SQL Server Service Account

Service Account to konto, w kontekście którego działa dana usługa SQL Server.

Konto, w kontekście którego pracuje silnik bazy

Usługa SQL Server nie działa sama z siebie, tylko uruchamia się jako proces w systemie Windows w kontekście określonego konta. To konto decyduje, do jakich plików, folderów, udziałów sieciowych i kluczy rejestru silnik ma dostęp. Każdy komponent ma własne konto: osobne dla samego silnika bazy danych, osobne dla agenta harmonogramu zadań, osobne dla usług raportowania czy integracji. Ustawia się je w narzędziu SQL Server Configuration Manager, a nie w ogólnym przystawce usług systemowych, bo tylko to pierwsze nadaje przy zmianie komplet wymaganych uprawnień.

Rodzaje kont i zasada najmniejszych uprawnień

Do wyboru są konta wirtualne i zarządzane konta usług, tworzone przez system i nieposiadające hasła do zarządzania, wbudowane konta systemowe oraz zwykłe konta domenowe. Wybór nie jest obojętny. Konta wirtualne sprawdzają się na pojedynczym serwerze, natomiast konto domenowe jest niezbędne wtedy, gdy usługa musi sięgać po zasoby sieciowe, na przykład zapisywać kopie zapasowe na udziale albo działać w klastrze. Konto lokalnego systemu daje bardzo szerokie uprawnienia na serwerze i właśnie dlatego uchodzi za rozwiązanie ryzykowne. Reguła jest prosta: konto ma mieć dokładnie tyle praw, ile potrzebuje do pracy, i ani jednego więcej, bo przejęcie kontroli nad procesem bazy oznacza przejęcie wszystkiego, do czego to konto sięga.

Co się psuje po nieostrożnej zmianie

Klasyczny scenariusz to zmiana konta w przystawce usług systemowych zamiast w narzędziu konfiguracyjnym: usługa startuje, ale nie ma praw do folderów z plikami baz i zgłasza błąd dostępu przy próbie ich otwarcia. Drugi to wygasłe albo zmienione hasło konta domenowego, po którym baza nie wstaje po ponownym uruchomieniu serwera i nikt nie kojarzy tego z polityką haseł w domenie. Trzeci dotyczy kopii zapasowych zapisywanych na udziale sieciowym, do którego nowe konto nie ma dostępu, więc zadania cichnie kończą się niepowodzeniem, a nikt tego nie zauważa aż do momentu, gdy kopia będzie potrzebna. Czwarty to utrata rejestracji nazwy usługi w domenie, przez co przestaje działać uwierzytelnianie zintegrowane i użytkownicy dostają komunikat o błędzie logowania.

Serwery i stacje w obsłudze technicznej

Awarie usług bazodanowych bywają skutkiem zwykłej awarii sprzętu: padającego dysku, przegrzania albo niestabilnego zasilania po zaniku prądu. Sprawdzamy takie serwery i komputery firmowe w Warszawie, wymieniamy nośniki z przeniesieniem systemu, czyścimy chłodzenie i ustawiamy kopie zapasowe tak, żeby dało się z nich faktycznie odtworzyć dane. Pracujemy przez całą dobę, także w weekendy.