Temos vários servidores MS SQL em nosso ambiente executando o SQL Server 2005 padrão / enterprise ou o SQL Server 2008 enterprise. Atualmente, os serviços SQL estão sendo executados como serviço local ou serviço de rede, e a prática recomendada pela Microsoft é executar como uma conta de domínio, para a qual estamos tentando nos aproximar.
A melhor prática em relação a contas de domínio é ter uma conta de domínio separada por serviço por servidor? Então, se temos 4 serviços SQL, queremos executar por servidor e temos 50 servidores, criaríamos 50 * 4 = 200 contas no AD? Isso parece excessivo para mim e fiquei me perguntando se alguém tem alguma experiência real com esse tipo de configuração e seu gerenciamento.
Geralmente, crio uma única conta de serviço de domínio e a uso para todos os serviços em todos os servidores. Minha sugestão seria fazer uma das duas coisas:
Crie uma conta de serviço de domínio único que seja usada para todos os serviços em todos os servidores.
Crie uma conta de serviço de domínio para todos os serviços em cada servidor, assim você terá uma conta de serviço separada para cada servidor, em vez de quatro contas de serviço para cada servidor.
Se o esquema do AD estiver em 2008 R2 e os servidores SQL também forem R2, você poderá investigar Contas de serviço gerenciadas . (parece que isso pode ser usado se você estiver em versões anteriores, mas parece mais uma dor do que vale a pena)
Você pode configurar agendamento & alterações automáticas de senha, converter contas de serviço existentes a serem gerenciadas, definir expiração de conta, criá-las no domínio ou localmente ... Parece que as contas terão novas senhas geradas para eles de acordo com a política do domínio Membro do domínio: Conta máxima da máquina idade da senha em Política Local \ Opções de Segurança.
executamos todos os nossos serviços SQL na conta de administrador do domínio nossa política de segurança de rede é tal que precisamos alterar a senha do administrador de domínio com frequência, Uma alternativa que eu tenho é que para criar um usuário de domínio com privilégios de administrador, isso é aconselhável ou devo usar apenas conta de administrador ou existem alternativas com melhor segurança. por favor, dê o seu feedback.
Cumprimentos Praveen