Configurar contas de serviço e permissões do Windows

Aplica-se:SQL Server

Cada serviço no SQL Server representa um processo ou um conjunto de processos para gerenciar a autenticação das operações do SQL Server com o Windows. Este artigo descreve a configuração padrão de serviços nesta versão do SQL Server e as opções de configuração de serviços do SQL Server que você pode definir durante e após a instalação do SQL Server. Este artigo ajuda usuários avançados a entender os detalhes das contas de serviço.

A maioria dos serviços e respectivas propriedades podem ser configurados usando o SQL Server Configuration Manager. Estes são os caminhos para as versões recentes quando o Windows é instalado na unidade C.

SQL Server habilitado pelo Azure Arc

Para obter permissões exigidas pela Extensão do Azure para SQL Server, consulte Configurar contas de serviço do Windows e permissões para a extensão do Azure para SQL Server.

Serviços instalados pelo SQL Server

Dependendo dos componentes que você decidir instalar, a Instalação do SQL Server instalará os seguintes serviços:

O Integration Services pode incluir serviços adicionais para implantações de expansão. Saiba mais no Passo a passo: Configurar o SSIS (Integration Services Scale Out).

Serviços do Programa de Aperfeiçoamento da Experiência do Usuário instalados pelo SQL Server

A auditoria local do CEIP (uso e coleta de dados de diagnóstico) do SQL Server envia dados de telemetria de volta à Microsoft.

Dependendo dos componentes que você decidir instalar, a instalação do SQL Server instalará os seguintes serviços do Programa de Aperfeiçoamento da Experiência do Usuário.

Propriedades e configuração do serviço

As contas de inicialização usadas para iniciar e executar o SQL Server podem ser contas de usuário de domínio, contas de usuário locais, contas de serviço gerenciado, contas virtuais ou contas de sistema internas. Para ser iniciado e executado, cada serviço no SQL Server precisa ter uma conta de inicialização configurada durante a instalação.

Esta seção descreve as contas que podem ser configuradas para iniciar os serviços SQL Server, os valores padrão usados pela Instalação do SQL Server, o conceito de SIDs por serviço, as opções de inicialização e a configuração de firewall.

• Contas de serviço padrão
• Inicialização automática
• Como configurar o StartupType do serviço
• Porta de firewall

Contas de serviço padrão

A tabela a seguir lista as contas de serviço padrão usadas pela instalação ao instalar todos os componentes. As contas padrão listadas são as contas recomendadas, exceto como observado.

Servidor autônomo ou controlador de domínio

¹ Quando recursos externos ao computador do SQL Server são necessários, a Microsoft recomenda usar uma MSA (Conta de Serviço Gerenciado), configurada com os privilégios mínimos necessários.

² Quando ela é instalada em um controlador de domínio, não há suporte para uma conta virtual como a conta de serviço.

Instância de cluster de failover do SQL Server

Alterar propriedades da conta

• Sempre use as ferramentas do SQL Server, como o SQL Server Configuration Manager, para alterar a conta usada pelo Mecanismo de Banco de Dados do SQL Server ou serviços do SQL Server Agent ou para alterar a senha da conta. Além de alterar o nome da conta, o SQL Server Configuration Manager executa configurações adicionais, como atualizar o repositório de segurança local do Windows, que protege a chave mestra de serviço para o Mecanismo de Banco de Dados. Outras ferramentas, como o Gerenciador de Controle de Serviço do Windows, podem alterar o nome da conta, mas não alteram todas as configurações necessárias.

Se você alterar as contas de serviço para qualquer serviço SQL usando outros meios, isso poderá levar a comportamentos ou erros inesperados. Por exemplo, se você alterar a conta de serviço do SQL Agent para uma conta de domínio usando o applet de serviços do Windows, poderá observar que os trabalhos do SQL Agent que usam o Sistema Operacional (Cmdexec), a Replicação ou as etapas de trabalho do SSIS podem falhar com um erro como:

Executed as user : Domain\Account.
The process couldn't be created for step Step Number of job Unique Job ID (reason: A required privilege isn't held by the client). The step failed.

Para resolver esse erro, você deve fazer o seguinte usando SQL Server Configuration Manager:

1. Altere temporariamente a conta de serviço do SQL Agent de volta para a conta virtual padrão (Instância padrão: NT Service\SQLSERVERAGENT. Instância nomeada: NT Service\SQLAGENT$<nome_da_instância>).
2. Reinicie o serviço SQL Server Agent
3. Altere a conta de serviço de volta para a conta de domínio desejada
4. Reinicie o serviço SQL Server Agent

• Para instâncias do Analysis Services que você implantar em um farm do SharePoint, sempre use a Administração Central do SharePoint para alterar as contas de servidor dos aplicativos de serviço do Power Pivot e do serviço Analysis Services. As configurações e permissões associadas serão atualizadas para usar as novas informações da conta quando você usar a Administração Central.

• Para alterar as opções do Reporting Services, use a Ferramenta de Configuração do Reporting Services.

Contas de serviço gerenciado, contas de serviço gerenciado por grupo e contas virtuais

As contas de serviço gerenciado, as contas de serviço gerenciado por grupo e as contas virtuais são criadas para fornecer aplicativos cruciais, como o SQL Server, com o isolamento das próprias contas, eliminando a necessidade de um administrador gerenciar manualmente o SPN (Nome da Entidade de Serviço) e as credenciais dessas contas. Isso facilita o gerenciamento de longo prazo de usuários, senhas e SPNs da conta de serviço.

• Contas de serviço gerenciadas

  Uma MSA (conta de serviço gerenciado) é um tipo de conta de domínio criada e gerenciada pelo controlador de domínio. Ele é atribuído a um único computador membro para usar a execução de um serviço. A senha é gerenciada automaticamente pelo controlador de domínio. Não é possível usar uma MSA para entrar em um computador, mas um computador pode usar uma MSA para iniciar um serviço Windows. Uma MSA pode registrar um SPN (Nome da Entidade de Serviço) no Active Directory quando tem as permissões de ler e gravar servicePrincipalName. Uma MSA é nomeada com um sufixo $ , por exemplo, DOMAIN\ACCOUNTNAME$ . Ao especificar uma MSA, deixe a senha em branco. Como uma MSA é atribuída a somente um computador, ela não pode ser usada em diferentes nós de um cluster do Windows.

  Observação

  A MSA precisa ser criada no Active Directory pelo administrador de domínio antes que a instalação do SQL Server possa usá-la nos serviços SQL Server.

• Contas de serviço gerenciadas por grupo

  Uma gMSA (conta de serviço gerenciado por grupo) é uma MSA para vários servidores. O Windows gerencia uma conta de serviço para os serviços executados em um grupo de servidores. O Active Directory atualiza automaticamente a senha da conta de serviço gerenciado por grupo sem reiniciar os serviços. Você pode configurar os serviços SQL Server para usar uma entidade da conta de serviço gerenciado por grupo. Desde o SQL Server 2014, o SQL Server dá suporte a contas de serviço gerenciado por grupo para instâncias autônomas, e o SQL Server 2016 e posteriores a instâncias de cluster de failover e grupos de disponibilidade.

  Para usar uma gMSA no SQL Server 2014 ou posterior, o sistema operacional deve ser o Windows Server 2012 R2 ou posterior. Servidores com o Windows Server 2012 R2 requerem que o KB 2998082 seja aplicado de forma que os serviços possam entrar sem interrupção imediatamente após uma alteração de senha.

  Para obter mais informações, confira Contas de serviço gerenciado de grupo para Windows Server 2016 e posteriores. Para versões anteriores do Windows Server, confira Contas de Serviço Gerenciado de Grupo.

  Observação

  A gMSA precisa ser criada no Active Directory pelo administrador de domínio antes que a instalação do SQL Server possa usá-la para serviços SQL Server.

• Contas virtuais

  As contas virtuais são contas locais gerenciadas que fornecem os seguintes recursos para simplificar a administração de serviços. A conta virtual é automatizada e a conta virtual pode acessar a rede em um ambiente de domínio. Se o valor padrão for usado nas contas de serviço durante a instalação do SQL Server, será usada uma conta virtual que usa o nome da instância como o nome do serviço, no formato NT SERVICE\<SERVICENAME>. Os serviços executados como contas virtuais acessam recursos de rede usando as credenciais da conta do computador no formato <domain_name>\<computer_name>$. Ao especificar uma conta virtual para iniciar o SQL Server, deixe a senha em branco. Se a conta virtual não registra o SPN (Nome da Entidade de Serviço), registre-o manualmente. Para obter mais informações sobre como registrar um SPN manualmente, consulte Registrar um nome de entidade de serviço para conexões Kerberos.

  Observação

  As contas virtuais não podem ser usadas para a instância do cluster de failover do SQL Server, pois a conta virtual não teria o mesmo SID em cada nó do cluster.

  A tabela a seguir lista exemplos de nomes de contas virtuais.

  Serviço	Nome da conta virtual
  Instância padrão do serviço Mecanismo de Banco de Dados	NT SERVICE\MSSQLSERVER
  A instância nomeada de um serviço do Mecanismo de Banco de Dados chamado PAYROLL	NT SERVICE\MSSQL$PAYROLL
  O serviço SQL Server Agent na instância padrão do SQL Server	NT Service\SQLSERVERAGENT
  O serviço SQL Server Agent em uma instância do SQL Server chamada PAYROLL	NT SERVICE\SQLAGENT$PAYROLL

Para obter mais informações sobre contas de serviço gerenciado e contas virtuais, confira a seção Conceitos de conta de serviço gerenciado e conta virtual do Guia passo a passo de contas de serviço e Perguntas frequentes sobre contas de serviço gerenciado.

Inicialização automática

Além de ter contas de usuário, todo serviço tem três possíveis estados de inicialização que os usuários podem controlar:

• Desabilitado. O serviço está instalado, mas não está em execução atualmente.
• Manual. O serviço está instalado, mas será iniciado somente quando outro serviço ou aplicativo precisar da funcionalidade dele.
• Automático. O serviço é iniciado automaticamente pelo sistema operacional.

O estado de inicialização é selecionado durante a instalação. Ao instalar uma instância nomeada, o serviço SQL Server Browser deve estar pronto para iniciar automaticamente.

Configurar serviços durante a instalação autônoma

A tabela a seguir mostra os serviços SQL Server que podem ser configurados durante a instalação. Para instalações autônomas, você pode usar as opções em um arquivo de configuração ou em um prompt de comando.

¹ Para obter mais informações e sintaxe de exemplo para instalações autônomas, consulte Instalar, configurar ou desinstalar o SQL Server no Windows no prompt de comando.

² O serviço SQL Server Agent está desabilitado em instâncias de SQL Server Express e SQL Server Express com Serviços Avançados.

³ Atualmente, a configuração da conta do Launchpad apenas por meio de comutadores não tem suporte. Para alterar a conta e outras configurações de serviço, use o SQL Server Configuration Manager.

Porta de firewall

Na maioria dos casos, quando inicialmente instalado, o Mecanismo de Banco de Dados pode ser conectado por ferramentas como o SQL Server Management Studio instalado no mesmo computador do que o SQL Server. A Instalação do SQL Server não abre portas no Firewall do Windows. As conexões de outros computadores podem não ser possíveis até que o Mecanismo de Banco de Dados esteja configurado para escutar em uma porta TCP e a porta apropriada seja aberta para conexões no Firewall do Windows. Para obter mais informações, consulte Configurar o Firewall do Windows para permitir o acesso ao SQL Server.

Permissões de serviço

Esta seção descreve as permissões que a Instalação do SQL Server configura para as SIDs por serviço dos serviços SQL Server.

• Configuração de serviço e controle de acesso
• Privilégios e direitos do Windows
• Permissões do sistema de arquivos concedidas a SIDs por serviço do SQL Server ou a grupos locais do Windows do SQL Server
• Permissões do sistema de arquivos concedidas a outros grupos ou contas de usuário do Windows
• Permissões do sistema de arquivos relacionadas a locais de disco incomuns
• Examinar considerações adicionais
• Permissões de Registro
• WMI
• Pipes nomeados

Configuração de serviço e controle de acesso

O SQL Server habilita a SID por serviço para cada um dos serviços para fornecer isolamento do serviço e defesa em profundidade. O SID por serviço é derivado do nome do serviço e é exclusivo ao serviço. Por exemplo, um nome de SID de serviço de uma instância nomeada do serviço Mecanismo de Banco de Dados pode ser NT Service\MSSQL$<instance_name>. O isolamento de serviço permite acessar objetos específicos sem a necessidade de executar uma conta de privilégios mais altos nem de limitar a proteção de segurança do objeto. Ao usar uma entrada de controle de acesso que contenha uma SID de serviço, um serviço SQL Server pode restringir o acesso aos recursos.

Para a maioria dos componentes, o SQL Server configura a ACL para a conta por serviço diretamente. Dessa forma, a alteração da conta de serviço pode ser efetuada sem a necessidade de repetir o processo da ACL do recurso.

Ao instalar o SSAS, será criado um SID por serviço para o serviço Analysis Services. Um grupo local do Windows é criado, nomeado no formato SQLServerMSASUser$<computer_name>$<instance_name>. O SID NT SERVICE\MSSQLServerOLAPService por serviço recebe permissão de associação no grupo local do Windows, e o grupo local do Windows recebe as permissões apropriadas na ACL. Se a conta usada para iniciar o serviço analysis services for alterada, o SQL Server Configuration Manager deverá alterar algumas permissões do Windows (como o direito de fazer logon como um serviço), mas as permissões atribuídas ao grupo local do Windows ainda estarão disponíveis sem nenhuma atualização, porque o SID por serviço não foi alterado. Esse método permite que o serviço Analysis Services seja renomeado durante atualizações.

Durante a instalação do SQL Server, a Instalação do SQL Server cria um grupo local do Windows para SSAS, bem como o serviço SQL Server Browser. Nesses serviços, o SQL Server configura a ACL para os grupos locais do Windows.

Dependendo da configuração do serviço, a conta de serviço para um serviço ou SID de serviço é adicionada como um membro do grupo de serviços durante a instalação ou atualização.

Privilégios e direitos do Windows

A conta atribuída para iniciar um serviço precisa da permissão Iniciar, parar e pausar para o serviço. O programa de Instalação do SQL Server atribui automaticamente essa permissão. Primeiro instale as Ferramentas de Administração de Servidor Remoto. Consulte o artigo sobre as Ferramentas de Administração de Servidor Remoto para Windows 10.

A tabela a seguir mostra as permissões que a Instalação do SQL Server solicita para as SIDs por serviço ou para os grupos locais do Windows usados pelos componentes do SQL Server.

¹ O serviço SQL Server Agent está desabilitado em instâncias do SQL Server Express.

Permissões do sistema de arquivos concedidas a SIDs por serviço do SQL Server ou a grupos locais do Windows

As contas de serviço do SQL Server precisam ter acesso aos recursos. As listas de controle de acesso são definidas para o SID por serviço ou para o grupo local do Windows.

A seguinte tabela mostra as ACLs que são definidas pela Instalação do SQL Server:

¹ O serviço SQL Server Agent está desabilitado em instâncias de SQL Server Express e SQL Server Express com Serviços Avançados.

Quando os arquivos de banco de dados são armazenados em um local definido pelo usuário, você deve conceder acesso ao SID por serviço para esse local. Para obter mais informações sobre como conceder permissões do sistema de arquivos a um SID por serviço, consulte Configurar permissões do sistema de arquivos para acesso ao Mecanismo de Banco de Dados.

Permissões do sistema de arquivos concedidas a outros grupos ou contas de usuário do Windows

Poderá ser necessário conceder algumas permissões de controle de acesso a contas internas ou a outras contas do serviço do SQL Server. A tabela a seguir lista as ACLs adicionais que são definidas pela Instalação do SQL Server.

¹ Este é o namespace do provedor WMI.

Permissões do sistema de arquivos relacionadas a locais de disco incomuns

A unidade padrão para locais de instalação é a unidade do sistema, normalmente a unidade C. Esta seção descreve considerações adicionais quando tempdb ou os bancos de dados de usuário são instalados em locais incomuns.

Unidade não padrão

Quando instalado em uma unidade local que não seja a unidade padrão, a SID por serviço precisa ter acesso à localização do arquivo. A Instalação do SQL Server provisiona o acesso necessário.

Compartilhamento de rede

Quando bancos de dados são instalados em um compartilhamento de rede, a conta de serviço deve ter acesso ao local do arquivo do usuário e aos bancos de dados tempdb. A Instalação do SQL Server não pode provisionar o acesso a um compartilhamento de rede. O usuário deve provisionar o acesso a um tempdb local para a conta de serviço antes de executar a instalação. O usuário deve provisionar o acesso ao local do banco de dados de usuário antes de criar o banco de dados.

Examinar considerações adicionais

A tabela a seguir mostra as permissões necessárias para que os serviços SQL Server forneçam funcionalidade adicional.

Permissões de Registro

O hive do Registro é criado em HKLM\Software\Microsoft\Microsoft SQL Server\<Instance_ID> para componentes com reconhecimento de instância. Por exemplo:

• HKLM\Software\Microsoft\Microsoft SQL Server\MSSQL15.MyInstance
• HKLM\Software\Microsoft\Microsoft SQL Server\MSASSQL15.MyInstance
• HKLM\Software\Microsoft\Microsoft SQL Server\MSSQL.150

O registro também mantém um mapeamento do ID da instância para o nome da instância. O mapeamento do ID da instância para o nome da instância é mantido como segue:

• [HKEY_LOCAL_MACHINE\Software\Microsoft\Microsoft SQL Server\Instance Names\SQL] "InstanceName"="MSSQL15"
• [HKEY_LOCAL_MACHINE\Software\Microsoft\Microsoft SQL Server\Instance Names\OLAP] "InstanceName"="MSASSQL15"
• [HKEY_LOCAL_MACHINE\Software\Microsoft\Microsoft SQL Server\Instance Names\RS] "InstanceName"="MSRSSQL15"

WMI

O WMI (Instrumentação de Gerenciamento do Windows) deve poder se conectar ao Mecanismo de Banco de Dados. Para dar suporte a isso, o SID por serviço do provedor WMI do Windows (NT SERVICE\winmgmt) é provisionado no Mecanismo de Banco de Dados.

O provedor WMI do SQL requer as seguintes permissões mínimas:

• Associação nas funções de banco de dados fixas db_ddladmin ou db_owner no banco de dados msdb.

• CREATE DDL EVENT NOTIFICATION permissão no servidor.

• CREATE TRACE EVENT NOTIFICATION permissão no Mecanismo de Banco de Dados.

• VIEW ANY DATABASE permissão no nível do servidor.

  A instalação do SQL Server cria um namespace do WMI do SQL e concede permissão de leitura à SID do serviço do SQL Server Agent.

Pipes nomeados

Durante toda a instalação, a Instalação do SQL Server fornece acesso ao Mecanismo de Banco de Dados do SQL Server via protocolo de memória compartilhada, que é um pipe nomeado local.

Provision

Esta seção descreve como as contas são provisionadas em vários componentes do SQL Server.

• Provisionamento do Mecanismo de Banco de Dados

  • entidades de segurança do Windows
  • Conta SA
  • Logon e privilégios de SID por serviço do SQL Server
  • Logon e privilégios do SQL Server Agent
  • HADRON, privilégios e instância de cluster de failover do SQL
  • Gravador e privilégios do SQL
  • WMI e privilégios do SQL

• Provisionamento SSAS

• Provisionamento SSRS

Provisionamento do Mecanismo de Banco de Dados

As contas a seguir são adicionadas como logons no Mecanismo de Banco de Dados do SQL Server.

entidades de segurança do Windows

Durante a instalação, a Instalação do SQL Server requer que pelo menos uma conta de usuário seja nomeada como membro da função de servidor fixa sysadmin.

Conta SA

A sa conta sempre está presente como um logon do Mecanismo de Banco de Dados e é membro da função de servidor fixa sysadmin . Quando o Mecanismo de Banco de Dados é instalado usando apenas a Autenticação do Windows (ou seja, quando a Autenticação do SQL Server não está habilitada), o sa logon ainda está presente, mas está desabilitado e a senha é complexa e aleatória. Para obter informações sobre como habilitar a conta, consulte Alterar o samodo de autenticação do servidor.

Logon e privilégios de SID por serviço do SQL Server

A SID por serviço (às vezes também chamado de SID (entidade de segurança de serviço)) do serviço SQL Server é provisionada como um logon do Mecanismo de Banco de Dados. O logon do SID por serviço é membro da função de servidor fixa sysadmin . Para obter informações sobre o SID por serviço, confira Usando SIDs de Serviço para conceder permissões para serviços no SQL Server.

Logon e privilégios do SQL Server Agent

A SID por serviço do serviço SQL Server Agent é provisionada como um logon do Mecanismo de Banco de Dados. O logon do SID por serviço é membro da função de servidor fixa sysadmin .

Grupos de Disponibilidade Always On e privilégios e instância de Cluster de Failover do SQL

Ao instalar o Mecanismo de Banco de Dados como grupos de disponibilidade Always On ou a FCI (instância de cluster de failover do SQL) LOCAL SYSTEM é provisionada no Mecanismo de Banco de Dados. O LOCAL SYSTEM logon recebe a ALTER ANY AVAILABILITY GROUP permissão (para grupos de disponibilidade Always On) e a VIEW SERVER STATE permissão (para a FCI do SQL).

Gravador e privilégios do SQL

A SID por serviço do serviço Gravador VSS do SQL Server é provisionada como um logon do Mecanismo de Banco de Dados. O logon do SID por serviço é membro da função de servidor fixa sysadmin .

WMI e privilégios do SQL

A instalação do SQL Server provisiona a conta NT SERVICE\Winmgmt como um logon do Mecanismo de Banco de Dados e a adiciona à função de servidor fixa sysadmin.

Provisionamento SSRS

A conta especificada durante a instalação é provisionada como membro da função de banco de dados RSExecRole . Para obter mais informações, consulte Configurar a Conta de Serviço do Servidor de Relatório (Gerenciador de Configurações do Servidor de Relatório).

Provisionamento SSAS

Os requisitos da conta do serviço SSAS variam, dependendo de como o servidor está implantado. Se você estiver instalando o Power Pivot para SharePoint, a Instalação do SQL Server requer a configuração do serviço Analysis Services para executar em uma conta de domínio. Contas de domínio são necessárias para dar suporte ao recurso de conta gerenciada criada no SharePoint. Por essa razão, a Instalação do SQL Server não fornece uma conta de serviço padrão, como uma conta virtual, para uma instalação do Power Pivot para SharePoint. Para obter mais informações sobre o provisionamento do Power Pivot para SharePoint, confira Configurar contas do serviço Power Pivot.

Para todas as outras instalações autônomas do SSAS, você pode provisionar o serviço para ser executado em uma conta de domínio, conta de sistema interna, conta gerenciada ou conta virtual. Para obter mais informações sobre o provisionamento de conta, confira Configurar contas de serviço (Analysis Services).

Para instalações clusterizadas, especifique uma conta de domínio ou uma conta de sistema interna. Não há suporte para contas gerenciadas nem contas virtuais em clusters de failover do SSAS.

Todas as instalações do SSAS requerem que você especifique um administrador do sistema da instância do Analysis Services. São provisionados privilégios de administrador na função Servidor do Analysis Services.

Provisionamento SSRS

A conta especificada durante a instalação é provisionada no Mecanismo de Banco de Dados como membro da função de banco de dados RSExecRole. Para obter mais informações, consulte Configurar a Conta de Serviço do Servidor de Relatório (Gerenciador de Configurações do Servidor de Relatório).

Atualizar com base em versões anteriores

Esta seção descreve as alterações feitas durante a atualização de uma versão anterior do SQL Server.

• O SQL Server 2019 (15.x) exige um sistema operacional com suporte. Qualquer versão anterior do SQL Server em execução em uma versão inferior do sistema operacional precisa ter o sistema operacional atualizado antes de atualizar o SQL Server.

• Durante a atualização do SQL Server 2005 (9.x) para o SQL Server 2019 (15.x), a instalação configura a instância do SQL Server da seguinte maneira:

  • O Mecanismo de Banco de Dados é executado com o contexto de segurança do SID por serviço. O SID por serviço recebe acesso às pastas de arquivo da instância do SQL Server (como DATA) e às chaves do Registro do SQL Server.
  • O SID por serviço do Mecanismo de Banco de Dados é provisionado no Mecanismo de Banco de Dados como membro da função de servidor fixa sysadmin.
  • As SIDs por serviço são adicionadas aos grupos locais do Windows do SQL Server, a menos que o SQL Server seja uma Instância de Cluster de Failover.
  • Os recursos do SQL Server permanecem provisionados nos grupos locais do Windows do SQL Server.
  • O grupo do Windows local para serviços é renomeado de SQLServer2005MSSQLUser$<computer_name>$<instance_name> para SQLServerMSSQLUser$<computer_name>$<instance_name>. Os locais de arquivo para bancos de dados migrados têm ACEs (Entradas de Controle de Acesso) para os grupos locais do Windows. Os locais de arquivo para novos bancos de dados têm ACEs para o SID por serviço.

• Durante a atualização do SQL Server 2008 (10.0.x), a Instalação do SQL Server preserva as ACEs da SID por serviço do SQL Server 2008 (10.0.x).

• Para uma instância de cluster de failover do SQL Server, as ACEs da conta de domínio configurada para o serviço são mantidas.

Apêndice

Esta seção contém informações adicionais sobre os serviços SQL Server.

• Descrição de contas de serviço
• Identificar serviços com e sem reconhecimento de instância
• Nomes de serviços localizados

Descrição de contas de serviço

A conta de serviço é a conta usada para iniciar um serviço do Windows, como o Mecanismo de Banco de Dados do SQL Server. Para executar o SQL Server, não é necessário adicionar a Conta de Serviço como um Logon ao SQL Server além da SID do Serviço, que está sempre presente e é um membro da função de servidor fixa sysamin.

Contas disponíveis com qualquer sistema operacional

Além da nova MSA, gMSA e das contas virtuais descritas anteriormente, as contas a seguir podem ser usadas.

Conta de usuário do domínio

Se o serviço precisar interagir com os serviços de rede, acessar recursos de domínio como compartilhamentos de arquivos ou se ele usar conexões de servidor vinculadas a outros computadores que executam o SQL Server, você poderá usar uma conta de domínio minimamente privilegiada. Muitas atividades de servidor a servidor podem ser executadas somente com uma conta de usuário do domínio. Um administrador de domínio deve pré-criar essa conta em seu ambiente.

Se você configurar o SQL Server para usar uma conta de domínio, poderá isolar os privilégios do Serviço, mas precisará gerenciar senhas manualmente ou criar uma solução personalizada para gerenciar essas senhas. Muitos aplicativos para servidores usam essa estratégia para aprimorar a segurança, mas essa estratégia requer administração adicional e complexidade. Nessas implantações, os administradores de serviço passam um período considerável de tempo em tarefas de manutenção, como gerenciar senhas de serviço e os nomes principais de serviço (SPNs), que são necessários para autenticação Kerberos. Além disso, essas tarefas de manutenção podem interromper o serviço.

Contas de usuário local

Se o computador não faz parte de um domínio, é recomendável usar uma conta de usuário local sem permissões de administrador do Windows.

Conta de serviço local

A conta Serviço Local é uma conta interna que tem o mesmo nível de acesso a recursos e objetos que os membros do grupo Usuários. Esse acesso limitado ajuda a salvaguardar o sistema se serviços ou processos individuais forem comprometidos. Os serviços que são executados como a conta de serviço local acessam os recursos de rede em uma sessão nula, sem credenciais.

Não há suporte para a conta de serviço local nos serviços SQL Server ou SQL Server Agent. O Serviço Local não tem suporte como a conta que executa esses serviços porque é um serviço compartilhado e qualquer outro serviço em execução no serviço local teria acesso do administrador do sistema ao SQL Server.

O nome real da conta é NT AUTHORITY\LOCAL SERVICE.

Conta do Serviço de Rede

A conta de Serviço de Rede é uma conta interna que tem mais acesso a recursos e objetos do que os membros do grupo Usuários. Os serviços executados como conta de serviço de rede acessam recursos de rede usando as credenciais da conta do computador no formato <domain_name>\<computer_name>$. O nome real da conta é NT AUTHORITY\NETWORK SERVICE.

Conta do sistema local

A conta Sistema Local é uma conta interna com privilégios altos. Ela tem privilégios extensos no sistema local e funciona como o computador na rede. O nome real da conta é NT AUTHORITY\SYSTEM.

Identificar serviços com e sem reconhecimento de instância

Os serviços com reconhecimento de instância são associados a uma instância específica do SQL Server e têm os próprios hives de Registro. Você pode instalar várias cópias de serviços com reconhecimento de instância, executando a Instalação do SQL Server para cada componente ou serviço. Os serviços sem reconhecimento de instância são compartilhados entre todas as instâncias instaladas do SQL Server. Eles não são associados a uma instância específica, são instalados uma só vez e não podem ser instalados lado a lado.

Os serviços com reconhecimento de instância no SQL Server incluem:

• SQL Server

• Agente do SQL Server

  O serviço SQL Server Agent está desabilitado em instâncias do SQL Server Express e do SQL Server Express com Serviços Avançados.

• Analysis Services

  O Analysis Services no modo Integrado do SharePoint é executado como “Power Pivot” como uma instância única e nomeada. O nome da instância é fixo. Não é possível especificar um nome diferente. É possível instalar apenas uma instância do Analysis Services executada como “Power Pivot” em cada servidor físico.

• Serviços de Relatórios

• Pesquisa de texto completo

Os serviços sem reconhecimento de instância no SQL Server incluem:

• Serviços de integração
• Navegador do SQL Server
• Gravador do SQL

Nomes de serviços localizados

A tabela a seguir mostra nomes de serviços que são exibidos por versões localizadas do Windows.

Conteúdo relacionado

• Considerações de segurança para uma instalação do SQL Server
• Locais de arquivo para instâncias padrão e nomeadas do SQL Server
• Tarefas de instalação do Master Data Services