Início / dba / Perguntas / 233934
Accepted
Tom_W
Asked: 2019-04-05 02:52:34 +0800 CST

Permissões recomendadas para a conta SQL que criará novas contas SQL

  • 772

Buscando algumas recomendações sobre como lidar com uma conta SQL, que criará contas SQL adicionais no futuro...

Cenário:

Nosso aplicativo de produção Admin se conecta ao SQL usando uma conta chamada: Admin_Main , conforme indicado na string de conexão. Quando alguém cria um novo usuário no aplicativo Admin e atribui a ele uma licença de relatórios, uma nova conta SQL é criada na instância para o novo usuário. A conta Admin_Main é usada para criar esta conta.

Eu, é claro, não quero adicionar mais permissões à conta Admin_Main do que o necessário, então minha pergunta é;

Quais são as permissões que devo adicionar a essa conta, para que ela possa criar novas contas do SQL Server, mas não tenha permissões de administrador na instância?

Desde já, obrigado!

sql-server

1 respostas

  1. Best Answer

    Você pode atribuir a função securityadminde servidor à conta Admin_Main .

    A securityadminfunção de servidor é documentada como:

    Os membros da função de servidor fixa securityadmin gerenciam logons e suas propriedades. Eles podem GRANT, DENY, e REVOKEpermissões de nível de servidor. Eles também podem GRANT, DENYe REVOKEpermissões em nível de banco de dados se tiverem acesso a um banco de dados. Além disso, eles podem redefinir senhas para logons do SQL Server.

    IMPORTANTE: A capacidade de conceder acesso ao Mecanismo de Banco de Dados e configurar permissões de usuário permite que o administrador de segurança atribua a maioria das permissões do servidor. A função securityadmin deve ser tratada como equivalente à função sysadmin .

    Referência: funções no nível do servidor (Microsoft | Docs)

    Vamos tentar e ver até onde podemos chegar...

    Criando o login do SQL Server Admin_Main

    Criaremos um novo logon do SQL Server e atribuiremos a esse usuário a securityadminfunção de servidor:

    USE [master]
GO
CREATE LOGIN [Admin_Main] WITH PASSWORD=N'MyShineyNewP@sswerd', DEFAULT_DATABASE=[master], CHECK_EXPIRATION=OFF, CHECK_POLICY=ON
GO
ALTER SERVER ROLE [securityadmin] ADD MEMBER [Admin_Main]
GO

    Isso tudo é feito com uma conta que tem a sysadminfunção de servidor e o resultado é:

    Command(s) completed successfully.

    Entrar com Admin_Main

    Você pode então abrir uma nova janela de consulta de banco de dados usando Admin_Main SQL Serer Login e a senha correspondente. Depois de ter feito isso...

    Atribuindo privilégios mais altos

    ...seu novo usuário certamente tentará aumentar seus privilégios adicionando-se à sysadminfunção de servidor:

    ALTER SERVER ROLE [sysadmin] ADD member [Admin_Main]

    Isso resulta no seguinte:

    Msg 15151, Level 16, State 1, Line 3
Cannot alter the server role 'sysadmin', because it does not exist or you do not have permission.

    Portanto, o logon do SQL Server não pode atribuir a si mesmo privilégios mais altos.

    Criando um novo usuário (ou: até onde posso chegar?)

    Visto que Admin_Main agora tem permissão para criar novos logins do SQL Server, vamos criar um novo usuário enquanto ainda estiver logado como Admin_Main e adicionar algumas funções de nível de servidor. Faremos isso em várias etapas para descobrir quando a atribuição de funções do SQL Server falhará:

    Criar login

    Entrada

    USE [master]
GO
CREATE LOGIN [New_User] WITH PASSWORD=N'MyShineyNewP@sswerd', DEFAULT_DATABASE=[master], CHECK_EXPIRATION=OFF, CHECK_POLICY=ON
GO

    Resultado

    Command(s) completed successfully.

    Atribuir função de administrador de segurança

    Entrada

    ALTER SERVER ROLE [securityadmin] ADD MEMBER [New_User]
GO

    Resultado

    Command(s) completed successfully.

    Atribuir função sysadmin SQL Server

    Entrada

    ALTER SERVER ROLE [sysadmin] ADD MEMBER [New_User]
GO

    Resultado

    Msg 15151, Level 16, State 1, Line 13
Cannot alter the server role 'sysadmin', because it does not exist or you do not have permission.

    Conclusão

    Você terá que atribuir a função do SQL Server securityadminao login do SQL Server Admin_Main para permitir que essa conta crie novos logins do SQL Server e/ou logins do SQL Server autenticados pelo Windows.

    ...e você não pode atribuir permissões/privilégios a outras contas que suas contas iniciais ainda não possuem.

    • 3

relate perguntas