Konfigurieren von Dienstkonten (Analysis Services)

Unter Konfigurieren von Windows-Dienstkonten und -Berechtigungen wird die produktübergreifende Kontobereitstellung beschrieben. Das Thema enthält umfassende Informationen zu Dienstkonten für alle SQL Server-Dienste einschließlich Analysis Services. Dort erfahren Sie alles über gültige Kontotypen, vom Setup zugewiesene Windows-Berechtigungen, Dateisystemberechtigungen, Registrierungsberechtigungen und vieles mehr.

In diesem Thema erhalten Sie zusätzliche Informationen über Analysis Services, darunter zusätzliche Berechtigungen, die für tabellarische und gruppierte Installationen erforderlich sind. Auch zur Unterstützung von Servervorgängen erforderliche Berechtigungen werden behandelt. Sie können z. B. Verarbeitungs- und Abfragevorgänge konfigurieren, die unter diesem Dienstkonto ausgeführt werden. In diesem Fall müssen Sie zusätzliche Berechtigungen gewähren.

• Analysis Services zugewiesene Windows-Berechtigungen

• Analysis Services zugewiesene Dateisystemberechtigungen

• Erteilen zusätzlicher Berechtigungen für bestimmte Servervorgänge

Ein hier nicht dokumentierter zusätzlicher Konfigurationsschritt ist die Registrierung eines Dienstprinzipalnamens (Service Principal Name, SPN) für die Analysis Services-Instanz und das Dienstkonto. Durch diesen Schritt werden Pass-Through-Authentifizierungen von Cilentanwendungen auf Back-End-Datenquellen in Doppelhop-Szenarien unterstützt. Dieser Schritt gilt nur für Dienste, die für eine eingeschränkte Kerberos-Delegierung konfiguriert wurden. Weitere Informationen dazu finden Sie unter Konfigurieren von Analysis Services für die eingeschränkte Kerberos-Delegierung.

Kontoempfehlungen für die Anmeldung

In einem Failovercluster sollten alle Instanzen von Analysis Services so konfiguriert werden, dass sie ein Windows-Domänenbenutzerkonto verwenden. Weisen Sie dasselbe Konto für alle Instanzen zu. Weitere Informationen finden Sie unter Clustern von Analysis Services.

Eigenständige Instanzen sollten das virtuelle Standardkonto verwenden: NT Service\MSSQLServerOLAPService für die Standardinstanz oder **NT Service\MSOLAP$**Instanzname für eine benannte Instanz. Diese Empfehlung gilt für Analysis Services-Instanzen in allen Servermodi, Windows Server 2008 R2 und höher für das Betriebssystem und SQL Server 2012 und höher für Analysis Services vorausgesetzt.

Erteilen von Berechtigungen für Analysis Services

Dieser Abschnitt erläutert die Berechtigungen, die Analysis Services für lokale, interne Vorgänge wie das Starten der ausführbaren Datei, das Lesen der Konfigurationsdatei und das Laden von Datenbanken aus dem Datenverzeichnis benötigt. Wenn Sie stattdessen Anleitungen zum Festlegen von Berechtigungen für den Zugriff auf externe Daten und Interoperabilität mit anderen Diensten und Anwendungen suchen, finden Sie weitere Informationen unter Erteilen zusätzlicher Berechtigungen für bestimmte Servervorgänge weiter unten in diesem Thema.

Für die internen Vorgänge ist der Berechtigungsinhaber in Analysis Services nicht das Anmeldekonto, sondern eine lokale Windows-Sicherheitsgruppe, die bei der Einrichtung erstellt wird und die Pro-Dienst-SID enthält. Das Zuweisen von Berechtigungen für die Sicherheitsgruppe deckt sich mit früheren Versionen von Analysis Services. Darüber hinaus können sich Anmeldekonten mit der Zeit ändern, aber die Pro-Dienst-SID und die lokale Sicherheitsgruppe bleiben für die Lebensdauer der Serverinstallation gleich. Für Analysis Services macht dies die Sicherheitsgruppe statt des Anmeldekontos die bessere Wahl für die Aufnahme von Berechtigungen. Wenn Sie manuell Berechtigungen für die Dienstinstanz erteilen, egal ob Dateisystemberechtigungen oder Windows-Berechtigungen, erteilen Sie der für die Serverinstanz erstellten lokalen Sicherheitsgruppe die Berechtigungen.

Der Name der Sicherheitsgruppe folgt einem Muster. Das Präfix ist immer SQLServerMSASUser$, gefolgt vom Computernamen, und endet mit dem Instanznamen. Die Standardinstanz ist MSSQLSERVER. Eine benannte Instanz ist der Name, der während des Einrichtens festgelegt wurde.

Sie finden diese Sicherheitsgruppe in den lokalen Sicherheitseinstellungen:

• Ausführen von compmgmt.msc | Lokale Benutzer und Gruppen | Gruppen | SQLServerMSASUser$<Servername>$MSSQLSERVER (für eine Standardinstanz).

• Doppelklicken Sie auf die Sicherheitsgruppe, um deren Mitglieder anzuzeigen.

Die einzige Mitglieder der Gruppe ist die Pro-Dienst-SID. Rechts daneben ist das Anmeldekonto. Den Namen des Anmeldekontos ist kosmetischer Natur, um einen Kontext für die Pro-Dienst-SID anzugeben. Wenn Sie später das Anmeldekonto ändern und dann zu dieser Seite zurückkehren, werden Sie feststellen, dass die Sicherheitsgruppe und die Pro-Dienst-SID nicht geändert wurden, aber die Anmeldekontobezeichnung anders ist.

Analysis Services zugewiesene Windows-Berechtigungen

Analysis Services benötigt Berechtigungen vom Betriebssystem für den Start von Diensten und zur Abfrage von Systemressourcen. Die Anforderungen variieren abhängig vom Servermodus und davon, ob die Instanz gruppiert ist. Wenn Sie nicht mit Windows-Berechtigungen vertraut sind, finden Sie weitere Informationen unter Berechtigungen und Berechtigungskonstanten (Windows).

Für alle Instanzen von Analysis Services ist die Berechtigung Anmelden als Dienst (SeServiceLogonRight) erforderlich. SQL Server Setup weist diese Berechtigung für Sie dem während der Installation festgelegten Dienstkonto zu. Bei Servern, die im mehrdimensionalen und Data Mining-Modus ausgeführt werden, ist dies die einzige vom Dienstkonto Analysis Services für eigenständige Server-Installationen benötigte Windows-Berechtigung, und sie ist auch die einzige Berechtigung, die Setup für Analysis Services konfiguriert. Für gruppierte und tabellarische Instanzen müssen zusätzliche Windows-Berechtigungen manuell hinzugefügt werden.

Failoverclusterinstanzen, entweder für tabellarische oder mehrdimensionale Installationen, benötigen zudem Anheben der Zeitplanungspriorität (SeIncreaseBasePriorityPrivilege).

Tabellarische Instanzen verwenden die drei folgenden zusätzlichen Berechtigungen, die manuell gewährt werden müssen, wenn die Instanz installiert ist.

So zeigen Sie Windows-Berechtigungen auf dem Dienstkonto an oder fügen Sie zu diesem hinzu

1. Führen Sie GPEDIT.msc aus | Richtlinie für "Lokaler Computer" | Computerkonfiguration | Windows-Einstellungen | Sicherheitseinstellungen | Lokale Richtlinien | Zuweisen von Benutzerrechten.

2. Prüfen Sie vorhandene Richtlinien, die SQLServerMSASUser$ enthalten. Dies ist eine lokale Sicherheitsgruppe auf Computern mit einer Analysis Services-Installation. Dieser Sicherheitsgruppe werden sowohl Windows- als auch Dateiordnerberechtigungen gewährt. Doppelklicken Sie auf die Richtlinie Anmelden als Dienst, um zu sehen, wie die Sicherheitsgruppe auf Ihrem System eingerichtet ist. Der vollständige Name der Sicherheitsgruppe variiert abhängig davon, ob Sie Analysis Services als benannte Instanz installiert haben. Verwenden Sie diese Sicherheitsgruppe und nicht das tatsächliche Dienstkonto zum Hinzufügen von Kontoberechtigungen.

3. Klicken Sie zum Hinzufügen von Kontoberechtigungen in GPEDIT mit der rechten Maustaste auf Arbeitssatz eines Prozesses vergrößern, und wählen Sie Eigenschaften aus.

4. Klicken Sie auf Benutzer oder Gruppe hinzufügen.

5. Geben Sie die Sicherheitsgruppe für die Analysis Services-Instanz ein. Denken Sie daran, dass der Name aus der Sicherheitsgruppe, dem Computer- und dem Instanznamen besteht.

   Die folgende LIste zeigt zwei Beispiele für eine Standardinstanz "MSSQLSERVER" und eine mit dem Namen "Tabellarisch" benannte Instanz auf einem Computer mit dem Namen "SQL01-WIN12", wo der Computername mit der lokalen Domäne übereinstimmt.

   • SQL01 WIN12\SQLServerMSASUser$ SQL01-WIN12$ MSSQLSERVER

   • SQL01-WIN12\SQLServerMSASUser$SQL01-WIN12$TABULAR

6. Wiederholen Sie diesen Schritt für Anpassen des Arbeitsspeicherkontingents für einen Prozess und optional für Sperren von Seiten im Speicher oder Anheben der Zeitplanungspriorität.

Hinweis

In vorherigen Versionen von Setup wurde das Analysis Services-Dienstkonto versehentlich der Gruppe Leistungsprotokollbenutzer hinzugefügt. Obwohl das Problem behoben wurde, kann diese unnötige Gruppenmitgliedschaft in vorhandenen Installationen noch bestehen. Da das Analysis Services-Dienstkonto keine Mitgliedschaft in der Gruppe Leistungsprotokollbenutzer erfordert, können Sie es aus der Gruppe entfernen.

Analysis Services zugewiesene Dateisystemberechtigungen

Hinweis
Eine Liste der Berechtigungen, die den einzelnen Programmordnern zugeordnet sind, finden Sie unter Konfigurieren von Windows-Dienstkonten und -Berechtigungen. Informationen zu Dateiberechtigungen für die IIS-Konfiguration und Analysis Services finden Sie unter Konfigurieren von HTTP-Zugriff auf Analysis Services unter Internetinformationsdienste (IIS) 7,0.

Alle für Servervorgänge erforderlichen Dateisystemberechtigungen, einschließlich Berechtigungen zum Laden und Entladen von Datenbanken in einem festgelegten Datenordner, werden von SQL Server Setup während der Installation zugewiesen.

Denken Sie daran, dass der Inhaber der Berechtigungen für Datendateien, ausführbare Programmdateien, Konfigurationsdateien, Protokolldateien und temporäre Dateien eine von SQL Server Setup erstellte lokale Sicherheitsgruppe ist.

Für jede Instanz, die Sie installieren, wird nur eine Sicherheitsgruppe erstellt. Die Sicherheitsgruppe wird nach der Instanz benannt – entweder SQLServerMSASUser<Servername>$MSSQLSERVER für die Standardinstanz oder >SQLServerMSASUser$<Sservername>$<Instanzename> für eine benannte Instanz. Diese Sicherheitsgruppe wird von Setup mit den Dateiberechtigungen bereitgestellt, die zum Ausführen von Servervorgängen erforderlich sind. An den Sicherheitsberechtigungen für das Verzeichnis \MSAS11.MSSQLSERVER\OLAP\BIN erkennen Sie, dass die Sicherheitsgruppe (und nicht das Anmeldekonto oder dessen Pro-Dienst-SID (Sicherheits-ID)) die Berechtigungen für dieses Verzeichnis besitzt.

Die Sicherheitsgruppe enthält nur ein Mitglied: die Pro-Dienst-SID des Startkontos für die Analysis Services-Instanz. Setup fügt die Pro-Dienst-SID zur lokalen Sicherheitsgruppe hinzu. Die Verwendung einer lokalen Sicherheitsgruppe mit ihrer SID-Mitgliedschaft ist ein kleiner, aber bedeutender Unterschied in der Frage, wie SQL Server Setup Analysis Services im Vergleich mit dem Datenbankmodul bereitstellt.

Wenn Sie glauben, dass die Dateiberechtigungen beschädigt ist, führen Sie die folgenden Schritte aus, um zu prüfen, ob der Dienst weiterhin korrekt bereitgestellt wird:

1. Verwenden Sie das Service Control-Befehlszeilentool (sc.exe), um die SID einer Standard-Dienstinstanz anzuzeigen.

   SC showsid MSSqlServerOlapService

   Verwenden Sie für eine benannte Instanz (hier mit dem Instanzennamen "Tabellarisch") die folgende Syntax:

   SC showsid MSOlap$Tabular

2. Verwenden Sie den Computer-Manager | Lokale Benutzer und Gruppen | Gruppen, um die Mitgliedschaft der Sicherheitsgruppe SQLServerMSASUser$<servername>$<instancename> zu prüfen.

   Die Mitglieds-SID sollte der Pro-Dienst-SID aus Schritt 1 entsprechen.

3. Verwenden Sie Windows-Explorer | Programmdateien | Microsoft SQL Server | MSASxx.MSSQLServer | OLAP | bin, um zu verifizieren, dass der Sicherheitsgruppe in Schritt 2 Ordnersicherheitseigenschaften gewährt werden.

Hinweis
SIDs sollten niemals entfernt oder geändert werden. Informationen zum Wiederherstellen einer versehentlich gelöschten Pro-Dienst-SID finden Sie unter https://support.microsoft.com/kb/2620201.

Mehr über Pro-Dienst-SIDs

Jedes Windows-Konto verfügt über eine zugeordnete SID, allerdings können Dienste ebenfalls eine SID aufweisen, die daher Pro-Dienst-SID genannt wird. Eine Pro-Dienst-SID wird als eindeutiges dauerhaftes Element erstellt, wenn die Dienstinstanz installiert wird. Die Pro-Dienst-SID ist eine lokale, auf Computerebene aus dem Dienstnamen generierte SID. Auf einer Standardinstanz lautet der benutzerfreundliche Name NT SERVICE\MSSQLServerOLAPService.

Eine Pro-Dienst-SID bietet den Vorteil, dass das allgemein sichtbare Anmeldekonto beliebig geändert werden kann, ohne dass sich dies auf die Dateiberechtigungen auswirkt. Angenommen, Sie haben zwei Analysis Services-Instanzen in Form einer Standardinstanz und einer benannten Instanz installiert, die beide unter demselben Windows-Benutzerkonto ausgeführt werden. Solange das Anmeldekonto freigegeben ist, wird jede Dienstinstanz eine eindeutige Pro-Dienst-SID haben. Diese SID unterscheidet sich von der SID des Anmeldekontos. Die Pro-Dienst-SID wird für Dateiberechtigungen und Windows-Berechtigungen verwendet. Im Gegensatz wird die SID des Anmeldekontos für Authentifizierungs- und Autorisierungsszenarien verwendet - unterschiedliche SIDS für unterschiedliche Zwecke.

Da die SID unveränderlich ist, können bei der Installation eines Diensts erstellte Dateisystem-ACLs beliebig oft verwendet werden, und zwar unabhängig von Änderungen am Kontonamen. Darüber hinaus bieten ACLs, in denen Berechtigungen per SID angegeben sind, zusätzliche Sicherheit, da sie gewährleisten, dass der Zugriff auf ausführbare Programmdateien und Datenordner ausschließlich über eine einzelne Dienstinstanz erfolgt. Dies gilt selbst dann, wenn weitere Dienste unter demselben Konto ausgeführt werden.

Erteilen zusätzlicher Berechtigungen für bestimmte Servervorgänge

Analysis Services führt einige Tasks im Sicherheitskontext des Dienstkontos (oder des Anmeldekontos) aus, das zum Starten von Analysis Services verwendet wird; andere Tasks werden im Sicherheitskontext des Benutzers ausgeführt, der den Task anfordert.

In der folgenden Tabelle werden zusätzliche Berechtigungen beschrieben, die zum Ausführen von Tasks über das Dienstkonto erforderlich sind.

Siehe auch

Verweis

Konfigurieren von Windows-Dienstkonten und -Berechtigungen

Andere Ressourcen

SQL Server-Dienstkonto- und Pro-Dienst-SID (Blog)

SQL Server unterstützt die Dienstisolierung mithilfe einer Dienst-SID (KB-Artikel)

Zugriffstoken (MSDN)

Sicherheits-IDs (MSDN)

Zugriffstoken (Wikipedia)

Zugriffssteuerungslisten (Wikipedia)