共用方式為

規劃管理帳戶和服務帳戶 (Windows SharePoint Services)

  • 發行項

本文內容：

  • 關於管理帳戶和服務帳戶

  • 單一伺服器標準需求

  • 伺服器陣列標準需求

  • 使用網域使用者帳戶時的最低權限管理需求

  • 使用 SQL 驗證時的最低權限管理需求

  • 連線至預先建立的資料庫時的最低權限管理需求

  • 技術參考：依案例的不同帳戶需求

本文說明您必須規劃的帳戶，並說明會影響帳戶需求的部署案例。

請配合下列規劃工具使用本文：Windows SharePoint Services 安全性帳戶需求 (英文) (https://go.microsoft.com/fwlink/?linkid=92885&clcid=0x404) 。此規劃工具會根據部署案例，列出每個帳戶的需求。這些需求也會列於本文的＜技術參考：依案例的不同帳戶需求＞一節。

帳戶需求會詳細列出在執行安裝程式之前，所需要授與的特定權限。在某些情況下，執行安裝程式時自動授與的其他權限，也會附註在規劃工具中。

本文不說明管理 Windows SharePoint Services 3.0 所需的安全性角色及權限。如需詳細資訊，請參閱＜規劃安全性角色 (Windows SharePoint Services)＞。

關於管理帳戶和服務帳戶

本節列出並說明您必須規劃的帳戶。這些帳戶會根據範圍來群組。如果帳戶具有限定的範圍，您可能需要為此類別規劃多個帳戶。

完成安裝及設定帳戶之後，請確定並未使用「本機系統」帳戶來執行管理工作或瀏覽網站。例如，請勿使用執行安裝程式所使用的相同帳戶來執行管理工作。

伺服器陣列層級帳戶

下表說明用以設定 Microsoft SQL Server 資料庫軟體及安裝 Windows SharePoint Services 3.0 的帳戶。

帳戶 目的

SQL Server 服務帳戶

SQL Server 會在 SQL Server 安裝期間提示輸入此帳戶。此帳戶可用作下列 SQL Server 服務的服務帳戶：

  • MSSQLSERVER

  • SQLSERVERAGENT

如果您不是使用預設執行個體，則這些服務會顯示為：

  • MSSQL$*InstanceName*

  • SQLAgent$*InstanceName*

安裝程式使用者帳戶

用以執行下列項目的使用者帳戶：

  • 每部伺服器電腦上的安裝程式

  • SharePoint 產品及技術設定精靈

  • Psconfig 命令列工具

  • Stsadm 命令列工具

伺服器陣列帳戶

此帳戶又稱為資料庫存取帳戶。

此帳戶為：

  • SharePoint 管理中心網站的應用程式集區身分識別。

  • Windows SharePoint Services 計時器服務的處理序帳戶。

Windows SharePoint Services 搜尋帳戶

下表說明用以安裝及設定 Windows SharePoint Services 搜尋的帳戶。

帳戶 目的

Windows SharePoint Services 搜尋服務帳戶

用作 Windows SharePoint Services 搜尋服務的服務帳戶。每部搜尋伺服器都會有這個服務的一個執行個體。通常，伺服器陣列只會包括一部搜尋伺服器。

Windows SharePoint Services 搜尋內容存取帳戶

Windows SharePoint Services 搜尋應用程式伺服器角色會使用此帳戶在網站之間編目內容。

如果伺服器陣列包括多部搜尋伺服器電腦，則請規劃多個帳戶。這並不常見。

其他應用程式集區身分識別帳戶

如果您建立其他應用程式集區來架設網站，請規劃其他應用程式集區身分識別帳戶。下表說明應用程式集區身分識別帳戶。為每個您規劃要實作的應用程式集區，規劃一個應用程式集區帳戶。

帳戶 目的

應用程式集區身分識別

提供應用程式集區服務的工作者處理序使用者帳戶，以用作其處理序身分識別。此帳戶會用來存取應用程式集區中，與 Web 應用程式相關的內容資料庫。

單一伺服器標準需求

如果您要部署至單一伺服器電腦，帳戶需求會大幅減少。在評估環境中，您可以將單一帳戶用於所有的帳戶目的。在實際執行環境中，請確定所建立的帳戶具有其目的的適當權限。

如需單一伺服器環境的帳戶權限清單，請參閱 Windows SharePoint Services 安全性帳戶需求 (英文) (https://go.microsoft.com/fwlink/?linkid=92885&clcid=0x404) 的規劃工具，或檢視本文＜技術參考：依案例的不同帳戶需求＞一節中所列的需求。

伺服器陣列需求

如果您要部署至多部伺服器電腦，請使用伺服器陣列標準需求，以確保帳戶擁有適當的權限在多部電腦間執行其程序。伺服器陣列標準需求詳細列出在伺服器陣列環境中運作所需的基本設定。為取得更安全的環境，請考慮採用使用網域使用者帳戶的最低權限管理需求。

如需伺服器陣列環境的標準需求清單，請參閱 Windows SharePoint Services 安全性帳戶需求 (英文) (https://go.microsoft.com/fwlink/?linkid=92885&clcid=0x404) 的規劃工具，或檢視本文＜技術參考：依案例的不同帳戶需求＞一節中所列的需求。

對於某些帳戶，執行安裝程式時會設定其他權限或資料庫存取權。這些會附註在帳戶規劃工具中。新增 WSS_Content_Application_Pools 資料庫角色，是資料庫管理員必須瞭解的重要設定。安裝程式會將此角色新增至下列資料庫：

  • SharePoint_Config 資料庫 (設定資料庫)

  • SharePoint_AdminContent 資料庫

授與 WSS_Content_Application_Pools 資料庫角色的成員資料庫預存程序子集的執行權限。此外，也授與此角色成員 SharePoint_AdminContent 資料庫「版本」表 (dbo.Versions) 的選取權限。

至於其他資料庫，帳戶規劃工具會指示自動設定這些資料庫的讀取權限。在某些情況下，也會自動設定資料庫的限制寫入權限。設定預存程序的權限，可提供此存取權。以 SharePoint_Config 資料庫為例，下列預存程式的存取權會自動設定：

  • proc_dropEmailEnabledList

  • proc_dropEmailEnabledListsByWeb

  • proc_dropSiteMap

  • proc_markForDeletionEmailEnabledList

  • proc_markForDeletionEmailEnabledListsBySite

  • proc_markForDeletionEmailEnabledListsByWeb

  • proc_putDistributionListToDelete

  • proc_putEmailEnabledList

  • proc_putSiteMap

使用網域使用者帳戶時的最低權限管理需求

最低權限管理是建議的安全性作法，其僅會提供每項服務或使用者所需的基本權限，以完成授權執行的工作。這表示僅會授與每項服務權限，以存取其目的所需的資源。達成此設計目標的基本需求包括：

  • 不同服務和程序使用不同帳戶。

  • 不以本機管理員權限執行服務或處理序帳戶。

透過為每個服務使用不同的服務帳戶，並限制指定給每個帳戶的權限，即可減少惡意使用者或程序危害環境的機會。

在大部分環境中，建議使用網域使用者帳戶的最低權限管理進行設定。

如需使用網域使用者帳戶的最低權限管理需求清單，請參閱 Windows SharePoint Services 安全性帳戶需求 (英文) (https://go.microsoft.com/fwlink/?linkid=92885&clcid=0x404) 的規劃工具，或檢視本文＜技術參考：依案例的不同帳戶需求＞一節中所列的需求。

使用 SQL 驗證時的最低權限管理需求

在要求 SQL 驗證的環境中，您可以遵循最低權限管理的原則。案例內容：

  • SQL 驗證用於每個建立的資料庫。

  • 所有其他管理與服務帳戶會建立為網域使用者帳戶。

安裝與設定

使用 SQL 驗證需要其他安裝與設定：

  • 所有資料庫帳戶必須建立為 SQL Server 2000 Enterprise Manager 或 SQL Server 2005 Management Studio 中的 SQL Server 登入帳戶。在建立任何資料庫 (包括設定資料庫和 AdminContent 資料庫) 之前，必須建立這些帳戶。

  • 您必須使用 Psconfig 命令列工具來建立設定資料庫和 SharePoint_AdminContent 資料庫。但不能使用 [SharePoint 產品及技術設定精靈] 來建立這些資料庫。若要建立伺服器陣列或將電腦加入伺服器陣列，請將為這些資料庫建立的 SQL Server 登入，指定為 dbusername 和 dbpassword。這兩個資料庫會使用相同的 SQL Server 登入進行存取。

  • 您可以選取 [SQL 驗證] 選項，以在管理中心內建立其他內容資料庫。不過，您必須先在 SQL Server 2000 Enterprise Manager 或 SQL Server 2005 Management Studio 中建立 SQL Server 登入帳戶。

  • 使用安全通訊端階層 (SSL) 或網際網路通訊協定安全性 (IPsec) 來保護所有與資料庫伺服器的通訊。

使用 SQL 驗證時：

  • SQL Server 登入帳戶在網頁伺服器和應用程式伺服器的登錄中會加密。

  • 伺服器陣列帳戶不會用來存取設定資料庫和 SharePoint_AdminContent 資料庫。請改用對應的 SQL Server 登入帳戶。

建立服務與管理帳戶

如需使用 SQL 驗證的最低權限管理需求清單，請參閱 Windows SharePoint Services 安全性帳戶需求 (英文) (https://go.microsoft.com/fwlink/?linkid=92885&clcid=0x404) 的規劃工具，或檢視本文＜技術參考：依案例的不同帳戶需求＞一節中所列的需求。

建立 SQL Server 登入

建立資料庫之前，請建立每個資料庫的 SQL Server 登入。為設定資料庫和 SharePoint_AdminContent 資料庫建立兩項登入。為每個內容資料庫各建立一項登入。

下表列出必須建立的登入。[登入] 欄表示為 SQL Server 登入指定或建立的帳戶。對於第一項登入，您必須輸入安裝程式使用者帳戶。對於所有其他登入，請建立新的 SQL Server 登入帳戶。[登入] 欄會為這些登入提供一個範例帳戶名稱。

登入 資料庫 SQL 權限

安裝程式使用者帳戶

設定資料庫和 SharePoint_AdminContent 資料庫

建立登入時指定 Windows 驗證。

<*ConfigAdminDBAcc*>

設定資料庫和 SharePoint_AdminContent 資料庫

  • 建立登入時指定 SQL 驗證。

  • 指定 dbcreator 伺服器角色。

<*WSSSearch_DB_Acc*>

WSS_Search 資料庫

  • 建立登入時指定 SQL 驗證。

  • 指定 dbcreator 伺服器角色。

<*Content_DB_Acc1*>

內容資料庫

  • 建立登入時指定 SQL 驗證。

  • 指定 dbcreator 伺服器角色。

連線至預先建立的資料庫時的最低權限管理需求

在資料庫管理員預先建立資料庫的環境中，您可以遵循最低權限管理的原則。案例內容：

  • 管理與服務帳戶會建立為網域使用者帳戶。

  • 為用來設定資料庫的帳戶建立 SQL Server 登入。

  • 資料庫會由資料庫管理員建立。

如需使用預先建立的空白資料庫部署 Windows SharePoint Services 3.0 的詳細資訊，請參閱＜使用 DBA 建立的資料庫進行部署 (Windows SharePoint Services)＞。

建立服務與管理帳戶

如需連線至現有空白資料庫時的最低權限管理需求清單，請參閱 Windows SharePoint Services 安全性帳戶需求 (英文) (https://go.microsoft.com/fwlink/?linkid=92885&clcid=0x404) 的規劃工具，或檢視本文＜技術參考：依案例的不同帳戶需求＞一節中所列的需求。

建立 SQL Server 登入

建立資料庫之前，請為每個要存取資料庫的帳戶建立 SQL Server 登入。帳戶規劃工具詳細列出為每個帳戶設定的特定權限。如需如何建立和授與資料庫權限的相關說明，請參閱＜使用 DBA 建立的資料庫進行部署 (Windows SharePoint Services)＞。

下表列出必須建立的登入。資料庫欄表示以各個登入帳戶之權限所設定的資料庫。對於每項登入，請在建立登入時指定 Windows 驗證。

登入

資料庫

安裝程式使用者帳戶 (Psconfig 命令列工具的 Run-as 使用者)

所有資料庫

伺服器陣列帳戶 (Office SharePoint Server 資料庫存取帳戶)

  • SSP 資料庫

  • SSP 搜尋資料庫

Windows SharePoint Services 搜尋服務帳戶

  • WSS_Search 資料庫

  • 設定資料庫

  • SharePoint_AdminContent 資料庫

其他內容資料庫的應用程式集區身分識別

  • SSP 資料庫

  • SSP 搜尋資料庫

  • 與應用程式集區相關的內容資料庫

技術參考：依案例的不同帳戶需求

本節依案例列出帳戶需求：

  • 單一伺服器標準需求

  • 伺服器陣列標準需求

  • 使用網域使用者帳戶時的最低權限管理需求

  • 使用 SQL 驗證時的最低權限管理需求

  • 連線至預先建立的資料庫時的最低權限管理需求

單一伺服器標準需求

伺服器陣列層級帳戶

帳戶 需求

SQL Server 服務帳戶

本機系統帳戶 (預設值)

安裝程式使用者帳戶

本機電腦的管理員群組成員

伺服器陣列帳戶

網路服務 (預設值)

不需要手動設定。

Windows SharePoint Services 搜尋帳戶

帳戶 需求

Windows SharePoint Services 搜尋服務帳戶

此帳戶預設會以本機系統帳戶的身分執行。

Windows SharePoint Services 搜尋內容存取帳戶

不可以是「伺服陣列管理員」群組的成員。

會自動設定如下：

  • 新增至伺服器陣列的 Web 應用程式完整讀取原則。

其他應用程式集區身分識別帳戶

帳戶 需求

應用程式集區身分識別

不需要手動設定。

在安裝與設定期間建立的預設網站會使用網路服務帳戶。

伺服器陣列標準需求

伺服器陣列層級帳戶

帳戶 需求

SQL Server 服務帳戶

使用本機系統帳戶或網域使用者帳戶。

如果使用網域使用者帳戶，此帳戶預設會使用 Kerberos 驗證，因此要求網路環境中有額外的設定。如果 SQL Server 使用無效的服務主要名稱 (SPN) (亦即 Active Directory 目錄服務環境中不存在的名稱)，Kerberos 驗證將會失敗，而改用 NTLM 驗證。如果 SQL Server 使用有效的 SPN，但沒有將其指定到 Active Directory 中適當的容器，驗證將會失敗，並導致「無法產生 SSPI 內容」錯誤訊息。驗證一律會嘗試使用所找到的第一個 SPN，因此請確保沒有將 SPN 指定到 Active Directory 中不適當的容器。

如果您規劃備份至外部資源或從外部資源還原，則必須將外部資源的權限授與適當的帳戶。如果使用網域使用者帳戶作為 SQL Server 服務帳戶，請將權限授與網域使用者帳戶。但是，如果使用網路服務或本機系統帳戶，請將外部資源的權限授與電腦帳戶 (*domain_name\SQL_hostname$*)。

安裝程式使用者帳戶

  • 網域使用者帳戶。

  • 每部執行安裝程式之伺服器上的管理員群組成員。

  • 執行 SQL Server 之電腦上的 SQL Server 登入。

  • 下列 SQL Server 安全性角色的成員：

    • securityadmin 固定伺服器角色

    • dbcreator 固定伺服器角色

如果要執行會影響資料庫的 Stsadm 命令，此帳戶必須是資料庫的 db_owner 固定資料庫角色成員。

伺服器陣列帳戶

  • 網域使用者帳戶。

在加入伺服器陣列之網頁伺服器與應用程式伺服器上，會自動將額外權限授與此帳戶。

此帳戶會自動新增為執行 SQL Server 之電腦上的 SQL Server 登入，並新增至下列 SQL Server 安全性角色：

  • dbcreator 固定伺服器角色

  • securityadmin 固定伺服器角色

  • db_owner 固定資料庫角色，適用於伺服器陣列中的所有資料庫

注意   如果要設定 Microsoft Single Sign-On Service，將不會自動授與 SSO 資料庫的 db_owner 存取權給伺服器陣列帳戶。

Windows SharePoint Services 搜尋帳戶

帳戶 需求

Windows SharePoint Services 搜尋服務帳戶

  • 必須是網域使用者帳戶。

  • 不可以是「伺服陣列管理員」群組的成員。

會自動設定如下：

  • 設定資料庫與 SharePoint_Admin 內容資料庫的讀取權限。

  • Windows SharePoint Services 搜尋資料庫之 db_owner 角色的成員資格。

Windows SharePoint Services 搜尋內容存取帳戶

  • 與 Windows SharePoint Services 搜尋服務帳戶相同的需求。

會自動設定如下：

  • 新增至伺服器陣列的 Web 應用程式完整讀取原則。

其他應用程式集區身分識別帳戶

帳戶 需求

應用程式集區身分識別

不需要手動設定。

會自動設定如下：

  • 必須是網域使用者帳戶。

  • 內容資料庫以及與 Web 應用程式相關的搜尋資料庫之 db_owner 角色的成員資格。

  • 設定資料庫和 SharePoint_AdminContent 資料庫的讀取權限。

  • 會自動授與此帳戶前端網頁伺服器和應用程式伺服器的其他權限。

使用網域使用者帳戶時的最低權限管理需求

伺服器陣列層級帳戶

帳戶 伺服器陣列標準需求 使用網域使用者帳戶的最低權限需求

SQL Server 服務帳戶

使用本機系統帳戶或網域使用者帳戶。

如果使用網域使用者帳戶，此帳戶預設會使用 Kerberos 驗證，因此要求網路環境中有額外的設定。如果 SQL Server 使用無效的服務主要名稱 (SPN) (亦即 Active Directory 目錄服務環境中不存在的名稱)，Kerberos 驗證將會失敗，而改用 NTLM 驗證。如果 SQL Server 使用有效的 SPN，但沒有將其指定到 Active Directory 中適當的容器，驗證將會失敗，並導致「無法產生 SSPI 內容」錯誤訊息。驗證一律會嘗試使用所找到的第一個 SPN，因此請確保沒有將 SPN 指定到 Active Directory 中不適當的容器。

如果您規劃備份至外部資源或從外部資源還原，則必須將外部資源的權限授與適當的帳戶。如果使用網域使用者帳戶作為 SQL Server 服務帳戶，請將權限授與網域使用者帳戶。但是，如果使用網路服務或本機系統帳戶，請將外部資源的權限授與電腦帳戶 (*domain_name\SQL_hostname$*)。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

安裝程式使用者帳戶

  • 網域使用者帳戶。

  • 每部執行安裝程式之伺服器上的管理員群組成員。

  • 執行 SQL Server 之電腦上的 SQL Server 登入。

  • 下列 SQL Server 安全性角色的成員：

    • securityadmin 固定伺服器角色

    • dbcreator 固定伺服器角色

如果要執行會影響資料庫的 Stsadm 命令，此帳戶必須是資料庫的 db_owner 固定資料庫角色成員。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

  • 此帳戶不應該是執行 SQL Server 之電腦上的管理員群組成員。

伺服器陣列帳戶

  • 網域使用者帳戶。

  • 如果伺服器陣列是子項伺服器陣列 (含使用父項伺服器陣列之共用服務的 Web 應用程式)，則此帳戶必須是父項伺服器陣列之設定資料庫上 db_owner 固定資料庫角色的成員。

在加入伺服器陣列之網頁伺服器與應用程式伺服器上，會自動將額外權限授與此帳戶。

此帳戶會自動新增為執行 SQL Server 之電腦上的 SQL Server 登入，並新增至下列 SQL Server 安全性角色：

  • dbcreator 固定伺服器角色

  • securityadmin 固定伺服器角色

  • db_owner 固定資料庫角色，適用於伺服器陣列中的所有資料庫。

注意   如果要設定 Microsoft Single Sign-On Service，將不會自動授與 SSO 資料庫的 db_owner 存取權給伺服器陣列帳戶。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

  • 不是伺服器陣列中任何伺服器上的管理員群組成員 (包含執行 SQL Server 的電腦)。

  • 此帳戶不需要在建立設定資料庫之前取得 SQL Server 權限。

Windows SharePoint Services 搜尋帳戶

帳戶 伺服器陣列標準需求 使用網域使用者帳戶的最低權限需求

Windows SharePoint Services 搜尋服務帳戶

  • 必須是網域使用者帳戶。

  • 不可以是「伺服陣列管理員」群組的成員。

會自動設定如下：

  • 設定資料庫與 SharePoint_Admin 內容資料庫的讀取權限。

  • Windows SharePoint Services 搜尋資料庫之 db_owner 角色的成員資格。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

Windows SharePoint Services 搜尋內容存取帳戶

  • 與 Windows SharePoint Services 搜尋服務帳戶相同的需求。

會自動設定如下：

  • 新增至伺服器陣列的 Web 應用程式完整讀取原則。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

其他應用程式集區身分識別帳戶

帳戶 伺服器陣列標準需求 使用網域使用者帳戶的最低權限需求

應用程式集區身分識別

不需要手動設定。

會自動設定如下：

  • 內容資料庫以及與 Web 應用程式相關的搜尋資料庫之 db_owner 角色的成員資格。

  • 設定資料庫和 SharePoint_AdminContent 資料庫的讀取權限。

  • 會自動授與此帳戶前端網頁伺服器和應用程式伺服器的其他權限。

伺服器陣列標準需求及下列新增或例外狀況：

  • 為每個應用程式集區使用不同的網域使用者帳戶。

  • 此帳戶不應該是伺服器陣列之任何電腦上的管理員群組成員。

使用 SQL 驗證時的最低權限管理需求

伺服器陣列層級帳戶

帳戶 伺服器陣列標準需求 使用 SQL 驗證的最低權限需求

SQL Server 服務帳戶

使用本機系統帳戶或網域使用者帳戶。

如果使用網域使用者帳戶，此帳戶預設會使用 Kerberos 驗證，因此要求網路環境中有額外的設定。如果 SQL Server 使用無效的服務主要名稱 (SPN) (亦即 Active Directory 目錄服務環境中不存在的名稱)，Kerberos 驗證將會失敗，而改用 NTLM 驗證。如果 SQL Server 使用有效的 SPN，但沒有將其指定到 Active Directory 中適當的容器，驗證將會失敗，並導致「無法產生 SSPI 內容」錯誤訊息。驗證一律會嘗試使用所找到的第一個 SPN，因此請確保沒有將 SPN 指定到 Active Directory 中不適當的容器。

如果您規劃備份至外部資源或從外部資源還原，則必須將外部資源的權限授與適當的帳戶。如果使用網域使用者帳戶作為 SQL Server 服務帳戶，請將權限授與網域使用者帳戶。但是，如果使用網路服務或本機系統帳戶，請將外部資源的權限授與電腦帳戶 (*domain_name\SQL_hostname$*)。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

注意

所有資料庫帳戶必須建立為 Microsoft SQL Server 2000 Enterprise Manager 或 SQL Server 2005 Management Studio 中的 SQL Server 登入帳戶。在建立任何內容資料庫 (包括設定資料庫和 SharePoint_AdminContent 資料庫) 之前，必須建立這些帳戶。建立同時用於設定資料庫和 SharePoint_AdminContent 資料庫的一項 SQL Server 登入。

安裝程式使用者帳戶

  • 網域使用者帳戶。

  • 每部執行安裝程式之伺服器上的管理員群組成員。

  • 執行 SQL Server 之電腦上的 SQL Server 登入。

  • 下列 SQL Server 安全性角色的成員：

    • securityadmin 固定伺服器角色

    • dbcreator 固定伺服器角色

如果要執行會影響資料庫的 Stsadm 命令，此帳戶必須是資料庫的 db_owner 固定資料庫角色成員。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

  • SQL Server 電腦上的 SQL Server 登入。

  • 不是下列 SQL Server 安全性角色的成員：

    • securityadmin 固定伺服器角色

    • dbcreator 固定伺服器角色

  • 不是執行 SQL Server 電腦上的管理員群組成員。

注意

您必須使用 Psconfig 命令列工具來建立設定資料庫和 SharePoint_AdminContent 資料庫。但不能使用 [SharePoint 產品及技術設定精靈] 來建立這些資料庫。若要建立伺服器陣列或將電腦加入伺服器陣列，請將為這些資料庫建立的 SQL Server 登入，指定為 dbusername 和 dbpassword。這兩個資料庫會使用相同的 SQL Server 登入進行存取。選取 [SQL 驗證] 選項即可在管理中心建立所有其他內容資料庫。

伺服器陣列帳戶

  • 網域使用者帳戶。

  • 如果伺服器陣列是子項伺服器陣列 (含使用父項伺服器陣列之共用服務的 Web 應用程式)，則此帳戶必須是父項伺服器陣列之設定資料庫上 db_owner 固定資料庫角色的成員。

在加入伺服器陣列之網頁伺服器與應用程式伺服器上，會自動將額外權限授與此帳戶。

此帳戶會自動新增為執行 SQL Server 之電腦上的 SQL Server 登入，並新增至下列 SQL Server 安全性角色：

  • dbcreator 固定伺服器角色

  • securityadmin 固定伺服器角色

  • db_owner 固定資料庫角色，適用於伺服器陣列中的所有資料庫

注意   如果要設定 Microsoft Single Sign-On Service，將不會自動授與 SSO 資料庫的 db_owner 存取權給伺服器陣列帳戶。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

  • 不是伺服器陣列中任何伺服器上的管理員群組成員 (包含執行 SQL Server 的電腦)。

  • 不是執行 SQL Server 之電腦上的 SQL Server 登入。

  • 此帳戶不需要在建立設定資料庫之前取得 SQL Server 權限。

Windows SharePoint Services 搜尋帳戶

帳戶 伺服器陣列標準需求 使用 SQL 驗證的最低權限需求

Windows SharePoint Services 搜尋服務帳戶

  • 必須是網域使用者帳戶。

  • 不可以是「伺服陣列管理員」群組的成員。

會自動設定如下：

  • 設定資料庫與 SharePoint_Admin 內容資料庫的讀取權限。

  • Windows SharePoint Services 搜尋資料庫之 db_owner 角色的成員資格。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

  • 不是伺服器陣列中任何伺服器上的管理員群組成員 (包含執行 SQL Server 的電腦)。

  • 不是 SQL Server 登入。

Windows SharePoint Services 搜尋內容存取帳戶

  • 與 Windows SharePoint Services 搜尋服務帳戶相同的需求。

會自動設定如下：

  • 新增至伺服器陣列的 Web 應用程式完整讀取原則。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

  • 不是伺服器陣列中任何伺服器上的管理員群組成員 (包含執行 SQL Server 的電腦)。

  • 不是 SQL Server 登入。

其他應用程式集區身分識別帳戶

帳戶 伺服器陣列標準需求 使用 SQL 驗證的最低權限需求

應用程式集區身分識別

不需要手動設定。

會自動設定如下：

  • 內容資料庫以及與 Web 應用程式相關的搜尋資料庫之 db_owner 角色的成員資格。

  • 設定資料庫和 SharePoint_AdminContent 資料庫的讀取權限。

  • 會自動授與此帳戶前端網頁伺服器和應用程式伺服器的其他權限。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

  • 不是伺服器陣列中任何伺服器上的管理員群組成員 (包含執行 SQL Server 的電腦)。

  • 不是 SQL Server 登入。

連線至預先建立的資料庫時的最低權限管理需求

伺服器陣列層級帳戶

帳戶 伺服器陣列標準需求 連線至預先建立的資料庫時的最低權限需求

SQL Server 服務帳戶

使用本機系統帳戶或網域使用者帳戶。

如果使用網域使用者帳戶，此帳戶預設會使用 Kerberos 驗證，因此要求網路環境中有額外的設定。如果 SQL Server 使用無效的服務主要名稱 (SPN) (亦即 Active Directory 目錄服務環境中不存在的名稱)，Kerberos 驗證將會失敗，而改用 NTLM 驗證。如果 SQL Server 使用有效的 SPN，但沒有將其指定到 Active Directory 中適當的容器，驗證將會失敗，並導致「無法產生 SSPI 內容」錯誤訊息。驗證一律會嘗試使用所找到的第一個 SPN，因此請確保沒有將 SPN 指定到 Active Directory 中不適當的容器。

  • 如果您規劃備份至外部資源或從外部資源還原，則必須將外部資源的權限授與適當的帳戶。如果使用網域使用者帳戶作為 SQL Server 服務帳戶，請將權限授與網域使用者帳戶。但是，如果使用網路服務或本機系統帳戶，請將外部資源的權限授與電腦帳戶 (domain_name\SQL_hostname$)。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

安裝程式使用者帳戶

  • 網域使用者帳戶。

  • 每部執行安裝程式之伺服器上的管理員群組成員。

  • 執行 SQL Server 之電腦上的 SQL Server 登入。

  • 下列 SQL Server 安全性角色的成員：

    • securityadmin 固定伺服器角色

    • dbcreator 固定伺服器角色

如果要執行會影響資料庫的 Stsadm 命令，此帳戶必須是資料庫的 db_owner 固定資料庫角色成員。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

  • 不是執行 SQL Server 電腦上的管理員群組成員。

此帳戶會用來設定資料庫。建立每個資料庫之後，將資料庫擁有者 (dbo 或 db_owner) 變更至安裝程式使用者帳戶。

伺服器陣列帳戶

  • 網域使用者帳戶。

  • 如果伺服器陣列是子項伺服器陣列 (含使用父項伺服器陣列之共用服務的 Web 應用程式)，則此帳戶必須是父項伺服器陣列之設定資料庫上 db_owner 固定資料庫角色的成員。

在加入伺服器陣列之網頁伺服器與應用程式伺服器上，會自動將額外權限授與此帳戶。

此帳戶會自動新增為執行 SQL Server 之電腦上的 SQL Server 登入，並新增至下列 SQL Server 安全性角色：

  • dbcreator 固定伺服器角色

  • securityadmin 固定伺服器角色

  • db_owner 固定資料庫角色，適用於伺服器陣列中的所有資料庫

注意   如果要設定 Microsoft Single Sign-On Service，將不會自動授與 SSO 資料庫的 db_owner 存取權給伺服器陣列帳戶。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

  • 不是伺服器陣列中任何伺服器上的管理員群組成員 (包含執行 SQL Server 的電腦)。

  • 此帳戶不需要在建立設定資料庫之前取得 SQL Server 權限。

建立共用服務提供者 (SSP) 資料庫和 SSP 搜尋資料庫之後，將此帳戶新增至每個資料庫的下列項目：

  • 使用者群組

  • db_owner 固定資料庫角色

Windows SharePoint Services 搜尋帳戶

帳戶 伺服器陣列標準需求 連線至預先建立的資料庫時的最低權限需求

Windows SharePoint Services 搜尋服務帳戶

  • 必須是網域使用者帳戶。

  • 不可以是「伺服陣列管理員」群組的成員。

會自動設定如下：

  • 設定資料庫與 SharePoint_Admin 內容資料庫的讀取權限。

  • Windows SharePoint Services 搜尋資料庫之 db_owner 角色的成員資格。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

執行 Psconfig 命令列工具以啟動 Windows SharePoint Services 搜尋服務時，會為下列項目自動設定成員資格：

  • WSS_Search 資料庫的使用者群組和 db_owner 角色。

  • 設定資料庫中的使用者群組。

  • 管理中心內容資料庫中的使用者群組。

Windows SharePoint Services 搜尋內容存取帳戶

  • 與 Windows SharePoint Services 搜尋服務帳戶相同的需求。

會自動設定如下：

  • 新增至伺服器陣列的 Web 應用程式完整讀取原則。

伺服器陣列標準需求及下列新增或例外狀況：

  • 使用不同的網域使用者帳戶。

執行 Psconfig 命令列工具以啟動 Windows SharePoint Services 搜尋服務時，會為下列項目自動設定成員資格：

  • WSS- 搜尋資料庫中的使用者群組和 db_owner 角色

  • 設定資料庫中的使用者群組。

  • 管理中心內容資料庫中的使用者群組。

其他應用程式集區身分識別帳戶

帳戶 伺服器陣列標準需求 連線至預先建立的資料庫時的最低權限需求

應用程式集區身分識別

不需要手動設定。

會自動設定如下：

  • 內容資料庫以及與 Web 應用程式相關的搜尋資料庫之 db_owner 角色的成員資格。

  • 設定資料庫和 SharePoint_AdminContent 資料庫的讀取權限。

  • 會自動授與此帳戶前端網頁伺服器和應用程式伺服器的其他權限。

伺服器陣列標準需求及下列新增或例外狀況：

  • 為每個應用程式集區使用不同的網域使用者帳戶。

  • 此帳戶不應該是伺服器陣列之任何電腦上的管理員群組成員。

建立 SSP 資料庫和 SSP 搜尋資料庫之後，將此帳戶新增至每個資料庫的下列項目：

  • 使用者群組

  • db_owner 角色

下載本書

本主題隨附於下列可下載的叢書中，以便於閱讀與列印：

請參閱 Windows SharePoint Services 可下載的叢書 (英文) 上提供的完整叢書清單。

另請參閱

概念

規劃安全性角色 (Windows SharePoint Services)