Nota
O acesso a esta página requer autorização. Podes tentar iniciar sessão ou mudar de diretório.
O acesso a esta página requer autorização. Podes tentar mudar de diretório.
Aplica-se a:
SQL Server 2016 (13.x) SQL Server 2017 (14.x) SQL Server 2019 (15.x)
Importante
O SQL Server Distributed Replay não está disponível com o SQL Server 2022 (16.x) e versões posteriores.
Antes de instalar e utilizar a funcionalidade Microsoft SQL Server Distributed Replay, reveja as informações importantes de segurança deste artigo. Este artigo descreve os passos de configuração de segurança pós-instalação que são necessários antes de poder usar o Distributed Replay. Este artigo descreve também considerações importantes relativas à proteção de dados e aos passos importantes de remoção.
Contas de utilizadores e de serviço
A tabela a seguir descreve as contas usadas para o Distributed Replay. Após a instalação do Distributed Replay, você deve atribuir as entidades de segurança com as quais as contas de serviço do controlador e do cliente serão executadas. Portanto, recomendamos que você configure as contas de usuário de domínio correspondentes antes de instalar os recursos do Distributed Replay.
| Conta de utilizador | Requerimentos |
|---|---|
| Conta do serviço gestor da Reprodução Distribuída do SQL Server 1 | Pode ser uma conta de usuário de domínio ou uma conta de usuário local. Se você usar uma conta de usuário local, a ferramenta de administração, o controlador e o cliente deverão estar em execução no mesmo computador. |
| Conta de serviço do cliente do SQL Server Distributed Replay 1 | Pode ser uma conta de usuário de domínio ou uma conta de usuário local. Se você usar uma conta de usuário local, o controlador, o cliente e o SQL Server de destino deverão estar em execução no mesmo computador. |
| Conta de usuário interativa usada para executar a ferramenta de administração do Distributed Replay | Pode ser um usuário local ou uma conta de usuário de domínio. Para usar uma conta de usuário local, a ferramenta de administração e o controlador devem estar em execução no mesmo computador. |
1 Não adicione esta conta ao grupo local de Administradores no Windows.
Importante
Quando configura o controlador de Distributed Replay, pode especificar uma ou mais contas de utilizador para executar os serviços de cliente Distributed Replay, a partir da seguinte lista de contas suportadas:
- Conta de usuário de domínio
- Conta de usuário local criada pelo usuário
- Administradores
- Conta virtual e MSA (Conta de Serviço Gerenciado)
- Serviços de rede, serviços locais e sistema
Contas de grupo (locais ou de domínio) e outras contas internas (como Todos) não são aceitas.
Para definir as contas de serviço ou suas senhas depois de instalar o Distributed Replay, você pode usar a ferramenta Serviços do Windows. Para alterar as contas de serviço associadas ao controlador do Distributed Replay ou aos serviços de cliente, siga estes passos:
Siga um destes procedimentos, dependendo do sistema operacional:
- Selecione Iniciar, escreva services.msc na caixa de Pesquisa e depois pressione Enter.
- Selecione Iniciar, selecione Executar, escreva services.msc e depois pressione Enter.
Na caixa de diálogo Serviços , clique com o botão direito do rato no serviço que pretende configurar e, em seguida, selecione Propriedades.
No separador Iniciar sessão , selecione Esta conta.
Configure a conta de usuário que você deseja usar.
Permissões de ficheiros e pastas
Depois de especificadas as contas de serviço, deve conceder as permissões necessárias para ficheiros e pastas a essas contas. Configure as permissões de arquivo e pasta de acordo com a tabela a seguir:
| Conta | Permissões de pasta |
|---|---|
| Conta de serviço do controlador do SQL Server Distributed Replay |
<Controller_Installation_Path>\DReplayController (Ler, Escrever, Eliminar)DReplayServer.xml ficheiro (Leitura, Gravação) |
| Conta de serviço de cliente do SQL Server Distributed Replay |
<Client_Installation_Path>\DReplayClient (Ler, Escrever, Eliminar)DReplayClient.xml ficheiro (Leitura, Gravação)Os diretórios de trabalho e de resultados, conforme especificado no arquivo de configuração do cliente pelos elementos WorkingDirectory e ResultDirectory, respectivamente. (Ler, Escrever) |
Permissões do DCOM
O DCOM é usado para comunicação de chamada de procedimento remoto (RPC) entre o controlador e a ferramenta de administração, e entre o controlador e todos os clientes. Deve configurar permissões DCOM a nível de todo o computador e específicas para determinada aplicação no controlador, depois de instaladas as funcionalidades do Distributed Replay.
Para configurar as permissões DCOM do controlador, siga estas etapas:
Abrir
dcomcnfg.exe, o snap-in de Serviços de Componentes: Use esta ferramenta para configurar permissões DCOM.- No computador controlador, selecione Iniciar.
- Escreva
dcomcnfg.exena caixa de pesquisa . - Pressione Enter.
Configurar permissões DCOM em todo o computador: conceda as permissões DCOM correspondentes em todo o computador para cada conta listada na tabela a seguir. Para obter mais informações sobre como definir permissões em todo o computador, consulte Lista de verificação: gerenciar aplicativos DCOM.
Configurar permissões DCOM específicas do aplicativo: conceda as permissões DCOM específicas do aplicativo correspondentes para cada conta listada na tabela a seguir. O nome da aplicação DCOM para o serviço controlador é
DReplayController. Para obter mais informações sobre como definir permissões específicas do aplicativo, consulte Lista de verificação: gerenciar aplicativos DCOM.
A tabela a seguir descreve quais permissões DCOM são necessárias para a conta de usuário interativa da ferramenta de administração e as contas de serviço do cliente:
| Característica | Conta | Permissões DCOM necessárias no controlador |
|---|---|---|
| Ferramenta de administração do Distributed Replay | A conta de utilizador interativa | Acesso Local Acesso Remoto Lançamento Local Início Remoto Ativação Local Ativação remota |
| Cliente de Reprodução Distribuída | Conta de serviço de cliente do SQL Server Distributed Replay | Acesso Local Acesso Remoto Lançamento Local Início Remoto Ativação Local Ativação remota |
Importante
Para ajudar a proteger contra consultas mal-intencionadas ou ataques de negação de serviço, certifique-se de usar apenas uma conta de usuário confiável para a conta de serviço do cliente. Esta conta pode conectar-se e reproduzir cargas de trabalho na instância alvo do SQL Server.
Permissões do SQL Server
As contas de serviço de cliente do SQL Server Distributed Replay são usadas para se conectar à instância de destino da carga de trabalho do SQL Server. Somente o modo de Autenticação do Windows é suportado para essas conexões.
Depois de instalar o serviço cliente do SQL Server Distributed Replay num conjunto de computadores, o principal de segurança utilizado por essas contas de serviço deve receber a função de servidor sysadmin na instância do SQL Server na qual se pretende reproduzir a carga de trabalho de rastreamento. Esta etapa não é executada automaticamente durante a Configuração do Distributed Replay.
Proteção de dados
No ambiente de Replay Distribuída, as seguintes contas de utilizador têm acesso total à instância do servidor de destino do SQL Server, aos dados de rastreio de entrada e aos ficheiros de rastreio de resultados:
A conta de usuário interativa usada para executar a ferramenta de administração.
A conta de serviço do controlador.
A conta de serviço ao cliente.
Membros do grupo local de Administradores no controlador.
Membros do grupo Administradores local nos clientes.
Importante
Estas contas têm acesso total a quaisquer dados pessoais ou informações sensíveis contidas nos ficheiros de rastreio, intermédio, despacho ou SQL Server utilizados pelo Distributed Replay.
Tome as seguintes precauções de segurança:
Armazene os dados de rastreamento de entrada, os resultados do rastreamento de saída e os arquivos de banco de dados em um local que use o sistema de arquivos NTFS (NTFS) e aplique as ACLs (listas de controle de acesso) apropriadas. Se necessário, encripte os dados armazenados no computador SQL Server. ACLs não são aplicadas aos ficheiros de rastreamento e não há mascaramento de dados nem ofuscação. Você deve excluir esses arquivos rapidamente após o uso.
Aplique os ACLs e a política de retenção apropriadas a todos os ficheiros intermédios e de distribuição que o Distributed Replay gera.
Use a Segurança da Camada de Transporte (TLS) para ajudar a proteger o transporte em rede.
Passos importantes para a remoção
Usa apenas o Distributed Replay num ambiente de teste. Depois de concluídos os testes, e antes de usares esses computadores para uma tarefa diferente, certifica-te de que segues os seguintes passos:
Desinstale os recursos do Distributed Replay e remova os arquivos de configuração relacionados do controlador e de todos os clientes.
Exclua todos os arquivos de banco de dados de rastreamento, intermediário, despacho e SQL Server usados para teste. Os arquivos intermediários e de expedição são armazenados no diretório de trabalho no controlador e no cliente, respectivamente.