Existe um documento da Microsoft sobre "Por que DBAs SQL precisam do Privilégio de Administrador Local do Windows"?

Question

Estou à procura de um Documento Microsoft ou Artigo ou Whitepaper em Quais permissões de nível de SO são necessárias para DBA SQL (não conta de serviço SQL). Existe uma suposição geral de que os DBAs SQL precisam do Privilégio de Administrador Local, mas o AFAIK é necessário apenas durante a instalação do SQL.

Quaisquer ponteiros para tais documentos serão apreciados.

    

Answer 1

É muito comum dar ao DBA direitos sobre um servidor SQL pelos seguintes motivos:

• O servidor SQL geralmente é apenas um servidor SQL, portanto, o único serviço que um DBA pode causar é o responsável por ele.
• Às vezes, os DBAs precisam reinicializar o servidor e reconfigurar o sistema operacional.
• Para fins práticos, onde o DBA teria que ativar um administrador em uma chamada noturna.

Dito isso, isso realmente depende da organização e do tipo de DBAs que você tem. Além disso, você pode conceder um acesso administrativo ao DBA sobre a instância do SQL, sem também conceder acesso administrativo ao sistema operacional. Isso é preferível se você não / não puder confiar no DBA para manter o sistema operacional, e você mesmo terá que assumir responsabilidades de reinicialização / manutenção.

Você fez uma pergunta carregada, já que o MS não tem uma posição fixa sobre esse problema. Você pode encontrar algumas discussões sobre o assunto, mas não consigo vê-las emitindo um white paper. O mais próximo que eu posso chegar é o doco de práticas recomendadas de segurança: link

    

Answer 2

AFAIK supõe-se que o pressuposto seja o contrário. Você deve provar que precisa de acesso de administrador. É claro que você precisaria disso durante uma instalação (embora eu seria o único a fazer a instalação com a minha conta de acordo com suas especificações). Os DBAs precisam de acesso administrativo ao servidor SQL. O SQL Server Management Studio deve ser executado a partir de sua estação de trabalho, usando suas credenciais do Windows e deve fornecer a eles todo o acesso necessário.

Editar: eu peguei este take na minha resposta não porque existe uma resposta absoluta, mas porque o OP declara "Há uma suposição geral de que os DBAs SQL precisam do Privilégio de Administrador Local"

Do ponto de vista do administrador (seja como um administrador do SQL ou um administrador de sistema), não acredito que essa seja uma prática padrão do setor ou uma prática recomendada. Certamente todos os documentos da Microsoft vão defender menos privilégios

    

Answer 3

Aqui está um artigo do MSDN com muitos links para outros artigos relacionados ao SQL Server Security.

link

Aqui está um artigo que fala sobre a restrição de login interativo para serviços de análise SQL link

Dependendo do que as responsabilidades de trabalho do DBA incluem e do que você entende por "SQL Server", o DBA pode precisar de direitos de administrador. SQL Server pode significar SQL Database Engine ou Analysis Services ou Integration Services ou Reporting Services.

E depois há backups e restaurações e onde esses arquivos estão. O DBA precisa criar novos bancos de dados e pode criar arquivos de dados e arquivos de log para aqueles sem direitos administrativos. E quanto a reiniciar os serviços?

Não, o DBA não precisa ser um administrador da máquina, mas geralmente é esperado que o DBA faça muitas tarefas que requeiram essas permissões.

    

Answer 4

Eu não acho que a MS daria uma posição definitiva sobre isso. A maneira que eu vejo é que, se alguém tem um administrador local em uma caixa, eles estão assumindo um nível de responsabilidade para essa caixa: tempo de operação, confiabilidade, desempenho, segurança, etc., no nível do sistema operacional. Se a pessoa estiver em condições de assumir essa responsabilidade, e se assumir essa responsabilidade estiver no âmbito de seu trabalho, então tudo bem; caso contrário, a resposta é "não".

    

Answer 5

Existe um CONTRATO geral que os DBAs SQL precisam de privilégios de Admin Local. Se você amarrar as mãos da pessoa responsável pelo bem-estar do seu banco de dados, espere que ele morra e não tenha ninguém para culpar a não ser você mesmo.
Para fazer tudo o que você precisa fazer quando você é um DBA SQL, você precisa de direitos de administrador. Não seja mesquinho - ou dispare aquele que você tem e contrate um em quem possa confiar. Então não seja mesquinho.

    

Answer 6

@Jim B Na maioria dos ambientes em que trabalhei, os engenheiros de rede se esforçam para NÃO permitir que minha estação de trabalho se conecte ao SQL Server com SSMS. Dito isto, em organizações que trabalhei para os meus direitos como DBA, quase sempre são administradores locais no servidor de banco de dados, para que eu tenha a capacidade de RDP no servidor sem precisar executar o servidor no modo Aplicativo de Serviços de Terminal. p>

Poder reiniciar serviços também é útil, por exemplo, serviços relacionados ao SQL Server.

    

Answer 7

Os administradores locais têm privilégios de sysadmin completos no SQLServer (por meio do modo de usuário único) para que não haja uma separação viável entre os recursos SQL SYSADMIN e qualquer pessoa com a qual você confie autoridade de administração local.

Tudo o que você PODE fazer é decidir;

Você quer o controle total do seu SQL Server nas mãos do administrador do sistema ou do DBA SQL?

Se você contratou um DBA real (e não um desenvolvedor de SQL), seu treinamento e certificação incluíram administração e segurança do sistema, não apenas administração de banco de dados.