Mengonfigurasi Akun dan Izin Layanan Windows

  • Artikel
  • 28 menit untuk membaca

Berlaku untuk:yes SQL Server (semua versi yang didukung)

Setiap layanan di SQL Server mewakili proses atau serangkaian proses untuk mengelola autentikasi operasi SQL Server dengan Windows. Artikel ini menjelaskan konfigurasi default layanan dalam rilis SQL Server ini, dan opsi konfigurasi untuk layanan SQL Server yang dapat Anda atur selama dan setelah penginstalan SQL Server. Artikel ini membantu pengguna tingkat lanjut memahami detail akun layanan.

Sebagian besar layanan dan propertinya dapat dikonfigurasi dengan menggunakan SQL Server Configuration Manager. Berikut adalah jalur ke empat versi terakhir ketika Windows diinstal pada drive C.

Versi SQL Server Jalur
SQL Server 2019 C:\Windows\SysWOW64\SQLServerManager15.msc
SQL Server 2017 C:\Windows\SysWOW64\SQLServerManager14.msc
SQL Server 2016 C:\Windows\SysWOW64\SQLServerManager13.msc
SQL Server 2014 C:\Windows\SysWOW64\SQLServerManager12.msc
SQL Server 2012 C:\Windows\SysWOW64\SQLServerManager11.msc

Layanan yang Diinstal oleh SQL Server

Bergantung pada komponen yang Anda putuskan untuk diinstal, Penyiapan SQL Server menginstal layanan berikut:

  • SQL Server Database Services - Layanan untuk Mesin Database relasional SQL Server. File yang dapat dieksekusi adalah <\MSSQL\Binn\sqlservr.exe MSSQLPATH> .

  • SQL Server Agent - Menjalankan pekerjaan, memantau SQL Server, mengaktifkan pemberitahuan, dan memungkinkan otomatisasi beberapa tugas administratif. Layanan SQL Server Agent ada tetapi dinonaktifkan pada instans SQL Server Express. File yang dapat dieksekusi adalah <\MSSQL\Binn\sqlagent.exe MSSQLPATH> .

  • Analysis Services - Menyediakan fungsionalitas pemrosesan analitik online (OLAP) dan penggalian data untuk aplikasi kecerdasan bisnis. File yang dapat dieksekusi adalah <\OLAP\Bin\msmdsrv.exe MSSQLPATH> .

  • Reporting Services - Mengelola, menjalankan, membuat, menjadwalkan, dan memberikan laporan. File yang dapat dieksekusi adalah <MSSQLPATH>\Reporting Services\ReportServer\Bin\ReportingServicesService.exe.

  • Layanan Integrasi - Menyediakan dukungan manajemen untuk penyimpanan dan eksekusi paket Integration Services. Jalur yang dapat dieksekusi adalah <MSSQLPATH>\130\DTS\Binn\MsDtsSrvr.exe

    Layanan Integrasi dapat mencakup layanan tambahan untuk penyebaran peluasan skala. Untuk informasi selengkapnya, lihat Panduan: Menyiapkan Peluasan Skala Integration Services (SSIS).

  • Browser SQL Server - Layanan resolusi nama yang menyediakan informasi koneksi SQL Server untuk komputer klien. Jalur yang dapat dieksekusi adalah c:\Program Files (x86)\Microsoft SQL Server\90\Shared\sqlbrowser.exe

  • Pencarian teks lengkap - Membuat indeks teks lengkap dengan cepat pada konten dan properti data terstruktur dan semi-terstruktur untuk menyediakan pemfilteran dokumen dan pemecahan kata untuk SQL Server.

  • SQL Writer - Memungkinkan aplikasi pencadangan dan pemulihan beroperasi dalam kerangka kerja Layanan Menyalin Bayangan Volume (VSS).

  • Pengontrol Pemutaran Ulang Terdistribusi SQL Server - Menyediakan orkestrasi pemutaran ulang jejak di beberapa komputer klien Pemutaran Ulang Terdistribusi.

  • Klien Pemutaran Ulang Terdistribusi SQL Server - Satu atau beberapa komputer klien Pemutaran Ulang Terdistribusi yang bekerja sama dengan pengontrol Pemutaran Ulang Terdistribusi untuk mensimulasikan beban kerja bersamaan terhadap instans Mesin Database SQL Server.

  • SQL Server Launchpad- Layanan tepercaya yang menghosting executable eksternal yang disediakan oleh Microsoft, seperti runtime R atau Python yang diinstal sebagai bagian dari Layanan R atau Layanan Pembelajaran Mesin. Proses satelit dapat diluncurkan oleh proses Launchpad tetapi diatur sumber daya berdasarkan konfigurasi instans individual. Layanan Launchpad berjalan di bawah akun penggunanya sendiri, dan setiap proses satelit untuk runtime tertentu yang terdaftar mewarisi akun pengguna Launchpad. Proses satelit dibuat dan dihancurkan sesuai permintaan selama waktu eksekusi.

    Launchpad tidak dapat membuat akun yang digunakannya jika Anda menginstal SQL Server di komputer yang juga digunakan sebagai pengendali domain. Oleh karena itu, penyiapan R Services (In-Database) atau Machine Learning Services (In-Database) gagal pada pengendali domain.

  • SQL Server PolyBase Engine - Menyediakan kemampuan kueri terdistribusi ke sumber data eksternal.

  • Layanan Pergerakan Data PolyBase SQL Server - Memungkinkan pergerakan data antara SQL Server dan Sumber Data Eksternal dan antara simpul SQL di Grup Skala PolyBase.

Layanan CEIP yang diinstal oleh SQL Server

Layanan Program Peningkatan Pengalaman Pelanggan (CEIP) mengirim data telemetri kembali ke Microsoft.

Bergantung pada komponen yang Anda putuskan untuk diinstal, penyiapan SQL Server menginstal layanan CEIP berikut:

  • SQLTELEMETRY - Program Peningkatan Pengalaman Pelanggan yang mengirim data telemetri mesin database kembali ke Microsoft.
  • SSASTELEMETRY - Program Peningkatan Pengalaman Pelanggan yang mengirim data telemetri SSAS kembali ke Microsoft.
  • SSISTELEMETRY - Program Peningkatan Pengalaman Pelanggan yang mengirim data telemetri SSIS kembali ke Microsoft.

Properti dan Konfigurasi Layanan

Akun startup yang digunakan untuk memulai dan menjalankan SQL Server dapat berupa akun pengguna domain, akun pengguna lokal, akun layanan terkelola, akun virtual, atau akun sistem bawaan. Untuk memulai dan menjalankan, setiap layanan di SQL Server harus memiliki akun startup yang dikonfigurasi selama penginstalan.

Catatan

Untuk Instans Kluster Failover SQL Server untuk SQL Server 2016 dan yang lebih baru, akun pengguna domain atau Akun Layanan Terkelola Grup dapat digunakan sebagai akun startup untuk SQL Server.

Bagian ini menjelaskan akun yang dapat dikonfigurasi untuk memulai layanan SQL Server, nilai default yang digunakan oleh Penyiapan SQL Server, konsep SID per layanan, opsi startup, dan konfigurasi firewall.

Akun Layanan Default

Tabel berikut mencantumkan akun layanan default yang digunakan oleh penyiapan saat menginstal semua komponen. Akun default yang tercantum adalah akun yang direkomendasikan, kecuali seperti yang disebutkan.

Server atau Pengendali Domain yang Berdiri Sendiri

Komponen Windows Server 2008 Windows 7 dan Windows Server 2008 R2 dan yang lebih tinggi
Mesin Database LAYANAN JARINGAN Akun Virtual*
SQL Server Agent LAYANAN JARINGAN Akun Virtual*
SSAS LAYANAN JARINGAN Akun Virtual* **
SSIS LAYANAN JARINGAN Akun Virtual*
SSRS LAYANAN JARINGAN Akun Virtual*
Pengontrol Pemutaran Ulang Terdistribusi SQL Server LAYANAN JARINGAN Akun Virtual*
Klien Pemutaran Ulang Terdistribusi SQL Server LAYANAN JARINGAN Akun Virtual*
Peluncur FD (Pencarian Teks Lengkap) LAYANAN LOKAL Akun Virtual
SQL Server Browser LAYANAN LOKAL LAYANAN LOKAL
SQL Server VSS Writer SISTEM LOKAL SISTEM LOKAL
Ekstensi Analitik Tingkat Lanjut NTSERVICE\MSSQLLaunchpad NTSERVICE\MSSQLLaunchpad
Mesin PolyBase LAYANAN JARINGAN LAYANAN JARINGAN
Layanan Pergerakan Data PolyBase LAYANAN JARINGAN LAYANAN JARINGAN

*Ketika sumber daya di luar komputer SQL Server diperlukan, Microsoft merekomendasikan penggunaan Akun Layanan Terkelola (MSA), dikonfigurasi dengan hak istimewa minimum yang diperlukan. ** Saat diinstal pada Pengendali Domain, akun virtual sebagai akun layanan tidak didukung.

Instans Kluster Failover SQL Server

Komponen Windows Server 2008 Windows Server 2008 R2
Mesin Database Tidak ada. Berikan akun pengguna domain . Berikan akun pengguna domain .
SQL Server Agent Tidak ada. Berikan akun pengguna domain . Berikan akun pengguna domain .
SSAS Tidak ada. Berikan akun pengguna domain . Berikan akun pengguna domain .
SSIS LAYANAN JARINGAN Akun Virtual
SSRS LAYANAN JARINGAN Akun Virtual
Peluncur FD (Pencarian Teks Lengkap) LAYANAN LOKAL Akun Virtual
SQL Server Browser LAYANAN LOKAL LAYANAN LOKAL
SQL Server VSS Writer SISTEM LOKAL SISTEM LOKAL

Mengubah Properti Akun

Penting

  • Selalu gunakan alat SQL Server seperti SQL Server Configuration Manager untuk mengubah akun yang digunakan oleh SQL Server Database Engine atau layanan SQL Server Agent, atau untuk mengubah kata sandi untuk akun tersebut. Selain mengubah nama akun, SQL Server Configuration Manager melakukan konfigurasi tambahan seperti memperbarui penyimpanan keamanan lokal Windows yang melindungi kunci master layanan untuk Mesin Database. Alat lain seperti Pengelola Kontrol Layanan Windows dapat mengubah nama akun tetapi Jangan ubah semua pengaturan yang diperlukan.
  • Untuk instans Analysis Services yang Anda sebarkan di farm SharePoint, selalu gunakan Administrasi Pusat SharePoint untuk mengubah akun server untuk aplikasi layanan Power Pivot dan layanan Analysis Services. Pengaturan dan izin terkait diperbarui untuk menggunakan informasi akun baru saat Anda menggunakan Administrasi Pusat.
  • Untuk mengubah opsi Microsoft SQL Server Reporting Services, gunakan Alat Konfigurasi Reporting Services.

Akun Layanan Terkelola, Akun Layanan Group-Managed, dan Akun Virtual

Akun layanan terkelola, akun layanan yang dikelola grup, dan akun virtual dirancang untuk menyediakan aplikasi penting seperti SQL Server dengan isolasi akun mereka sendiri, sambil menghilangkan kebutuhan administrator untuk mengelola Nama Prinsipal Layanan (SPN) dan kredensial secara manual untuk akun ini. Ini membuat manajemen jangka panjang pengguna akun layanan, kata sandi, dan SPN jauh lebih mudah.

  • Akun Layanan Terkelola

    Akun Layanan Terkelola (MSA) adalah jenis akun domain yang dibuat dan dikelola oleh pengendali domain. Ini ditetapkan ke satu komputer anggota untuk digunakan menjalankan layanan. Kata sandi dikelola secara otomatis oleh pengendali domain. Anda tidak dapat menggunakan MSA untuk masuk ke komputer, tetapi komputer dapat menggunakan MSA untuk memulai layanan Windows. MSA memiliki kemampuan untuk mendaftarkan Nama Prinsipal Layanan (SPN) dalam Direktori Aktif ketika diberikan izin baca dan tulis servicePrincipalName. MSA dinamai dengan $ akhiran, misalnya DOMAIN\ACCOUNTNAME$. Saat menentukan MSA, biarkan kata sandi kosong. Karena MSA ditetapkan ke satu komputer, MSA tidak dapat digunakan pada simpul kluster Windows yang berbeda.

    Catatan

    MSA harus dibuat di Direktori Aktif oleh administrator domain sebelum penyiapan SQL Server dapat menggunakannya untuk layanan SQL Server.

  • Akun Layanan Terkelola Grup

    Akun Layanan Group-Managed (gMSA) adalah MSA untuk beberapa server. Windows mengelola akun layanan untuk layanan yang berjalan pada sekelompok server. Direktori Aktif secara otomatis memperbarui kata sandi akun layanan yang dikelola grup tanpa memulai ulang layanan. Anda dapat mengonfigurasi layanan SQL Server untuk menggunakan perwakilan akun layanan yang dikelola grup. Dimulai dengan SQL Server 2014, SQL Server mendukung akun layanan terkelola grup untuk instans mandiri, dan SQL Server 2016 dan yang lebih baru untuk instans kluster failover, dan grup ketersediaan.

    Untuk menggunakan gMSA untuk SQL Server 2014 atau yang lebih baru, sistem operasi harus Windows Server 2012 R2 atau yang lebih baru. Server dengan Windows Server 2012 R2 memerlukan KB 2998082 diterapkan sehingga layanan dapat masuk tanpa gangguan segera setelah perubahan kata sandi.

    Untuk informasi selengkapnya, lihat Akun Layanan Terkelola Grup untuk Windows Server 2016 dan yang lebih baru. Untuk versi Windows Server sebelumnya, lihat Akun Layanan Terkelola Grup.

    Catatan

    gMSA harus dibuat di Direktori Aktif oleh administrator domain sebelum penyiapan SQL Server dapat menggunakannya untuk layanan SQL Server.

  • Akun Virtual

    Akun virtual (dimulai dengan Windows Server 2008 R2 dan Windows 7) adalah akun lokal terkelola yang menyediakan fitur berikut untuk menyederhanakan administrasi layanan. Akun virtual dikelola secara otomatis, dan akun virtual dapat mengakses jaringan di lingkungan domain. Jika nilai default digunakan untuk akun layanan selama penyiapan SQL Server, akun virtual menggunakan nama instans sebagai nama layanan digunakan, dalam format NT SERVICE\<SERVICENAME>. Layanan yang berjalan sebagai akun virtual mengakses sumber daya jaringan dengan menggunakan kredensial akun komputer dalam format <domain_name>\<computer_name>$. Saat menentukan akun virtual untuk memulai SQL Server, biarkan kata sandi kosong. Jika akun virtual gagal mendaftarkan Nama Prinsipal Layanan (SPN), daftarkan SPN secara manual. Untuk informasi selengkapnya tentang mendaftarkan SPN secara manual, lihat Pendaftaran SPN Manual.

    Catatan

    Akun virtual tidak dapat digunakan untuk Instans Kluster Failover SQL Server, karena akun virtual tidak akan memiliki SID yang sama pada setiap simpul kluster.

    Tabel berikut ini mencantumkan contoh nama akun virtual.

    Layanan Nama Akun Virtual
    Instans default layanan Mesin Database NT SERVICE\MSSQLSERVER
    Instans bernama layanan Mesin Database bernama PAYROLL NT SERVICE\MSSQL$PAYROLL
    Layanan SQL Server Agent pada instans default SQL Server NT SERVICE\SQLSERVERAGENT
    Layanan SQL Server Agent pada instans SQL Server bernama PAYROLL NT SERVICE\SQLAGENT$PAYROLL

Untuk informasi selengkapnya tentang Akun Layanan Terkelola dan Akun Virtual, lihat bagian Akun layanan terkelola dan konsep akun virtual di Panduan Langkah demi Langkah Akun Layanan dan Tanya Jawab Umum (FAQ) Akun Layanan Terkelola.

Catatan

Selalu jalankan layanan SQL Server dengan menggunakan hak pengguna serendah mungkin. Gunakan MSA, gMSA , atau akun virtual jika memungkinkan. Ketika MSA, gMSA, dan akun virtual tidak dimungkinkan, gunakan akun pengguna atau akun domain dengan hak istimewa rendah tertentu alih-alih akun bersama untuk layanan SQL Server. Gunakan akun terpisah untuk layanan SQL Server yang berbeda. Jangan berikan izin tambahan ke akun layanan SQL Server atau grup layanan. Izin diberikan melalui keanggotaan grup atau diberikan langsung ke SID layanan, di mana SID layanan didukung.

Startup otomatis

Selain memiliki akun pengguna, setiap layanan memiliki tiga kemungkinan status startup yang dapat dikontrol pengguna:

  • Tamu penyandang cacat Layanan diinstal tetapi saat ini tidak berjalan.
  • Manual Layanan ini diinstal, tetapi hanya dimulai ketika layanan atau aplikasi lain membutuhkan fungsionalitasnya.
  • Otomatis Layanan ini secara otomatis dimulai oleh sistem operasi.

Status startup dipilih selama penyiapan. Saat menginstal instans bernama, layanan Browser SQL Server harus diatur untuk memulai secara otomatis.

Mengonfigurasi layanan selama penginstalan tanpa pengawas

Tabel berikut ini memperlihatkan layanan SQL Server yang dapat dikonfigurasi selama penginstalan. Untuk penginstalan tanpa pengawas, Anda dapat menggunakan sakelar dalam file konfigurasi atau pada prompt perintah.

Nama layanan SQL Server Sakelar untuk penginstalan tanpa pengawas*
MSSQLSERVER SQLSVCACCOUNT, SQLSVCPASSWORD, SQLSVCSTARTUPTYPE
SQLServerAgent** AGTSVCACCOUNT, AGTSVCPASSWORD, AGTSVCSTARTUPTYPE
MSSQLServerOLAPService ASSVCACCOUNT, ASSVCPASSWORD, ASSVCSTARTUPTYPE
ReportServer RSSVCACCOUNT, RSSVCPASSWORD, RSSVCSTARTUPTYPE
Layanan Integrasi ISSVCACCOUNT, ISSVCPASSWORD, ISSVCSTARTUPTYPE
Pengontrol Pemutaran Ulang Terdistribusi SQL Server DRU_CTLR, CTLRSVCACCOUNT, CTLRSVCPASSWORD, CTLRSTARTUPTYPE, CTLRUSERS
Klien Pemutaran Ulang Terdistribusi SQL Server DRU_CLT, CLTSVCACCOUNT, CLTSVCPASSWORD, CLTSTARTUPTYPE, CLTCTLRNAME, CLTWORKINGDIR, CLTRESULTDIR
Layanan R atau Layanan Pembelajaran Mesin EXTSVCACCOUNT, EXTSVCPASSWORD, ADVANCEDANALYTICS***
Mesin PolyBase PBENGSVCACCOUNT, PBENGSVCPASSWORD, PBENGSVCSTARTUPTYPE, PBDMSSSVCACCOUNT, PBDMSSVCPASSWORD, PBDMSSVCSTARTUPTYPE, PBSCALEOUT, PBPORTRANGE

*Untuk informasi selengkapnya dan sintaks sampel untuk penginstalan tanpa pengawas, lihat Menginstal SQL Server 2016 dari Prompt Perintah.

**Layanan SQL Server Agent dinonaktifkan pada instans SQL Server Express dan SQL Server Express dengan Layanan Tingkat Lanjut.

Mengatur akun untuk Launchpad melalui sakelar saja saat ini tidak didukung. Gunakan SQL Server Configuration Manager untuk mengubah akun dan pengaturan layanan lainnya.

Firewall Port

Dalam kebanyakan kasus, ketika awalnya diinstal, Mesin Database dapat dihubungkan dengan alat seperti SQL Server Management Studio yang diinstal pada komputer yang sama dengan SQL Server. Penyetelan SQL Server tidak membuka port di firewall Windows. Koneksi dari komputer lain mungkin tidak dimungkinkan sampai Mesin Database dikonfigurasi untuk mendengarkan port TCP, dan port yang sesuai dibuka untuk koneksi di firewall Windows. Untuk informasi selengkapnya, lihat Mengonfigurasi Firewall Windows untuk Mengizinkan Akses SQL Server.

Izin Layanan

Bagian ini menjelaskan izin yang dikonfigurasi Penyiapan SQL Server untuk SID per layanan dari layanan SQL Server.

Konfigurasi Layanan dan Kontrol Akses

SQL Server memungkinkan SID per layanan untuk setiap layanannya untuk memberikan isolasi layanan dan pertahanan secara mendalam. SID per layanan berasal dari nama layanan dan unik untuk layanan tersebut. Misalnya, nama SID layanan untuk instans bernama dari layanan Mesin Database mungkin NT Service\MSSQL$<InstanceName>. Isolasi layanan memungkinkan akses ke objek tertentu tanpa perlu menjalankan akun hak istimewa tinggi atau melemahkan perlindungan keamanan objek. Dengan menggunakan entri kontrol akses yang berisi SID layanan, layanan SQL Server dapat membatasi akses ke sumber dayanya.

Catatan

Pada Windows 7 dan Windows Server 2008 R2 (dan yang lebih baru) SID per layanan dapat menjadi akun virtual yang digunakan oleh layanan.

Untuk sebagian besar komponen SQL Server mengonfigurasi ACL untuk akun per layanan secara langsung, sehingga mengubah akun layanan dapat dilakukan tanpa harus mengulangi proses ACL sumber daya.

Saat menginstal SSAS, SID per layanan untuk layanan Analysis Services dibuat. Grup Windows lokal dibuat, dinamai dalam format SQLServerMSASUser$computer_name$instance_name. SID NT SERVICE\MSSQLServerOLAPService per layanan diberikan keanggotaan di grup Windows lokal, dan grup Windows lokal diberikan izin yang sesuai di ACL. Jika akun yang digunakan untuk memulai layanan Analysis Services diubah, Pengelola Konfigurasi SQL Server harus mengubah beberapa izin Windows (seperti hak untuk masuk sebagai layanan), tetapi izin yang ditetapkan ke grup Windows lokal masih tersedia tanpa pembaruan apa pun, karena SID per layanan belum berubah. Metode ini memungkinkan layanan Analysis Services diganti namanya selama peningkatan.

Selama penginstalan SQL Server, Penyiapan SQL Server membuat grup Windows lokal untuk SSAS dan layanan Browser SQL Server. Untuk layanan ini, SQL Server mengonfigurasi ACL untuk grup Windows lokal.

Bergantung pada konfigurasi layanan, akun layanan untuk SID layanan atau layanan ditambahkan sebagai anggota grup layanan selama penginstalan atau peningkatan.

Hak Istimewa dan Hak Windows

Akun yang ditetapkan untuk memulai layanan memerlukan izin Mulai, hentikan, dan jeda untuk layanan. Program Penyetelan SQL Server secara otomatis menetapkan ini. Pertama-tama instal Alat Administrasi Server Jarak Jauh (RSAT). Lihat Alat Administrasi Server Jarak Jauh untuk Windows 10.

Tabel berikut ini memperlihatkan izin yang diminta Penyiapan SQL Server untuk SID per layanan atau grup Windows lokal yang digunakan oleh komponen SQL Server.

Layanan SQL Server Izin yang diberikan oleh Penyiapan SQL Server
Mesin Database SQL Server:

(Semua hak diberikan kepada SID per layanan. Instans default: NT SERVICE\MSSQLSERVER. Instans bernama: NT Service\MSSQLServer$InstanceName.)		 Masuk sebagai layanan (SeServiceLogonRight)

Mengganti token tingkat proses (SeAssignPrimaryTokenPrivilege)

Melewati pemeriksaan melintasi (SeChangeNotifyPrivilege)

Menyesuaikan kuota memori untuk proses (SeIncreaseQuotaPrivilege)

Izin untuk memulai SQL Writer

Izin untuk membaca layanan Log Peristiwa

Izin untuk membaca layanan Panggilan Prosedur Jarak Jauh
SQL Server Agent: *

(Semua hak diberikan kepada SID per layanan. Instans default: NT Service\SQLSERVERAGENT. Instans bernama: NT Service\SQLAGENT$InstanceName.)		 Masuk sebagai layanan (SeServiceLogonRight)

Mengganti token tingkat proses (SeAssignPrimaryTokenPrivilege)

Melewati pemeriksaan melintasi (SeChangeNotifyPrivilege)

Menyesuaikan kuota memori untuk proses (SeIncreaseQuotaPrivilege)
SSAS:

(Semua hak diberikan kepada grup Windows lokal. Instans default: SQLServerMSASUser$ComputerName$MSSQLSERVER. Instans bernama: SQLServerMSASUser$ComputerName$InstanceName. Power Pivot untuk instans SharePoint: SQLServerMSASUser$ComputerName$PowerPivot.)		 Masuk sebagai layanan (SeServiceLogonRight)

Hanya untuk tabular:

Meningkatkan set kerja proses (SeIncreaseWorkingSetPrivilege)

Menyesuaikan kuota memori untuk proses (SeIncreaseQuotaPrivilege)

Kunci halaman dalam memori (SeLockMemoryPrivilege) - ini hanya diperlukan saat penomoran dimatikan sepenuhnya.

Hanya untuk penginstalan kluster failover:

Meningkatkan prioritas penjadwalan (SeIncreaseBasePriorityPrivilege)
SSRS:

(Semua hak diberikan kepada SID per layanan. Instans default: NT SERVICE\ReportServer. Instans bernama: NT SERVICE\ReportServer$InstanceName.)		 Masuk sebagai layanan (SeServiceLogonRight)
SSIS:

(Semua hak diberikan kepada SID per layanan. Instans default dan instans bernama: NT SERVICE\MsDtsServer130. Layanan Integrasi tidak memiliki proses terpisah untuk instans bernama.)		 Masuk sebagai layanan (SeServiceLogonRight)

Izin untuk menulis ke log peristiwa aplikasi.

Melewati pemeriksaan melintasi (SeChangeNotifyPrivilege)

Meniru klien setelah autentikasi (SeImpersonatePrivilege)
Pencarian teks lengkap:

(Semua hak diberikan kepada SID per layanan. Instans default: NT Service\MSSQLFDLauncher. Instans bernama: NT Service\ MSSQLFDLauncher$InstanceName.)		 Masuk sebagai layanan (SeServiceLogonRight)

Menyesuaikan kuota memori untuk proses (SeIncreaseQuotaPrivilege)

Melewati pemeriksaan melintasi (SeChangeNotifyPrivilege)
Browser SQL Server:

(Semua hak diberikan kepada grup Windows lokal. Instans default atau bernama: SQLServer2005SQLBrowserUser$ComputerName. Browser SQL Server tidak memiliki proses terpisah untuk instans bernama.)		 Masuk sebagai layanan (SeServiceLogonRight)
Penulis VSS SQL Server:

(Semua hak diberikan kepada SID per layanan. Instans default atau bernama: NT Service\SQLWriter. SQL Server VSS Writer tidak memiliki proses terpisah untuk instans bernama.)		 Layanan SQLWriter berjalan di bawah akun SISTEM LOKAL yang memiliki semua izin yang diperlukan. Penyiapan SQL Server tidak memeriksa atau memberikan izin untuk layanan ini.
Pengontrol Pemutaran Ulang Terdistribusi SQL Server: Masuk sebagai layanan (SeServiceLogonRight)
Klien Pemutaran Ulang Terdistribusi SQL Server: Masuk sebagai layanan (SeServiceLogonRight)
Mesin polyBase dan DMS Masuk sebagai layanan (SeServiceLogonRight)
Launchpad: Masuk sebagai layanan (SeServiceLogonRight)

Mengganti token tingkat proses (SeAssignPrimaryTokenPrivilege)

Melewati pemeriksaan melintasi (SeChangeNotifyPrivilege)

Menyesuaikan kuota memori untuk proses (SeIncreaseQuotaPrivilege)
Layanan R/Layanan Pembelajaran Mesin:SQLRUserGroup (SQL 2016 dan 2017) tidak memiliki izin Izinkan Masuk secara lokal secara default
Layanan Pembelajaran Mesin 'Semua Paket Aplikasi' [AppContainer] (SQL 2019) Membaca dan menjalankan izin ke direktori SQL Server 'Binn', R_Services, dan PYTHON_Services

*Layanan SQL Server Agent dinonaktifkan pada instans SQL Server Express.

Izin Sistem File Diberikan kepada SID Per layanan SQL Server atau Grup Windows Lokal

Akun layanan SQL Server harus memiliki akses ke sumber daya. Daftar kontrol akses diatur untuk SID per layanan atau grup Windows lokal.

Penting

Untuk penginstalan kluster failover, sumber daya pada disk bersama harus diatur ke ACL untuk akun lokal.

Tabel berikut ini memperlihatkan ACL yang diatur oleh Penyiapan SQL Server:

Akun Layanan untuk File dan folder Access
MSSQLServer Instid\MSSQL\backup Kontrol penuh
Instid\MSSQL\binn Baca, Jalankan
Instid\MSSQL\data Kontrol penuh
Instid\MSSQL\FTData Kontrol penuh
Instid\MSSQL\Install Baca, Jalankan
Instid\MSSQL\Log Kontrol penuh
Instid\MSSQL\Repldata Kontrol penuh
130\shared Baca, Jalankan
Instid\MSSQL\Template Data (hanya SQL Server Express) Baca
SQLServerAgent* Instid\MSSQL\binn Kontrol penuh
Instid\MSSQL\Log Baca, Tulis, Hapus, Jalankan
130\com Baca, Jalankan
130\shared Baca, Jalankan
130\shared\Errordumps Baca, Tulis
ServerName\EventLog Kontrol penuh
FTS Instid\MSSQL\FTData Kontrol penuh
Instid\MSSQL\FTRef Baca, Jalankan
130\shared Baca, Jalankan
130\shared\Errordumps Baca, Tulis
Instid\MSSQL\Install Baca, Jalankan
Instid\MSSQL\jobs Baca, Tulis
MSSQLServerOLAPservice 130\shared\ASConfig Kontrol penuh
Instid\OLAP Baca, Jalankan
Instid\Olap\Data Kontrol penuh
Instid\Olap\Log Baca, Tulis
Instid\OLAP\Backup Baca, Tulis
Instid\OLAP\Temp Baca, Tulis
130\shared\Errordumps Baca, Tulis
ReportServer Instid\Reporting Services\Log Files Baca, Tulis, Hapus
Instid\Reporting Services\ReportServer Baca, Jalankan
Instid\Reporting Services\ReportServer\global.asax Kontrol penuh
Instid\Reporting Services\ReportServer\rsreportserver.config Baca
Instid\Reporting Services\RSTempfiles Baca, Tulis, Jalankan, Hapus
Instid\Reporting Services\RSWebApp Baca, Jalankan
130\shared Baca, Jalankan
130\shared\Errordumps Baca, Tulis
MSDTSServer100 130\dts\binn\MsDtsSrvr.ini.xml Baca
130\dts\binn Baca, Jalankan
130\shared Baca, Jalankan
130\shared\Errordumps Baca, Tulis
SQL Server Browser 130\shared\ASConfig Baca
130\shared Baca, Jalankan
130\shared\Errordumps Baca, Tulis
SQLWriter T/A (Berjalan sebagai sistem lokal)
Pengguna Instid\MSSQL\binn Baca, Jalankan
Instid\Reporting Services\ReportServer Baca, Jalankan, Daftar Isi Folder
Instid\Reporting Services\ReportServer\global.asax Baca
Instid\Reporting Services\RSWebApp Baca, Jalankan, Daftar Isi Folder
130\dts Baca, Jalankan
130\tools Baca, Jalankan
100\tools Baca, Jalankan
90\tools Baca, Jalankan
80\tools Baca, Jalankan
130\sdk Baca
Microsoft SQL Server\130\Setup Bootstrap Baca, Jalankan
Pengontrol Pemutaran Ulang Terdistribusi SQL Server <ToolsDir>\DReplayController\Log\ (direktori kosong) Baca, Jalankan, Daftar Isi Folder
<\DReplayController\DReplayController.exe ToolsDir> Baca, Jalankan, Daftar Isi Folder
<ToolsDir>\DReplayController\resources| Baca, Jalankan, Daftar Isi Folder
<ToolsDir>\DReplayController\{all dlls} Baca, Jalankan, Daftar Isi Folder
<\DReplayController\DReplayController.config ToolsDir> Baca, Jalankan, Daftar Isi Folder
<ToolsDir>\DReplayController\IRTemplate.tdf Baca, Jalankan, Daftar Isi Folder
<\DReplayController\IRDefinition.xml ToolsDir> Baca, Jalankan, Daftar Isi Folder
Klien Pemutaran Ulang Terdistribusi SQL Server <ToolsDir>\DReplayClient\Log| Baca, Jalankan, Daftar Isi Folder
<\DReplayClient\DReplayClient.exe ToolsDir> Baca, Jalankan, Daftar Isi Folder
<ToolsDir>\DReplayClient\resources| Baca, Jalankan, Daftar Isi Folder
<ToolsDir>\DReplayClient\ (semua dll) Baca, Jalankan, Daftar Isi Folder
<\DReplayClient\DReplayClient.config ToolsDir> Baca, Jalankan, Daftar Isi Folder
<ToolsDir>\DReplayClient\IRTemplate.tdf Baca, Jalankan, Daftar Isi Folder
<\DReplayClient\IRDefinition.xml ToolsDir> Baca, Jalankan, Daftar Isi Folder
Launchpad %binn Baca, Jalankan
ExtensiblilityData Kontrol penuh
Log\ExtensibilityLog Kontrol penuh

*Layanan SQL Server Agent dinonaktifkan pada instans SQL Server Express dan SQL Server Express dengan Layanan Tingkat Lanjut.

Saat file database disimpan di lokasi yang ditentukan pengguna, Anda harus memberikan akses SID per layanan ke lokasi tersebut. Untuk informasi selengkapnya tentang memberikan izin sistem file ke SID per layanan, lihat Mengonfigurasi Izin Sistem File untuk Akses Mesin Database.

Izin Sistem File Diberikan ke Akun atau Grup Pengguna Windows Lainnya

Beberapa izin kontrol akses mungkin harus diberikan ke akun bawaan atau akun layanan SQL Server lainnya. Tabel berikut ini mencantumkan ACL tambahan yang diatur oleh Penyiapan SQL Server.

Komponen yang meminta Akun Sumber daya Izin
MSSQLServer Pengguna Log Performa Instid\MSSQL\binn Mencantumkan isi folder
Pengguna Pemantau Performa Instid\MSSQL\binn Mencantumkan isi folder
Pengguna Log Performa, Pengguna Monitor Performa \WINNT\system32\sqlctr130.dll Baca, Jalankan
Hanya administrator \\.\root\Microsoft\SqlServer\ServerEvents\<sql_instance_name>* Kontrol penuh
Administrator, Sistem \tools\binn\schemas\sqlserver\2004\07\showplan Kontrol penuh
Pengguna \tools\binn\schemas\sqlserver\2004\07\showplan Baca, Jalankan
SQL Server Reporting Services Akun Layanan Windows Server Laporan <install>\Reporting Services\LogFiles DELETE

READ_CONTROL

MENSINKRONISASI

FILE_GENERIC_READ

FILE_GENERIC_WRITE

FILE_READ_DATA

FILE_WRITE_DATA

FILE_APPEND_DATA

FILE_READ_EA

FILE_WRITE_EA

FILE_READ_ATTRIBUTES

FILE_WRITE_ATTRIBUTES
Akun Layanan Windows Server Laporan <install>\Reporting Services\ReportServer Baca
Akun Layanan Windows Server Laporan <install>\Reporting Services\ReportServer\global.asax Data
Akun Layanan Windows Server Laporan <install>\Reporting Services\RSWebApp Baca, Jalankan
Semua orang <install>\Reporting Services\ReportServer\global.asax READ_CONTROL

FILE_READ_DATA

FILE_READ_EA

FILE_READ_ATTRIBUTES
Akun ReportServer Windows Services <install>\Reporting Services\ReportServer\rsreportserver.config DELETE

READ_CONTROL

MENSINKRONISASI

FILE_GENERIC_READ

FILE_GENERIC_WRITE

FILE_READ_DATA

FILE_WRITE_DATA

FILE_APPEND_DATA

FILE_READ_EA

FILE_WRITE_EA

FILE_READ_ATTRIBUTES

FILE_WRITE_ATTRIBUTES
Semua orang Kunci Server Laporan (Sarang instid) Nilai Kueri

Menghitung SubKunci

Memberitahu

Kontrol Baca
Pengguna Layanan Terminal Kunci Server Laporan (Sarang instid) Nilai Kueri

Atur Nilai

Buat SubKunci

Menghitung SubKunci

Memberitahu

Hapus

Kontrol Baca
Pengguna Daya Kunci Server Laporan (Sarang instid) Nilai Kueri

Atur Nilai

Buat Subkunci

Menghitung Subkunci

Memberitahu

Hapus

Kontrol Baca

*Ini adalah namespace layanan penyedia WMI.

Izin Sistem File Terkait Lokasi Disk yang Tidak Biasa

Drive default untuk lokasi penginstalan adalah drive sistem, biasanya drive C. Bagian ini menjelaskan pertimbangan tambahan ketika database tempdb atau pengguna diinstal ke lokasi yang tidak biasa.

Drive non-default

Saat diinstal ke drive lokal yang bukan drive default, SID per layanan harus memiliki akses ke lokasi file. Penyiapan SQL Server menyediakan akses yang diperlukan.

Berbagi jaringan

Ketika database diinstal ke berbagi jaringan, akun layanan harus memiliki akses ke lokasi file pengguna dan database tempdb. Penyiapan SQL Server tidak dapat menyediakan akses ke berbagi jaringan. Pengguna harus menyediakan akses ke lokasi tempdb untuk akun layanan sebelum menjalankan penyiapan. Pengguna harus menyediakan akses ke lokasi database pengguna sebelum membuat database.

Catatan

Akun virtual tidak dapat diautentikasi ke lokasi jarak jauh. Semua akun virtual menggunakan izin akun komputer. Provisikan akun komputer dalam format <domain_name>\<computer_name>$.

Meninjau Pertimbangan Tambahan

Tabel berikut ini memperlihatkan izin yang diperlukan untuk layanan SQL Server untuk menyediakan fungsionalitas tambahan.

Layanan/Aplikasi Fungsionalitas Izin yang diperlukan
SQL Server (MSSQLSERVER) Tulis ke slot email menggunakan xp_sendmail. Izin tulis jaringan.
SQL Server (MSSQLSERVER) Jalankan xp_cmdshell untuk pengguna selain administrator SQL Server. Bertindak sebagai bagian dari sistem operasi dan mengganti token tingkat proses.
SQL Server Agent (MSSQLSERVER) Gunakan fitur hidupkan ulang otomatis. Harus merupakan anggota grup lokal Administrator.
Penasihat Penyetelan Mesin Database Menyetel database untuk performa kueri yang optimal. Pada penggunaan pertama, pengguna yang memiliki kredensial administratif sistem harus menginisialisasi aplikasi. Setelah inisialisasi, pengguna dbo dapat menggunakan Database Engine Tuning Advisor untuk menyetel hanya tabel yang mereka miliki. Untuk informasi selengkapnya, lihat "Menginisialisasi Penasihat Penyetelan Mesin Database pada Penggunaan Pertama" di SQL Server Books Online.

Penting

Sebelum Anda meningkatkan SQL Server, aktifkan SQL Server Agent dan verifikasi konfigurasi default yang diperlukan: bahwa akun layanan SQL Server Agent adalah anggota peran server tetap SQL Server sysadmin .

Izin Registri

Sarang registri dibuat di bawah HKLM\Software\Microsoft\Microsoft SQL Server\<Instance_ID> untuk komponen yang sadar instans. Misalnya

  • HKLM\Software\Microsoft\Microsoft SQL Server\MSSQL13. MyInstance
  • HKLM\Software\Microsoft\Microsoft SQL Server\MSASSQL13. MyInstance
  • HKLM\Software\Microsoft\Microsoft SQL Server\MSSQL.130

Registri juga mempertahankan pemetaan ID instans ke nama instans. ID instans ke pemetaan nama instans dipertahankan sebagai berikut:

  • [HKEY_LOCAL_MACHINE\Software\Microsoft\Microsoft SQL Server\Instance Names\SQL] "InstanceName"="MSSQL13"
  • [HKEY_LOCAL_MACHINE\Software\Microsoft\Microsoft SQL Server\Instance Names\OLAP] "InstanceName"="MSASSQL13"
  • [HKEY_LOCAL_MACHINE\Software\Microsoft\Microsoft SQL Server\Instance Names\RS] "InstanceName"="MSRSSQL13"

WMI

Instrumentasi Manajemen Windows (WMI) harus dapat tersambung ke Mesin Database. Untuk mendukung ini, SID per layanan penyedia Windows WMI (NT SERVICE\winmgmt) disediakan di Mesin Database.

Penyedia SQL WMI memerlukan izin minimal berikut:

  • Keanggotaan dalam peran database tetap db_ddladmin atau db_owner dalam database msdb.

  • Izin CREATE DDL EVENT NOTIFICATION di server.

  • Izin CREATE TRACE EVENT NOTIFICATION di Mesin Database.

  • LIHAT izin tingkat server DATABASE APA PUN.

    Penyiapan SQL Server membuat namespace SQL WMI dan memberikan izin baca ke SQL Server Agent service-SID.

Pipa Bernama

Di semua penginstalan, Penyiapan SQL Server menyediakan akses ke Mesin Database SQL Server melalui protokol memori bersama, yang merupakan pipa bernama lokal.

Penyediaan

Bagian ini menjelaskan bagaimana akun disediakan di dalam berbagai komponen SQL Server.

Provisi Mesin Database

Akun berikut ditambahkan sebagai login di Mesin Database SQL Server.

Windows Principals

Selama penyiapan, Penyiapan SQL Server mengharuskan setidaknya satu akun pengguna dinamai sebagai anggota peran server tetap sysadmin .

Akun sa

Akun sa selalu hadir sebagai login Mesin Database dan merupakan anggota peran server tetap sysadmin . Ketika Mesin Database diinstal hanya menggunakan Autentikasi Windows (yaitu ketika Autentikasi SQL Server tidak diaktifkan), login sa masih ada tetapi dinonaktifkan dan kata sandinya kompleks dan acak. Untuk informasi tentang mengaktifkan akun sa , lihat Mengubah Mode Autentikasi Server.

Info Masuk dan Hak Istimewa SID SQL Server Per-layanan

SID per layanan (terkadang juga disebut perwakilan keamanan layanan (SID)) dari layanan SQL Server disediakan sebagai login Mesin Database. Login SID per layanan adalah anggota peran server tetap sysadmin . Untuk informasi tentang SID per layanan, lihat Menggunakan SID Layanan untuk memberikan izin ke layanan di SQL Server.

Info Masuk dan Hak Istimewa SQL Server Agent

SID per layanan layanan SQL Server Agent disediakan sebagai login Mesin Database. Login SID per layanan adalah anggota peran server tetap sysadmin .

Grup Ketersediaan AlwaysOn dan Instans dan Hak Istimewa Kluster Failover SQL

Saat menginstal Mesin Database sebagai grup ketersediaan AlwaysOn atau Instans Kluster Failover SQL (SQL FCI), SISTEM LOKAL disediakan di Mesin Database. Login SISTEM LOKAL diberikan izin UBAH GRUP KETERSEDIAAN APA PUN (untuk grup ketersediaan AlwaysOn) dan izin LIHAT STATUS SERVER (untuk SQL FCI).

Penulis dan Hak Istimewa SQL

SID per layanan layanan SQL Server VSS Writer disediakan sebagai login Mesin Database. Login SID per layanan adalah anggota peran server tetap sysadmin .

SQL WMI dan Hak Istimewa

SQL Server Menyiapkan penyediaan akun NT SERVICE\Winmgmt sebagai login Mesin Database dan menambahkannya ke peran server tetap sysadmin .

Provisi SSRS

Akun yang ditentukan selama penyiapan disediakan sebagai anggota peran database RSExecRole . Untuk informasi selengkapnya, lihat Mengonfigurasi Akun Layanan Server Laporan (Pengelola Konfigurasi SSRS).

Provisi SSAS

Persyaratan akun layanan SSAS bervariasi tergantung pada cara Anda menyebarkan server. Jika Anda menginstal Power Pivot untuk SharePoint, Penyiapan SQL Server mengharuskan Anda mengonfigurasi layanan Analysis Services untuk dijalankan di bawah akun domain. Akun domain diperlukan untuk mendukung fasilitas akun terkelola yang terpasang di SharePoint. Untuk alasan ini, Penyetelan SQL Server tidak menyediakan akun layanan default, seperti akun virtual, untuk penginstalan Power Pivot untuk SharePoint. Untuk informasi selengkapnya tentang penyediaan Power Pivot untuk SharePoint, lihat Mengonfigurasi Akun Layanan Power Pivot.

Untuk semua penginstalan SSAS mandiri lainnya, Anda dapat menyediakan layanan untuk dijalankan di bawah akun domain, akun sistem bawaan, akun terkelola, atau akun virtual. Untuk informasi selengkapnya tentang provisi akun, lihat Mengonfigurasi Akun Layanan (Analysis Services).

Untuk penginstalan terkluster, Anda harus menentukan akun domain atau akun sistem bawaan. Baik akun terkelola maupun akun virtual tidak didukung untuk kluster failover SSAS.

Semua penginstalan SSAS mengharuskan Anda menentukan administrator sistem instans Analysis Services. Hak istimewa administrator disediakan dalam peran Server Analysis Services.

Provisi SSRS

Akun yang ditentukan selama penyiapan disediakan di Mesin Database sebagai anggota peran database RSExecRole . Untuk informasi selengkapnya, lihat Mengonfigurasi Akun Layanan Server Laporan (Pengelola Konfigurasi SSRS).

Memutakhirkan Dari Versi Sebelumnya

Bagian ini menjelaskan perubahan yang dilakukan selama peningkatan dari versi SQL Server sebelumnya.

  • SQL Server 2019 (15.x) memerlukan sistem operasi yang didukung. Versi SQL Server sebelumnya yang berjalan pada versi sistem operasi yang lebih rendah harus memiliki sistem operasi yang ditingkatkan sebelum memutakhirkan SQL Server.

  • Selama peningkatan penyiapan SQL Server 2005 (9.x) ke SQL Server 2019 (15.x) mengonfigurasi instans SQL Server dengan cara berikut:

    • Mesin Database berjalan dengan konteks keamanan SID per layanan. SID per layanan diberikan akses ke folder file instans SQL Server (seperti DATA), dan kunci registri SQL Server.
    • SID per layanan Mesin Database disediakan di Mesin Database sebagai anggota peran server tetap sysadmin .
    • SID per layanan ditambahkan ke grup Windows SQL Server lokal, kecuali SQL Server adalah Instans Kluster Failover.
    • Sumber daya SQL Server tetap disediakan untuk grup Windows SQL Server lokal.
    • Grup Windows lokal untuk layanan diganti namanya dari SQLServer2005MSSQLUser$<computer_name>$<instance_name> menjadi SQLServerMSSQLUser$<computer_name>$<instance_name>. Lokasi file untuk database yang dimigrasikan memiliki Entri Kontrol Akses (ACE) untuk grup Windows lokal. Lokasi file untuk database baru memiliki ASE untuk SID per layanan.

  • Selama peningkatan dari SQL Server 2008, Penyiapan SQL Server mempertahankan ACE untuk SQL Server 2008 per SID layanan.

  • Untuk Instans Kluster Failover SQL Server, ACE untuk akun domain yang dikonfigurasi untuk layanan dipertahankan.

Lampiran

Bagian ini berisi informasi tambahan tentang layanan SQL Server.

Deskripsi Akun Layanan

Akun layanan adalah akun yang digunakan untuk memulai layanan Windows, seperti SQL Server Database Engine. Untuk menjalankan SQL Server, tidak diperlukan untuk menambahkan Akun Layanan sebagai Login ke SQL Server selain SID Layanan, yang selalu ada dan anggota peran server tetap sysamin .

Akun yang tersedia dengan sistem operasi apa pun

Selain MSA baru, gMSA , dan akun virtual yang dijelaskan sebelumnya, akun berikut dapat digunakan.

Akun Pengguna Domain

Jika layanan harus berinteraksi dengan layanan jaringan, mengakses sumber daya domain seperti berbagi file atau jika menggunakan koneksi server tertaut ke komputer lain yang menjalankan SQL Server, Anda dapat menggunakan akun domain dengan hak istimewa minimal. Banyak aktivitas server-ke-server hanya dapat dilakukan dengan akun pengguna domain. Akun ini harus dibuat sebelumnya oleh administrasi domain di lingkungan Anda.

Catatan

Jika Anda mengonfigurasi SQL Server untuk menggunakan akun domain, Anda dapat mengisolasi hak istimewa untuk Layanan, tetapi harus mengelola kata sandi secara manual atau membuat solusi kustom untuk mengelola kata sandi ini. Banyak aplikasi server menggunakan strategi ini untuk meningkatkan keamanan, tetapi strategi ini membutuhkan administrasi dan kompleksitas tambahan. Dalam penyebaran ini, administrator layanan menghabiskan banyak waktu untuk tugas pemeliharaan seperti mengelola kata sandi layanan dan nama perwakilan layanan (SPN), yang diperlukan untuk autentikasi Kerberos. Selain itu, tugas pemeliharaan ini dapat mengganggu layanan.

Akun Pengguna Lokal

Jika komputer bukan bagian dari domain, akun pengguna lokal tanpa izin administrator Windows disarankan.

Akun Layanan Lokal

Akun Layanan Lokal adalah akun bawaan yang memiliki tingkat akses yang sama ke sumber daya dan objek sebagai anggota grup Pengguna. Akses terbatas ini membantu melindungi sistem jika layanan atau proses individu disusupi. Layanan yang berjalan sebagai akun Layanan Lokal mengakses sumber daya jaringan sebagai sesi null tanpa kredensial.

Catatan

Akun Layanan Lokal tidak didukung untuk layanan SQL Server atau SQL Server Agent. Layanan Lokal tidak didukung karena akun yang menjalankan layanan tersebut karena ini adalah layanan bersama dan layanan lain yang berjalan di bawah layanan lokal akan memiliki akses administrator sistem ke SQL Server. Nama akun yang sebenarnya adalah NT AUTHORITY\LOCAL SERVICE.

Akun Layanan Jaringan

Akun Layanan Jaringan adalah akun bawaan yang memiliki lebih banyak akses ke sumber daya dan objek daripada anggota grup Pengguna. Layanan yang berjalan sebagai akun Layanan Jaringan mengakses sumber daya jaringan dengan menggunakan kredensial akun komputer dalam format <domain_name>\<computer_name>$. Nama aktual akun adalah NT AUTHORITY\NETWORK SERVICE.

Akun Sistem Lokal

Sistem Lokal adalah akun bawaan dengan hak istimewa yang sangat tinggi. Ini memiliki hak istimewa yang luas pada sistem lokal dan bertindak sebagai komputer di jaringan. Nama akun yang sebenarnya adalah NT AUTHORITY\SYSTEM.

Mengidentifikasi layanan Instance-Aware dan Instance-Unaware

Layanan sadar instans dikaitkan dengan instans SQL Server tertentu, dan memiliki sarang registri mereka sendiri. Anda dapat menginstal beberapa salinan layanan sadar instans dengan menjalankan Penyiapan SQL Server untuk setiap komponen atau layanan. Layanan instance-unaware dibagikan di antara semua instans SQL Server yang diinstal. Mereka tidak terkait dengan instans tertentu, hanya diinstal sekali, dan tidak dapat diinstal berdampingan.

Layanan sadar instans di SQL Server meliputi yang berikut ini:

  • SQL Server

  • SQL Server Agent

    Ketahuilah bahwa layanan SQL Server Agent dinonaktifkan pada instans SQL Server Express dan SQL Server Express dengan Layanan Tingkat Lanjut.

  • Analysis Services*

  • SQL Server Reporting Services

  • Pencarian teks penuh

    Layanan instance-unaware di SQL Server meliputi yang berikut ini:

  • Layanan Integrasi

  • SQL Server Browser

  • Penulis SQL

*Analysis Services dalam mode terintegrasi SharePoint berjalan sebagai 'Power Pivot' sebagai instans tunggal bernama. Nama instans diperbaiki. Anda tidak dapat menentukan nama yang berbeda. Anda hanya dapat menginstal satu instans Analysis Services yang berjalan sebagai 'Power Pivot' di setiap server fisik.

Nama Layanan yang Dilokalkan

Tabel berikut ini memperlihatkan nama layanan yang ditampilkan oleh versi Windows yang dilokalkan.

Bahasa Nama untuk Layanan Lokal Nama untuk Layanan Jaringan Nama untuk Sistem Lokal Nama untuk Grup Admin
Inggris

Bahasa Tionghoa Sederhana

Mandarin Tradisional

Korea

Jepang		 NT AUTHORITY\LOCAL SERVICE NT AUTHORITY\NETWORK SERVICE NT AUTHORITY\SYSTEM BUILTIN\Administrators
Jerman NT-AUTORITÄT\LOKALER DIENST NT-AUTORITÄT\NETZWERKDIENST NT-AUTORITÄT\SYSTEM VORDEFINIERT\Administratoren
Prancis AUTORITE NT\SERVICE LOCAL AUTORITE NT\SERVICE RÉSEAU AUTORITE NT\SYSTEM BUILTIN\Administrators
Italia NT AUTHORITY\SERVIZIO LOCALE OTORITAS NT\SERVIZIO DI RETE NT AUTHORITY\SYSTEM BUILTIN\Administrators
Spanyol NT AUTHORITY\SERVICIO LOC NT AUTHORITY\SERVICIO DE RED NT AUTHORITY\SYSTEM BUILTIN\Administradores
Rusia NT AUTHORITY\LOCAL SERVICE NT AUTHORITY\NETWORK SERVICE OTORITAS NT\СИСТЕМА BUILTIN\Администраторы

Isi Terkait