Implicações e benefícios de remover NT AUTHORITY \ SYSTEM da função sysadmin?

Question

Aviso: Eu não sou um DBA. Eu sou um desenvolvedor de banco de dados.

Um DBA acabou de enviar um relatório para nossos administradores de dados e está planejando remover a conta NT AUTHORITY \ SYSTEM da função sysadmin em vários servidores. (Provavelmente violam algum relatório de auditoria que receberam).

Eu vejo um artigo do MSKB que diz para não fazer isso.

Pelo que posso dizer lendo uma variedade de informações diferentes na Web, um monte de serviços / operações especiais (Cópia de Volume, Indexação de Texto Completo, MOM, Windows Update) usam essa conta mesmo quando o serviço SQL Server e Agent etc. estão todos sendo executados em contas dedicadas.

    

Answer 1

Se vocês tiverem um processo de gerenciamento de mudanças, desafie isso. Certifique-se de que eles estejam cientes (eles realmente deveriam ser) e recebam a confirmação de que isso não afetará nenhum serviço.

Se você não tiver um processo de gerenciamento de mudanças para contestar isso, eu, pelo menos, o levaria até eles. Espero que haja um relacionamento amigável entre seus desenvolvedores e administradores onde você trabalha e você poderá aprender algo um com o outro. Eles podem saber dos riscos e saber explicar por que estão fazendo isso e mostrar como estão fazendo isso de maneira segura.

    

Answer 2

Perguntou-se a essas pessoas por que elas querem removê-las, e se elas entenderem qual é o objetivo da conta do sistema? Eu concordaria com seu palpite sobre um relatório de auditoria sendo envolvido aqui, e eu também acho que o relatório apenas listou quais contas têm o direito de fazer o que, e que os DBAs estão seguindo cegamente, removendo todas as contas que não reconhecem.

Basicamente, a conta do sistema é usada para dar ao próprio sistema operacional direitos para fazer coisas. Não é uma conta de usuário geral e não deve ser tratada como tal.

Se os DBAs estiverem determinados a removê-lo, tente sugerir que eles façam isso primeiro em um sistema de teste (de preferência um que tenha algum dia ativo no dia a dia), dê um mês para ver se algo acontecer e faça uma decisão final.

    

Answer 3

A única razão legítima para fazer isso (e seu artigo de MS confirma isso) é tentar impedir que administradores do SQL do servidor tenham acesso de administrador aos bancos de dados. O problema que eles terão é que qualquer administrador determinado do sistema operacional pode voltar e adicionar sua permissão de volta, porque eles têm acesso total ao servidor. Parece que o que eles querem fazer não deve afetar negativamente nada no banco de dados (a menos que algo esteja configurado para usar contas do AD que sejam administradores locais e não tenham permissões de banco de dados específicas definidas), mas é definitivamente algo que eles devem testar primeiro mh sugerido.

Se você atualmente tem acesso de administrador ao banco de dados por meio de um administrador local do SO, sugiro criar um usuário do SQL (ou obter outra conta de usuário do AD) que tenha acesso sysadmin, se isso for possível. Isso garante que você ainda tenha acesso se fizer essa alteração.

    

Answer 4

Você não disse qual versão, e isso é fundamental. Se você está falando do SQL Server 2000 e o texto completo está instalado, não, você não pode removê-lo. A razão para isso é se o texto completo não for executado na conta do sistema local, ele poderia potencialmente lançar uma violação de acesso e falhar. E o texto completo da conta é executado sob o acesso sysadmin às necessidades do SQL Server. Então lá vai você.

A partir do SQL Server 2005 e superior, isso depende de quais contas você tem seus serviços configurados para serem executados. Aqui está a página Livros on-line com as informações sobre contas de serviço. De um modo geral, as contas locais ou de domínio têm preferência sobre qualquer uma das contas internas dos principais serviços, aliviando assim essa preocupação.

Configurando contas de serviço do Windows (Manuais Online do SQL Server 2005)

Uma outra coisa que você não mencionou é se BUILTIN \ Administrators foram removidos da função de servidor fixa sysadmin ou não. Caso contrário, o System ainda terá acesso sysadmin, pois é considerado um membro desse grupo de segurança local.

    

Answer 5

Se a conta NT AUTHORITY \ SYSTEM tiver a função SysAdmin no SQL Server, isso significa que qualquer Serviço do Windows ou Tarefa Agendada em execução no LocalSystem terá acesso de Deus ao seu SQL Server. Isso é realmente algo que você quer ... ??!