主页 / dba / 问题 / 63657
Accepted
Dave Mason
Asked: 2014-04-23 08:01:30 +0800 CST

SysAdmin 服务器角色和 Active Directory 组

  • 772

我一直在努力寻找有关为组成员提供 SysAdmin 服务器角色的 Active Directory 组的最佳实践信息或任何建议。我在一份新工作中，我是 50 到 100 个 SQL 实例的唯一 SQL Server DBA。还有另一位（网络）系统管理员将具有 SysAdmin 服务器角色。将来可能还会有其他人（可能是也可能不是 DBA）。

我正在描绘两种选择：

选项 1：在 Active Directory 中创建一个组，根据需要将我自己和任何其他人添加到该组中，在 AD 组的每个 SQL Server 实例上创建 SQL Server 登录名，并为登录名提供 SysAdmin 服务器角色。

这很方便，并且具有一定的灵活性。但这似乎是一个巨大的安全风险。作为一名 DBA，我无法完全控制 AD 组的成员（或外）。目前，每个 SQL Server 实例都有少数具有 SysAdmin 角色的登录名。除了我、网络系统管理员和 sa 之外，我想将 SysAdmin 带离他们所有人。如果我完成这项任务并实施选项 1，我最终不会比我开始的地方好。

选项 2：在每个 SQL Server 上使用单独的 Windows 身份验证（AD 帐户）登录，并赋予每个 SysAdmin 服务器角色。

这不是很方便，但只有两个人/AD 登录具有 SysAdmin 权限。只要我们都没有将 SysAdmin 角色成员资格授予其他人，就应该有一定的顺序。

哪个选项是首选？还有其他我忽略的选择吗？

sql-server sql-server-2008-r2

2 个回答

  1. 个人账户将更难管理。它们使您可以更精细地控制访问权限，但您不能将 Active Directory 管理员拒之门外。在您的服务器上被授予本地管理员权限的任何人都可以获得对该实例的系统管理员访问权限。而且，正如一位非常优秀的 DBA 曾经告诉我的那样，如果您不能信任您的域管理员，那么您将面临更大的问题。

    通过抽象您对 AD 组的访问，您可以获得两个好处：

    1. 更容易根据角色管理访问组和权限，并结合使用这些 AD 组对其他资产进行分层访问控制。
    2. 提供更一致的审核，因为您只需要显示 AD 组的访问权限，然后显示该组中包含的人员。
    • 3
  2. Best Answer

    我不想回答我自己的问题，但我决定选项 2 是适合我的方式。我终于找到了一些“最佳实践”信息，尽管它与PCI DSS 合规性有关。这是一本很棒的读物，有一些很棒的建议。我无法实现所有这些，而且我可能永远无法通过 PCI 审核，但我绝对会提高安全性。对于它的价值，以下是与SYSADMIN角色相关的建议：

    限制对持卡人数据的访问的一个关键步骤是限制分配给系统管理员服务器角色的特权用户的数量。默认情况下，BUILTIN/Administrators 组不是 SQL Server 2008 R2 中 sysadmin 角色的成员。PCI DSS直接支持“最小权限”访问模型的最佳实践理念；因此，我们建议如下：

    • sysadmin 角色的成员只能使用单独的 Windows 登录名登录
    • 分配给 sysadmin 角色的用户数应该最少
    • 应根据工作职能分配 sysadmin 角色
    • sysadmin 角色的 Windows 登录成员应单独获得对 SQL Server 的访问权限，而不是通过映射的 AD 组
    • sysadmin 角色的成员不应是本地 Windows 管理员
    • sysadmin 角色的成员不应访问 SQL Server 服务有权访问的服务器上的任何文件夹或文件共享，例如包含数据和日志文件的文件夹，以及可以将数据库或加密密钥备份到的目录
    • Windows 本地或域管理员不应具有对 SQL Server 的系统管理员访问权限
    • 0

相关问题