Konfiguracja konta usługi SQL Server

Konfiguracja konta usługi SQL Server określa tożsamość, w kontekście której działa główny proces silnika bazodanowego.

Tożsamość procesu silnika SQL Server

Konfiguracja konta usługi SQL Server określa, pod jaką tożsamością system Windows uruchamia proces silnika bazodanowego, zwykle SQL Server Database Engine. Konto usługi jest właścicielem kontekstu bezpieczeństwa procesu, dlatego wpływa na dostęp do plików baz danych, katalogów z kopiami zapasowymi, certyfikatów, kluczy szyfrowania, udziałów sieciowych oraz innych zasobów systemowych. Nie jest to konto użytkownika służące do logowania się do aplikacji ani login zapisany w tabelach systemowych SQL Server.

Podczas instalacji SQL Server można wskazać między innymi konto wirtualne, lokalne konto usługi, konto domenowe albo zarządzane konto usługi typu gMSA, zależnie od wersji silnika i wymagań środowiska Windows. Konto wirtualne ma nazwę powiązaną z usługą i korzysta z tożsamości komputera przy dostępie do zasobów sieciowych. Konto domenowe pozwala odwoływać się do zasobów przypisanych w domenie, ale wymaga poprawnego hasła, uprawnień oraz zgodności z zasadami Active Directory. Zmiana wybranego typu konta może więc zmienić sposób, w jaki SQL Server uzyskuje dostęp do plików i usług poza lokalnym komputerem.

Uprawnienia wymagane do uruchomienia usługi

Konto silnika SQL Server musi mieć prawo uruchamiania jako usługa systemu Windows oraz odpowiednie uprawnienia do katalogów używanych przez daną instancję. Dotyczy to przede wszystkim lokalizacji plików danych, dzienników transakcyjnych, plików tymczasowych, kopii zapasowych i plików konfiguracyjnych. Instalator SQL Server zazwyczaj nadaje uprawnienia właściwemu identyfikatorowi usługi, dlatego ręczne zastępowanie ich uprawnieniami dla szerokiej grupy użytkowników może prowadzić do nadmiernego dostępu albo do błędów po zmianie konta.

Jeżeli kopia zapasowa jest zapisywana na udziale SMB, samo uprawnienie NTFS na lokalnym komputerze nie wystarczy. Dostęp jest wtedy sprawdzany również na poziomie udziału sieciowego, a konto usługi musi być rozpoznawalne przez komputer udostępniający zasób. W przypadku konta domenowego może to być bezpośrednie konto usługi, natomiast przy koncie wirtualnym dostęp sieciowy jest zwykle związany z kontem komputera. Błąd zapisu kopii, odczytu pliku bazy lub otwarcia certyfikatu może zatem wynikać z niewłaściwego kontekstu usługi, nawet gdy logowanie administratora do tego samego katalogu działa prawidłowo.

Zmiana konta, hasła i zależności usług

Zmiana konta usługi SQL Server powinna być wykonywana przy użyciu narzędzi przeznaczonych do zarządzania usługami SQL Server, ponieważ procedura może obejmować aktualizację uprawnień, rejestrację identyfikatora usługi oraz bezpieczne zapisanie poświadczeń. Zwykła zmiana pola „Zaloguj jako” w konsoli usług Windows nie zawsze odtwarza wszystkie ustawienia wymagane przez konkretną instancję. Po zmianie należy sprawdzić, czy usługa uruchamia się, otwiera pliki systemowych baz danych i akceptuje połączenia zgodnie z dotychczasową konfiguracją.

Hasło konta domenowego musi być aktualne. Po jego wygaśnięciu albo zmianie w domenie usługa może nie wystartować, a w Podglądzie zdarzeń systemu Windows może pojawić się błąd logowania usługi. Znaczenie ma także kolejność uruchamiania: SQL Server Database Engine może zależeć od mechanizmów systemowych, sieciowych lub usług używanych przez określone funkcje instancji. SQL Server Agent jest osobną usługą i może działać na innym koncie niż silnik. Nie należy automatycznie przenosić uprawnień między tymi kontami, ponieważ zakres wymaganych dostępów zależy od wykonywanych zadań, harmonogramów i używanych zasobów.

Objawy nieprawidłowej konfiguracji na komputerze

Nieprawidłowe konto usługi może powodować brak startu instancji, zatrzymywanie procesu podczas uruchamiania, komunikaty o odmowie dostępu albo problemy występujące dopiero przy wykonywaniu konkretnej operacji. Przy analizie należy rozróżnić błąd samej usługi Windows od błędu połączenia klienta z działającym silnikiem. Informacje z dziennika SQL Server, Podglądu zdarzeń, konfiguracji instancji oraz właściwości plików pozwalają ustalić, czy problem dotyczy konta, uprawnień, ścieżki pliku, protokołu sieciowego czy uwierzytelniania.

Diagnostyka powinna obejmować nazwę konta przypisanego do usługi, stan usługi, identyfikator instancji, lokalizacje plików oraz sposób dostępu do zasobów lokalnych i sieciowych. Warto sprawdzić także, czy konto nie zostało zablokowane, czy nie obowiązuje wymuszona zmiana hasła oraz czy zasady zabezpieczeń systemu nie odebrały prawa uruchamiania jako usługa. Naprawa polega na przywróceniu właściwego konta, ustawieniu praw dostępu wyłącznie w wymaganym zakresie i wykonaniu kontrolnego uruchomienia instancji. Zmiana konta bez zachowania kopii konfiguracji może utrudnić późniejsze odtworzenie poprzedniego stanu.