¿Qué cuenta de usuario recomendaría ejecutar los servicios de SQL Server Express 2008 en un entorno de desarrollo?

Question

La configuración de SQL Server Express 2008 le permite asignar diferentes cuentas de usuario para cada servicio.

Para un entorno de desarrollo, ¿utilizaría un usuario de dominio, un usuario local, NT Authority ETWORK SERCVICE, NT Authority\Local System o alguna otra cuenta y por qué?

Answer 1

Sistema local no se recomienda, es una cuenta equivalente de administrador y, por lo tanto, puede generar una codificación cuestionable que aproveche los privilegios de administrador que no estarían permitidos en un sistema de producción, ya que a los administradores/DBA preocupados por la seguridad realmente no les gusta ejecutar servicios como administradores.

Dependiendo de si la instancia del servidor necesitará acceder a otros recursos del dominio o no, se debe determinar con qué tipo de cuenta de bajo privilegio se debe ejecutar.

Si no necesita acceder a ningún recurso de dominio (no anónimo), normalmente creo una cuenta local única con bajos privilegios para que se ejecute y obtener el beneficio de seguridad adicional de no tener múltiples servicios ejecutándose en el mismo contexto de identidad. . Tenga en cuenta que la cuenta de servicio local no es compatible con los servicios de SQL Server o del Agente SQL Server.

Si necesita acceder a recursos de dominio no anónimos, tiene tres opciones:

1. Correr como Servicio de red que también es una cuenta de bajos privilegios pero que conserva las credenciales de red de la computadora.
2. Ejecutar con una cuenta de servicio local
3. Ejecútelo con una cuenta de dominio personalizada con privilegios locales bajos.Una ventaja de ejecutar con la cuenta de desarrollador es que es más fácil adjuntar depuradores a procesos con su propia identidad sin comprometer la seguridad, por lo que la depuración es más sencilla (ya que las cuentas que no son de administrador no tienen el privilegio de adjuntar un depurador a otro proceso de identidad de forma predeterminada). ).Una desventaja de usar otra cuenta de dominio es la sobrecarga de administrar esas cuentas, especialmente porque lo ideal es que cada servicio para cada desarrollador tenga credenciales únicas para que no haya fugas si un desarrollador se fuera.

La mayor parte de lo que suelo hacer no requiere que el servicio acceda a los recursos del dominio, por lo que suelo utilizar cuentas locales únicas de bajo privilegio que administro.También lo ejecuto exclusivamente como usuario no administrador (y lo he hecho en XP SP2, Server 2003, Vista y Server 2008 sin problemas importantes), por lo que cuando tengo casos en los que necesito el servicio para acceder a los recursos del dominio, no tengo preocupaciones. sobre el uso de mis propias credenciales de dominio (además, de esa manera no tengo que preocupar a los administradores de red por crear/mantener un montón de identidades de dominio que no son de producción).

Answer 2

Eso depende.

• Sistema local: nunca, es un privilegio demasiado alto.
• Servicio de red: tal vez, si necesita conectarse a los recursos de red, pero eso es dudoso.
• Servicio local: probablemente la mejor opción, privilegios limitados, no desbloquee las conexiones de red
• ¿Usuario interactivo local?¿Realmente necesita tener derechos de inicio de sesión o actuar como usuario?
• ¿Usuario de dominio?Dios no, no, a menos que acceda a unidades de red desde él;Si SQL se ejecuta, entonces un atacante se autentica contra el dominio.

Answer 3

MS ahora tiene un buen artículo sobre esto:http://msdn.microsoft.com/en-us/library/ms143504(v=sql.105).aspx

Afirman que el servicio local no está permitido para SQL Server Engine.Personalmente, uso el sistema local solo para evitar problemas durante el desarrollo, pero en producción, la mejor práctica es crear una cuenta de servicio a nivel de dominio con solo los permisos que necesita para realizar el trabajo.

Answer 4

Lo que quiera usar por defecto.Cambiar eso es simplemente buscar problemas más adelante.