Sécurité du collecteur de données
Le collecteur de données utilise le modèle de sécurité basée sur les rôles implémenté par l'Agent SQL Server. Ce modèle permet à l'administrateur de base de données d'exécuter les différentes tâches du collecteur de données dans un contexte de sécurité qui ne dispose que des autorisations requises pour effectuer ces tâches. Cette méthode est également utilisée pour les opérations qui impliquent des tables internes, uniquement accessibles à l'aide d'une procédure stockée ou d'une vue. Aucune autorisation n'est accordée aux tables internes. En revanche, il est procédé à une vérification des autorisations de l'utilisateur de la procédure stockée ou de la vue utilisée pour accéder à une table.
Important
Les autorisations concentriques constituent un autre aspect clé de ce modèle de sécurité. Dans le cadre des autorisations concentriques, les rôles les plus privilégiés héritent des autorisations des rôles les moins privilégiés sur des objets (notamment les alertes, les opérateurs, les travaux, les planifications et les proxys). Pour plus d'informations, consultez Rôles de base de données fixes de l'Agent SQL Server.
Les sections suivantes offrent une description générale de la sécurité de la collecte de données, ainsi que des rôles que vous devez attribuer aux utilisateurs pour qu'ils puissent configurer et utiliser le collecteur de données, et effectuer des tâches associées à l'entrepôt de données de gestion.
Sécurité générale
Le collecteur de données est installé en fonction des normes documentées spécifiées pour SQL Server 2008. Pour plus d'informations, consultez Déploiement sécurisé (moteur de base de données).
Sécurité réseau
Des informations sensibles peuvent être transmises entre des instances cibles, l'instance relationnelle associée au serveur de configuration, les jeux d'éléments de collection en cours d'exécution et le serveur hébergeant l'entrepôt de données de gestion.
Pour protéger des données quelconques transférées sur un réseau, les mécanismes de sécurité standard sont implémentés, tels que le chiffrement de protocole pour Transact-SQL.
Autorisations de configuration et d'utilisation du collecteur de données
En fonction de la tâche, les utilisateurs doivent être membres d'un ou plusieurs des rôles de base de données fixes fournis pour le collecteur de données. Ces rôles, présentés ici du plus privilégié au moins privilégié en termes d'accès, sont les suivants :
dc_admin
dc_operator
dc_proxy
Ces rôles sont stockés dans la base de données msdb. Par défaut, aucun utilisateur n'est membre de ces rôles de base de données. L'appartenance d'un utilisateur à ces rôles doit être accordée explicitement.
Les utilisateurs membres du rôle serveur fixe sysadmin disposent d'un accès complet aux objets de l'Agent SQL Server et aux vues du collecteur de données. Ils doivent toutefois être ajoutés explicitement aux rôles de collecteur de données.
Important
Les membres du rôle db_ssisadmin et du rôle dc_admin peuvent être en mesure d'élever leurs privilèges à sysadmin. Cette élévation de privilège peut se produire car ces rôles peuvent modifier les packages Integration Services et ces derniers peuvent être exécutés par SQL Server à l'aide du contexte de sécurité sysadmin de l'Agent SQL Server. Pour vous protéger contre cette élévation de privilèges lors de l'exécution de plans de maintenance, de jeux d'éléments de collecte de données et d'autres packages Integration Services, configurez les travaux de l'Agent SQL Server qui exécutent des packages de sorte qu'ils utilisent un compte proxy doté de privilèges limités ou ajoutez uniquement des membres sysadmin aux rôles db_ssisadmin et dc_admin.
Rôle dc_admin
Les utilisateurs affectés du rôle dc_admin disposent d'un accès administrateur complet (en création, lecture, mise à jour et suppression) à la configuration du collecteur de données sur une instance de serveur. Les membres de ce rôle peuvent effectuer les opérations suivantes :
définir des propriétés au niveau du collecteur ;
ajouter des jeux d'éléments de collection ;
installer de nouveaux types de collections ;
effectuer toutes les opérations autorisées pour le rôle dc_operator.
Le rôle dc_admin est membre des rôles suivants :
SQLAgentUserRole. Ce rôle est requis pour créer des planifications et exécuter des travaux.
[!REMARQUE]
Les proxys créés pour le collecteur de données doivent accorder l'accès au rôle dc_admin pour les créer et les utiliser dans toutes les étapes de travail nécessitant un proxy.
dc_operator. Les membres du rôle dc_admin héritent des autorisations accordées au rôle dc_operator.
Rôle dc_operator
Les membres du rôle dc_operator disposent d'un accès en lecture et mise à jour. Ce rôle prend en charge les tâches d'opérations liées à l'exécution et la configuration des jeux d'éléments de collection. Les membres de ce rôle peuvent effectuer les opérations suivantes :
démarrer ou arrêter un jeu d'éléments de collection ;
énumérer les jeux d'éléments de collection existants ;
afficher les informations détaillées (par exemple, les éléments de collection et la fréquence de collecte) associées à un jeu d'éléments de collection ;
modifier la fréquence de téléchargement des jeux d'éléments de collection existants ;
modifier la fréquence de collecte des éléments de collecte appartenant à un jeu d'éléments de collecte existant.
Le rôle dc_operator est membre du rôle suivant :
- db_ssisltduser. L'appartenance à ce rôle est requise pour que les membres puissent énumérer et afficher les packages du collecteur de données. Pour plus d'informations, consultez Utilisation des rôles Integration Services.
Rôle dc_proxy
Les membres du rôle dc_proxy disposent d'un accès en lecture aux jeux d'éléments de collecte du collecteur de données et aux propriétés de niveau collecteur. Les membres de ce rôle peuvent également exécuter les travaux dont ils sont propriétaires, et créer des étapes de travail qui s'exécutent comme un compte proxy existant.
Les membres de ce rôle peuvent effectuer les opérations suivantes :
consulter des informations sur la configuration des jeux d'éléments de collection (par exemple, les paramètres d'entrée des éléments de collection et la fréquence de collecte de ces éléments) ;
obtenir des informations chiffrées internes uniquement accessibles par l'intermédiaire d'une procédure stockée signée (par exemple, les informations de connexion d'entrepôt de données utilisées pour les téléchargements de données) ;
enregistrer des événements d'exécution de jeu d'éléments de collecte.
Le rôle dc_proxy est membre du rôle suivant :
- db_ssisltduser. L'appartenance à ce rôle est requise pour que les membres puissent énumérer et afficher les packages du collecteur de données. Pour plus d'informations, consultez Utilisation des rôles Integration Services.
Autorisations de configuration et d'utilisation de l'entrepôt de données de gestion
En fonction de la tâche, les utilisateurs doivent être membres d'un ou plusieurs des rôles de base de données fixes fournis pour accéder à l'entrepôt de données de gestion. Ces rôles, présentés ici du plus privilégié au moins privilégié en termes d'accès, sont les suivants :
mdw_admin
mdw_writer
mdw_reader
Ces rôles sont stockés dans la base de données msdb. Par défaut, aucun utilisateur n'est membre de ces rôles de base de données. L'appartenance d'un utilisateur à ces rôles doit être accordée explicitement.
Les utilisateurs qui sont membres du rôle serveur fixe sysadmin ont un accès complet aux vues du collecteur de données. Toutefois, ils doivent être ajoutés explicitement aux rôles de base de données pour effectuer d'autres opérations.
Rôle mdw_admin
Les membres du rôle mdw_admin disposent d'un accès en lecture, écriture, mise à jour et suppression à l'entrepôt de données de gestion.
Les membres de ce rôle peuvent effectuer les opérations suivantes :
modifier le schéma de l'entrepôt de données de gestion lorsque cela est nécessaire (par exemple, ajouter une table lorsqu'un nouveau type de collecte est installé) ;
[!REMARQUE]
En cas de modification de schéma, l'utilisateur doit également être membre du rôle dc_admin pour installer un nouveau type de collecteur, car cette action requiert l'autorisation de mette à jour la configuration du collecteur de données dans la base de données msdb.
exécuter des travaux de maintenance sur l'entrepôt de données de gestion, tels que l'archivage ou le nettoyage.
Rôle mdw_writer
Les membres du rôle mdw_writer peuvent télécharger et écrire des données dans l'entrepôt de données de gestion. Tout collecteur de données qui stocke des données dans l'entrepôt de données de gestion doit être membre de ce rôle.
Rôle mdw_reader
Les membres du rôle mdw_reader disposent d'un accès en lecture à l'entrepôt de données de gestion. Comme ce rôle a pour but de prendre en charge la résolution de problèmes en fournissant l'accès aux données historiques, les membres de ce rôle ne peuvent pas consulter les autres éléments du schéma de l'entrepôt de données de gestion.