以最低權限執行透過 Azure Arc 啟用的 SQL Server

適用於：SQL Server

最低權限的資訊安全性原則斷定帳戶和應用程式只能存取所需的資料和作業。透過透過 Azure Arc 啟用的 SQL Server，您就可以透過最低權限執行代理程式延伸項目服務。本文說明如何使用最低權限執行代理程式延伸項目服務。

若要選擇設定服務以最低權限執行，請遵循本文中的步驟。目前，服務不會以最低權限自動執行。

注意

從 2024 年 11 月版本或更新版本開始使用延伸項目的現有伺服器，將自動套用最低權限設定。此應用程式會逐漸套用。

為了防止自動套用最小權限，請封鎖延伸升級至 2024 年 11 月版。

設定代理程式延伸項目服務以最低權限執行之後，它會使用 NT Service\SQLServerExtension 服務帳戶。

NT Service\SQLServerExtension 帳戶是本機 Windows 服務帳戶：

啟用最低權限選項時，由適用於 SQL Server 的 Azure 延伸模組建立及管理。
授與在 Windows 作業系統上執行適用於 SQL Server 的 Azure 延伸模組服務所需的最低權限。它只能存取用於讀取和儲存設定或寫入記錄的資料夾和目錄。
授與使用新增登入在 SQL Server 中連接和查詢的權限，特別是針對具有所需最低權限的服務帳戶。最低權限取決於已啟用的功能。
不再需要權限時更新。例如，當您停用功能、停用最低權限設定或卸載適用於 SQL Server 的 Azure 延伸模組時，會撤銷權限。撤銷可確保在不再需要權限之後，不會保留權限。

必要條件

本節會列出完成本文範例所需的系統需求和工具。

具有最低權限的設定需要：

Linux 目前不支援具有最低權限的設定。

若要完成本文中的步驟，您需要下列工具︰

若要確認透過 Azure Arc 啟用的 SQL Server 已設定為以最低權限執行：

在 Windows 服務中，找出 Microsoft SQL Server Extension Service 服務。確認服務以服務帳戶 NT Service\SqlServerExtension 身分執行。 
在伺服器中，開啟工作排程器，並檢查是否已在 Microsoft\SqlServerExtension 下建立名稱為 SqlServerExtensionPermissionProvider 的事件導向工作。

注意

在 2024 年 7 月發佈之前，SqlServerExtensionPermissionProvider 是排程的工作。每小時執行一次。

在伺服器中開啟工作排程器，並檢查是否已在 SqlServerExtensionPermissionProvider 下建立名稱為 Microsoft\SqlServerExtension 的排程工作。
開啟 SQL Server Management Studio 並檢查名為 NT Service\SqlServerExtension 的登入。確認已為帳戶指派下列權限：
- 連線 SQL
- 檢視資料庫狀態
- 檢視伺服器狀態

使用下列查詢驗證權限：

若要驗證伺服器層級權限，請執行下列查詢：

EXECUTE AS LOGIN = 'NT Service\SqlServerExtension'  
SELECT * FROM fn_my_permissions (NULL, 'SERVER");

若要驗證資料庫層級權限，請以其中一個資料庫的名稱取代 <database name>，然後執行下列查詢：

EXECUTE AS LOGIN = 'NT Service\SqlServerExtension'  
USE <database name>; 
SELECT * FROM fn_my_permissions (NULL, 'database");