Настройка компонента Database Engine — назначение учетных записей

В версии SQL Server 2005 была начата реализация существенных изменений, призванных гарантировать, что SQL Server является более безопасным изделием, чем предыдущие версии. Наряду с прочими изменениями была реализована стратегия «безопасность по замыслу, безопасность по умолчанию, безопасность при развертывании», предназначенная для защиты экземпляра сервера и его баз данных от атак злоумышленников.

В SQL Server 2008 продолжается процесс усиления безопасности за счет внесения новых изменений в серверные компоненты и компоненты базы данных. Изменения, появившиеся в версии SQL Server 2008, дополнительно сокращают контактную зону и уязвимую зону сервера и баз данных, применяя политику наименьших прав доступа и увеличивая степень разделения задач администрирования Windows и администрирования SQL Server. Это означает, что внутренние учетные записи защищены и разделяются на функции операционной системы и функции SQL Server. Политикой предусмотрены следующие меры.

  • Для вновь устанавливаемых экземпляров SQL Server 2008 локальная группа Windows «BUILTIN\Администраторы» больше не добавляется в предопределенную роль сервера SQL Serversysadminsysadmin.

  • Возможность в SQL Server назначить одного или нескольких участников Windows членами роли сервера sysadmin. Этот параметр доступен в ходе установки новых экземпляров SQL Server 2008.

  • Средство настройки контактной зоны удалено и заменено функцией управления на основе политик, а также изменениями в средстве «Диспетчер конфигурации SQL Server».

Эти изменения сыграют свою роль при планировании безопасности SQL Server и помогут создать более полный профиль безопасности для системы.

Рекомендации по запуску SQL Server 2008 в Windows Vista и Windows Server 2008

В Windows Vista и Windows Server 2008 входит новая функция контроля учетных записей, которая помогает администраторам контролировать использование повышенных разрешений. По умолчанию администраторы Windows Vista и Windows Server 2008 не пользуются своими административными правами, выполняя большинство операций от имени обычных пользователей и принимая административные права временно и только по необходимости. Вместо повышения прав доступа рекомендуется один из следующих параметров.

  • Если используется режим проверки подлинности Windows, следует создать учетную запись пользователя Windows, которая обладает достаточными разрешениями для выполнения всех необходимых административных задач.

  • Если используется смешанный режим (проверка подлинности SQL Server и проверка подлинности Windows), рекомендуется создать учетную запись входа SQL Server, которая будет использоваться только для административных задач.

Возможность «Контроль учетных записей» может вызвать ряд известных проблем. Дополнительные сведения см. на следующих веб-страницах:

Параметры

Режим безопасности — выберите для установки параметр «Проверка подлинности Windows» или «Смешанный режим проверки подлинности».

Провизионирование участников Windows — в предыдущих версиях SQL Server локальная группа Windows «BUILTIN\Администраторы» помещалась в роль сервера SQL Serversysadmin, и в результате администраторы Windows получали доступ к экземпляру SQL Server. В SQL Server 2008 не выполняется подготовка группы «BUILTIN\Администраторы» в роли сервера sysadmin. Вместо этого необходимо выполнить явную подготовку администраторов SQL Server для новых экземпляров во время установки.

Важное примечаниеВажно!

Если процедуры, применяемые в организации, или существующий код зависят от доступа к локальной группе Windows «BUILTIN\Администраторы», то для новых экземпляров во время установки необходимо выполнить явную подготовку администраторов SQL Server. Программа установки не позволит продолжить установку, пока это не будет сделано.

Укажите администраторов SQL Server — необходимо указать по крайней мере одного участника Windows для этого экземпляра SQL Server. Чтобы добавить учетную запись, от которой запущена программа установки SQL Server, нажмите кнопку Текущий пользователь. Чтобы добавить или удалить учетные записи из списка системных администраторов, нажмите кнопку Добавить или Удалить и затем измените список пользователей, групп или компьютеров, которые будут иметь права администратора на этот экземпляр SQL Server.

После завершения изменения списка нажмите кнопку ОК, а затем проверьте список администраторов в диалоговом окне конфигурации. После завершения работы со списком нажмите кнопку Далее.

При выборе параметра «Смешанный режим проверки подлинности» необходимо предоставить учетные данные входа для встроенной учетной записи системного администратора SQL Server (sa).

Примечание по безопасностиПримечание по безопасности

Не используйте пустые пароли. Выбирайте надежные пароли.

  • Режим проверки подлинности Windows
    Когда пользователь подключается с помощью пользовательской учетной записи Windows, SQL Server проверяет имя учетной записи и пароль с помощью маркера участника Windows в операционной системе. Этот режим проверки подлинности используется по умолчанию, и он гораздо надежнее смешанного режима. Режим проверки подлинности Windows использует протокол безопасности Kerberos, обеспечивает соблюдение политики паролей — проверяет сложность надежных паролей, поддерживает блокировку учетных записей и истечение срока действия пароля.

    Примечание по безопасностиПримечание по безопасности

    При возможности используйте проверку подлинности Windows.

    Важное примечаниеВажно!

    Не используйте пустые пароли. Выбирайте надежные пароли. Никогда не указывайте пустой или простой пароль для пользователя sa.

  • Смешанный режим (проверка подлинности Windows или проверка подлинности SQL Server)
    Позволяет пользователям подключаться с помощью проверки подлинности Windows или проверки подлинности SQL Server. Пользователи, которые подключаются под учетной записью Windows, могут использовать доверительные соединения, которые проверяются Windows.

    Если необходимо выбрать смешанный режим проверки подлинности и требуется использовать имена входа SQL для согласования прежних версий приложений, необходимо установить надежные пароли для всех учетных записей SQL Server.

    ПримечаниеПримечание

    Проверка подлинности SQL Server поддерживается только для обеспечения обратной совместимости. При возможности используйте проверку подлинности Windows.

  • Ввод пароля
    Введите и подтвердите имя входа для системного администратора (sa). Пароли являются основным способом защиты компьютера от несанкционированного доступа, поэтому для обеспечения безопасности системы обязательна настройка надежных паролей. Никогда не указывайте пустой или простой пароль для пользователя sa.

    ПримечаниеПримечание

    Пароли SQL Server могут содержать от 1 до 128 символов, включая любое сочетание букв, символов и цифр. При выборе смешанного режима проверки подлинности необходимо ввести надежный пароль sa, прежде чем мастер установки перейдет на следующую страницу.

  • Рекомендации по выбору надежного пароля
    Надежные пароли не могут быть легко расшифрованы человеком или взломаны при помощи компьютерных программ. При установке надежных паролей нельзя использовать определенные символы или готовые слова, в том числе:

    • незаполненный или ПУСТОЙ;

    • Password;

    • Admin;

    • Administrator;

    • sa;

    • sysadmin.

    Надежный пароль не может включать в себя следующие термины, связанные с установкой компьютера:

    • имя пользователя, зарегистрированного в компьютере в настоящий момент;

    • Имя компьютера.

    Надежный пароль должен состоять не менее чем из восьми символов и удовлетворять как минимум трем из следующих четырех критериев.

    • Он должен включать прописные буквы.

    • Он должен включать строчные буквы.

    • Он должен включать цифры.

    • Он должен содержать неалфавитные символы, например #, % или ^.

    Пароли, введенные на этой странице, должны отвечать требованиям политики надежных паролей. При использовании автоматизации с функцией проверки подлинности SQL Server убедитесь, что пароль отвечает требованиям политики надежных паролей.

Журнал изменений

Обновления

Добавлены сведения об исключении группы Windows «BUILTIN\Администраторы» из предопределенной роли сервера sysadmin.

Уточнены сведения о контроле учетных записей.