Share via

  • 项目

SQL Server 2008 安全更改

从 SQL Server 2005 开始，为了确保 SQL Server 比其早期版本更为安全，进行了一些重大的更改。这些更改秉承了“设计安全、默认安全、部署安全”的策略，目的在于帮助保护服务器实例及其数据库免受安全攻击。

SQL Server 2008 引入了其他安全改进。SQL Server 2008 还利用 Microsoft 推出的最新操作系统中的更改，例如 Windows Vista 和 Windows Server 2008 中的用户帐户控制 (UAC)。SQL Server 2008 中引入的以下更改可减少 SQL Server 及其数据库的外围应用和攻击区域（通过制定“最低特权”策略），并可提高 Windows 管理员与 SQL Server 管理员之间的分离程度：

  • 默认情况下，本地 Windows 组 BUILTIN\Administrator 不再包含在新的 SQL Server 2008 安装上的 SQL Server sysadmin 固定服务器角色中。

    重要说明重要提示

    如果您的进程或代码依赖于 Windows BUILTIN\Administrator 本地组访问权限，则您必须显式授予登录 SQL Server 的权限。属于 Windows Administrator 组的帐户将不再自动获得对 SQL Server 的访问权限。如果 sysadmin 角色中不包括任何用户，您将无法使用 SQL Server 实例。有关详细信息，请参阅数据库引擎配置 - 帐户设置和 Analysis Services 配置 – 帐户设置。

  • sysadmin 固定服务器角色不再包含为了用于 SQL Server 服务而创建的 Windows 组，如 SQLServerMSSQLUser$ COMPUTERNAME $ INSTANCENAME和 SQLServerSQLAgentUser$ COMPUTERNAME $ INSTANCENAME。在 SQL Server 中，会分别为用于启动 SQL Server 服务和 SQL Server 代理服务的服务帐户授予 sysadmin 权限。当在 Windows Server 2008 或 Windows Vista 操作系统上安装 SQL Server 时，服务 SID 是作为 sysadmin 固定服务器角色的成员进行设置的。有关详细信息，请参阅设置 Windows 服务帐户。

  • 已删除外围应用配置器 (SAC) 工具，取而代之的是 SQL Server 配置管理器工具中的基于策略的管理功能和更改。

  • 对 Kerberos 身份验证的支持已扩展，现在除了包括 TCP/IP，还包括 named pipes 和共享内存。

这些更改将影响您的 SQL Server 安全规划，并使您可为系统创建更全面的安全配置文件。

Windows 本地组更改

SQL Server 安装过程中会创建几个 Windows 本地组。以前用于启动 SQL Server 服务的服务帐户（或者服务 SID，如可用）放在这些本地组中。这些服务组用作访问 SQL Server 所拥有资源的访问控制机制，并会在安装期间为这些服务组授予适当的权限。仅向 SQL Server 服务和 SQL Server 代理服务帐户授予 sysadmin 固定服务器角色的成员身份。有关详细信息，请参阅设置 Windows 服务帐户。

外围控制工具更改

外围应用配置器在 SQL Server 2005 中引入，用于启用或禁用授予对 SQL Server 组件和配置选项的权限的功能。

从 SQL Server 2008 开始，已删除外围应用配置器工具。外围应用配置器工具中控制 SQL Server 行为的功能已被基于策略的管理功能取代，后者功能大大增强。使用此功能，可以为 SQL Server 组件创建策略，并从较细的层面将它们应用于 SQL Server 内的主体和角色。有关基于策略的管理功能的详细信息，请参阅使用基于策略的管理来管理服务器。

通过使用配置管理器工具可以使用外围应用配置器工具的连接管理功能。有关此工具的详细信息，请参阅 SQL Server 配置管理器。

Kerberos 身份验证

从 SQL Server 2008 开始，对 Kerberos 身份验证的支持已扩展，现在包括 named pipes 和 Shared Memory 协议。此外，无需 Windows Active Directory 即可使用 Kerberos。有关详细信息，请参阅Kerberos 身份验证与 SQL Server。

身份验证的扩展保护

从 SQL Server 2008 R2 开始，对于支持扩展保护的操作系统，提供通过使用渠道绑定和服务绑定对身份验证的扩展保护的支持。有关详细信息，请参阅使用扩展保护连接到数据库引擎。