Share via

  • Artikel

Sicherheitsänderungen in SQL Server 2008

Ab SQL Server 2005 wurden bedeutende Änderungen implementiert, um sicherzustellen, dass SQL Server sicherer ist als in früheren Versionen. Zu den Änderungen gehört die Strategie "secure by design, secure by default, and secure in deployment" (Sicherheit im Entwurf, Sicherheit als Standard, Sicherheit bei der Bereitstellung), mit der die Serverinstanz und ihre Datenbanken vor Sicherheitsangriffen geschützt werden sollen.

In SQL Server 2008 werden zusätzliche Sicherheitsverbesserungen eingeführt. Darüber hinaus profitiert SQL Server 2008 von Änderungen in den neuesten Betriebssystemen von Microsoft, z. B. der Benutzerkontensteuerung (User Account Control, UAC) in Windows Vista und Windows Server 2008 . Die mit SQL Server 2008 eingeführten Änderungen tragen zudem durch Verwendung einer Richtlinie der geringsten Benutzerrechte zur Verringerung der Angriffsfläche für SQL Server und der darauf gespeicherten Datenbanken bei und verstärken die Trennung von Windows-Verwaltung und der SQL Server-Verwaltung.

  • Durch neue SQL Server 2008-Installationen wird die lokale Windows-Gruppe BUILTIN\Administrators der festen Serverrolle sysadmin von SQL Server nicht mehr hinzugefügt.

    Wichtiger HinweisWichtig

    Wenn die Prozesse oder der Code Ihrer Organisation vom Zugriff der lokalen Windows-Gruppe BUILTIN\Administratoren abhängt, müssen Sie explizit die Berechtigung zum Anmelden bei SQL Server erteilen. Konten erhalten nicht mehr automatisch Zugriff auf SQL Server, weil sie Mitglieder der Windows-Administratorengruppe sind. Wenn Sie nicht mindestens einen Benutzer in die sysadmin-Rolle einschließen, haben Sie keinen Zugriff mehr auf die SQL Server-Instanz. Weitere Informationen finden Sie unter Konfiguration des Datenbankmoduls - Kontobereitstellung und Analysis Services-Konfiguration – Kontobereitstellung.

  • Die Windows-Gruppen, die zur Verwendung durch den SQL Server-Dienst erstellt werden, z. B. SQLServerMSSQLUser$ COMPUTERNAME $ INSTANCENAME und SQLServerSQLAgentUser$ COMPUTERNAME $ INSTANCENAME, sind nicht mehr in der festen Serverrolle sysadmin enthalten. Stattdessen werden dem Dienstkonto, das verwendet wird, um den SQL Server-Dienst zu starten, und dem SQL Server-Agent-Dienst einzeln gewährte sysadmin-Rechte in SQL Server gewährt. Wenn SQL Server unter den Betriebssystemen Windows Server 2008 oder Windows Vista installiert ist, wird eine Dienst-SID als Element der festen Serverrolle sysadmin bereitgestellt. Weitere Informationen finden Sie unter Einrichten von Windows-Dienstkonten.

  • Das Oberflächen-Konfigurationstool (Surface Area Configuration, SAC) wurde entfernt und durch die Funktion Richtlinienbasierte Verwaltung und Änderungen im SQL Server-Konfigurations-Manager ersetzt.

  • Die Unterstützung für die Kerberos-Authentifizierung wurde erweitert und umfasst nun neben TCP/IP auch Named Pipes und Shared Memory.

Diese Änderungen wirken sich auf Ihre Sicherheitsplanung für SQL Server aus und helfen Ihnen beim Erstellen eines umfassenderen Sicherheitsprofils für das System.

Änderungen an lokalen Windows-Gruppen

Während des Setupprozesses von SQL Server werden mehrere lokale Windows-Gruppen erstellt. In früheren Versionen wurden diesen lokalen Gruppen die Dienstkonten (oder Dienst-SIDs, wenn verfügbar) hinzugefügt, die zum Starten von SQL Server-Diensten verwendet wurden. Diese Dienstgruppen werden als Zugriffssteuerungsmechanismus verwendet, um auf SQL Server-Ressourcen zuzugreifen sowie auf entsprechende Privilegien oder Rechte, die diesen während des Setups gewährt werden. Nur dem SQL Server-Dienst und den SQL Server-Agent-Dienstkonten wird die Mitgliedschaft in der festen Serverrolle sysadmin gewährt. Weitere Informationen finden Sie unter Einrichten von Windows-Dienstkonten.

Änderungen an den Tools für die Oberflächensteuerung

Mit der in SQL Server 2005 eingeführten Oberflächenkonfiguration konnten Sie Funktionen aktivieren oder deaktivieren, die Zugriff auf SQL Server-Komponenten und -Konfigurationsoptionen gewährten.

Seit SQL Server 2008 gibt es das Oberflächen-Konfigurationstool (Surface Area Configuration, SAC) nicht mehr. Die Funktionen des Oberflächen-Konfigurationstools, die das Verhalten von SQL Server steuern, wurden ersetzt und in der Funktion für die richtlinienbasierte Verwaltung erheblich verbessert. Dank dieser Funktion können Sie Richtlinien für SQL Server-Komponenten erstellen und ganz präzise auf Prinzipale und Rollen in SQL Server anwenden. Weitere Informationen zur Funktion für die richtlinienbasierte Verwaltung finden Sie unter Verwalten von Servern mit der richtlinienbasierten Verwaltung.

Die Funktionen des Oberflächen-Konfigurationstools für die Konnektivitätsverwaltung stehen nun im Konfigurations-Manager zur Verfügung. Weitere Informationen zu diesem Tool finden Sie unter SQL Server-Konfigurations-Manager.

Kerberos-Authentifizierung

Seit SQL Server 2008 ist die Unterstützung für die Kerberos-Authentifizierung erweitert und umfasst nun die Protokolle Named Pipes und Shared Memory. Außerdem kann Kerberos ohne Windows Active Directory verwendet werden. Weitere Informationen finden Sie unter Kerberos-Authentifizierung und SQL Server.

Erweiterter Schutz für die Authentifizierung

Ab SQL Server 2008 R2 ist die Unterstützung für den erweiterten Schutz für die Authentifizierung mit Channelbindung und Dienstbindung für Betriebssysteme verfügbar, die den erweiterten Schutz unterstützen. Weitere Informationen finden Sie unter Herstellen einer Verbindung mit dem Datenbankmodul unter Verwendung von "Erweiterter Schutz".