Rola serveradmin

Rola serveradmin konfiguruje ustawienia całej instancji SQL Server.

Czym jest rola serveradmin

Serveradmin to jedna ze stałych ról serwerowych w Microsoft SQL Server, obok takich ról jak sysadmin, securityadmin, dbcreator, diskadmin, processadmin, setupadmin i bulkadmin. Członek roli serveradmin może zmieniać ustawienia całej instancji przy użyciu procedury sp_configure oraz polecenia RECONFIGURE, a także zamykać instancję poleceniem SHUTDOWN. To uprawnienia obejmujące parametry takie jak limit pamięci przydzielonej silnikowi, stopień równoległości zapytań czy próg kosztu dla planów równoległych.

Czym różni się od sysadmin

Podstawowe nieporozumienie polega na uznaniu serveradmin za lżejszą wersję sysadmin. Zakres jest inny: serveradmin steruje konfiguracją instancji, ale sam z siebie nie daje dostępu do danych w bazach ani prawa nadawania uprawnień innym loginom. Rola sysadmin jest natomiast pełnią władzy i omija wszystkie kontrole uprawnień. W praktyce jednak granica bywa iluzoryczna, bo osoba mogąca zmieniać konfigurację serwera dysponuje pośrednimi drogami do rozszerzenia dostępu, między innymi przez włączanie zaawansowanych opcji instancji. Z tego powodu w dobrze prowadzonych środowiskach serveradmin traktuje się jako uprawnienie wysokiego ryzyka, a nie jako rolę dla zwykłego administratora aplikacji.

Typowe błędy w nadawaniu uprawnień

W małych firmach spotyka się rozwiązanie skrajne: konto aplikacji wpisane do roli sysadmin, żeby uniknąć rozwiązywania problemów z uprawnieniami. Skutkiem jest sytuacja, w której zwykły błąd w programie magazynowym może zniszczyć wszystkie bazy na instancji, a atak przez wstrzyknięcie zapytania SQL daje napastnikowi kontrolę nad serwerem. Drugi częsty błąd to zapominanie o wbudowanym loginie sa, który przy uwierzytelnianiu mieszanym bywa zostawiony z prostym hasłem i jest celem automatycznych ataków słownikowych na porcie 1433. Trzeci to usunięcie ostatniego konta administracyjnego, po którym odzyskanie dostępu wymaga uruchomienia instancji w trybie jednego użytkownika z parametrem awaryjnym.

Bazy danych w małej firmie a pomoc serwisu

Program handlowy, gabinetowy czy księgowy w warszawskim biurze bardzo często opiera się na bezpłatnej edycji SQL Server Express, o którą po instalacji nikt się już nie troszczy. Efektem są bazy bez kopii zapasowych, przyrastające pliki dziennika transakcji i limit pojemności osiągnięty w najgorszym momencie. Warszawskie Pogotowie Komputerowe konfiguruje takie instalacje u klienta: ustawia automatyczne kopie z weryfikacją odtwarzania, porządkuje konta i uprawnienia, przenosi bazę na nowy serwer lub szybszy dysk i odzyskuje dane po awarii sprzętu.