Configurar contas de serviço e permissões do Windows

Aplica-se a:SQL Server

Cada serviço no SQL Server representa um processo ou um conjunto de processos para gerenciar a autenticação de operações do SQL Server com o Windows. Este artigo descreve a configuração padrão de serviços nesta versão do SQL Server e as opções de configuração para serviços do SQL Server que você pode definir durante e após a instalação do SQL Server. Este artigo ajuda os usuários avançados a entender os detalhes das contas de serviço.

A maioria dos serviços e suas propriedades podem ser configurados usando o SQL Server Configuration Manager. Aqui estão os caminhos para versões recentes quando o Windows é instalado na unidade C.

SQL Server habilitado pelo Azure Arc

Para obter as permissões exigidas pela Extensão do Azure para SQL Server, consulte Configurar contas de serviço do Windows e permissões para a extensão do Azure para SQL Server.

Serviços instalados pelo SQL Server

Dependendo dos componentes que você decidir instalar, a Instalação do SQL Server instalará os seguintes serviços:

O Integration Services pode incluir serviços adicionais para implantações em expansão. Para obter mais informações, consulte Passo a passo: Configurar o dimensionamento do Integration Services (SSIS).

Serviços do Programa de Aperfeiçoamento da Experiência do Usuário instalados pelo SQL Server

A auditoria local para uso do SQL Server e coleta de dados de diagnóstico (CEIP) envia dados de telemetria de volta para a Microsoft.

Dependendo dos componentes que você decidir instalar, a instalação do SQL Server instalará os seguintes serviços do Programa de Aperfeiçoamento da Experiência do Usuário.

Propriedades e configuração do serviço

As contas de inicialização usadas para iniciar e executar o SQL Server podem ser contas de usuário de domínio, contas de usuário local, contas de serviço gerenciado,contas virtuais ou contas de sistema internas. Para iniciar e executar, cada serviço no SQL Server deve ter uma conta de inicialização configurada durante a instalação.

Esta seção descreve as contas que podem ser configuradas para iniciar serviços do SQL Server, os valores padrão usados pela Instalação do SQL Server, o conceito de SIDs por serviço, as opções de inicialização e a configuração do firewall.

• Contas de serviço padrão
• Arranque automático
• Configurando o serviço StartupType
• Porta de firewall

Contas de serviço padrão

A tabela a seguir lista as contas de serviço padrão usadas pela instalação ao instalar todos os componentes. As contas padrão listadas são as contas recomendadas, exceto conforme indicado.

Servidor autônomo ou controlador de domínio

¹ Quando recursos externos ao computador do SQL Server são necessários, a Microsoft recomenda o uso de uma conta de serviço gerenciado (MSA), configurada com os privilégios mínimos necessários.

² Quando instalado em um controlador de domínio, uma conta virtual como a conta de serviço não é suportada.

Instância de cluster de failover do SQL Server

Alterar propriedades da conta

• Sempre use ferramentas do SQL Server, como o SQL Server Configuration Manager, para alterar a conta usada pelos serviços do Mecanismo de Banco de Dados do SQL Server ou do SQL Server Agent ou para alterar a senha da conta. Além de alterar o nome da conta, o SQL Server Configuration Manager executa configurações adicionais, como a atualização do armazenamento de segurança local do Windows, que protege a chave mestra de serviço para o Mecanismo de Banco de Dados. Outras ferramentas, como o Gerenciador de Controle de Serviços do Windows, podem alterar o nome da conta, mas não alteram todas as configurações necessárias.

Se você alterar contas de serviço para qualquer serviço SQL usando outros meios, isso pode levar a um comportamento inesperado ou erros. Por exemplo, se você alterar a conta de serviço do SQL Agent para uma conta de domínio usando o miniaplicativo de serviços do Windows, poderá notar que os trabalhos do agente SQL que usam as etapas de trabalho do Sistema Operacional (Cmdexec), Replicação ou SSIS podem falhar com um erro como:

Executed as user : Domain\Account.
The process couldn't be created for step Step Number of job Unique Job ID (reason: A required privilege isn't held by the client). The step failed.

Para resolver esse erro, você deve fazer o seguinte usando o SQL Server Configuration Manager:

1. Altere temporariamente a conta de serviço do SQL Agent de volta para a conta virtual padrão (instância padrão: NT Service\SQLSERVERAGENT. Instância nomeada: NT Service\SQLAGENT$<instance_name>.)
2. Reiniciar o serviço SQL Server Agent
3. Alterar a conta de serviço de volta para a conta de domínio desejada
4. Reiniciar o serviço SQL Server Agent

• Para instâncias do Analysis Services implantadas em um farm do SharePoint, sempre use a Administração Central do SharePoint para alterar as contas de servidor dos aplicativos de serviço Power Pivot e do serviço Analysis Services. As configurações e permissões associadas são atualizadas para usar as novas informações da conta quando você usa a Administração Central.

• Para alterar as opções do Reporting Services, use a Ferramenta de Configuração do Reporting Services.

Contas de serviço gerenciadas, contas de serviço gerenciadas por grupo e contas virtuais

As contas de serviço gerenciadas, as contas de serviço gerenciadas por grupo e as contas virtuais são projetadas para fornecer aplicativos cruciais, como o SQL Server, com o isolamento de suas próprias contas, ao mesmo tempo em que eliminam a necessidade de um administrador administrar manualmente o SPN (Nome da Entidade de Serviço) e as credenciais dessas contas. Isso facilita o gerenciamento de longo prazo de usuários de contas de serviço, senhas e SPNs.

• Contas de serviço gerenciadas

  Uma conta de serviço gerenciado (MSA) é um tipo de conta de domínio criada e gerenciada pelo controlador de domínio. Ele é atribuído a um único computador membro para uso executando um serviço. A senha é gerenciada automaticamente pelo controlador de domínio. Você não pode usar um MSA para entrar em um computador, mas um computador pode usar um MSA para iniciar um serviço do Windows. Um MSA tem a capacidade de registrar um SPN (Nome da Entidade de Serviço) no Ative Directory quando recebe permissões de leitura e gravação servicePrincipalName. Um MSA é nomeado com um $ sufixo, por exemplo DOMAIN\ACCOUNTNAME$. Ao especificar um MSA, deixe a senha em branco. Como um MSA é atribuído a um único computador, ele não pode ser usado em nós diferentes de um cluster do Windows.

  Observação

  O MSA deve ser criado no Ative Directory pelo administrador do domínio antes que a instalação do SQL Server possa usá-lo para serviços do SQL Server.

• Contas de serviço gerenciadas por grupo

  Uma conta de serviço gerenciada por grupo (gMSA) é uma MSA para vários servidores. O Windows gerencia uma conta de serviço para serviços executados em um grupo de servidores. O Ative Directory atualiza automaticamente a senha da conta de serviço gerenciada pelo grupo sem reiniciar os serviços. Você pode configurar os serviços do SQL Server para usar uma entidade de conta de serviço gerenciada por grupo. A partir do SQL Server 2014, o SQL Server oferece suporte a contas de serviço gerenciadas por grupo para instâncias autônomas e ao SQL Server 2016 e posterior para instâncias de cluster de failover e grupos de disponibilidade.

  Para usar um gMSA para SQL Server 2014 ou posterior, o sistema operacional deve ser Windows Server 2012 R2 ou posterior. Os servidores com Windows Server 2012 R2 requerem KB 2998082 aplicado para que os serviços possam entrar sem interrupção imediatamente após uma alteração de senha.

  Para obter mais informações, consulte Contas de serviço gerenciado de grupo para Windows Server 2016 e posterior. Para versões anteriores do Windows Server, consulte Contas de serviço gerenciado de grupo.

  Observação

  O gMSA deve ser criado no Ative Directory pelo administrador do domínio antes que a instalação do SQL Server possa usá-lo para serviços do SQL Server.

• Contas virtuais

  As contas virtuais são contas locais gerenciadas que fornecem os seguintes recursos para simplificar a administração do serviço. A conta virtual é gerenciada automaticamente e a conta virtual pode acessar a rede em um ambiente de domínio. Se o valor padrão for usado para as contas de serviço durante a instalação do SQL Server, uma conta virtual usando o nome da instância como o nome do serviço será usada, no formato NT SERVICE\<SERVICENAME>. Os serviços executados como contas virtuais acessam recursos de rede usando as credenciais da conta de computador no formato <domain_name>\<computer_name>$. Ao especificar uma conta virtual para iniciar o SQL Server, deixe a senha em branco. Se a conta virtual não conseguir registrar o SPN (Nome da Entidade de Serviço), registre o SPN manualmente. Para obter mais informações sobre como registrar um SPN manualmente, consulte Registrar um nome de entidade de serviço para conexões Kerberos.

  Observação

  As contas virtuais não podem ser usadas para a instância de cluster de failover do SQL Server, porque a conta virtual não teria o mesmo SID em cada nó do cluster.

  A tabela a seguir lista exemplos de nomes de contas virtuais.

  Serviço	Nome da conta virtual
  Instância padrão do serviço Mecanismo de Banco de Dados	NT SERVICE\MSSQLSERVER
  Instância nomeada de um serviço do Mecanismo de Banco de Dados chamado PAYROLL	NT SERVICE\MSSQL$PAYROLL
  Serviço SQL Server Agent na instância padrão do SQL Server	NT Service\SQLSERVERAGENT
  Serviço SQL Server Agent em uma instância do SQL Server chamada PAYROLL	NT SERVICE\SQLAGENT$PAYROLL

Para obter mais informações sobre contas de serviço gerenciadas e contas virtuais, consulte a seção Conta de serviço gerenciada e conceitos de conta virtual do Guia Passo a Passo de Contas de Serviço e Perguntas Frequentes (FAQ) sobre Contas de Serviço Gerenciado.

Arranque automático

Além de ter contas de usuário, cada serviço tem três estados de inicialização possíveis que os usuários podem controlar:

• Desativado. O serviço está instalado, mas não está em execução no momento.
• Manual. O serviço é instalado, mas é iniciado somente quando outro serviço ou aplicativo precisa de sua funcionalidade.
• Automático. O serviço é iniciado automaticamente pelo sistema operacional.

O estado de inicialização é selecionado durante a instalação. Ao instalar uma instância nomeada, o serviço Navegador do SQL Server deve ser definido para iniciar automaticamente.

Configurar serviços durante a instalação autônoma

A tabela a seguir mostra os serviços do SQL Server que podem ser configurados durante a instalação. Para instalações autônomas, você pode usar as opções em um arquivo de configuração ou em um prompt de comando.

¹ Para obter mais informações e exemplos de sintaxe para instalações autônomas, consulte Instalar, configurar ou desinstalar o SQL Server no Windows no prompt de comando.

² O serviço SQL Server Agent está desabilitado em instâncias do SQL Server Express e do SQL Server Express com Advanced Services.

³ A configuração da conta para o Launchpad apenas através dos comutadores não é suportada atualmente. Use o SQL Server Configuration Manager para alterar a conta e outras configurações de serviço.

Porta de firewall

Na maioria dos casos, quando instalado inicialmente, o Mecanismo de Banco de Dados pode ser conectado por ferramentas como o SQL Server Management Studio instaladas no mesmo computador que o SQL Server. A Instalação do SQL Server não abre portas no Firewall do Windows. As conexões de outros computadores podem não ser possíveis até que o Mecanismo de Banco de Dados esteja configurado para escutar em uma porta TCP e a porta apropriada seja aberta para conexões no Firewall do Windows. Para obter mais informações, consulte Configurar o Firewall do Windows para permitir o acesso ao SQL Server.

Permissões de serviço

Esta seção descreve as permissões que a Instalação do SQL Server configura para os SIDs por serviço dos serviços do SQL Server.

• Configuração de serviço e controle de acesso
• Privilégios e direitos do Windows
• Permissões do sistema de arquivos concedidas a SIDs por serviço do SQL Server ou grupos locais do Windows do SQL Server
• Permissões do sistema de arquivos concedidas a outras contas de usuário ou grupos do Windows
• Permissões do sistema de arquivos relacionadas a locais de disco incomuns
• Revisão de considerações adicionais
• Permissões do Registro
• WMI
• Pipes nomeados

Configuração de serviço e controle de acesso

O SQL Server permite que o SID por serviço para cada um de seus serviços forneça isolamento de serviço e defesa em profundidade. O SID por serviço é derivado do nome do serviço e é exclusivo para esse serviço. Por exemplo, um nome SID de serviço para uma instância nomeada do serviço Mecanismo de Banco de Dados pode ser NT Service\MSSQL$<instance_name>. O isolamento de serviço permite o acesso a objetos específicos sem a necessidade de executar uma conta de alto privilégio ou enfraquecer a proteção de segurança do objeto. Usando uma entrada de controle de acesso que contém um SID de serviço, um serviço do SQL Server pode restringir o acesso aos seus recursos.

Para a maioria dos componentes, o SQL Server configura a ACL para a conta por serviço diretamente, portanto, alterar a conta de serviço pode ser feito sem ter que repetir o processo de ACL de recurso.

Ao instalar o SSAS, um SID por serviço para o serviço Analysis Services é criado. Um grupo local do Windows é criado, nomeado no formato SQLServerMSASUser$<computer_name>$<instance_name>. O SID NT SERVICE\MSSQLServerOLAPService por serviço recebe a associação ao grupo local do Windows e o grupo local do Windows recebe as permissões apropriadas na ACL. Se a conta usada para iniciar o serviço Analysis Services for alterada, o SQL Server Configuration Manager deverá alterar algumas permissões do Windows (como o direito de fazer logon como um serviço), mas as permissões atribuídas ao grupo local do Windows ainda estarão disponíveis sem qualquer atualização, porque o SID por serviço não foi alterado. Esse método permite que o serviço Analysis Services seja renomeado durante as atualizações.

Durante a instalação do SQL Server, a Instalação do SQL Server cria um grupo local do Windows para o SSAS e o serviço Navegador do SQL Server. Para esses serviços, o SQL Server configura a ACL para os grupos locais do Windows.

Dependendo da configuração do serviço, a conta de serviço de um SID de serviço ou serviço é adicionada como membro do grupo de serviços durante a instalação ou atualização.

Privilégios e direitos do Windows

A conta atribuída para iniciar um serviço precisa da permissão Iniciar, parar e pausar para o serviço. O programa de instalação do SQL Server atribui isso automaticamente. Primeiro, instale as Ferramentas de Administração de Servidor Remoto (RSAT). Consulte Ferramentas de Administração de Servidor Remoto para Windows 10.

A tabela a seguir mostra as permissões que a Instalação do SQL Server solicita para os SIDs por serviço ou grupos locais do Windows usados pelos componentes do SQL Server.

¹ O serviço SQL Server Agent está desabilitado em instâncias do SQL Server Express.

Permissões do sistema de arquivos concedidas a SIDs por serviço do SQL Server ou grupos locais do Windows

As contas de serviço do SQL Server devem ter acesso aos recursos. As listas de controle de acesso são definidas para o SID por serviço ou para o grupo local do Windows.

A tabela a seguir mostra as ACLs definidas pela Instalação do SQL Server:

¹ O serviço SQL Server Agent está desabilitado em instâncias do SQL Server Express e do SQL Server Express com Advanced Services.

Quando os arquivos de banco de dados são armazenados em um local definido pelo usuário, você deve conceder ao SID por serviço acesso a esse local. Para obter mais informações sobre como conceder permissões de sistema de arquivos a um SID por serviço, consulte Configurar permissões do sistema de arquivos para acesso ao Mecanismo de Banco de Dados.

Permissões do sistema de arquivos concedidas a outras contas de usuário ou grupos do Windows

Algumas permissões de controle de acesso podem ter que ser concedidas a contas internas ou outras contas de serviço do SQL Server. A tabela a seguir lista ACLs adicionais definidas pela Instalação do SQL Server.

¹ Este é o namespace do provedor WMI.

Permissões do sistema de arquivos relacionadas a locais de disco incomuns

A unidade padrão para locais de instalação é a unidade do sistema, normalmente a unidade C. Esta seção descreve considerações adicionais quando tempdb ou bancos de dados de usuário são instalados em locais incomuns.

Unidade não padrão

Quando instalado em uma unidade local que não seja a unidade padrão, o SID por serviço deve ter acesso ao local do arquivo. A Instalação do SQL Server provisiona o acesso necessário.

Compartilhamento de rede

Quando os bancos de dados são instalados em um compartilhamento de rede, a conta de serviço deve ter acesso ao local do arquivo do usuário e tempdb dos bancos de dados. A Instalação do SQL Server não pode provisionar o acesso a um compartilhamento de rede. O usuário deve provisionar o acesso a um tempdb local para a conta de serviço antes de executar a instalação. O usuário deve provisionar o acesso ao local do banco de dados do usuário antes de criar o banco de dados.

Analise considerações adicionais

A tabela a seguir mostra as permissões necessárias para que os serviços do SQL Server forneçam funcionalidade adicional.

Permissões do Registro

O hive do registro é criado em HKLM\Software\Microsoft\Microsoft SQL Server\<Instance_ID> , por exemplo, componentes com reconhecimento de exemplo. Por exemplo:

• HKLM\Software\Microsoft\Microsoft SQL Server\MSSQL15.MyInstance
• HKLM\Software\Microsoft\Microsoft SQL Server\MSASSQL15.MyInstance
• HKLM\Software\Microsoft\Microsoft SQL Server\MSSQL.150

O registo também mantém um mapeamento de ID da instância com o nome da instância. O mapeamento de ID de instância para nome de instância é mantido da seguinte forma:

• [HKEY_LOCAL_MACHINE\Software\Microsoft\Microsoft SQL Server\Instance Names\SQL] "InstanceName"="MSSQL15"
• [HKEY_LOCAL_MACHINE\Software\Microsoft\Microsoft SQL Server\Instance Names\OLAP] "InstanceName"="MSASSQL15"
• [HKEY_LOCAL_MACHINE\Software\Microsoft\Microsoft SQL Server\Instance Names\RS] "InstanceName"="MSRSSQL15"

WMI

O WMI (Instrumentação de Gerenciamento do Windows) deve ser capaz de se conectar ao Mecanismo de Banco de Dados. Para oferecer suporte a isso, o SID por serviço do provedor WMI do Windows (NT SERVICE\winmgmt) é provisionado no Mecanismo de Banco de Dados.

O provedor WMI SQL requer as seguintes permissões mínimas:

• A associação ao db_ddladmin ou db_owner funções de banco de dados fixas no msdb banco de dados.

• CREATE DDL EVENT NOTIFICATION permissão no servidor.

• CREATE TRACE EVENT NOTIFICATION permissão no Mecanismo de Banco de Dados.

• VIEW ANY DATABASE permissão no nível do servidor.

  A instalação do SQL Server cria um namespace WMI do SQL e concede permissão de leitura ao SID de serviço do SQL Server Agent.

Canalizações nomeadas

Em toda a instalação, a Instalação do SQL Server fornece acesso ao Mecanismo de Banco de Dados do SQL Server por meio do protocolo de memória compartilhada, que é um pipe nomeado local.

Provision

Esta seção descreve como as contas são provisionadas dentro dos vários componentes do SQL Server.

• Provisionamento do Mecanismo de Banco de Dados

  • Entidades do Windows
  • Conta SA
  • Logon e privilégios do SID por serviço do SQL Server
  • Logon e privilégios do SQL Server Agent
  • Instância e privilégios de cluster de failover HADRON e SQL
  • Gravador SQL e privilégios
  • WMI SQL e privilégios

• Provisionamento do SSAS

• Provisionamento SSRS

Provisionamento do Mecanismo de Banco de Dados

As contas a seguir são adicionadas como logons no Mecanismo de Banco de Dados do SQL Server.

Entidades do Windows

Durante a instalação, a Instalação do SQL Server requer que pelo menos uma conta de usuário seja nomeada como membro da função de servidor fixa sysadmin .

Conta SA

A sa conta está sempre presente como um logon do Mecanismo de Banco de Dados e é membro da função de servidor fixa sysadmin . Quando o Mecanismo de Banco de Dados é instalado usando apenas a Autenticação do Windows (ou seja, quando a Autenticação do SQL Server não está habilitada), o sa logon ainda está presente, mas está desabilitado e a senha é complexa e aleatória. Para obter informações sobre como habilitar a conta, consulte sa servidor.

Logon e privilégios do SID por serviço do SQL Server

O SID por serviço (às vezes também chamado de entidade de segurança de serviço (SID)) do serviço SQL Server é provisionado como um logon do Mecanismo de Banco de Dados. O login SID por serviço é um membro da função de servidor fixa sysadmin . Para obter informações sobre SID por serviço, consulte Usando SIDs de serviço para conceder permissões a serviços no SQL Server.

Logon e privilégios do SQL Server Agent

O SID por serviço do serviço SQL Server Agent é provisionado como um logon do Mecanismo de Banco de Dados. O login SID por serviço é um membro da função de servidor fixa sysadmin .

Grupos de disponibilidade Always On e instância e privilégios de cluster de failover SQL

Ao instalar o Mecanismo de Banco de Dados como um grupo de disponibilidade Always On ou instância de cluster de failover SQL (SQL FCI), LOCAL SYSTEM é provisionado no Mecanismo de Banco de Dados. O LOCAL SYSTEM logon recebe a ALTER ANY AVAILABILITY GROUP permissão (para grupos de disponibilidade Always On) e a VIEW SERVER STATE permissão (para SQL FCI).

Gravador SQL e privilégios

O SID por serviço do serviço Gravador VSS do SQL Server é provisionado como um logon do Mecanismo de Banco de Dados. O login SID por serviço é um membro da função de servidor fixa sysadmin .

WMI SQL e privilégios

A Configuração do SQL Server provisiona a NT SERVICE\Winmgmt conta como um logon do Mecanismo de Banco de Dados e a adiciona à função de servidor fixa sysadmin .

Provisionamento SSRS

A conta especificada durante a instalação é provisionada como membro da função de banco de dados RSExecRole . Para obter mais informações, consulte Configurar a conta de serviço do servidor de relatório (Gerenciador de Configuração do Servidor de Relatórios).

Provisionamento do SSAS

Os requisitos da conta de serviço do SSAS variam dependendo de como você implanta o servidor. Se você estiver instalando o Power Pivot para SharePoint, a Instalação do SQL Server exigirá que você configure o serviço Analysis Services para ser executado em uma conta de domínio. As contas de domínio são necessárias para dar suporte ao recurso de conta gerenciada que é incorporado ao SharePoint. Por esse motivo, a Instalação do SQL Server não fornece uma conta de serviço padrão, como uma conta virtual, para uma instalação do Power Pivot para SharePoint. Para obter mais informações sobre o provisionamento do Power Pivot para SharePoint, consulte Configurar contas de serviço do Power Pivot.

Para todas as outras instalações autônomas do SSAS, você pode provisionar o serviço para ser executado em uma conta de domínio, conta de sistema interna, conta gerenciada ou conta virtual. Para obter mais informações sobre o provisionamento de contas, consulte Configurar contas de serviço (Analysis Services).

Para instalações clusterizadas, você deve especificar uma conta de domínio ou uma conta de sistema interna. Não há suporte para contas gerenciadas nem contas virtuais para clusters de failover do SSAS.

Todas as instalações do SSAS exigem que você especifique um administrador de sistema da instância do Analysis Services. Os privilégios de administrador são provisionados na função Servidor do Analysis Services.

Provisionamento SSRS

A conta especificada durante a instalação é provisionada no Mecanismo de Banco de Dados como membro da função de banco de dados RSExecRole . Para obter mais informações, consulte Configurar a conta de serviço do servidor de relatório (Gerenciador de Configuração do Servidor de Relatórios).

Atualização de versões anteriores

Esta seção descreve as alterações feitas durante a atualização de uma versão anterior do SQL Server.

• O SQL Server 2019 (15.x) requer um sistema operacional com suporte. Qualquer versão anterior do SQL Server em execução em uma versão inferior do sistema operacional deve ter o sistema operacional atualizado antes de atualizar o SQL Server.

• Durante a atualização do SQL Server 2005 (9.x) para o SQL Server 2019 (15.x), a instalação configura a instância do SQL Server da seguinte maneira:

  • O Mecanismo de Banco de Dados é executado com o contexto de segurança do SID por serviço. O SID por serviço recebe acesso às pastas de arquivo da instância do SQL Server (como DATA) e às chaves do Registro do SQL Server.
  • O SID por serviço do Mecanismo de Banco de Dados é provisionado no Mecanismo de Banco de Dados como membro da função de servidor fixa sysadmin .
  • Os SIDs por serviço são adicionados aos grupos locais do SQL Server Windows, a menos que o SQL Server seja uma instância de cluster de failover.
  • Os recursos do SQL Server permanecem provisionados para os grupos locais do SQL Server Windows.
  • O grupo local do Windows para serviços é renomeado de SQLServer2005MSSQLUser$<computer_name>$<instance_name> para SQLServerMSSQLUser$<computer_name>$<instance_name>. Os locais de arquivos para bancos de dados migrados têm Entradas de Controle de Acesso (ACEs) para os grupos locais do Windows. Os locais de arquivo para novos bancos de dados têm ACEs para o SID por serviço.

• Durante a atualização do SQL Server 2008 (10.0.x), a Instalação do SQL Server preserva as ACEs para o SID por serviço do SQL Server 2008 (10.0.x).

• Para uma instância de cluster de failover do SQL Server, as ACEs da conta de domínio configurada para o serviço são mantidas.

Apêndice

Esta seção contém informações adicionais sobre os serviços do SQL Server.

• Descrição das Contas de serviço
• Identificação de serviços com reconhecimento e sem reconhecimento de instância
• Nomes de serviço localizados

Descrição das contas de serviço

A conta de serviço é a conta usada para iniciar um serviço do Windows, como o Mecanismo de Banco de Dados do SQL Server. Para executar o SQL Server, não é necessário adicionar a Conta de Serviço como um Logon ao SQL Server, além do SID de Serviço, que está sempre presente e é membro da função de servidor fixa sysamin .

Contas disponíveis com qualquer sistema operativo

Além das novas contas MSA,gMSA e virtuais descritas anteriormente, as seguintes contas podem ser usadas.

Conta de usuário de domínio

Se o serviço precisar interagir com serviços de rede, acessar recursos de domínio como compartilhamentos de arquivos ou se usar conexões de servidor vinculado a outros computadores que executam o SQL Server, você poderá usar uma conta de domínio minimamente privilegiada. Muitas atividades de servidor para servidor podem ser executadas somente com uma conta de usuário de domínio. Um administrador de domínio deve pré-criar essa conta em seu ambiente.

Se você configurar o SQL Server para usar uma conta de domínio, poderá isolar os privilégios para o Serviço, mas deverá gerenciar manualmente as senhas ou criar uma solução personalizada para gerenciar essas senhas. Muitos aplicativos de servidor usam essa estratégia para aumentar a segurança, mas essa estratégia requer administração e complexidade adicionais. Nessas implantações, os administradores de serviço gastam uma quantidade considerável de tempo em tarefas de manutenção, como o gerenciamento de senhas de serviço e SPNs (nomes de entidade de serviço), que são necessários para a autenticação Kerberos. Além disso, essas tarefas de manutenção podem interromper o serviço.

Contas de utilizador locais

Se o computador não fizer parte de um domínio, recomenda-se uma conta de utilizador local sem permissões de administrador do Windows.

Conta de serviço local

A conta Serviço Local é uma conta interna que tem o mesmo nível de acesso a recursos e objetos que os membros do grupo Usuários. Esse acesso limitado ajuda a proteger o sistema se serviços ou processos individuais forem comprometidos. Os serviços executados como a conta de serviço local acessam recursos de rede como uma sessão nula sem credenciais.

A conta de serviço local não tem suporte para os serviços do SQL Server ou do SQL Server Agent. O Serviço Local não tem suporte como a conta que executa esses serviços porque é um serviço compartilhado e quaisquer outros serviços executados sob o serviço local teriam acesso de administrador do sistema ao SQL Server.

O nome real da conta é NT AUTHORITY\LOCAL SERVICE.

Conta do Serviço de Rede

A conta Serviço de Rede é uma conta interna que tem mais acesso a recursos e objetos do que os membros do grupo Usuários. Os serviços executados como a conta de serviço de rede acessam recursos de rede usando as credenciais da conta de computador no formato <domain_name>\<computer_name>$. O nome real da conta é NT AUTHORITY\NETWORK SERVICE.

Conta do sistema local

O Sistema Local é uma conta integrada com privilégios muito elevados. Ele tem amplos privilégios no sistema local e atua como o computador na rede. O nome real da conta é NT AUTHORITY\SYSTEM.

Identificar serviços com reconhecimento e sem reconhecimento de instância

Os serviços com reconhecimento de instância estão associados a uma instância específica do SQL Server e têm suas próprias seções de registro. Você pode instalar várias cópias de serviços com reconhecimento de instância executando a Instalação do SQL Server para cada componente ou serviço. Os serviços sem reconhecimento de instância são compartilhados entre todas as instâncias instaladas do SQL Server. Eles não estão associados a uma instância específica, são instalados apenas uma vez e não podem ser instalados lado a lado.

Os serviços com reconhecimento de instância no SQL Server incluem:

• SQL Server

• Agente do SQL Server

  O serviço SQL Server Agent está desabilitado em instâncias do SQL Server Express e do SQL Server Express com Advanced Services.

• Analysis Services

  O Analysis Services no modo integrado do SharePoint é executado como 'Power Pivot' como uma única instância nomeada. O nome da instância é fixo. Não é possível especificar um nome diferente. Você pode instalar apenas uma instância do Analysis Services em execução como 'Power Pivot' em cada servidor físico.

• Serviços de Relatórios

• Pesquisa de texto completo

Os serviços sem reconhecimento de instância no SQL Server incluem:

• Serviços de integração
• Navegador do SQL Server
• Gravador SQL

Nomes de serviço localizados

A tabela a seguir mostra nomes de serviço que são exibidos por versões localizadas do Windows.

Conteúdo relacionado

• Considerações de segurança para uma instalação do SQL Server
• Locais de arquivo para instâncias padrão e nomeadas do SQL Server
• Tarefas de instalação do Master Data Services