Ausführen des von Azure Arc aktivierten SQL Servers mit geringsten Rechten

Gilt für:SQL Server

Das Informationssicherheitsprinzip der geringsten Privilegien besagt, dass Konten und Anwendungen nur auf die Daten und Vorgänge Zugriff haben, die sie benötigen. Wenn SQL Server von Azure Arc aktiviert ist, können Sie den Agent-Erweiterungsdienst mit geringsten Berechtigungen ausführen. In diesem Artikel wird erläutert, wie Sie den Agenten-Erweiterungsdienst mit möglichst wenigen Berechtigungen ausführen.

Führen Sie die Schritte in diesem Artikel aus, um optional den Dienst so zu konfigurieren, dass er mit geringsten Rechten ausgeführt wird. Derzeit wird der Dienst nicht automatisch mit minimalen Berechtigungen ausgeführt.

Konfigurieren von Windows-Dienstkonten und -berechtigungen für Azure-Erweiterung für SQL Server beschreibt die Berechtigungen mit den geringsten Rechten für den Agentenerweiterungsdienst.

Nachdem Sie den Agent-Erweiterungsdienst so konfiguriert haben, dass er mit geringsten Rechten ausgeführt wird, verwendet er das NT SERVICE\SqlServerExtension-Dienstkonto.

Das NT SERVICE\SqlServerExtension-Konto ist ein lokales Windows-Wartungs-Konto:

• Wird von der Azure-Erweiterung für SQL Server erstellt und verwaltet, wenn die Option der geringsten Berechtigung aktiviert ist.
• Sie verfügen über die erforderlichen Mindestberechtigungen, um den Dienst Azure Extension for SQL Server auf dem Windows-Betriebssystem auszuführen. Es hat nur Zugriff auf Ordner und Verzeichnisse, die zum Lesen und Speichern von Konfigurations- oder Schreibprotokollen verwendet werden.
• Erteilte Berechtigung zum Herstellen einer Verbindung und Abfrage in SQL Server mit einer neuen Anmeldung speziell für dieses Dienstkonto, das über die erforderlichen Mindestberechtigungen verfügt. Mindestberechtigungen hängen von den aktivierten Features ab.
• Aktualisiert, wenn Berechtigungen nicht mehr erforderlich sind. Beispielsweise werden Berechtigungen widerrufen, wenn Sie ein Feature deaktivieren. Der Entzug stellt sicher, dass keine Berechtigungen verbleiben, wenn sie nicht mehr benötigt werden.
• NT SERVICE\SqlServerExtension wird entfernt, wenn Azure Erweiterung für SQL Server deinstalliert wird oder wenn die Geringste Berechtigungskonfiguration deaktiviert ist.

Voraussetzungen

In diesem Abschnitt werden die Systemanforderungen und Tools aufgeführt, die Sie zum Abschließen des Beispiels in diesem Artikel benötigen.

Systemanforderungen

Für die Konfiguration mit geringsten Berechtigungen ist Folgendes erforderlich:

• Windows Server 2012 oder neueren Versionen.
• SQL Server 2012 oder höher.
• Das SQL Server-Dienstkonto muss Mitglied der sysadmin festen Serverrolle sein.
• Alle Datenbanken müssen online und aktualisierbar sein.

Die Konfiguration mit den geringsten Berechtigungen wird derzeit unter Linux nicht unterstützt.

Andere Anforderungen, wie in den Voraussetzungen aufgeführt, gelten weiterhin.

SQL Server-Dienstkonto

Standardmäßig ist das SQL Server-Dienstkonto Mitglied der sysadmin festen Serverrolle.

Wie in den Voraussetzungen aufgeführt, muss das SQL-Server-Dienstkonto Mitglied der festen Serverrolle sysadmin für jede SQL Server-Instanz sein. Die Azure Erweiterung für SQL Server hat einen Prozess namens Deployer.exe, der als NT AUTHORITY\SYSTEM ausgeführt wird, wenn:

• Features werden aktiviert oder deaktiviert.
• SQL Server-Instanzen werden hinzugefügt oder entfernt.

Wenn Sie diesen Prozess mit mehr Kontrolle verwalten möchten, damit das SQL Server-Dienstkonto nicht ständig Mitglied der festen Serverrolle sysadmin ist, führen Sie die folgenden Schritte aus:

1. Fügen Sie das SQL Server Dienstkonto vorübergehend zur sysadmin festen Serverrolle hinzu.
2. Lassen Sie zu, dass Deployer.exe mindestens einmal ausgeführt werden, sodass die Berechtigungen festgelegt werden.
3. Entfernen Sie das Dienstkonto des SQL Servers aus der festen Serverrolle sysadmin.

Wiederholen Sie dieses Verfahren jedes Mal, wenn Features aktiviert oder deaktiviert oder SQL Server Instanzen hinzugefügt werden, damit Deployer.exe die geringsten Berechtigungen gewähren können.

Werkzeuge

Um die Schritte in diesem Artikel auszuführen, benötigen Sie die folgenden Tools:

• Azure-Befehlszeilenschnittstelle
• arcdata Azure CLI-Erweiterung Version 1.5.9 oder höher
• Azure Erweiterung für SQL Server Version 1.1.2859.223 oder neuere Versionen

Aktivieren der geringsten Rechte

1. Melden Sie sich mit der Azure CLI an.

   az login
   

2. Überprüfen Sie die Erweiterungsversion arcdata.

   az extension list -o table
   

   Wenn die Ergebnisse eine unterstützte Version von arcdata enthalten, fahren Sie mit dem nächsten Schritt fort.

   Installieren oder aktualisieren Sie bei Bedarf die Azure CLI-Erweiterung arcdata.

   Installieren Sie die Erweiterung wie folgt:

   az extension add --name arcdata
   

   So aktualisieren Sie die Erweiterung:

   az extension update --name arcdata
   

3. Aktivieren Sie die geringsten Berechtigungen mit Azure CLI.

   Um die geringste Berechtigung zu aktivieren, setzen Sie das LeastPrivilege-Funktionsflag auf true. Führen Sie zum Abschluss dieser Aufgabe den folgenden Befehl mit aktualisierten Werten für <resource-group> und <machine-name> aus.

   az sql server-arc extension feature-flag set --name LeastPrivilege --enable true --resource-group <resource-group> --machine-name <machine-name>
   

   Der folgende Befehl aktiviert beispielsweise das kleinste Zugriffsrecht für einen Server namens myserver in einer Ressourcengruppe namens myrg:

   az sql server-arc extension feature-flag set --name LeastPrivilege --enable true --resource-group myrg --machine-name myserver
   

Überprüfen der Konfiguration der geringsten Rechte

So überprüfen Sie, ob Ihr von Azure Arc aktivierter SQL Server für die Ausführung mit den geringsten Rechten konfiguriert ist:

1. Suchen Sie in den Windows-Diensten den Microsoft SQL Server-Erweiterungsdienst. Stellen Sie sicher, dass der Dienst als Dienstkonto NT SERVICE\SqlServerExtensionausgeführt wird.

2. Öffnen Sie den Aufgabenplaner auf dem Server, und überprüfen Sie, ob eine ereignisgesteuerte Aufgabe mit dem Namen SqlServerExtensionPermissionProvider unter Microsoft\SqlServerExtension erstellt wird.

   Hinweis

   Vor der Veröffentlichung im Juli 2024 war SqlServerExtensionPermissionProvider eine geplante Aufgabe, die stündlich ausgeführt wurde.

3. Öffnen Sie SQL Server Management Studio und überprüfen Sie die Anmeldung namens NT SERVICE\SqlServerExtension. Stellen Sie sicher, dass dem Konto die folgenden Berechtigungen zugewiesen sind:

   • SQL verbinden
   • Datenbankstatus anzeigen
   • Server-Status anzeigen

4. Überprüfen Sie die Berechtigungen mit den folgenden Abfragen:

   Führen Sie die folgende Abfrage aus, um Berechtigungen auf Serverebene zu überprüfen:

   EXECUTE AS LOGIN = 'NT SERVICE\SqlServerExtension';
   
   SELECT *
   FROM fn_my_permissions(NULL, 'SERVER');
   
   REVERT;
   

   Ersetzen Sie <database name> zum Überprüfen der Berechtigungen auf Datenbankebene den Namen einer Ihrer Datenbanken, und führen Sie die folgende Abfrage aus:

   EXECUTE AS LOGIN = 'NT SERVICE\SqlServerExtension';
   
   USE <database name>;
   SELECT * FROM fn_my_permissions(NULL, 'database');
   
   REVERT;
   

Zugehöriger Inhalt

• Konfigurieren von erweiterter Datensicherheit für Ihre SQL Server-Instanz
• Konfigurieren der Best-Practices-Bewertung für eine SQL Server-Instanz mit Azure Arc-Unterstützung
• Bekannte Probleme: SQL Server, aktiviert durch Azure Arc