共用方式為

規劃管理者帳戶和服務帳戶 (Office SharePoint Server)

  • 發行項

本文內容：

  • 關於管理帳戶和服務帳戶

  • 單一伺服器標準需求

  • 伺服器陣列標準需求

  • 使用網域使用者帳戶時的最低權限管理需求

  • 使用 SQL 驗證時的最低權限管理需求

  • 連線至預先建立的資料庫時的最低權限管理需求

  • 技術參考：依案例的不同帳戶需求

本文說明您必須規劃的帳戶，並說明會影響帳戶需求的部署案例。

請配合下列規劃工具使用本文：Office SharePoint Server 安全性帳戶需求 (英文) (https://go.microsoft.com/fwlink/?linkid=92883&clcid=0x404) 。此規劃工具會根據部署案例，列出每個帳戶的需求。這些需求也會列於本文的＜技術參考：依案例的不同帳戶需求＞一節。

帳戶需求會詳細列出在執行安裝程式之前，所需要授與的特定權限。在某些情況下，執行安裝程式時自動授與的其他權限，也會附註在規劃工具中。

本文不說明 Microsoft Office SharePoint Server 2007 中使用單一登入 (SSO) 的帳戶需求。如需詳細資訊，請參閱＜規劃單一登入＞。

本文不說明管理 Office SharePoint Server 2007 所需的安全性角色及權限。如需詳細資訊，請參閱＜規劃安全性角色 (Office SharePoint Server)＞。

關於管理帳戶和服務帳戶

本節列出並說明您必須規劃的帳戶。這些帳戶會根據範圍來群組。如果帳戶具有限定的範圍，您可能需要為此類別規劃多個帳戶。

例如，如果您要實作多個共用服務提供者 (SSP)，則必須指定多個 SSP 帳戶。

完成安裝及設定帳戶之後，請確定並未使用「本機系統」帳戶來執行管理工作或瀏覽網站。例如，請勿使用執行安裝程式所使用的相同帳戶來執行管理工作。

伺服器陣列層級帳戶

下表說明用以設定 Microsoft SQL Server 資料庫軟體及安裝 Office SharePoint Server 2007 的帳戶。

帳戶 用途

SQL Server 服務帳戶

SQL Server 會在 SQL Server 安裝期間提示輸入此帳戶。此帳戶可用作下列 SQL Server 服務的服務帳戶：

  • MSSQLSERVER

  • SQLSERVERAGENT

如果您不是使用預設執行個體，則這些服務會顯示為：

  • MSSQL$*InstanceName*

  • SQLAgent$*InstanceName*

安裝程式使用者帳戶

用以執行下列項目的使用者帳戶：

  • 每部伺服器電腦上的安裝程式

  • SharePoint 產品及技術設定精靈

  • Psconfig 命令列工具

  • Stsadm 命令列工具

伺服器陣列帳戶

此帳戶又稱為資料庫存取帳戶。

此帳戶為：

  • SharePoint 管理中心網站的應用程式集區身分識別。

  • Windows SharePoint Services 計時器服務的處理序帳戶。

SSP 帳戶

下表說明用以安裝及設定 SSP 的帳戶。每一個規劃要實作的 SSP，都要為其規劃一組 SSP 帳戶。

帳戶 用途

SSP 應用程式集區帳戶

SSP 管理網站應用程式集區帳戶。此帳戶可用以執行架設 SSP 管理網站之 Web 應用程式的應用程式集區。

SSP 服務帳戶

在下列情況中使用：

  • 用於伺服器間通訊的 SSP Web 服務

  • 與指定 SSP 相關的虛擬目錄建立關聯之應用程式集區的應用程式集區身分識別

Office SharePoint Server 搜尋服務帳戶

用作 Office SharePoint Server 搜尋服務的服務帳戶。此服務僅有一個執行個體，所有的 SSP 會使用該執行個體將內容索引檔案寫入索引伺服器上的索引位置，並將可搜尋的索引傳播到 Microsoft Office SharePoint Server 2007 伺服器陣列中的所有查詢伺服器。

預設的內容存取帳戶

除非編目規則另行指定其他的 URL 或 URL 模式驗證方法，否則在特定 SSP 內編目內容會使用預設帳戶。

內容存取帳戶

設定以存取內容來源的特定帳戶。此帳戶為選擇性，並會在建立新的編目規則時指定。例如，對 Office SharePoint Server 2007 而言的外部內容來源 (例如檔案共用)，可能會需要不同的存取帳戶。

設定檔匯入預設存取帳戶

用以：

  • 連線至目錄服務，例如 Active Directory 目錄服務、輕量型目錄存取通訊協定 (LDAP) 目錄、商務資料目錄應用程式或其他目錄來源。

  • 從目錄服務匯入設定檔資料。

若未指定任何帳戶，即會使用預設的內容存取帳戶。若預設的內容存取帳戶沒有資料匯入來源目錄的讀取權限，請規劃使用其他帳戶。您最多可以為每個目錄連線規劃一個帳戶。

Excel Services 自動服務帳戶

Excel Calculation Services 用以連線至外部資料來源的帳戶，需要一個非 Windows 使用者名稱和密碼字串以進行驗證。如果未設定此帳戶，Excel Services 即不會嘗試連線至這些資料來源類型。雖然帳戶認證會用以連線至非 Windows 資料來源，但是此帳戶仍必須是網域的成員，以供 Excel Calculation Services 使用。

Windows SharePoint Services 搜尋帳戶

下表說明用以安裝及設定 Windows SharePoint Services 搜尋的帳戶。在 Office SharePoint Server 2007 中，因為此服務是用來提供說明的搜尋功能，所以稱為 Windows SharePoint Services 說明搜尋服務。如果您要安裝 Office SharePoint Server 2007，僅在規劃要實作搜尋說明內容的服務時，才需要規劃這些帳戶。

帳戶 用途

Windows SharePoint Services 搜尋服務帳戶

用作 Windows SharePoint Services 說明搜尋服務的服務帳戶。在伺服器陣列中，此服務僅有一個執行個體，該執行個體會用來將內容索引檔案寫入索引伺服器上的索引位置，並將可搜尋的索引傳播到 Office SharePoint Server 2007 伺服器陣列中的所有查詢伺服器。

Windows SharePoint Services 搜尋內容存取帳戶

Windows SharePoint Services 搜尋應用程式伺服器角色會使用此帳戶在網站之間編目內容。

其他應用程式集區身分識別帳戶

如果您建立其他應用程式集區來架設網站，請規劃其他應用程式集區身分識別帳戶。下表說明應用程式集區身分識別帳戶。為每個您規劃要實作的應用程式集區，規劃一個應用程式集區帳戶。

帳戶 用途

應用程式集區身分識別

提供應用程式集區服務的工作者處理序使用者帳戶，以用作其處理序身分識別。此帳戶會用來存取應用程式集區中，與 Web 應用程式相關的內容資料庫。

單一伺服器標準需求

如果您要部署至單一伺服器電腦，帳戶需求會大幅減少。在評估環境中，您可以將單一帳戶用於所有的帳戶目的。在實際執行環境中，請確定所建立的帳戶具有其目的的適當權限。

如需單一伺服器環境的帳戶權限清單，請參閱 Office SharePoint Server 安全性帳戶需求 (英文) (https://go.microsoft.com/fwlink/?linkid=92883&clcid=0x404) 的規劃工具，或檢視本文＜技術參考：依案例的不同帳戶需求＞一節中所列的需求。

伺服器陣列需求

如果您要部署至多部伺服器電腦，請使用伺服器陣列標準需求，以確保帳戶擁有適當的權限在多部電腦間執行其程序。伺服器陣列標準需求詳細列出在伺服器陣列環境中運作所需的基本設定。為取得更安全的環境，請考慮採用使用網域使用者帳戶的最低權限管理需求。

如需伺服器陣列環境的標準需求清單，請參閱 Office SharePoint Server 安全性帳戶需求 (英文) (https://go.microsoft.com/fwlink/?linkid=92883&clcid=0x404) 的規劃工具，或檢視本文＜技術參考：依案例的不同帳戶需求＞一節中所列的需求。

對於某些帳戶，執行安裝程式時會設定其他權限或資料庫存取權。這些會附註在帳戶規劃工具中。新增 WSS_Content_Application_Pools 資料庫角色，是資料庫管理員必須瞭解的重要設定。安裝程式會將此角色新增至下列資料庫：

  • SharePoint_Config 資料庫 (設定資料庫)

  • SharePoint_AdminContent 資料庫

授與 WSS_Content_Application_Pools 資料庫角色的成員資料庫預存程序子集的執行權限。此外，也授與此角色成員 SharePoint_AdminContent 資料庫「版本」表 (dbo.Versions) 的選取權限。

至於其他資料庫，帳戶規劃工具會指示自動設定這些資料庫的讀取權限。在某些情況下，也會自動設定資料庫的限制寫入權限。設定預存程序的權限，可提供此存取權。以 SharePoint_Config 資料庫為例，下列預存程式的存取權會自動設定：

  • proc_dropEmailEnabledList

  • proc_dropEmailEnabledListsByWeb

  • proc_dropSiteMap

  • proc_markForDeletionEmailEnabledList

  • proc_markForDeletionEmailEnabledListsBySite

  • proc_markForDeletionEmailEnabledListsByWeb

  • proc_putDistributionListToDelete

  • proc_putEmailEnabledList

  • proc_putSiteMap

使用網域使用者帳戶時的最低權限管理需求

最低權限管理是建議的安全性作法，其僅會提供每項服務或使用者所需的基本權限，以完成授權執行的工作。這表示僅會授與每項服務權限，以存取其目的所需的資源。達成此設計目標的基本需求包括：

  • 不同服務和程序使用不同帳戶。

  • 不以本機管理員權限執行服務或處理序帳戶。

透過為每個服務使用不同的服務帳戶，並限制指定給每個帳戶的權限，即可減少惡意使用者或程序危害環境的機會。

在大部分環境中，建議使用網域使用者帳戶的最低權限管理進行設定。

如需使用網域使用者帳戶的最低權限管理需求清單，請參閱 Office SharePoint Server 安全性帳戶需求 (英文) (https://go.microsoft.com/fwlink/?linkid=92883&clcid=0x404) 的規劃工具，或檢視本文＜技術參考：依案例的不同帳戶需求＞一節中所列的需求。

使用 SQL 驗證時的最低權限管理需求

在要求 SQL 驗證的環境中，您可以遵循最低權限管理的原則。案例內容：

  • SQL 驗證用於每個建立的資料庫。

  • 所有其他管理與服務帳戶會建立為網域使用者帳戶。

安裝與設定

使用 SQL 驗證需要其他安裝與設定：

  • 所有資料庫帳戶必須建立為 SQL Server 2000 Enterprise Manager 或 SQL Server 2005 Management Studio 中的 SQL Server 登入帳戶。在建立任何資料庫 (包括設定資料庫和 AdminContent 資料庫) 之前，必須建立這些帳戶。

  • 您必須使用 Psconfig 命令列工具來建立設定資料庫和 SharePoint_AdminContent 資料庫。但不能使用 SharePoint 產品及技術設定精靈來建立這些資料庫。若要建立伺服器陣列或將電腦加入伺服器陣列，請將為這些資料庫建立的 SQL Server 登入，指定為 dbusername 和 dbpassword****。這兩個資料庫會使用相同的 SQL Server 登入進行存取。

  • 您可以選取 [SQL 驗證] 選項，以在管理中心內建立其他內容資料庫。不過，您必須先在 SQL Server 2000 Enterprise Manager 或 SQL Server 2005 Management Studio 中建立 SQL Server 登入帳戶。

  • 使用安全通訊端階層 (SSL) 或網際網路通訊協定安全性 (IPsec) 來保護所有與資料庫伺服器的通訊。

使用 SQL 驗證時：

  • SQL Server 登入帳戶在網頁伺服器和應用程式伺服器的登錄中會加密。

  • 伺服器陣列帳戶不會用來存取設定資料庫和 SharePoint_AdminContent 資料庫。請改用對應的 SQL Server 登入帳戶。

建立服務與管理帳戶

如需使用 SQL 驗證的最低權限管理需求清單，請參閱 Office SharePoint Server 安全性帳戶需求 (英文) (https://go.microsoft.com/fwlink/?linkid=92883&clcid=0x404) 的規劃工具，或檢視本文＜技術參考：依案例的不同帳戶需求＞一節中所列的需求。

建立 SQL Server 登入

建立資料庫之前，請建立每個資料庫的 SQL Server 登入。為設定資料庫和 SharePoint_AdminContent 資料庫建立兩項登入。為每個內容資料庫各建立一項登入。

下表列出必須建立的登入。[登入] 欄表示為 SQL Server 登入指定或建立的帳戶。對於第一項登入，您必須輸入安裝程式使用者帳戶。對於所有其他登入，請建立新的 SQL Server 登入帳戶。[登入] 欄會為這些登入提供一個範例帳戶名稱。

登入 資料庫 SQL 權限

安裝程式使用者帳戶

設定資料庫和 SharePoint_AdminContent 資料庫

建立登入時指定 Windows 驗證。

<*ConfigAdminDBAcc*>

設定資料庫和 SharePoint_AdminContent 資料庫

  • 建立登入時指定 SQL 驗證。

  • 指定 dbcreator 伺服器角色。

<*SSP_DB_Acc*>

SSP 資料庫

  • 建立登入時指定 SQL 驗證。

  • 指定 dbcreator 伺服器角色。

  • 指定 securityadmin 伺服器角色。

<*SSPSearchDB_Acc*>

SSP 搜尋資料庫

  • 建立登入時指定 SQL 驗證。

  • 指定 dbcreator 伺服器角色。

  • 指定 securityadmin 伺服器角色。

<*WSSSearch_DB_Acc*>

WSS_Search 資料庫

  • 建立登入時指定 SQL 驗證。

  • 指定 dbcreator 伺服器角色。

<*Content_DB_Acc1*>

內容資料庫

  • 建立登入時指定 SQL 驗證。

  • 指定 dbcreator 伺服器角色。

連線至預先建立的資料庫時的最低權限管理需求

在資料庫管理員預先建立資料庫的環境中，您可以遵循最低權限管理的原則。案例內容：

  • 管理與服務帳戶會建立為網域使用者帳戶。

  • 為用來設定資料庫的帳戶建立 SQL Server 登入。

  • 資料庫會由資料庫管理員建立。

如需使用預先建立的空白資料庫部署 Office SharePoint Server 2007 的詳細資訊，請參閱＜部署使用 DBA-created 資料庫 (Office SharePoint Server)＞。

建立服務與管理帳戶

如需連線至現有空白資料庫時的最低權限管理需求清單，請參閱 Office SharePoint Server 安全性帳戶需求 (英文) (https://go.microsoft.com/fwlink/?linkid=92883&clcid=0x404) 的規劃工具，或檢視本文＜技術參考：依案例的不同帳戶需求＞一節中所列的需求。

建立 SQL Server 登入

建立資料庫之前，請為每個要存取資料庫的帳戶建立 SQL Server 登入。帳戶規劃工具詳細列出為每個帳戶設定的特定權限。如需建立及授與資料庫權限的相關說明，請參閱＜部署使用 DBA-created 資料庫 (Office SharePoint Server)＞。

下表列出必須建立的登入。資料庫欄表示以各個登入帳戶之權限所設定的資料庫。對於每項登入，請在建立登入時指定 Windows 驗證。

登入

資料庫

安裝程式使用者帳戶 (Psconfig 命令列工具的 Run-as 使用者)

所有資料庫

伺服器陣列帳戶 (Office SharePoint Server 資料庫存取帳戶)

  • SSP 資料庫

  • SSP 搜尋資料庫

SSP 服務帳戶

  • 設定資料庫

  • SharePoint_AdminContent 資料庫

  • 共用服務管理網站內容資料庫

  • SSP 資料庫

  • SSP 搜尋資料庫

  • 「我的網站」Web 應用程式內容資料庫

  • 每個其他內容資料庫

Office SharePoint Server 搜尋帳戶

  • 設定資料庫

  • SharePoint_AdminContent 資料庫

  • SSP 資料庫

  • SSP 搜尋資料庫

預設的內容存取帳戶

  • 設定資料庫

  • SharePoint_AdminContent 資料庫

SSP 應用程式集區帳戶 (身分識別)

SSP 管理 Web 應用程式的內容資料庫

「我的網站」網站應用程式集區的應用程式集區身分識別

「我的網站」Web 應用程式的內容資料庫

Windows SharePoint Services 搜尋服務帳戶

  • SSP 資料庫

  • SSP 搜尋資料庫

  • WSS_Search 資料庫

  • 設定資料庫

  • SharePoint_AdminContent 資料庫

其他內容資料庫的應用程式集區身分識別

  • SSP 資料庫

  • SSP 搜尋資料庫

  • 與應用程式集區相關的內容資料庫

技術參考：依案例的不同帳戶需求

本節依案例列出帳戶需求：

  • 單一伺服器標準需求

  • 伺服器陣列標準需求

  • 使用網域使用者帳戶時的最低權限管理需求

  • 使用 SQL 驗證時的最低權限管理需求

  • 連線至預先建立的資料庫時的最低權限管理需求

單一伺服器標準需求

伺服器陣列層級帳戶

帳戶 需求

SQL Server 服務帳戶

本機系統帳戶 (預設值)

安裝程式使用者帳戶

本機電腦的管理員群組成員

伺服器陣列帳戶

網路服務 (預設值)

不需要手動設定。

SSP 帳戶

帳戶 需求

SSP 應用程式集區帳戶

不需要手動設定。

SSP 服務帳戶

  • 不需要手動設定。

  • 此帳戶不應該是伺服器陣列之任何電腦上的管理員群組成員。

Office SharePoint Server 搜尋服務帳戶

此帳戶預設會以本機系統帳戶的身分執行。

若要變更預設的內容存取帳戶或使用編目規則來編目遠端內容，請將此帳戶變更為網域使用者帳戶。如果沒有將此帳戶變更為網域使用者帳戶，便無法將預設的內容存取帳戶變更為網域使用者帳戶，或新增編目以編目此內容。此限制的設計目的，是為了避免提升以本機系統帳戶身分執行之任何其他程序的權限。

預設的內容存取帳戶

如果此帳戶僅編目本機伺服器陣列內容，則不需要手動設定。若要使用編目規則來編目遠端內容，請將此帳戶變更為網域使用者帳戶，並套用所列出的伺服器陣列需求。

內容存取帳戶

與先前所列的 SSP 預設的內容存取帳戶相同。

設定檔匯入預設存取帳戶

與伺服器陣列相同的需求。

Excel Services 自動服務帳戶

必須是網域使用者帳戶。

Windows SharePoint Services 搜尋帳戶

帳戶 需求

Windows SharePoint Services 搜尋服務帳戶

此帳戶預設會以本機系統帳戶的身分執行。

Windows SharePoint Services 搜尋內容存取帳戶

不可以是「伺服器陣列管理員」群組的成員。

會自動設定如下：

  • 新增至伺服器陣列的 Web 應用程式完整讀取原則。

其他應用程式集區身分識別帳戶

帳戶 需求

應用程式集區身分識別

不需要手動設定。

在安裝與設定期間建立的預設網站會使用網路服務帳戶。

伺服器陣列標準需求

伺服器陣列層級帳戶

帳戶 需求

SQL Server 服務帳戶

使用本機系統帳戶或網域使用者帳戶。

如果使用網域使用者帳戶，此帳戶預設會使用 Kerberos 驗證，因此要求網路環境中有額外的設定。如果 SQL Server 使用無效的服務主要名稱 (SPN) (亦即 Active Directory 目錄服務環境中不存在的名稱)，Kerberos 驗證將會失敗，而改用 NTLM 驗證。如果 SQL Server 使用有效的 SPN，但沒有將其指定到 Active Directory 中適當的容器，驗證將會失敗，並導致「無法產生 SSPI 內容」錯誤訊息。驗證一律會嘗試使用所找到的第一個 SPN，因此請確保沒有將 SPN 指定到 Active Directory 中不適當的容器。

如果您規劃備份至外部資源或從外部資源還原，則必須將外部資源的權限授與適當的帳戶。如果使用網域使用者帳戶作為 SQL Server 服務帳戶，請將權限授與網域使用者帳戶。但是，如果使用網路服務或本機系統帳戶，請將外部資源的權限授與電腦帳戶 (*domain_name\SQL_hostname$*)。

安裝程式使用者帳戶

  • 網域使用者帳戶。

  • 每部執行安裝程式之伺服器上的管理員群組成員。

  • 執行 SQL Server 之電腦上的 SQL Server 登入。

  • 下列 SQL Server 安全性角色的成員：

    • securityadmin 固定伺服器角色

    • dbcreator 固定伺服器角色

如果要執行會影響資料庫的 Stsadm 命令，此帳戶必須是資料庫的 db_owner 固定資料庫角色成員。

伺服器陣列帳戶

  • 網域使用者帳戶。

  • 如果伺服器陣列是子項伺服器陣列 (含使用父項伺服器陣列之共用服務的 Web 應用程式)，則此帳戶必須是父項伺服器陣列之設定資料庫上 db_owner 固定資料庫角色的成員。

在加入伺服器陣列之網頁伺服器與應用程式伺服器上，會自動將額外權限授與此帳戶。

此帳戶會自動新增為執行 SQL Server 之電腦上的 SQL Server 登入，並新增至下列 SQL Server 安全性角色：

  • dbcreator 固定伺服器角色

  • securityadmin 固定伺服器角色

  • db_owner 固定資料庫角色，適用於伺服器陣列中的所有資料庫

注意   如果要設定 Microsoft Single Sign-On Service，將不會自動授與 SSO 資料庫的 db_owner 存取權給伺服器陣列帳戶。

SSP 帳戶

帳戶 需求

SSP 應用程式集區帳戶

不需要手動設定。

會自動設定如下：

  • SSP 內容資料庫之 db_owner 角色的成員資格。

  • SSP 內容資料庫的讀寫權限。

  • 與 SSP 相關之 Web 應用程式的內容資料庫讀寫權限。

  • 設定資料庫的讀取權限。

  • 管理中心內容資料庫的讀取權限。

  • 會自動授與前端網頁伺服器和應用程式伺服器的其他權限。

SSP 服務帳戶

  • 使用網域使用者帳戶。

  • 不需要手動設定。會自動授與和 SSP 應用程式集區帳戶相同的權限。

  • 此帳戶不應該是伺服器陣列之任何電腦上的管理員群組成員。

Office SharePoint Server 搜尋服務帳戶

  • 必須是網域使用者帳戶。

  • 不可以是「伺服器陣列管理員」群組的成員。

會自動設定如下：

  • 設定資料庫、管理內容資料庫、SSP 資料庫和 Office Server 搜尋資料庫的讀取權限

  • 索引伺服器上索引檔案位置的完全控制權限，以及 Office SharePoint Server 2007 伺服器陣列中查詢伺服器上搜尋傳播位置的完全控制權限

預設的內容存取帳戶

  • 必須是網域使用者帳戶。

  • 不可以是「伺服器陣列管理員」群組的成員。

  • 要使用此帳戶來編目之外部或安全內容來源的讀取權限

  • 若為不屬於伺服器陣列的網站，即必須明確授與此帳戶架設網站之 Web 應用程式的完整讀取權限。

會自動設定如下：

  • 會自動授與完整讀取權限給伺服器陣列所架設的內容資料庫。

內容存取帳戶

  • 設定此帳戶要存取之外部或安全內容來源的讀取權限。

  • 若為不屬於伺服器陣列的網站，即必須明確授與此帳戶架設網站之 Web 應用程式的完整讀取權限。

設定檔匯入預設存取帳戶

  • 目錄服務的讀取權限。

  • 若在 Active Directory 連線中選取「啟用伺服器端累加」，且環境是 Windows 2000 Server，此帳戶必須在 Active Directory 中擁有「複寫變更」權限。Windows Server 2003 Active Directory 環境則不需要此權限。

  • 管理使用者設定檔個人化服務權限。

  • 用於商務資料目錄匯入連線中之實體上的檢視權限。

Excel Services 自動服務帳戶

必須是網域使用者帳戶。

Windows SharePoint Services 搜尋帳戶

帳戶 需求

Windows SharePoint Services 搜尋服務帳戶

  • 必須是網域使用者帳戶。

  • 不可以是「伺服器陣列管理員」群組的成員。

會自動設定如下：

  • 設定資料庫與 SharePoint_Admin 內容資料庫的讀取權限。

  • Windows SharePoint Services 搜尋資料庫之 db_owner 角色的成員資格。

Windows SharePoint Services 搜尋內容存取帳戶

  • 與 Windows SharePoint Services 搜尋服務帳戶相同的需求。

會自動設定如下：

  • 新增至伺服器陣列的 Web 應用程式完整讀取原則。

其他應用程式集區身分識別帳戶

帳戶 需求

應用程式集區身分識別

不需要手動設定。

會自動設定如下：

  • 必須是網域使用者帳戶。

  • 內容資料庫以及與 Web 應用程式相關的搜尋資料庫之 db_owner 角色的成員資格。

  • 設定資料庫和 SharePoint_AdminContent 資料庫的讀取權限。

  • 相關 SSP 資料庫的讀寫權限。

  • 會自動授與此帳戶前端網頁伺服器和應用程式伺服器的其他權限。

使用網域使用者帳戶時的最低權限管理需求

伺服器陣列層級帳戶

帳戶 伺服器陣列標準需求 使用網域使用者帳戶的最低權限需求

SQL Server 服務帳戶

使用本機系統帳戶或網域使用者帳戶。

如果使用網域使用者帳戶，此帳戶預設會使用 Kerberos 驗證，因此要求網路環境中有額外的設定。如果 SQL Server 使用無效的服務主要名稱 (SPN) (亦即 Active Directory 目錄服務環境中不存在的名稱)，Kerberos 驗證將會失敗，而改用 NTLM 驗證。如果 SQL Server 使用有效的 SPN，但沒有將其指定到 Active Directory 中適當的容器，驗證將會失敗，並導致「無法產生 SSPI 內容」錯誤訊息。驗證一律會嘗試使用所找到的第一個 SPN，因此請確保沒有將 SPN 指定到 Active Directory 中不適當的容器。

如果您規劃備份至外部資源或從外部資源還原，則必須將外部資源的權限授與適當的帳戶。如果使用網域使用者帳戶作為 SQL Server 服務帳戶，請將權限授與網域使用者帳戶。但是，如果使用網路服務或本機系統帳戶，請將外部資源的權限授與電腦帳戶 (*domain_name\SQL_hostname$*)。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

安裝程式使用者帳戶

  • 網域使用者帳戶。

  • 每部執行安裝程式之伺服器上的管理員群組成員。

  • 執行 SQL Server 之電腦上的 SQL Server 登入。

  • 下列 SQL Server 安全性角色的成員：

    • securityadmin 固定伺服器角色

    • dbcreator 固定伺服器角色

如果要執行會影響資料庫的 Stsadm 命令，此帳戶必須是資料庫的 db_owner 固定資料庫角色成員。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

  • 此帳戶不應該是執行 SQL Server 之電腦上的管理員群組成員。

伺服器陣列帳戶

  • 網域使用者帳戶。

  • 如果伺服器陣列是子項伺服器陣列 (含使用父項伺服器陣列之共用服務的 Web 應用程式)，則此帳戶必須是父項伺服器陣列之設定資料庫上 db_owner 固定資料庫角色的成員。

在加入伺服器陣列之網頁伺服器與應用程式伺服器上，會自動將額外權限授與此帳戶。

此帳戶會自動新增為執行 SQL Server 之電腦上的 SQL Server 登入，並新增至下列 SQL Server 安全性角色：

  • dbcreator 固定伺服器角色

  • securityadmin 固定伺服器角色

  • db_owner 固定資料庫角色，適用於伺服器陣列中的所有資料庫。

注意   如果要設定 Microsoft Single Sign-On Service，將不會自動授與 SSO 資料庫的 db_owner 存取權給伺服器陣列帳戶。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

  • 不是伺服器陣列中任何伺服器上的管理員群組成員 (包含執行 SQL Server 的電腦)。

  • 此帳戶不需要在建立設定資料庫之前取得 SQL Server 權限。

SSP 帳戶

帳戶 伺服器陣列標準需求 使用網域使用者帳戶的最低權限需求

SSP 應用程式集區帳戶

不需要手動設定。

會自動設定如下：

  • SSP 內容資料庫之 db_owner 角色的成員資格。

  • SSP 內容資料庫的讀寫權限。

  • 與 SSP 相關之 Web 應用程式的內容資料庫讀寫權限。

  • 設定資料庫的讀取權限。

  • 管理中心內容資料庫的讀取權限。

  • 會自動授與前端網頁伺服器和應用程式伺服器的其他權限。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

  • 為了安全性隔離，請為每個 SSP 使用不同的服務帳戶。

SSP 服務帳戶

  • 使用網域使用者帳戶。

  • 不需要手動設定。會自動授與和 SSP 應用程式集區帳戶相同的權限。

  • 此帳戶不應該是伺服器陣列之任何電腦上的管理員群組成員。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

Office SharePoint Server 搜尋服務帳戶

  • 必須是網域使用者帳戶。

  • 不可以是「伺服器陣列管理員」群組的成員。

會自動設定如下：

  • 設定資料庫、管理內容資料庫、SSP 資料庫和 Office Server 搜尋資料庫的讀取權限。

  • 索引伺服器上索引檔案位置的完全控制權限，以及 MOSS 伺服器陣列中查詢伺服器上搜尋傳播位置的完全控制權限。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

預設的內容存取帳戶

  • 必須是網域使用者帳戶。

  • 不可以是「伺服器陣列管理員」群組的成員。

  • 要使用此帳戶來編目之外部或安全內容來源的讀取權限

  • 若為不屬於伺服器陣列的網站，即必須明確授與此帳戶架設網站之 Web 應用程式的完整讀取權限。

會自動設定如下：

  • 會自動授與完整讀取權限給伺服器陣列所架設的內容資料庫。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

  • 在伺服器陣列環境中，在指定另一個帳戶之前，預設會使用 Office SharePoint Server 搜尋服務帳戶。完成安裝程式並執行設定精靈之後，將此帳戶變更為網域使用者帳戶。

  • 請勿將預設的內容存取帳戶的存取權授與目錄服務。

為了新增安全性，請為每個 SSP 使用不同的預設的內容存取帳戶。

內容存取帳戶

  • 設定此帳戶要存取之外部或安全內容來源的讀取權限。

  • 若為不屬於伺服器陣列的網站，即必須明確授與此帳戶架設網站之 Web 應用程式的完整讀取權限。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

設定檔匯入預設存取帳戶

  • 目錄服務的讀取權限。

  • 若在 Active Directory 連線中選取「啟用伺服器端累加」，且環境是 Windows 2000 Server，此帳戶必須在 Active Directory 中擁有「複寫變更」權限。Windows Server 2003 Active Directory 環境則不需要此權限。

  • 管理使用者設定檔個人化服務權限。

  • 用於商務資料目錄匯入連線中之實體上的檢視權限。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

  • 此帳戶可以是與預設的內容存取帳戶相同的帳戶，您也可以使用不同的帳戶。

  • 目錄服務的讀取權限。

  • 管理使用者設定檔個人化服務權限。

  • 此帳戶不應該是伺服器陣列之任何電腦上的管理員群組成員。

Excel Services 自動服務帳戶

必須是網域使用者帳戶。

必須是網域使用者帳戶。

Windows SharePoint Services 搜尋帳戶

帳戶 伺服器陣列標準需求 使用網域使用者帳戶的最低權限需求

Windows SharePoint Services 搜尋服務帳戶

  • 必須是網域使用者帳戶。

  • 不可以是「伺服器陣列管理員」群組的成員。

會自動設定如下：

  • 設定資料庫與 SharePoint_Admin 內容資料庫的讀取權限。

  • Windows SharePoint Services 搜尋資料庫之 db_owner 角色的成員資格。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

Windows SharePoint Services 搜尋內容存取帳戶

  • 與 Windows SharePoint Services 搜尋服務帳戶相同的需求。

會自動設定如下：

  • 新增至伺服器陣列的 Web 應用程式完整讀取原則。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

其他應用程式集區身分識別帳戶

帳戶 伺服器陣列標準需求 使用網域使用者帳戶的最低權限需求

應用程式集區身分識別

不需要手動設定。

會自動設定如下：

  • 內容資料庫以及與 Web 應用程式相關的搜尋資料庫之 db_owner 角色的成員資格。

  • 設定資料庫和 SharePoint_AdminContent 資料庫的讀取權限。

  • 相關 SSP 資料庫的讀寫權限。

  • 會自動授與此帳戶前端網頁伺服器和應用程式伺服器的其他權限。

伺服器陣列標準需求及下列新增或例外狀況：

  • 為每個應用程式集區使用不同的網域使用者帳戶。

  • 此帳戶不應該是伺服器陣列之任何電腦上的管理員群組成員。

使用 SQL 驗證時的最低權限管理需求

伺服器陣列層級帳戶

帳戶 伺服器陣列標準需求 使用 SQL 驗證的最低權限需求

SQL Server 服務帳戶

使用本機系統帳戶或網域使用者帳戶。

如果使用網域使用者帳戶，此帳戶預設會使用 Kerberos 驗證，因此要求網路環境中有額外的設定。如果 SQL Server 使用無效的服務主要名稱 (SPN) (亦即 Active Directory 目錄服務環境中不存在的名稱)，Kerberos 驗證將會失敗，而改用 NTLM 驗證。如果 SQL Server 使用有效的 SPN，但沒有將其指定到 Active Directory 中適當的容器，驗證將會失敗，並導致「無法產生 SSPI 內容」錯誤訊息。驗證一律會嘗試使用所找到的第一個 SPN，因此請確保沒有將 SPN 指定到 Active Directory 中不適當的容器。

如果您規劃備份至外部資源或從外部資源還原，則必須將外部資源的權限授與適當的帳戶。如果使用網域使用者帳戶作為 SQL Server 服務帳戶，請將權限授與網域使用者帳戶。但是，如果使用網路服務或本機系統帳戶，請將外部資源的權限授與電腦帳戶 (*domain_name\SQL_hostname$*)。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

注意

所有資料庫帳戶必須建立為 Microsoft SQL Server 2000 Enterprise Manager 或 SQL Server 2005 Management Studio 中的 SQL Server 登入帳戶。在建立任何內容資料庫 (包括設定資料庫和 SharePoint_AdminContent 資料庫) 之前，必須建立這些帳戶。建立同時用於設定資料庫和 SharePoint_AdminContent 資料庫的一項 SQL Server 登入。

安裝程式使用者帳戶

  • 網域使用者帳戶。

  • 每部執行安裝程式之伺服器上的管理員群組成員。

  • 執行 SQL Server 之電腦上的 SQL Server 登入。

  • 下列 SQL Server 安全性角色的成員：

    • securityadmin 固定伺服器角色

    • dbcreator 固定伺服器角色

如果要執行會影響資料庫的 Stsadm 命令，此帳戶必須是資料庫的 db_owner 固定資料庫角色成員。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

  • SQL Server 電腦上的 SQL Server 登入。

  • 不是下列 SQL Server 安全性角色的成員：

    • securityadmin 固定伺服器角色

    • dbcreator 固定伺服器角色

  • 不是執行 SQL Server 電腦上的管理員群組成員。

注意

您必須使用 Psconfig 命令列工具來建立設定資料庫和 SharePoint_AdminContent 資料庫。但不能使用 SharePoint 產品及技術設定精靈來建立這些資料庫。若要建立伺服器陣列或將電腦加入伺服器陣列，請將為這些資料庫建立的 SQL Server 登入，指定為 dbusername 和 dbpassword。這兩個資料庫會使用相同的 SQL Server 登入進行存取。選取 [SQL 驗證] 選項即可在管理中心建立所有其他內容資料庫。

伺服器陣列帳戶

  • 網域使用者帳戶。

  • 如果伺服器陣列是子項伺服器陣列 (含使用父項伺服器陣列之共用服務的 Web 應用程式)，則此帳戶必須是父項伺服器陣列之設定資料庫上 db_owner 固定資料庫角色的成員。

在加入伺服器陣列之網頁伺服器與應用程式伺服器上，會自動將額外權限授與此帳戶。

此帳戶會自動新增為執行 SQL Server 之電腦上的 SQL Server 登入，並新增至下列 SQL Server 安全性角色：

  • dbcreator 固定伺服器角色

  • securityadmin 固定伺服器角色

  • db_owner 固定資料庫角色，適用於伺服器陣列中的所有資料庫

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

  • 不是伺服器陣列中任何伺服器上的管理員群組成員 (包含執行 SQL Server 的電腦)。

  • 不是執行 SQL Server 之電腦上的 SQL Server 登入。

  • 此帳戶不需要在建立設定資料庫之前取得 SQL Server 權限。

SSP 帳戶

帳戶 伺服器陣列標準需求 使用 SQL 驗證的最低權限需求

SSP 應用程式集區帳戶

不需要手動設定。

會自動設定如下：

  • SSP 內容資料庫之 db_owner 角色的成員資格。

  • SSP 內容資料庫的讀寫權限。

  • 與 SSP 相關之 Web 應用程式的內容資料庫讀寫權限。

  • 設定資料庫的讀取權限。

  • 管理中心內容資料庫的讀取權限。

  • 會自動授與前端網頁伺服器和應用程式伺服器的其他權限。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

  • 不是伺服器陣列中任何伺服器上的本機管理員群組成員 (包含執行 SQL Server 的電腦)。

  • 不是 SQL Server 登入。

SSP 服務帳戶

  • 使用網域使用者帳戶。

  • 不需要手動設定。會自動授與和 SSP 應用程式集區帳戶相同的權限。

  • 此帳戶不應該是伺服器陣列之任何電腦上的管理員群組成員。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

  • 不是伺服器陣列中任何伺服器上的管理員群組成員 (包含執行 SQL Server 的電腦)。

  • 不是 SQL Server 登入。

Office SharePoint Server 搜尋服務帳戶

  • 必須是網域使用者帳戶。

  • 不可以是「伺服器陣列管理員」群組的成員。

會自動設定如下：

  • 設定資料庫、管理內容資料庫、SSP 資料庫和 Office Server 搜尋資料庫的讀取權限。

  • 索引伺服器上索引檔案位置的完全控制權限，以及 Office SharePoint Server 2007 伺服器陣列中查詢伺服器上搜尋傳播位置的完全控制權限。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

  • 不是伺服器陣列中任何伺服器上的管理員群組成員 (包含執行 SQL Server 的電腦)。

  • 不是 SQL Server 登入。

預設的內容存取帳戶

  • 必須是網域使用者帳戶。

  • 不可以是「伺服器陣列管理員」群組的成員。

  • 要使用此帳戶來編目之外部或安全內容來源的讀取權限

  • 若為不屬於伺服器陣列的網站，即必須明確授與此帳戶架設網站之 Web 應用程式的完整讀取權限。

會自動設定如下：

  • 會自動授與完整讀取權限給伺服器陣列所架設的內容資料庫。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

  • 不是伺服器陣列中任何伺服器上的管理員群組成員 (包含執行 SQL Server 的電腦)。

  • 不是 SQL Server 主機上的 SQL Server 登入。

內容存取帳戶

  • 設定此帳戶要存取之外部或安全內容來源的讀取權限。

若為不屬於伺服器陣列的網站，即必須明確授與此帳戶架設網站之 Web 應用程式的完整讀取權限。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

  • 不是伺服器陣列中任何伺服器上的管理員群組成員 (包含執行 SQL Server 的電腦)。

  • 不是 SQL Server 登入。

設定檔匯入預設存取帳戶

  • 目錄服務的讀取權限。

  • 若在 Active Directory 連線中選取「啟用伺服器端累加」，且環境是 Windows 2000 Server，此帳戶必須在 Active Directory 中擁有「複寫變更」權限。Windows Server 2003 Active Directory 環境則不需要此權限。

  • 管理使用者設定檔個人化服務權限。

  • 用於商務資料目錄匯入連線中之實體上的檢視權限。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

  • 不是伺服器陣列中任何伺服器上的管理員群組成員 (包含執行 SQL Server 的電腦)。

  • 不是 SQL Server 登入。

Excel Services 自動服務帳戶

必須是網域使用者帳戶。

必須是網域使用者帳戶。

Windows SharePoint Services 搜尋帳戶

帳戶 伺服器陣列標準需求 使用 SQL 驗證的最低權限需求

Windows SharePoint Services 搜尋服務帳戶

  • 必須是網域使用者帳戶。

  • 不可以是「伺服器陣列管理員」群組的成員。

會自動設定如下：

  • 設定資料庫與 SharePoint_Admin 內容資料庫的讀取權限。

  • Windows SharePoint Services 搜尋資料庫之 db_owner 角色的成員資格。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

  • 不是伺服器陣列中任何伺服器上的管理員群組成員 (包含執行 SQL Server 的電腦)。

  • 不是 SQL Server 登入。

Windows SharePoint Services 搜尋內容存取帳戶

  • 與 Windows SharePoint Services 搜尋服務帳戶相同的需求。

會自動設定如下：

  • 新增至伺服器陣列的 Web 應用程式完整讀取原則。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

  • 不是伺服器陣列中任何伺服器上的管理員群組成員 (包含執行 SQL Server 的電腦)。

  • 不是 SQL Server 登入。

其他應用程式集區身分識別帳戶

帳戶 伺服器陣列標準需求 使用 SQL 驗證的最低權限需求

應用程式集區身分識別

不需要手動設定。

會自動設定如下：

  • 內容資料庫以及與 Web 應用程式相關的搜尋資料庫之 db_owner 角色的成員資格。

  • 設定資料庫和 SharePoint_AdminContent 資料庫的讀取權限。

  • 相關 SSP 資料庫的讀寫權限。

  • 會自動授與此帳戶前端網頁伺服器和應用程式伺服器的其他權限。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

  • 不是伺服器陣列中任何伺服器上的管理員群組成員 (包含執行 SQL Server 的電腦)。

  • 不是 SQL Server 登入。

連線至預先建立的資料庫時的最低權限管理需求

伺服器陣列層級帳戶

帳戶 伺服器陣列標準需求 連線至預先建立的資料庫時的最低權限需求

SQL Server 服務帳戶

使用本機系統帳戶或網域使用者帳戶。

如果使用網域使用者帳戶，此帳戶預設會使用 Kerberos 驗證，因此要求網路環境中有額外的設定。如果 SQL Server 使用無效的服務主要名稱 (SPN) (亦即 Active Directory 目錄服務環境中不存在的名稱)，Kerberos 驗證將會失敗，而改用 NTLM 驗證。如果 SQL Server 使用有效的 SPN，但沒有將其指定到 Active Directory 中適當的容器，驗證將會失敗，並導致「無法產生 SSPI 內容」錯誤訊息。驗證一律會嘗試使用所找到的第一個 SPN，因此請確保沒有將 SPN 指定到 Active Directory 中不適當的容器。

  • 如果您規劃備份至外部資源或從外部資源還原，則必須將外部資源的權限授與適當的帳戶。如果使用網域使用者帳戶作為 SQL Server 服務帳戶，請將權限授與網域使用者帳戶。但是，如果使用網路服務或本機系統帳戶，請將外部資源的權限授與電腦帳戶 (domain_name\SQL_hostname$)。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

安裝程式使用者帳戶

  • 網域使用者帳戶。

  • 每部執行安裝程式之伺服器上的管理員群組成員。

  • 執行 SQL Server 之電腦上的 SQL Server 登入。

  • 下列 SQL Server 安全性角色的成員：

    • securityadmin 固定伺服器角色

    • dbcreator 固定伺服器角色

如果要執行會影響資料庫的 Stsadm 命令，此帳戶必須是資料庫的 db_owner 固定資料庫角色成員。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

  • 不是執行 SQL Server 電腦上的管理員群組成員。

此帳戶會用來設定資料庫。建立每個資料庫之後，將資料庫擁有者 (dbo 或 db_owner) 變更至安裝程式使用者帳戶。

伺服器陣列帳戶

  • 網域使用者帳戶。

  • 如果伺服器陣列是子項伺服器陣列 (含使用父項伺服器陣列之共用服務的 Web 應用程式)，則此帳戶必須是父項伺服器陣列之設定資料庫上 db_owner 固定資料庫角色的成員。

在加入伺服器陣列之網頁伺服器與應用程式伺服器上，會自動將額外權限授與此帳戶。

此帳戶會自動新增為執行 SQL Server 之電腦上的 SQL Server 登入，並新增至下列 SQL Server 安全性角色：

  • dbcreator 固定伺服器角色

  • securityadmin 固定伺服器角色

  • db_owner 固定資料庫角色，適用於伺服器陣列中的所有資料庫

注意   如果要設定 Microsoft Single Sign-On Service，將不會自動授與 SSO 資料庫的 db_owner 存取權給伺服器陣列帳戶。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

  • 不是伺服器陣列中任何伺服器上的管理員群組成員 (包含執行 SQL Server 的電腦)。

  • 此帳戶不需要在建立設定資料庫之前取得 SQL Server 權限。

建立共用服務提供者 (SSP) 資料庫和 SSP 搜尋資料庫之後，將此帳戶新增至每個資料庫的下列項目：

  • 使用者群組

  • db_owner 固定資料庫角色

SSP 帳戶

帳戶 伺服器陣列標準需求 連線至預先建立的資料庫時的最低權限需求

SSP 應用程式集區帳戶

不需要手動設定。

會自動設定如下：

  • SSP 內容資料庫之 db_owner 角色的成員資格。

  • SSP 內容資料庫的讀寫權限。

  • 與 SSP 相關之 Web 應用程式的內容資料庫讀寫權限。

  • 設定資料庫的讀取權限。

  • 管理中心內容資料庫的讀取權限。

  • 會自動授與前端網頁伺服器和應用程式伺服器的其他權限。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

  • 為了安全性隔離，請為每個 SSP 使用不同的服務帳戶。

SSP 服務帳戶

  • 使用網域使用者帳戶。

  • 不需要手動設定。會自動授與和 SSP 應用程式集區帳戶相同的權限。

  • 此帳戶不應該是伺服器陣列之任何電腦上的管理員群組成員。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

建立設定資料庫和管理中心內容資料庫之後，將此帳戶新增至這些資料庫的下列項目：

  • 使用者群組

  • WSS_Content_Application_Pools 資料庫角色

建立「共用服務管理」網站的內容資料庫、SSP 資料庫及 SSP 搜尋資料庫之後，將此帳戶新增至每個資料庫的下列項目：

  • 使用者群組

  • db_owner 角色

建立「我的網站」之後，將此帳戶新增至「我的網站」Web 應用程式內容資料庫的下列項目：

  • 使用者群組

  • db_owner 角色

建立每個內容資料庫之後，將此帳戶新增至下列項目：

  • 使用者群組

  • db_owner 角色

Office SharePoint Server 搜尋服務帳戶

  • 必須是網域使用者帳戶

  • 不可以是「伺服器陣列管理員」群組的成員

會自動設定如下：

  • 設定資料庫、管理內容資料庫、SSP 資料庫和 Office Server 搜尋資料庫的讀取權限。

  • 索引伺服器上索引檔案位置的完全控制權限，以及 Office SharePoint Server 2007 伺服器陣列中查詢伺服器上搜尋傳播位置的完全控制權限。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

建立設定資料庫和管理中心內容資料庫之後，將此帳戶新增至這些資料庫的下列項目：

  • 使用者群組

  • WSS_Content_Application_Pools 角色

建立 SSP 資料庫和 SSP 搜尋資料庫之後，將此帳戶新增至每個資料庫的下列項目：

  • 使用者群組

  • db_owner 角色

預設的內容存取帳戶

  • 必須是網域使用者帳戶。

  • 不可以是「伺服器陣列管理員」群組的成員。

  • 要使用此帳戶來編目之外部或安全內容來源的讀取權限

  • 若為不屬於伺服器陣列的網站，即必須明確授與此帳戶架設網站之 Web 應用程式的完整讀取權限。

會自動設定如下：

  • 會自動授與完整讀取權限給伺服器陣列所架設的內容資料庫。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

  • 在伺服器陣列環境中，在指定另一個帳戶之前，預設會使用 Office SharePoint Server 搜尋服務帳戶。完成安裝程式並執行設定精靈之後，將此帳戶變更為網域使用者帳戶。

  • 請勿將預設的內容存取帳戶的存取權授與目錄服務。

為了增加安全性，請為每個 SSP 使用不同之預設的內容存取帳戶。

建立設定資料庫和管理中心內容資料庫之後，將此帳戶新增至這些資料庫的下列項目：

  • 使用者群組

  • WSS_Content_Application_Pools 資料庫角色

內容存取帳戶

  • 設定此帳戶要存取之外部或安全內容來源的讀取權限。

  • 若為不屬於伺服器陣列的網站，即必須明確授與此帳戶架設網站之 Web 應用程式的完整讀取權限。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

設定檔匯入預設存取帳戶

  • 目錄服務的讀取權限

  • 若在 Active Directory 連線中選取「啟用伺服器端累加」，且環境是 Windows 2000 Server，此帳戶必須在 Active Directory 中擁有「複寫變更」權限。Windows Server 2003 Active Directory 環境則不需要此權限。

  • 管理使用者設定檔個人化服務權限

  • 用於商務資料目錄匯入連線中之實體上的檢視權限。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

  • 此帳戶可以是與預設的內容存取帳戶相同的帳戶，您也可以使用不同的帳戶。

  • 使用擁有目錄服務讀取權限和管理使用者設定檔個人化服務權限的帳戶。

此帳戶不應該是伺服器陣列之任何電腦上的管理員群組成員。

Excel Services 自動服務帳戶

必須是網域使用者帳戶。

必須是網域使用者帳戶。

Windows SharePoint Services 搜尋帳戶

帳戶 伺服器陣列標準需求 連線至預先建立的資料庫時的最低權限需求

Windows SharePoint Services 搜尋服務帳戶

  • 必須是網域使用者帳戶。

  • 不可以是「伺服器陣列管理員」群組的成員。

會自動設定如下：

  • 設定資料庫與 SharePoint_Admin 內容資料庫的讀取權限。

  • Windows SharePoint Services 搜尋資料庫之 db_owner 角色的成員資格。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

建立 SSP 資料庫和 SSP 搜尋資料庫之後，將此帳戶新增至每個資料庫的下列項目：

  • 使用者群組

  • db_owner 角色

執行 Psconfig 命令列工具以啟動 Windows SharePoint Services 搜尋服務時，會為下列項目自動設定成員資格：

  • WSS_Search 資料庫的使用者群組和 db_owner 角色。

  • 設定資料庫中的使用者群組。

  • 管理中心內容資料庫中的使用者群組。

Windows SharePoint Services 搜尋內容存取帳戶

  • 與 Windows SharePoint Services 搜尋服務帳戶相同的需求。

會自動設定如下：

  • 新增至伺服器陣列的 Web 應用程式完整讀取原則。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

執行 Psconfig 命令列工具以啟動 Windows SharePoint Services 搜尋服務時，會為下列項目自動設定成員資格：

  • WSS— 搜尋資料庫中的使用者群組和 db_owner 角色。

  • 設定資料庫中的使用者群組。

  • 管理中心內容資料庫中的使用者群組。

其他應用程式集區身分識別帳戶

帳戶 伺服器陣列標準需求 連線至預先建立的資料庫時的最低權限需求

應用程式集區身分識別

不需要手動設定。

會自動設定如下：

  • 內容資料庫以及與 Web 應用程式相關的搜尋資料庫之 db_owner 角色的成員資格。

  • 設定資料庫和 SharePoint_AdminContent 資料庫的讀取權限。

  • 相關 SSP 資料庫的讀寫權限。

  • 會自動授與此帳戶前端網頁伺服器和應用程式伺服器的其他權限。

伺服器陣列標準需求及下列新增或例外狀況：

  • 為每個應用程式集區使用不同的網域使用者帳戶。

  • 此帳戶不應該是伺服器陣列之任何電腦上的管理員群組成員。

建立 SSP 資料庫和 SSP 搜尋資料庫之後，將此帳戶新增至每個資料庫的下列項目：

  • 使用者群組

  • db_owner 角色

下載本書

本主題隨附於下列可下載的叢書中，以便於閱讀與列印：

請參閱 Office SharePoint Server 2007 可下載的內容 (英文) 上提供的完整叢書清單。

另請參閱

概念

規劃單一登入
規劃安全性角色 (Office SharePoint Server)