Configuración de cuentas y permisos de servicio de Windows para la extensión de Azure para SQL Server

  • Artículo

Se aplica a:SQL Server

En este artículo se enumeran los permisos de extensión de Azure para conjuntos de SQL Server en una instancia de para la NT Service\SQLServerExtension cuenta. Esta cuenta se usa al operar CON SQL Server habilitado por Azure Arc con privilegios mínimos (versión preliminar).

Nota:

Si la extensión de Azure es versión 1.1.2594.118 (versión de febrero de 2024) o posterior, el modo con privilegios mínimos se habilitará automáticamente en los próximos meses.

No se admite la configuración manual de los permisos de la cuenta del agente.

La extensión establece permisos al habilitar características en Azure Portal. Si no habilita una característica, la extensión no establece los permisos para esa característica. Si deshabilita una característica, la extensión quita los permisos.

Los permisos de SQL enumeran los permisos asociados a las características que concede la extensión cuando se habilitan las características.

Permisos de directorio

Ruta de acceso del directorio Permisos necesarios Detalles Característica
<SystemDrive>\Packages\Plugins\Microsoft.AzureData.WindowsAgent.SQLServer Control total Archivos DLL y exe relacionados con la extensión. Valor predeterminado
C:\Packages\Plugins\Microsoft.AzureData.WindowsAgent.SqlServer\<extension_version>\RuntimeSettings Control total Archivo de configuración de extensión. Valor predeterminado
C:\Packages\Plugins\Microsoft.AzureData.WindowsAgent.SqlServer\<extension_version>\status Control total Archivo de estado de extensión. Valor predeterminado
C:\ProgramData\GuestConfig\extension_logs\Microsoft.AzureData.WindowsAgent.SqlServer Control total Archivos de registro de extensión. Valor predeterminado
C:\Packages\Plugins\Microsoft.AzureData.WindowsAgent.SqlServer\<extension_version>\status\HeartBeat.Json Control total Archivo de latido de extensión. Valor predeterminado
%ProgramFiles%\Sql Server Extension Control total Archivos de servicio de extensión. Valor predeterminado
<SystemDrive>\Windows\system32\extensionUpload Control total Necesario para escribir el archivo de uso necesario para la facturación. Valor predeterminado
<SystemDrive>\Windows\system32\ExtensionHandler.log Control total Carpeta anterior al registro creada por extensión. Valor predeterminado
<ProgramData>\AzureConnectedMachineAgent\Config Leer Directorio de archivos de configuración de Arc. Valor predeterminado
C:\Windows\System32\config\systemprofile\AppData\Local\Microsoft SQL Server Extension Agent Control total Necesario para escribir informes de evaluación y estado. Valor predeterminado
Directorio de registro de SQL (como se establece en el Registro) 1:
C:\Program Files\Microsoft SQL Server\MSSQL<base_version>.<instance_name>\MSSQL\log		 Leer Necesario para extraer información de núcleos virtuales de SQL de los registros de SQL. Valor predeterminado
Directorio de copia de seguridad de SQL (como se establece en el Registro) 1:
C:\Program Files\Microsoft SQL Server\MSSQL<base_version>.<instance_name>\MSSQL\Backup		 ReadAndExecute/Write /Delete Necesario para las copias de seguridad Backup

1 Para obtener más información, vea Ubicaciones de archivos y asignación del Registro.

Permisos del Registro

Clave base: HKEY_LOCAL_MACHINE

Clave del Registro Permiso necesario Detalles Característica
SOFTWARE\Microsoft\Microsoft SQL Server Leer Lea las propiedades de SQL Server como installedInstances. Valor predeterminado
SOFTWARE\Microsoft\Microsoft SQL Server\<InstanceRegistryName>\MSSQLSERVER Control total Microsoft Entra ID y Purview. Microsoft Entra ID

Purview
SOFTWARE\Microsoft\SystemCertificates Control total Se requiere para el identificador de Entra de Microsoft. Microsoft Entra ID
SYSTEM\CurrentControlSet\Services Leer Nombre de la cuenta de SQL Server. Valor predeterminado
SOFTWARE\Microsoft\AzureDefender\SQL Leer Estado de Azure Defender y hora de última actualización. Valor predeterminado
SOFTWARE\Microsoft\SqlServerExtension Control total Valores relacionados con la extensión. Valor predeterminado
SOFTWARE\Policies\Microsoft\Windows Lectura y escritura Habilitación de la actualización automática de Windows a través de la extensión. Actualizaciones automáticas

Permisos de grupo

NT Service\SQLServerExtension se agrega a las aplicaciones de extensión del agente híbrido. Admite el protocolo de enlace de Azure Instance Metadata Service (IMDS).

Permisos de SQL

NT Service\SQLServerExtension se agrega:

  • Como inicio de sesión de SQL en todas las instancias presentes actualmente en la máquina
  • Como usuario de cada base de datos

La extensión también concede permisos a los objetos de instancia y de base de datos a medida que se habilitan las características. En la tabla siguiente se proporcionan detalles.

Característica Permiso Nivel Requisito
Valor predeterminado VIEW DATABASE STATE Nivel de servidor Essential
VIEW SERVER STATE Nivel de servidor Essential
CONNECT SQL Nivel de servidor Essential
Base de datos como recurso Rol público predeterminado Nivel de servidor (se concede de forma predeterminada a inicios de sesión recién agregados) Essential
Valoración de procedimientos recomendados VIEW ANY DEFINITION Nivel de servidor Dependiente de la característica
VIEW ANY DATABASE Nivel de servidor Dependiente de la característica
SELECT master Dependiente de la característica
SELECT msdb Dependiente de la característica
EXECUTE ON sys.xp_enumerrorlogs master Dependiente de la característica
EXECUTE ON sys.xp_readerrorlog master Dependiente de la característica
Backup CREATE ANY DATABASE Nivel de servidor Dependiente de la característica
rol de db_backupoperator Todas las bases de datos Dependiente de la característica
dbcreator Rol del servidor Dependiente de la característica
Plano de control de Azure CREATE TABLE msdb Essential
ALTER ANY SCHEMA msdb Essential
CREATE TYPE msdb Essential
EXECUTE msdb Essential
rol de db_datawriter msdb Dependiente de la característica
rol de db_datareader msdb Dependiente de la característica
Detección de grupos de disponibilidad VIEW ANY DEFINITION Nivel de servidor Essential
Purview SELECT Todas las bases de datos Dependiente de la característica
EXECUTE Todas las bases de datos Dependiente de la característica
CONNECT ANY DATABASE Nivel de servidor Dependiente de la característica
VIEW ANY DATABASE Nivel de servidor Dependiente de la característica
Supervisión SELECT dbo.sysjobactivity msdb Essential
SELECT dbo.sysjobs msdb Essential
SELECT dbo.syssessions msdb Essential
SELECT dbo.sysjobHistory msdb Essential
SELECT dbo.sysjobSteps msdb Essential
SELECT dbo.syscategories msdb Essential
SELECT dbo.sysoperators msdb Essential
SELECT dbo.suspectpages msdb Essential
SELECT dbo.backupset msdb Essential
SELECT dbo.backupmediaset msdb Essential
SELECT dbo.backupmediafamily msdb Essential
SELECT dbo.backupfile msdb Essential
CONNECT ANY DATABASE Nivel de servidor Essential
VIEW ANY DATABASE Nivel de servidor Essential
VIEW ANY DEFINITION Nivel de servidor Essential
Evaluación de la migración EXECUTE dbo.agent_datetime msdb Essential
SELECT dbo.syscategories msdb Essential
SELECT dbo.sysjobHistory msdb Essential
SELECT dbo.sysjobs msdb Essential
SELECT dbo.sysjobSteps msdb Essential
SELECT dbo.sysmail_account msdb Essential
SELECT dbo.sysmail_profile msdb Essential
SELECT dbo.sysmail_profileaccount msdb Essential
SELECT dbo.syssubsystems msdb Essential
SELECT sys.sql_expression_dependencies Todas las bases de datos Essential

Nota:

Los permisos mínimos dependen de las características habilitadas. Los permisos se actualizan cuando ya no son necesarios. Se conceden permisos necesarios cuando se habilitan las características.

Permisos adicionales

  • Permisos para la cuenta de servicio para acceder al servicio de extensión y configurar la conmutación automática.
  • Derechos de inicio de sesión como servicio para la cuenta de servicio.

Contenido relacionado