Distributed Replay 보안Distributed Replay Security

MicrosoftMicrosoft SQL ServerSQL Server Distributed Replay 기능을 설치 및 사용하기 전에 이 항목에 나오는 중요 보안 정보를 검토해야 합니다.Before you install and use the MicrosoftMicrosoft SQL ServerSQL Server Distributed Replay feature, you should review the important security information in this topic. 이 항목에서는 Distributed Replay를 사용하기 전에 수행해야 하는 설치 후 보안 구성 단계에 대해 설명합니다.This topic describes the post-installation security configuration steps that are required before you can use Distributed Replay. 또한 데이터 보호 및 중요한 제거 단계와 관련하여 고려해야 할 주요 사항도 설명합니다.This topic also describes important considerations with regard to data protection and important removal steps.

사용자 및 서비스 계정User and Service Accounts

다음 표에서는 Distributed Replay에 사용되는 계정에 대해 설명합니다.The following table describes the accounts that are used for Distributed Replay. Distributed Replay를 설치한 후 컨트롤러 및 클라이언트 서비스 계정이 실행될 보안 주체를 할당해야 합니다.After the Distributed Replay installation, you must assign the security principals that the controller and client service accounts will run as. 따라서 Distributed Replay 기능을 설치하기 전에 해당 도메인 사용자 계정을 구성하는 것이 좋습니다.Therefore, we recommend that you configure the corresponding domain user accounts before you install the Distributed Replay features.

사용자 계정User Account 요구 사항Requirements
SQL ServerSQL Server Distributed Replay Controller 서비스 계정 Distributed Replay controller service account 도메인 사용자 계정 또는 로컬 사용자 계정일 수 있습니다.Can be a domain user account or local user account. 로컬 사용자 계정을 사용하려면 관리 도구, 컨트롤러 및 클라이언트가 모두 동일한 컴퓨터에서 실행되고 있어야 합니다.If you use a local user account, the administration tool, controller, and client must all be running on the same computer.

** 보안 정보 *\* Windows의 로컬 관리자 그룹 멤버가 아닌 계정을 사용하는 것이 좋습니다.** Security Note *\* We recommend that the account is not a member of the local Administrators group in Windows.
SQL ServerSQL Server Distributed Replay Client 서비스 계정 Distributed Replay client service account 도메인 사용자 계정 또는 로컬 사용자 계정일 수 있습니다.Can be a domain user account or local user account. 로컬 사용자 계정을 사용하려면 컨트롤러, 클라이언트 및 대상 SQL Server가 모두 동일한 컴퓨터에서 실행되고 있어야 합니다.If you use a local user account, the controller, client, and target SQL Server must all be running on the same computer.

** 보안 정보 *\* Windows의 로컬 관리자 그룹 멤버가 아닌 계정을 사용하는 것이 좋습니다.** Security Note *\* We recommend that the account is not a member of the local Administrators group in Windows.
Distributed Replay Administration Tool을 실행하는 데 사용되는 대화형 사용자 계정Interactive user account that is used to run the Distributed Replay administration tool 로컬 사용자 계정 또는 도메인 사용자 계정일 수 있습니다.Can be either a local user or a domain user account. 로컬 사용자 계정을 사용하려면 관리 도구와 컨트롤러가 동일한 컴퓨터에서 실행되고 있어야 합니다.To use a local user account, the administration tool and controller must be running on the same computer.

중요: Distributed Replay Controller를 구성할 때 Distributed Replay Client 서비스를 실행하는 데 사용할 사용자 계정을 하나 이상 지정할 수 있습니다.Important: When you configure Distributed Replay controller, you can specify one or more user accounts that will be used to run the Distributed Replay client services. 다음은 지원되는 계정 목록입니다.The following is the list of supported accounts:

  • 도메인 사용자 계정Domain user account

  • 사용자가 만든 로컬 사용자 계정User created local user account

  • 관리자Administrator

  • 가상 계정 및 MSA(관리 서비스 계정)Virtual account and MSA (Managed Service Account)

  • 네트워크 서비스, 로컬 서비스 및 시스템Network Services, Local Services, and System

    그룹 계정(로컬 또는 도메인) 및 다른 기본 제공 계정(예: Everyone)은 사용할 수 없습니다.Group accounts (local or domain) and other built-in accounts (like Everyone) are not accepted.

    Distributed Replay를 설치한 후 서비스 계정이나 해당 암호를 설정하려면 Windows 서비스 도구를 사용하면 됩니다.To set the service accounts or their passwords after you install Distributed Replay, you can use the Windows Services tool. Distributed Replay Controller 또는 Distributed Replay Client 서비스와 연결된 서비스 계정을 변경하려면 다음 단계를 따르십시오.To change the service accounts associated with the Distributed Replay controller or client services, follow these steps:

  1. 운영 체제에 따라 다음 중 하나를 수행합니다.Do either of the following, depending on the operating system:

    • 시작을 클릭하고 검색 상자에 services.msc 를 입력한 다음 Enter 키를 누릅니다.Click Start, type services.msc in the Search box, and then press ENTER.

    • 시작, 실행을 차례로 클릭하고 services.msc를 입력한 다음 Enter 키를 누릅니다.Click Start, click Run, type services.msc, and then press ENTER.

  2. 서비스 대화 상자에서 구성할 서비스를 마우스 오른쪽 단추로 클릭한 다음 속성을 클릭합니다.In the Services dialog box, right-click the service that you want to configure, and then click Properties.

  3. 로그온 탭에서 계정 지정을 클릭합니다.On the Log On tab, click This account.

  4. 사용할 사용자 계정을 구성합니다.Configure the user account that you want to use.

파일 및 폴더 권한File and Folder Permissions

서비스 계정을 지정한 후에는 해당 서비스 계정에 필요한 파일 및 폴더 사용 권한을 부여해야 합니다.After the service accounts have been specified, you must grant the necessary file and folder permissions to those service accounts. 다음 표에 따라 파일 및 폴더 사용 권한을 구성합니다.Configure file and folder permissions according to the following table:

계정Account 폴더 권한Folder Permissions
SQL ServerSQL Server Distributed Replay Controller 서비스 계정 Distributed Replay controller service account <Controller_Installation_Path>\DReplayController (읽기, 쓰기, 삭제)<Controller_Installation_Path>\DReplayController (Read, Write, Delete)

DReplayServer.xml 파일(읽기, 쓰기)DReplayServer.xml file (Read, Write)
SQL ServerSQL Server Distributed Replay Client 서비스 계정 Distributed Replay client service account <Client_Installation_Path>\DReplayClient (읽기, 쓰기, 삭제)<Client_Installation_Path>\DReplayClient (Read, Write, Delete)

DReplayClient.xml 파일(읽기, 쓰기)DReplayClient.xml file (Read, Write)

클라이언트 구성 파일의 WorkingDirectoryResultDirectory 요소에 각각 지정된The working and result directories, as specified in the client configuration file by the WorkingDirectory and ResultDirectory elements, respectively. 작업 디렉터리 및 결과 디렉터리(읽기, 쓰기)(Read, Write)

DCOM 권한DCOM Permissions

DCOM은 컨트롤러와 관리 도구 간 및 컨트롤러와 모든 클라이언트 간 RPC(원격 프로시저 호출) 통신에 사용됩니다.DCOM is used for remote procedure call (RPC) communication between the controller and the administration tool, and between the controller and all clients. Distributed Replay 기능을 설치한 후 컴퓨터 차원에서 그리고 응용 프로그램별로 컨트롤러에 대한 DCOM 권한을 구성해야 합니다.You must configure computer-wide and application-specific DCOM permissions on the controller after the Distributed Replay features have been installed.

컨트롤러 DCOM 권한을 구성하려면 다음 단계에 따르십시오.To configure the controller DCOM permissions, follow these steps:

  1. 구성 요소 서비스 스냅인 dcomcnfg.exe 열기: 이 도구는 DCOM 권한을 구성하는 데 사용됩니다.Open dcomcnfg.exe, the Component Services snap-in: This is the tool that is used to configure DCOM permissions.

    1. 컨트롤러 컴퓨터에서 시작을 클릭합니다.On the controller computer, click Start.

    2. 검색 상자에 dcomcnfg.exe 를 입력합니다.Type dcomcnfg.exe in the Search box.

    3. Enter 키를 누릅니다.Press ENTER.

  2. 컴퓨터 전체 DCOM 권한 구성: 다음 표에 나열된 각 계정에 대해 해당하는 컴퓨터 전체 DCOM 권한을 부여합니다.Configure computer-wide DCOM permissions: Grant the corresponding computer-wide DCOM permissions for each account listed in the following table. 컴퓨터 전체 권한을 설정하는 방법은 검사 목록: DCOM 응용 프로그램 관리를 참조하세요.For more information about how to set computer-wide permissions, see Checklist: Manage DCOM Applications.

  3. 응용 프로그램별 DCOM 권한 구성: 다음 표에 나열된 각 계정에 대해 해당하는 응용 프로그램별 DCOM 권한을 부여합니다.Configure application-specific DCOM permissions: Grant the corresponding application-specific DCOM permissions for each account listed in the following table. 컨트롤러 서비스에 대한 DCOM 응용 프로그램 이름은 DReplayController입니다.The DCOM application name for the controller service is DReplayController. 응용 프로그램별 권한을 설정하는 방법은 검사 목록: DCOM 응용 프로그램 관리를 참조하세요.For more information about how to set application-specific permissions, see Checklist: Manage DCOM Applications.

    다음 표에서는 관리 도구를 실행하는 데 사용되는 대화형 사용자 계정과 클라이언트 서비스 계정에 필요한 DCOM 권한에 대해 설명합니다.The following table describes which DCOM permissions are required for the administration tool interactive user account and the client service accounts:

기능Feature 계정Account 컨트롤러에 필요한 DCOM 권한Required DCOM Permissions on Controller
Distributed Replay Administration ToolDistributed Replay administration tool 대화형 사용자 계정The interactive user account 로컬 액세스Local Access

원격 액세스Remote Access

로컬 시작Local Launch

원격 시작Remote Launch

로컬 활성화Local Activation

원격 활성화Remote Activation
Distributed Replay ClientDistributed Replay client SQL ServerSQL Server Distributed Replay Client 서비스 계정 Distributed Replay client service account 로컬 액세스Local Access

원격 액세스Remote Access

로컬 시작Local Launch

원격 시작Remote Launch

로컬 활성화Local Activation

원격 활성화Remote Activation
중요

악의적인 쿼리나 서비스 거부 공격으로부터 보호하려면 신뢰할 수 있는 사용자 계정만 클라이언트 서비스 계정으로 사용해야 합니다.To help protect against malicious queries or denial of service attacks, make sure that you only use a trusted user account for the client service account. 이 계정은 대상 SQL ServerSQL Server인스턴스에 연결하여 작업을 재생할 수 있습니다.This account will be able to connect and replay workloads against the target instance of SQL ServerSQL Server.

SQL Server 사용 권한SQL Server Permissions

SQL ServerSQL Server Distributed Replay Client 서비스 계정은 작업의 대상 SQL ServerSQL Server인스턴스에 연결하는 데 사용됩니다.The SQL ServerSQL Server Distributed Replay client service accounts are used to connect to the workload's target instance of SQL ServerSQL Server. 이러한 연결에는 Windows 인증 모드만 지원됩니다.Only Windows Authentication mode is supported for these connections.

일련의 컴퓨터에 SQL ServerSQL Server Distributed Replay Client 서비스를 설치한 후 추적 작업을 재생할 SQL ServerSQL Server 인스턴스에 대한 sysadmin 서버 역할을 해당 서비스 계정에 사용되는 보안 주체에 부여해야 합니다.After you install the SQL ServerSQL Server Distributed Replay client service on a set of computers, the security principal used for those service accounts must be granted the sysadmin server role on the instance of SQL ServerSQL Server that you intend to replay the trace workload against. 이 단계는 Distributed Replay 설치 중 자동으로 수행되지 않습니다.This step is not performed automatically during Distributed Replay Setup.

데이터 보호Data Protection

Distributed Replay 환경에서 다음 사용자 계정에는 대상 SQL ServerSQL Server서버 인스턴스, 입력 추적 데이터 및 결과 추적 파일에 대한 모든 액세스 권한이 부여됩니다.In the Distributed Replay environment, the following user accounts are granted full access to the target server instance of SQL ServerSQL Server, the input trace data and result trace files:

  • 관리 도구를 실행하는 데 사용되는 대화형 사용자 계정The interactive user account that is used to run the administration tool.

  • 컨트롤러 서비스 계정The controller service account.

  • 클라이언트 서비스 계정The client service account.

  • 컨트롤러의 로컬 Administrators 그룹 멤버Members of the local Administrators group on the controller.

  • 클라이언트의 로컬 Administrators 그룹 멤버Members of the local Administrators group on the clients.

    중요

    이러한 계정은 Distributed Replay에 사용된 SQL ServerSQL Server 데이터 파일, 추적 파일, 중간 파일 또는 디스패치 파일에 포함된 PII(개인 식별이 가능한 정보)나 중요한 정보에 대한 모든 액세스 권한을 가집니다.These accounts have full access to any personally identifiable information (PII) or sensitive information that is contained in the trace, intermediate, dispatch, or SQL ServerSQL Server data files that were used by Distributed Replay.

    다음 보안 예방 조치를 수행하는 것이 좋습니다.We recommend that you take the following security precautions:

  • 입력 추적 데이터, 출력 추적 결과 및 데이터베이스 파일을 NTFS 파일 시스템(NTFS)을 사용하는 위치에 저장하고 적절한 ACL(액세스 제어 목록)을 적용합니다.Store the input trace data, output trace results, and database files in a location that uses the NTFS file system (NTFS), and apply the appropriate access control lists (ACLs). 필요한 경우 SQL ServerSQL Server 컴퓨터에 저장되는 데이터를 암호화합니다.If it is needed, encrypt the data that is stored on the SQL ServerSQL Server computer. ACL은 추적 파일에 적용되지 않으며 데이터 마스킹 또는 난독 처리되지 않습니다.Be aware that ACLs are not applied to the trace files and there is no data masking or obfuscation. 이러한 파일은 사용 후 신속하게 삭제해야 합니다.You should delete these files quickly after use.

  • Distributed Replay에서 생성하는 모든 중간 파일과 디스패치 파일에 적절한 ACL 및 보존 정책을 적용합니다.Apply the appropriate ACLs and retention policy to all intermediate and dispatch files that are generated by Distributed Replay.

  • SSL(Secure Sockets Layer)을 사용하여 네트워크 전송에 대해 보안을 설정합니다.Use Secure Sockets Layer (SSL) to help secure the network transport.

중요한 제거 단계Important Removal Steps

테스트 환경에서만 Distributed Replay를 사용하는 것이 좋습니다.We recommend that you only use Distributed Replay in a test environment. 테스트를 완료한 후 다른 태스크를 위해 해당 컴퓨터를 프로비전하기 전에 다음 작업을 수행하십시오.After you have completed testing, and before you provision those computers for a different task, make sure that you do the following:

  • Distributed Replay 기능을 제거하고 관련 구성 파일을 컨트롤러 및 모든 클라이언트에서 제거합니다.Uninstall the Distributed Replay features and remove the related configuration files from the controller and all clients.

  • 테스트에 사용된 추적 파일, 중간 파일, 디스패치 파일 및 SQL ServerSQL Server 데이터베이스 파일을 모두 삭제합니다.Delete any trace, intermediate, dispatch, and SQL ServerSQL Server database files that were used for testing. 중간 파일 및 디스패치 파일은 각각 컨트롤러와 클라이언트의 작업 디렉터리에 저장됩니다.The intermediate and dispatch files are stored in the working directory on the controller and client, respectively.

참고 항목See Also

SQL Server Distributed Replay SQL Server Distributed Replay
Distributed Replay 설치 - 개요Install Distributed Replay - Overview