户 NT Service\SqlServerExtension 运行。 
在服务器中打开任务计划程序，并检查在 Microsoft\SqlServerExtension 下创建名为 SqlServerExtensionPermissionProvider 的事件驱动任务。

注意

在 2024 年 7 月发布之前，SqlServerExtensionPermissionProvider 是一项计划任务。每小时运行一次。

在服务器中打开任务计划程序，并检查在 Microsoft\SqlServerExtension 下创建名为 SqlServerExtensionPermissionProvider 的计划任务。
打开 SQL Server Management Studio 并检查名为 NT Service\SqlServerExtension 的登录。验证是否为帐户分配以下权限：
- 连接 SQL
- 查看数据库状态
- 查看服务器状态

使用以下查询验证权限：

请运行以下查询，验证服务器级别权限：

EXECUTE AS LOGIN = 'NT Service\SqlServerExtension'  
SELECT * FROM fn_my_permissions (NULL, 'SERVER");

若要验证数据库级别权限，请将 <database name> 替换为其中一个数据库的名称，然后运行以下查询：

EXECUTE AS LOGIN = 'NT Service\SqlServerExtension'  
USE <database name>; 
SELECT * FROM fn_my_permissions (NULL, 'database");