Freigeben über

Konfigurieren von Windows-Dienstkonten und -Berechtigungen

  • Artikel

Jeder Dienst in SQL Server stellt einen Prozess oder eine Gruppe von Prozessen zum Verwalten der Authentifizierung von SQL Server-Vorgängen mit Windows dar. In diesem Artikel werden die Standardkonfiguration von Diensten in dieser Version von SQL Server und die Konfigurationsoptionen für SQL Server-Dienste beschrieben, die Sie während und nach der SQL Server-Installation festlegen können.

Contents

Dieses Thema ist in folgende Abschnitte unterteilt:

Durch SQL Server installierte Dienste

Je nach den Komponenten, die Sie installieren möchten, werden beim SQL Server-Setup die folgenden Dienste installiert:

  • SQL Server-Datenbankdienste: Der Dienst für die relationale SQL Server-Datenbank-Engine. Die ausführbare Datei ist „<MSSQLPATH>\MSSQL\Binn\sqlservr.exe“.

  • SQL Server-Agent: Führt Aufträge aus, überwacht SQL Server, löst Warnungen aus und ermöglicht die Automatisierung bestimmter Verwaltungsaufgaben. Der SQL Server-Agent-Dienst ist vorhanden, aber in Instanzen von SQL Server Express deaktiviert. Die ausführbare Datei ist „<MSSQLPATH>\MSSQL\Binn\sqlagent.exe“.

  • Analysis Services: Der Dienst, der OLAP- und Data Mining-Funktionalität (Online Analytical Processing, Analytische Onlineverarbeitung) für Business Intelligence-Anwendungen bereitstellt. Die ausführbare Datei ist „<MSSQLPATH>\OLAP\Bin\msmdsrv.exe“.

  • Reporting Services: Wird zum Verwalten, Ausführen, Erstellen, Planen und Übermitteln von Berichten verwendet. Die ausführbare Datei ist „<MSSQLPATH>\Reporting Services\ReportServer\Bin\ReportingServicesService.exe“.

  • Integration Services: Ermöglicht die Verwaltungsunterstützung für die Speicherung und Ausführung von Integration Services-Paketen. Der ausführbare Pfad ist <MSSQLPATH>\120\DTS\Binn\MsDtsSrvr.exe

  • SQL Server-Browser: Der Namensauflösungsdienst, der SQL Server-Verbindungsinformationen für Clientcomputer bereitstellt. Der Pfad der ausführbaren Datei lautet „c:\Programme (x86)\Microsoft SQL Server\90\Shared\sqlbrowser.exe“.

  • Volltextsuche: Erstellt schnell Volltextindizes für den Inhalt und die Eigenschaften von strukturierten und semistrukturierten Daten, um eine Dokumentfilterung und Wörtertrennung für SQL Server bereitzustellen.

  • SQL Writer – Ermöglicht das Ausführen von Sicherungs- und Wiederherstellungsanwendungen im Framework des Volumeschattenkopie-Diensts (Volume Shadow Copy Service; VSS).

  • SQL Server Distributed Replay-Controller: Stellt eine koordinierte Wiedergabe der Ablaufverfolgung auf mehreren Distributed Replay-Clientcomputern bereit.

  • SQL Server Distributed Replay-Client: Mindestens ein Distributed Replay-Clientcomputer, der mit einem Distributed Replay-Controller zusammenarbeitet, um gleichzeitige Workloads für eine SQL Server-Datenbank-Engine-Instanz zu simulieren.

Diensteigenschaften und -konfiguration

Als Startkonten zum Starten und Ausführen von SQL Server können Domänenbenutzerkonten, lokale Benutzerkonten, verwaltete Dienstkonten, virtuelle Konten oder integrierte Systemkonten verwendet werden. Zum Starten und Ausführen muss für jeden Dienst in SQL Server während der Installation ein Startkonto konfiguriert werden.

In diesem Abschnitt werden die Konten beschrieben, die zum Starten von SQL Server-Diensten konfiguriert werden können. Des Weiteren werden die beim SQL Server-Setup verwendeten Standardwerte, das Konzept der Pro-Dienst-SIDs, die Startoptionen und die Konfiguration der Firewall erläutert.

Standarddienstkonten

Die folgende Tabelle enthält die beim Setup bei der Installation aller Komponenten verwendeten Standarddienstkonten. Die aufgeführten Standardkonten sind die empfohlenen Konten, sofern nicht anders angegeben.

Eigenständiger Server oder Domänencontroller

Komponente Windows Server 2008 Windows 7 und Windows Server 2008 R2 und höher
Datenbank-Engine NETZWERKDIENST Virtuelles Konto *
SQL Server-Agent NETZWERKDIENST Virtuelles Konto *
SSAS NETZWERKDIENST Virtuelles Konto *
SSIS NETZWERKDIENST Virtuelles Konto *
SSRS NETZWERKDIENST Virtuelles Konto *
SQL Server Distributed Replay-Controller NETZWERKDIENST Virtuelles Konto *
SQL Server Distributed Replay-Client NETZWERKDIENST Virtuelles Konto *
FD-Startprogramm (Volltextsuche) LOKALER DIENST Virtuelles Konto
SQL Server-Browser LOKALER DIENST LOKALER DIENST
SQL Server VSS Writer LOKALES SYSTEM LOKALES SYSTEM

* Wenn Ressourcen außerhalb des SQL Server-Computers benötigt werden, empfiehlt Microsoft die Verwendung eines verwalteten Dienstkontos (Managed Service Account, MSA), das mit den erforderlichen Mindestberechtigungen konfiguriert ist.

SQL Server-Failoverclusterinstanz

Komponente Windows Server 2008 Windows Server 2008 R2
Datenbank-Engine Keine. Geben Sie ein Domänenbenutzerkonto an. Geben Sie ein Domänenbenutzerkonto an.
SQL Server-Agent Keine. Geben Sie ein Domänenbenutzerkonto an. Geben Sie ein Domänenbenutzerkonto an.
SSAS Keine. Geben Sie ein Domänenbenutzerkonto an. Geben Sie ein Domänenbenutzerkonto an.
SSIS NETZWERKDIENST Virtuelles Konto
SSRS NETZWERKDIENST Virtuelles Konto
FD-Startprogramm (Volltextsuche) LOKALER DIENST Virtuelles Konto
SQL Server-Browser LOKALER DIENST LOKALER DIENST
SQL Server VSS Writer LOKALES SYSTEM LOKALES SYSTEM

Ändern von Kontoeigenschaften

Wichtig

  • Verwenden Sie immer SQL Server-Tools, z. B. den SQL Server-Konfigurations-Manager, um das von den SQL Server-Datenbank-Engine- oder SQL Server-Agentdiensten verwendete Konto oder das Kennwort für das Konto zu ändern. Zusätzlich zum Ändern des Kontonamens können Sie mithilfe des SQL Server-Konfigurations-Managers weitere Konfigurationen vornehmen, z. B. das Update der lokalen Windows-Sicherheitsspeicherung, die den Diensthauptschlüssel für die Datenbank-Engine schützt. Mit anderen Tools, z. B. dem Windows-Dienstkontroll-Manager, kann der Kontoname geändert werden, es können jedoch nicht alle erforderlichen Einstellungen vorgenommen werden.
  • Verwenden Sie für Analysis Services-Instanzen, die Sie in einer SharePoint-Farm bereitstellen, immer die SharePoint-Zentraladministration, um die Serverkonten für PowerPivot-Dienstanwendungen und den Analysis Services-Dienst zu ändern. Bei Verwendung der Zentraladministration werden zugehörige Einstellungen und Berechtigungen für die Verwendung der neuen Kontoinformationen aktualisiert.
  • Verwenden Sie zum Ändern der Reporting Services-Optionen das Reporting Services-Konfigurationstool.

In Windows 7 und Windows Server 2008 R2 verfügbare neue Kontotypen

In Windows 7 und Windows Server 2008 R2 sind zwei neue Dienstkontotypen verfügbar: verwaltete Dienstkonten (MSA) und virtuelle Konten. Verwaltete Dienstkonten und virtuelle Konten sind so konzipiert, dass wichtige Anwendungen wie SQL Server mit der Isolierung ihrer eigenen Konten bereitgestellt werden, ohne dass ein Administrator den Dienstprinzipalnamen (Service Principal Name, SPN) und Anmeldeinformationen für diese Konten manuell verwalten muss. Diese Konten vereinfachen erheblich die langfristige Verwaltung von Dienstkontobenutzern, Kennwörtern und SPNs.

  • Verwaltete Dienstkonten

    Bei einem verwalteten Dienstkonto (MSA) handelt es sich um eine vom Domänencontroller erstellte und verwaltete Art von Domänenkonto. Es wird einem Computer mit einem Mitglied für die Ausführung eines Diensts zugewiesen. Das Kennwort wird automatisch vom Domänencontroller verwaltet. Sie können sich nicht mithilfe eines MSA an einem Computer anmelden, aber ein Computer kann mithilfe eines MSA einen Windows-Dienst starten. Ein MSA kann Dienstprinzipalnamen (SPN) bei Active Directory registrieren. Ein MSA wird mit einem $ -Suffix bezeichnet, z.B. DOMÄNE\KONTONAME$. Wenn Sie ein MSA angeben, lassen Sie das Kennwort leer. Da ein MSA einem einzelnen Computer zugewiesen ist, kann es nicht für verschiedene Knoten eines Windows-Clusters verwendet werden.

    Hinweis

    Der MSA muss in Active Directory vom Domänenadministrator erstellt werden, bevor er beim SQL Server-Setup für SQL Server-Dienste verwendet werden kann.

  • Gruppenverwaltete Dienstkonten

    Ein gruppenverwaltetes Dienstkonto ist ein MSA für mehrere Server. Windows verwaltet ein Dienstkonto für Dienste, die auf einer Gruppe von Servern ausgeführt werden. Active Directory aktualisiert das Kennwort des gruppenverwalteten Dienstkontos automatisch, ohne Dienste neu zu starten. Sie können SQL Server-Dienste so konfigurieren, dass ein Gruppenverwalteter Dienstkontoprinzipal verwendet wird. Ab SQL Server 2014 unterstützt SQL Server gruppenverwaltete Dienstkonten für eigenständige Instanzen.

    Sie benötigen Windows Server 2012 R2 oder höher als Betriebssystem, um ein gruppenverwaltetes Dienstkonto für SQL Server 2014 oder höher zu verwenden. Server mit Windows Server 2012 R2 erfordern KB 2998082 , damit die Dienste sich ohne Unterbrechung nach einer Änderung des Kennworts direkt anmelden können.

    Weitere Informationen finden Sie unter Gruppenverwaltete Dienstkonten: Übersicht.

    Hinweis

    Das gruppenverwaltete Dienstkonto muss vom Domänenadministrator im Active Directory erstellt werden, bevor das SQL Server-Setup es für SQL Server-Dienste verwenden kann.

  • Virtuelle Konten

    Bei virtuellen Konten (beginnend mit Windows Server 2008 R2 und Windows 7) handelt es sich um verwaltete lokale Konten , die die folgenden Funktionen zur Vereinfachung der Dienstverwaltung bereitstellen. Das virtuelle Konto wird automatisch verwaltet und kann auf das Netzwerk in einer Domänenumgebung zugreifen. Wenn während des SQL Server-Setups der Standardwert für die Dienstkonten verwendet wird, wird ein virtuelles Konto mit dem Instanznamen als Dienstname im Format NT SERVICE\<DIENSTNAME> verwendet. Als virtuelle Konten ausgeführte Dienste greifen mithilfe der Anmeldeinformationen des Computerkontos im Format <Domänenname>\<Computername>$ auf Netzwerkressourcen zu. Wenn Sie zum Starten von SQL Server ein virtuelles Konto angeben, lassen Sie das Kennwort leer. Wenn das virtuelle Konto den Dienstprinzipalnamen (SPN) nicht registriert, registrieren Sie den SPN manuell. Weitere Informationen zum manuellen Registrieren eines SPNs finden Sie unter Registrieren eines Dienstprinzipalnamens für Kerberos-Verbindungen.

    Hinweis

    Virtuelle Konten können nicht für die SQL Server-Failoverclusterinstanz verwendet werden, da das virtuelle Konto nicht über dieselbe SID auf jedem Knoten des Clusters verfügt.

    In der folgenden Tabelle sind Beispiele für virtuelle Kontonamen aufgeführt:

    Dienst Name des virtuellen Kontos
    Standardinstanz des Datenbank-Engine-Diensts NT SERVICE\MSSQLSERVER
    Benannte Instanz eines Datenbank-Engine-Diensts mit dem Namen PAYROLL NT SERVICE\MSSQL$PAYROLL
    SQL Server-Agent-Dienst auf der Standardinstanz von SQL Server NT SERVICE\SQLSERVERAGENT
    SQL Server-Agent-Dienst auf einer Instanz von SQL Server mit dem Namen PAYROLL NT SERVICE\SQLAGENT$PAYROLL

Weitere Informationen zu verwalteten Dienstkonten und virtuellen Konten finden Sie im Abschnitt Managed service account and virtual account concepts (Konzepte verwalteter Dienstkonten und virtueller Konten) in der Service Accounts Step-by-Step Guide (Schritt-für-Schritt-Anleitung für Dienstkonten) und den Managed Service Accounts Frequently Asked Questions (FAQ)(Häufig gestellten Fragen (FAQ) zu verwalteten Dienstkonten).

Sicherheitshinweis: Führen Sie SQL Server-Dienste immer mit den niedrigsten möglichen Benutzerrechten aus. Verwenden Sie nach Möglichkeit ein MSA - oder virtuelles Konto . Wenn MSA- und virtuelle Konten nicht möglich sind, verwenden Sie ein bestimmtes Benutzerkonto oder Domänenkonto mit niedriger Berechtigung anstelle eines freigegebenen Kontos für SQL Server-Dienste. Verwenden Sie separate Konten für andere SQL Server-Dienste. Erteilen Sie nicht zusätzliche Berechtigungen für das SQL Server-Dienstkonto oder die Dienstgruppen. Berechtigungen werden durch Gruppenmitgliedschaft oder direkt für eine Dienst-SID gewährt, sofern eine Dienst-SID unterstützt wird.

Automatischer Start

Neben Benutzerkonten verfügt jeder Dienst über drei mögliche Startstatuswerte, die von den Benutzern gesteuert werden können:

  • Deaktiviert Der Dienst ist installiert, wird jedoch zurzeit nicht ausgeführt.

  • Manuell – Der Dienst ist installiert, wird jedoch nur gestartet, wenn ein anderer Dienst oder eine andere Anwendung seine Funktionalität benötigt.

  • Automatisch Der Dienst wird vom Betriebssystem automatisch gestartet.

Der Startstatus wird während des Setups ausgewählt. Beim Installieren einer benannten Instanz sollte für den SQL Server-Browser-Dienst der automatische Start festgelegt werden.

Konfigurieren von Diensten während der unbeaufsichtigten Installation

In der folgenden Tabelle sind die SQL Server-Dienste dargestellt, die während der Installation konfiguriert werden können. Für unbeaufsichtigte Installationen können Sie die Schalter in einer Konfigurationsdatei oder an einer Eingabeaufforderung verwenden.

Name des SQL Server-Diensts Schalter für unbeaufsichtigte Installationen1
MSSQLSERVER SQLSVCACCOUNT, SQLSVCPASSWORD, SQLSVCSTARTUPTYPE
SQLServerAgent2 AGTSVCACCOUNT, AGTSVCPASSWORD, AGTSVCSTARTUPTYPE
MSSQLServerOLAPService ASSVCACCOUNT, ASSVCPASSWORD, ASSVCSTARTUPTYPE
ReportServer RSSVCACCOUNT, RSSVCPASSWORD, RSSVCSTARTUPTYPE
Integration Services ISSVCACCOUNT, ISSVCPASSWORD, ISSVCSTARTUPTYPE
SQL Server Distributed Replay-Controller DRU_CTLR, CTLRSVCACCOUNT, CTLRSVCPASSWORD, CTLRSTARTUPTYPE, CTLRUSERS
SQL Server Distributed Replay-Client DRU_CLT, CLTSVCACCOUNT, CLTSVCPASSWORD, CLTSTARTUPTYPE, CLTCTLRNAME, CLTWORKINGDIR, CLTRESULTDIR

1Weitere Informationen und Beispielsyntax für unbeaufsichtigte Installationen finden Sie unter Installieren von SQL Server 2014 über die Eingabeaufforderung.

2Der SQL Server-Agent-Dienst ist für Instanzen von SQL Server Express und SQL Server Express mit Advanced Services deaktiviert.

Firewallport

Bei der Erstinstallation kann in den meisten Fällen mithilfe von Tools wie SQL Server Management Studio, die auf demselben Computer wie SQL Server installiert sind, eine Verbindung mit der Datenbank-Engine hergestellt werden. SQL Server-Setup öffnet keine Ports in der Windows-Firewall. Verbindungen von anderen Computern sind möglicherweise nicht möglich, bis die Datenbank-Engine für das Warten auf einen TCP-Port konfiguriert und der entsprechende Port in der Windows-Firewall für Verbindungen geöffnet wird. Weitere Informationen finden Sie unter Konfigurieren der Windows-Firewall für den SQL Server-Zugriff.

Dienstberechtigungen

In diesem Abschnitt werden die Berechtigungen beschrieben, die beim SQL Server-Setup für die Pro-Dienst-SIDs der SQL Server-Dienste konfiguriert werden.

Dienstkonfiguration und Zugriffssteuerung

SQL Server 2014 ermöglicht die SID pro Dienst für jeden dienstbezogenen Dienst, um dienstisolieren und die Verteidigung im Detail bereitzustellen. Die Pro-Dienst-SID ergibt sich aus dem Dienstnamen und ist für diesen Dienst eindeutig. Ein Dienst-SID-Name für den Datenbank-Engine Dienst kann z. B. NT Service\MSSQL$<InstanceName> sein. Die Dienstisolierung ermöglicht den Zugriff auf bestimmte Objekte, ohne dass hierzu ein Konto mit umfangreichen Berechtigungen verwendet oder die Sicherheit des Objekts gefährdet werden muss. Durch die Verwendung eines Zugriffssteuerungseintrags mit einer Dienst-SID kann ein SQL Server-Dienst den Zugriff auf die eigenen Ressourcen einschränken.

Hinweis

Unter Windows 7 und Windows Server 2008 R2 (und höher) kann die Pro-Dienst-SID das virtuelle vom Dienst verwendete Konto sein.

Für die meisten Komponenten wird von SQL Server die ACL direkt für das Pro-Dienst-Konto konfiguriert, sodass das Dienstkonto geändert werden kann, ohne den Prozess für Ressourcen-ACLs zu wiederholen.

Bei der Installation von SSAS wird eine Pro-Dienst-SID für den Analysis Services-Dienst erstellt. Eine lokale Windows-Gruppe wird im Format SQLServerMSASBenutzer$Computername$Instanznameerstellt. Der Pro-Dienst-SID NT SERVICE\MSSQLServerOLAPService wird die Mitgliedschaft in der lokalen Windows-Gruppe gewährt, und die lokale Windows-Gruppe erhält die entsprechenden Berechtigungen in der ACL. Wenn das Konto, das zum Starten des Analysis Services-Diensts verwendet wird, geändert wird, müssen SQL Server-Konfigurations-Manager einige Windows-Berechtigungen (z. B. das Recht auf Anmeldung als Dienst) ändern, aber die Berechtigungen, die der lokalen Windows-Gruppe zugewiesen sind, sind weiterhin ohne Aktualisierung verfügbar, da sich die SID pro Dienst nicht geändert hat. Diese Methode ermöglicht die Umbenennung des Analysis Services-Diensts während der Upgrades.

Während der SQL Server-Installation erstellt DAS SQL Server-Setup eine lokale Windows-Gruppen für SSAS und den SQL Server-Browserdienst. Für diese Dienste wird von SQL Server die ACL für die lokalen Windows-Gruppen konfiguriert.

Je nach Dienstkonfiguration wird das Dienstkonto für einen Dienst oder eine Dienst-SID während der Installation oder eines Upgrades als Element der Dienstgruppe hinzugefügt.

Windows-Berechtigungen und Rechte

Für das zum Starten eines Diensts zugewiesene Konto ist die Berechtigung zum Starten, Beenden und Anhalten für den Dienst erforderlich. Das SQL Server-Setupprogramm weist diese automatisch zu. Installieren Sie zuerst Remoteserver-Verwaltungstools (Remote Server Administration Tools, RSAT). Siehe Remoteserver-Verwaltungstools für Windows 7.

Die folgende Tabelle enthält Berechtigungen, die beim SQL Server-Setup für die von SQL Server-Komponenten verwendeten Pro-Dienst-SIDs oder lokalen Windows-Gruppen erforderlich sind.

SQL Server-Dienst Vom SQL Server-Setup gewährte Berechtigungen
SQL Server-Datenbank-Engine:

(Alle Rechte werden der SID pro Dienst gewährt. Standardinstanz: NT SERVICE\MSSQLSERVER. Benannte Instanz: **NT SERVICE\MSSQL$**InstanceName.)		 Als Dienst anmelden (SeServiceLogonRight)

Token auf Prozessebene ersetzen (SeAssignPrimaryTokenPrivilege)

Traversierungsüberprüfung umgehen (SeChangeNotifyPrivilege)

Speicherkontingente für einen Prozess anpassen (SeIncreaseQuotaPrivilege)

Berechtigung zum Starten von SQL Writer

Berechtigung zum Lesen des Ereignisprotokolldiensts

Berechtigung zum Lesen des Remoteprozeduraufruf-Diensts
SQL Server-Agent: 1

(Alle Rechte werden der Pro-Dienst-SID gewährt. Standardinstanz: NT Service\SQLSERVERAGENT. Benannte Instanz: NT Service\SQLAGENT$InstanceName.)		 Als Dienst anmelden (SeServiceLogonRight)

Token auf Prozessebene ersetzen (SeAssignPrimaryTokenPrivilege)

Traversierungsüberprüfung umgehen (SeChangeNotifyPrivilege)

Speicherkontingente für einen Prozess anpassen (SeIncreaseQuotaPrivilege)
SSAS:

(Alle Rechte werden einer lokalen Windows-Gruppe gewährt. Standardinstanz: SQLServerMSASUser$ComputerName$MSSQLSERVER. Benannte Instanz: SQLServerMSASUser$ComputerName InstanceName$. PowerPivot für SharePoint-Instanz: SQLServerMSASUser$ComputerName$PowerPivot.)		 Als Dienst anmelden (SeServiceLogonRight)

Nur für tabellarisch:

Arbeitssatz eines Prozesses vergrößern (SeIncreaseWorkingSetPrivilege)

Speicherkontingente für einen Prozess anpassen (SeIncreaseQuotaSizePrivilege)

Sperren von Seiten im Speicher (SeLockMemoryPrivilege): Dies ist nur erforderlich, wenn die Auslagerung vollständig ausgeschaltet wird.

Nur für Failoverclusterinstallationen:

Anheben der Zeitplanungspriorität (SeIncreaseBasePriorityPrivilege)
SSRS:

(Alle Rechte werden der SID pro Dienst gewährt. Standardinstanz: NT SERVICE\ReportServer. Benannte Instanz: NT SERVICE\$InstanceName.)		 Als Dienst anmelden (SeServiceLogonRight)
SSIS:

(Alle Rechte werden der SID pro Dienst gewährt. Standardinstanz und benannte Instanz: NT SERVICE\MsDtsServer120. Integration Services verfügt nicht über einen separaten Prozess für eine benannte Instanz.)		 Als Dienst anmelden (SeServiceLogonRight)

Berechtigung zum Schreiben in das Anwendungsereignisprotokoll

Traversierungsüberprüfung umgehen (SeChangeNotifyPrivilege)

Annehmen der Clientidentität nach Authentifizierung (SeImpersonatePrivilege)
Volltextsuche:

(Alle Rechte werden der Pro-Dienst-SID gewährt. Standardinstanz: NT Service\MSSQLFDLauncher. Benannte Instanz: NT Service\MSSQLFDLauncher$InstanceName.)		 Als Dienst anmelden (SeServiceLogonRight)

Speicherkontingente für einen Prozess anpassen (SeIncreaseQuotaPrivilege)

Traversierungsüberprüfung umgehen (SeChangeNotifyPrivilege)
SQL Server-Browser:

(Alle Rechte werden einer lokalen Windows-Gruppe gewährt. Standardinstanz oder benannte Instanz: SQLServer2005SQLBrowserUser$ComputerName. DER SQL Server-Browser verfügt nicht über einen separaten Prozess für eine benannte Instanz.)		 Als Dienst anmelden (SeServiceLogonRight)
SQL Server VSS Writer:

(Alle Rechte werden der SID pro Dienst gewährt. Standardinstanz oder benannte Instanz: NT Service\SQLWriter. SQL Server VSS Writer verfügt nicht über einen separaten Prozess für eine benannte Instanz.)		 Der SQLWriter-Dienst wird unter dem lokalen Systemkonto ausgeführt, das über alle erforderlichen Berechtigungen verfügt. Das SQL Server-Setup überprüft oder erteilt keine Berechtigungen für diesen Dienst.
SQL Server Distributed Replay-Controller: Als Dienst anmelden (SeServiceLogonRight)
SQL Server Distributed Replay-Client: Als Dienst anmelden (SeServiceLogonRight)

1Der SQL Server-Agent-Dienst ist für Instanzen von SQL Server Express deaktiviert.

Pro-Dienst-SIDs für SQL Server oder lokalen Windows-Gruppen gewährte Dateisystemberechtigungen

SQL Server-Dienstkonten müssen über einen Zugriff auf Ressourcen verfügen. Zugriffssteuerungslisten (Access Control Lists, ACLs) werden für die Pro-Dienst-SID oder die lokale Windows-Gruppe festgelegt.

Wichtig

Für Failovercluster-Installationen müssen Ressourcen für freigegebene Datenträger auf eine Zugriffssteuerungsliste für ein lokales Konto festgelegt werden.

In der folgenden Tabelle werden die vom SQL Server-Setup festgelegten Zugriffssteuerungslisten aufgeführt:

Dienstkonto für Dateien und Ordner Zugriff
MSSQLServer Instid\MSSQL\backup Vollzugriff
Instid\MSSQL\binn Lesen, Ausführen
Instid\MSSQL\data Vollzugriff
Instid\MSSQL\FTData Vollzugriff
Instid\MSSQL\Install Lesen, Ausführen
Instid\MSSQL\Log Vollzugriff
Instid\MSSQL\Repldata Vollzugriff
120\shared Lesen, Ausführen
Instid\MSSQL\Template Data (nur SQL Server Express) Lesen Sie
SQLServerAgent1 Instid\MSSQL\binn Vollzugriff
Instid\MSSQL\binn Vollzugriff
Instid\MSSQL\Log Lesen, Schreiben, Löschen, Ausführen
120\com Lesen, Ausführen
120\shared Lesen, Ausführen
120\shared\Errordumps Lesen, Schreiben
ServerName\EventLog Vollzugriff
FTS Instid\MSSQL\FTData Vollzugriff
Instid\MSSQL\FTRef Lesen, Ausführen
120\shared Lesen, Ausführen
120\shared\Errordumps Lesen, Schreiben
Instid\MSSQL\Install Lesen, Ausführen
Instid\MSSQL\jobs Lesen, Schreiben
MSSQLServerOLAPService 120\shared\ASConfig Vollzugriff
Instid\OLAP Lesen, Ausführen
Instid\Olap\Data Vollzugriff
Instid\Olap\Log Lesen, Schreiben
Instid\OLAP\Backup Lesen, Schreiben
Instid\OLAP\Temp Lesen, Schreiben
120\shared\Errordumps Lesen, Schreiben
ReportServer Instid\Reporting Services\Log Files Lesen, Schreiben, Löschen
Instid\Reporting Services\ReportServer Lesen, Ausführen
Instid\Reporting Services\ReportServer\global.asax Vollzugriff
Instid\Reporting Services\ReportServer\rsreportserver.config Lesen Sie
Instid\Reporting Services\reportManager Lesen, Ausführen
Instid\Reporting Services\RSTempfiles Lesen, Schreiben, Ausführen, Löschen
120\shared Lesen, Ausführen
120\shared\Errordumps Lesen, Schreiben
MSDTSServer100 120\dts\binn\MsDtsSrvr.ini.xml Lesen Sie
120\dts\binn Lesen, Ausführen
120\shared Lesen, Ausführen
120\shared\Errordumps Lesen, Schreiben
SQL Server-Browser 120\shared\ASConfig Lesen Sie
120\shared Lesen, Ausführen
120\shared\Errordumps Lesen, Schreiben
SQLWriter N/V (wird als lokales System ausgeführt)
Benutzer Instid\MSSQL\binn Lesen, Ausführen
Instid\Reporting Services\ReportServer Lesen, Ausführen, Ordnerinhalt auflisten
Instid\Reporting Services\ReportServer\global.asax Lesen Sie
Instid\Reporting Services\reportManager Lesen, Ausführen
Instid\Reporting Services\ReportManager\pages Lesen Sie
Instid\Reporting Services\ReportManager\Styles Lesen Sie
120\dts Lesen, Ausführen
120\tools Lesen, Ausführen
100\tools Lesen, Ausführen
90\tools Lesen, Ausführen
80\tools Lesen, Ausführen
120\sdk Lesen Sie
Microsoft SQL Server\120\Setup Bootstrap Lesen, Ausführen
SQL Server Distributed Replay-Controller <ToolsDir>\DReplayController\Log\ (leeres Verzeichnis) Lesen, Ausführen, Ordnerinhalt auflisten
<ToolsDir>\DReplayController\DReplayController.exe Lesen, Ausführen, Ordnerinhalt auflisten
<ToolsDir>\DReplayController\resources|Lesen, Ausführen, Ordnerinhalt auflisten
<ToolsDir>\DReplayController\{alle DLLs} Lesen, Ausführen, Ordnerinhalt auflisten
<ToolsDir>\DReplayController\DReplayController.config Lesen, Ausführen, Ordnerinhalt auflisten
<ToolsDir>\DReplayController\IRTemplate.tdf Lesen, Ausführen, Ordnerinhalt auflisten
<ToolsDir>\DReplayController\IRDefinition.xml Lesen, Ausführen, Ordnerinhalt auflisten
SQL Server Distributed Replay-Client <ToolsDir>\DReplayClient\Log|Lesen, Ausführen, Ordnerinhalt auflisten
<ToolsDir>\DReplayClient\DReplayClient.exe Lesen, Ausführen, Ordnerinhalt auflisten
<ToolsDir>\DReplayClient\resources|Lesen, Ausführen, Ordnerinhalt auflisten
<ToolsDir>\DReplayClient\ (alle DLLs) Lesen, Ausführen, Ordnerinhalt auflisten
<ToolsDir>\DReplayClient\DReplayClient.config Lesen, Ausführen, Ordnerinhalt auflisten
<ToolsDir>\DReplayClient\IRTemplate.tdf Lesen, Ausführen, Ordnerinhalt auflisten
<ToolsDir>\DReplayClient\IRDefinition.xml Lesen, Ausführen, Ordnerinhalt auflisten

1Der SQL Server-Agent-Dienst ist für Instanzen von SQL Server Express und SQL Server Express mit Advanced Services deaktiviert.

Wenn Datenbankdateien an einem benutzerdefinierten Ort gespeichert werden, muss Pro-Dienst-SID-Zugriff auf diesen Ort gewährt sein. Weitere Informationen zum Gewähren von Dateisystemberechtigungen an einen pro-Dienst-SID finden Sie unter Konfigurieren von Dateisystemberechtigungen für den Datenbank-Engine-Zugriff.

Anderen Windows-Benutzerkonten oder -Gruppen gewährte Dateisystemberechtigungen

Einige Zugriffssteuerungsberechtigungen müssen u. U. für integrierte Konten oder andere SQL Server-Dienstkonten erteilt werden. In der folgenden Tabelle werden weitere vom SQL Server-Setup festgelegte Zugriffssteuerungslisten aufgeführt.

Anfordernde Komponente Konto Resource Berechtigungen
MSSQLServer Leistungsprotokollbenutzer Instid\MSSQL\binn Ordnerinhalt auflisten
Systemmonitorbenutzer Instid\MSSQL\binn Ordnerinhalt auflisten
Leistungsprotokollbenutzer, Systemmonitorbenutzer \WINNT\system32\sqlctr120.dll Lesen, Ausführen
Nur Administrator \\.\root\Microsoft\SqlServer\ServerEvents\<sql_instance_name>1 Vollzugriff
Administratoren, System \tools\binn\schemas\sqlserver\2004\07\showplan Vollzugriff
Benutzer \tools\binn\schemas\sqlserver\2004\07\showplan Lesen, Ausführen
Reporting Services Berichtsserverkonto des Windows-Diensts <Installationsverzeichnis>\Reporting Services\LogFiles Delete

READ_CONTROL

SYNCHRONIZE

FILE_GENERIC_READ

FILE_GENERIC_WRITE

FILE_READ_DATA

FILE_WRITE_DATA

FILE_APPEND_DATA

FILE_READ_EA

FILE_WRITE_EA

FILE_READ_ATTRIBUTES

FILE_WRITE_ATTRIBUTES
Windows-Dienstkonto des Berichtsservers, jeder <install>\Reporting Services\ReportManager, <install>\Reporting Services\ReportManager\Pages\*.*, <install>\Reporting Services\ReportManager\Styles\*.*, <install>\Reporting Services\ReportManager\webctrl_client\1_0\*.* Lesen, Ausführen
Berichtsserverkonto des Windows-Diensts <Installationsverzeichnis>\Reporting Services\ReportServer Lesen
Berichtsserverkonto des Windows-Diensts <Installationsverzeichnis>\Reporting Services\ReportServer\global.asax Vollständig
Jeder <Installationsverzeichnis>\Reporting Services\ReportServer\global.asax READ_CONTROL

FILE_READ_DATA

FILE_READ_EA

FILE_READ_ATTRIBUTES
Windows-Dienstkonto des Berichtsservers <Installationsverzeichnis>\Reporting Services\ReportServer\rsreportserver.config Delete

READ_CONTROL

SYNCHRONIZE

FILE_GENERIC_READ

FILE_GENERIC_WRITE

FILE_READ_DATA

FILE_WRITE_DATA

FILE_APPEND_DATA

FILE_READ_EA

FILE_WRITE_EA

FILE_READ_ATTRIBUTES

FILE_WRITE_ATTRIBUTES
Jeder Berichtsserverschlüssel (Instid-Struktur) Wert abfragen

Unterschlüssel auflisten

Benachrichtigen

Lesezugriff
Terminaldienstebenutzer Berichtsserverschlüssel (Instid-Struktur) Wert abfragen

Wert festlegen

Unterschlüssel erstellen

Unterschlüssel auflisten

Benachrichtigen

Löschen

Lesezugriff
Hauptbenutzer Berichtsserverschlüssel (Instid-Struktur) Wert abfragen

Wert festlegen

Unterschlüssel erstellen

Unterschlüssel auflisten

Benachrichtigen

Löschen

Lesezugriff

1Dies ist der WMI-Anbieternamespace.

Auf ungewöhnliche Speicherorte auf einem Datenträger bezogene Dateisystemberechtigungen

Das Standardlaufwerk für Speicherorte zur Installation von tempdb-Datenbanken oder Benutzerdatenbanken ist systemdrive, normalerweise das Laufwerk C.

Nicht standardmäßiges Laufwerk

Bei der Installation auf einem lokalen Laufwerk, bei dem es sich nicht um das Standardlaufwerk handelt, muss die Pro-Dienst-SID Zugriff auf den Speicherort besitzen. SQL Server-Setup stellt den erforderlichen Zugriff bereit.

Netzwerkfreigabe

Wenn Datenbanken in einer Netzwerkfreigabe installiert werden, muss das Dienstkonto Zugriff auf den Dateispeicherort der Benutzer- und tempdb-Datenbanken haben. SQL Server-Setup kann keinen Zugriff auf eine Netzwerkfreigabe bereitstellen. Der Benutzer muss vor dem Ausführen des Setups Zugriff auf einen tempdb-Speicherort für das Dienstkonto bereitstellen. Der Benutzer muss vor dem Erstellen der Datenbank Zugriff auf den Speicherort der Benutzerdatenbank bereitstellen.

Hinweis

Virtuelle Konten können nicht gegenüber einem Remotestandort authentifiziert werden. Alle virtuellen Konten verwenden die Berechtigung des Computerkontos. Geben Sie das Computerkonto im Format <Domänenname>\<Computername>$ an.

Überprüfen zusätzlicher Aspekte

In der folgenden Tabelle werden die Berechtigungen aufgeführt, die für SQL Server-Dienste erforderlich sind, damit sie zusätzliche Funktionen bereitstellen.

Dienst/Anwendung Funktionalität Erforderliche Berechtigung
SQL Server (MSSQLSERVER) Schreiben in einen Mailslot mithilfe von xp_sendmail. Netzwerkschreibberechtigungen.
SQL Server (MSSQLSERVER) Ausführen von xp_cmdshell für einen Benutzer, der kein SQL Server-Administrator ist. Einsetzen als Teil des Betriebssystems und Ersetzen von Token auf Prozessebene.
SQL Server-Agent (MSSQLSERVER) Verwenden der Funktion für den automatischen Neustart. Muss ein Mitglied der lokalen Gruppe Administratoren sein.
Datenbank-Engine -Optimierungsratgeber Optimiert Datenbanken für eine optimale Abfrageleistung. Bei der ersten Verwendung muss ein Benutzer mit Anmeldeinformationen als Systemadministrator die Anwendung initialisieren. Nach der Initialisierung können dbo-Benutzer mithilfe des Datenbankoptimierungsratgebers nur die Tabellen optimieren, die sie besitzen. Weitere Informationen finden Sie unter „Initialisieren des Datenbankoptimierungsratgebers bei der ersten Verwendung“ in der SQL Server-Onlinedokumentation.

Wichtig

Aktivieren Sie vor dem Upgrade von SQL Server die Windows-Authentifizierung für SQL Server-Agent und überprüfen Sie die erforderliche Standardkonfiguration: dass das SQL Server-Agent Dienstkonto Mitglied der SQL Serversysadmin-Gruppe ist.

Registrierungsberechtigungen

Die Registrierungsstruktur für instanzabhängige Komponenten wird unter HKLM\Software\Microsoft\Microsoft SQL Server\<Instanz-ID> erstellt. Beispiel:

  • HKLM\Software\Microsoft\Microsoft SQL Server\MSSQL12. MyInstance

  • HKLM\Software\Microsoft\Microsoft SQL Server\MSASSQL12. MyInstance

  • HKLM\Software\Microsoft\Microsoft\SQL Server\MSSQL.120

Die Registrierung verwaltet auch eine Zuordnung der Instanz-ID zum Instanznamen. Die Zuordnung der Instanz-ID zum Instanznamen wird folgendermaßen verwaltet:

  • [HKEY_LOCAL_MACHINE\Software\Microsoft\Microsoft SQL Server\Instance Names\SQL] "InstanceName"="MSSQL12"

  • [HKEY_LOCAL_MACHINE\Software\Microsoft\Microsoft SQL Server\Instance Names\OLAP] "InstanceName"="MSASSQL12"

  • [HKEY_LOCAL_MACHINE\Software\Microsoft\Microsoft SQL Server\Instance Names\RS] "InstanceName"="MSRSSQL12"

WMI

Windows-Verwaltungsinstrumentation (WMI) muss eine Verbindung mit der Datenbank-Engine herstellen können. Dazu wird die Pro-Dienst-SID des Windows-WMI-Anbieters (NT SERVICE\winmgmt) in der Datenbank-Engine bereitgestellt.

Der SQL-WMI-Anbieter erfordert die folgenden Berechtigungen:

  • Mitgliedschaft in der festen Datenbankrolle db_ddladmin oder db_owner in der msdb-Datenbank

  • CREATE DDL EVENT NOTIFICATION -Berechtigung auf dem Server

  • CREATE TRACE EVENT NOTIFICATION-Berechtigung in der Datenbank-Engine

  • VIEW ANY DATABASE -Berechtigung auf Serverebene

    Das SQL Server-Setup erstellt einen SQL-WMI-Namespace und gewährt der SQL Server-Agent-Dienst-SID die Leseberechtigung.

Named Pipes

Bei allen Installationen stellt das SQL Server-Setup über das Shared Memory-Protokoll Zugriff auf die SQL Server-Datenbank-Engine bereit. Dabei handelt es sich um eine lokale Named Pipe.

Bereitstellung

In diesem Abschnitt wird beschrieben, wie Konten in den verschiedenen SQL Server-Komponenten bereitgestellt werden.

Bereitstellung der Datenbank-Engine

Die folgenden Konten werden als Anmeldungen in der SQL Server Datenbank-Engine hinzugefügt.

Windows-Prinzipale

Während des Setups wird vom SQL Server-Setup mindestens ein Benutzerkonto gefordert, das als Mitglied der festen Serverrolle sysadmin genannt werden soll.

sa-Konto

Das sa-Konto ist immer als Datenbank-Engine-Anmeldung vorhanden und Mitglied der festen Serverrolle sysadmin. Wenn die Datenbank-Engine nur mithilfe der Windows-Authentifizierung installiert wird (d. h. wenn die SQL Server-Authentifizierung nicht aktiviert ist), ist die SA-Anmeldung weiterhin vorhanden, ist aber deaktiviert. Weitere Informationen zum Aktivieren des sa -Kontos finden Sie unter Ändern des Serverauthentifizierungsmodus.

Pro-Dienst-SID-Anmeldung für SQL Server und Berechtigungen

Die DIENST-SID des SQL Server-Diensts wird als Datenbank-Engine Anmeldung bereitgestellt. Die Pro-Dienst-SID-Anmeldung ist Mitglied der festen Serverrolle sysadmin .

SQL Server-Agent-Anmeldung und Berechtigungen

Die Pro-Dienst-SID des SQL Server-Agent-Diensts wird als Datenbank-Engine-Anmeldung bereitgestellt. Die Pro-Dienst-SID-Anmeldung ist Mitglied der festen Serverrolle sysadmin .

Always On-Verfügbarkeitsgruppen und SQL-Failoverclusterinstanz und -Berechtigungen

Bei der Installation der Datenbank-Engine als AlwaysOn-Verfügbarkeitsgruppen oder SQL-Failoverclusterinstanz (SQL FCI) wird LOCAL SYSTEM im Datenbank-Engine bereitgestellt. Die ANMELDUNG DES LOKALEN SYSTEMS erhält die BERECHTIGUNG ALTER ANY AVAILABILITY GROUP (für Always On Availability Groups) und die VIEW SERVER STATE-Berechtigung (für SQL FCI).

SQL Writer und Berechtigungen

Die Pro-Dienst-SID des SQL Server VSS Writer-Diensts wird als Datenbank-Engine-Anmeldung bereitgestellt. Die Pro-Dienst-SID-Anmeldung ist Mitglied der festen Serverrolle sysadmin .

SQL WMI und Berechtigungen

DAS SQL Server-Setup stellt das NT SERVICE\Winmgmt-Konto als Datenbank-Engine Anmeldung bereit und fügt es der festen Serverrolle "sysadmin" hinzu.

SSRS-Bereitstellung

Das während des Setups angegebene Konto wird als Mitglied der Datenbankrolle RSExecRole bereitgestellt. Weitere Informationen finden Sie unter Konfigurieren des Berichtsserver-Dienstkontos (SSRS-Konfigurations-Manager).

SSAS-Bereitstellung

SSAS-Dienstkontoanforderungen unterscheiden sich je nach Bereitstellung des Servers. Wenn Sie PowerPivot für SharePoint installieren, muss das SQL Server-Setup den Analysis Services-Dienst so konfigurieren, dass er unter einem Domänenkonto ausgeführt wird. Domänenkonten sind erforderlich, um die in SharePoint integrierte Funktion für verwaltete Konten zu unterstützen. Aus diesem Grund stellt DAS SQL Server-Setup kein Standarddienstkonto wie ein virtuelles Konto für eine PowerPivot für SharePoint-Installation bereit. Weitere Informationen zur Bereitstellung von PowerPivot für SharePoint, finden Sie unter Konfigurieren von Power Pivot-Dienstkonten.

Für alle anderen eigenständigen SSAS-Installationen können Sie den Dienst zur Ausführung unter einem Domänenkonto, integriertem Systemkonto, verwaltetem Konto oder virtuellem Konto bereitstellen. Weitere Informationen zur Bereitstellung von Konten finden Sie unter Konfigurieren von Dienstkonten (Analysis Services).

Für gruppierte Installationen müssen Sie ein Domänenkonto oder integriertes Systemkonto angeben. Weder verwaltete noch virtuelle Konten werden für SSAS-Failovercluster unterstützt.

Für alle SSAS-Installationen ist die Angabe eines Systemadministrators der Analysis Services-Instanz erforderlich. Administratorberechtigungen werden in der Analysis Services-Rolle Server bereitgestellt.

SSRS-Bereitstellung

Das während des Setups angegebene Konto wird in der Datenbank-Engine als Mitglied der Datenbankrolle RSExecRole bereitgestellt. Weitere Informationen finden Sie unter Konfigurieren des Berichtsserver-Dienstkontos (SSRS-Konfigurations-Manager).

Aktualisieren von früheren Versionen

In diesem Abschnitt werden die während eines Upgrades von einer früheren Version von SQL Server vorgenommenen Änderungen beschrieben.

  • SQL Server 2014 erfordert Windows Server 2008 R2 SP1, Windows Server 2012, Windows 8.0, Windows Server 2012 R2 oder Windows 8.1. Bei jeder früheren Version von SQL Server, die unter einer niedrigeren Betriebssystemversion ausgeführt wird, muss vor dem SQL Server-Upgrade zunächst ein Upgrade für das Betriebssystem durchgeführt werden.

  • Während des Upgrades von SQL Server 2005 auf SQL Server 2014 konfiguriert das SQL Server-Setup SQL Server wie folgt.

    • Die Datenbank-Engine wird mit dem Sicherheitskontext der Pro-Dienst-SID ausgeführt. Der Pro-Dienst-SID wird Zugriff auf die Dateiordner der SQL Server-Instanz (z. B. DATA) und die SQL Server-Registrierungsschlüssel gewährt.

    • Die Pro-Dienst-SID der Datenbank-Engine wird in der Datenbank-Engine als Mitglied der festen Serverrolle sysadmin bereitgestellt.

    • Die Pro-Dienst-SIDs werden zu den lokalen SQL Server-Windows-Gruppen hinzugefügt, es sei denn, bei SQL Server handelt es sich um eine Failoverclusterinstanz.

    • Die SQL Server-Ressourcen werden weiterhin in den lokalen SQL Server-Windows-Gruppen bereitgestellt.

    • Die lokale Windows-Gruppe für Dienste wird von SQLServer2005MSSQLUser$<Computername>$<Instanzname> in SQLServerMSSQLUser$<Computername>$<Instanzname> umbenannt. Die Dateipfade für migrierte Datenbanken besitzen Zugriffssteuerungseinträge (Access Control Entries, ACE) für die lokalen Windows-Gruppen. Die Dateipfade für neue Datenbanken besitzen ACEs für die Pro-Dienst-SID.

  • Während des Upgrades von SQL Server 2008 behält das SQL Server-Setup die ACE für die SQL Server 2008-SID pro Dienst bei.

  • Bei einer SQL Server-Failoverclusterinstanz wird die ACE für das für den Dienst konfigurierte Domänenkonto beibehalten.

Anhang

Dieser Abschnitt enthält weitere Informationen zu SQL Server-Diensten.

Beschreibung von Dienstkonten

Beim Dienstkonto handelt es sich um das Konto, das für das Starten eines Windows-Dienst verwendet wird, wie z. B. der SQL Server-Datenbank-Engine.

Mit einem beliebigen Betriebssystem verfügbare Konten

Neben den zuvor beschriebenen neuen MSAs und virtuellen Konten können folgende Konten verwendet werden:

Domänenbenutzerkonto

Wenn der Dienst mit Netzwerkdiensten interagieren und auf Domänenressourcen wie Dateifreigaben zugreifen muss oder verknüpfte Serververbindungen mit anderen Computern mit SQL Server verwendet, kann ein Domänenkonto mit minimalen Rechten verwendet werden. Viele Server-zu-Server-Aktivitäten können nur mit einem Domänenbenutzerkonto ausgeführt werden. Dieses Konto sollte in Ihrer Umgebung von der Domänenverwaltung vorab erstellt werden.

Hinweis

Wenn Sie die Anwendung zur Verwendung eines Domänenkontos konfigurieren, können Sie zwar die Berechtigungen für die Anwendung isolieren, müssen aber Kennwörter manuell verwalten oder eine benutzerdefinierte Lösung für die Verwaltung dieser Kennwörter erstellen. Viele Serveranwendungen verwenden diese Strategie, um die Sicherheit zu erhöhen, diese Strategie erfordert jedoch zusätzliche Komplexität und Verwaltung. In diesen Bereitstellungen wenden Serviceadministratoren beträchtliche Zeit für Wartungsaufgaben auf, wie Verwalten von Servicekennworten und Dienstprinzipalnamen (SPNs), die für die Kerberos-Authentifizierung erforderlich sind. Darüber hinaus können diese Wartungsaufgaben den Service stören.

Lokale Benutzerkonten

Wenn der Computer nicht Teil einer Domäne ist, empfiehlt sich ein lokales Benutzerkonto ohne die Berechtigungen eines Windows-Administrators.

Lokales Dienstkonto

Das lokale Dienstkonto ist ein integriertes Konto, das dieselben Zugriffsrechte für Ressourcen und Objekte besitzt wie die Mitglieder der Gruppe Benutzer. Durch diesen beschränkten Zugriff wird das System bei Gefährdung einzelner Dienste oder Prozesse geschützt. Dienste, die unter dem lokalen Dienstkonto ausgeführt werden, greifen als NULL-Sitzung ohne Anmeldeinformationen auf Netzwerkressourcen zu. Beachten Sie, dass das lokale Dienstkonto für die SQL Server- oder SQL Server-Agent-Dienste nicht unterstützt wird. Der lokale Dienst wird nicht unterstützt, da es sich bei dem Konto, das diese Dienste ausführt, um einen gemeinsamen Dienst handelt, und alle anderen dienste, die unter dem lokalen Dienst ausgeführt werden, hätten Systemadministratorzugriff auf SQL Server. Der tatsächliche Name des Kontos lautet NT AUTHORITY\LOCAL SERVICE.

Netzwerkdienstkonto

Das Netzwerkdienstkonto ist ein integriertes Konto, das mehr Zugriffsrechte für Ressourcen und Objekte besitzt als die Mitglieder der Gruppe „Benutzer“. Dienste, die unter dem Netzwerkdienstkonto ausgeführt werden, greifen mithilfe der Anmeldeinformationen des Computerkontos im Format <Domänenname>\<Computername>$ auf Netzwerkressourcen zu. Der tatsächliche Name des Kontos lautet NT AUTHORITY\NETWORK SERVICE.

Lokales Systemkonto

Das lokale Systemkonto ist ein integriertes Konto mit sehr hohen Privilegien. Es besitzt umfangreiche Berechtigungen auf dem lokalen System und repräsentiert den Computer im Netzwerk. Der tatsächliche Name des Kontos lautet NT AUTHORITY\SYSTEM.

Identifizieren von instanzabhängigen und nicht instanzabhängigen Diensten

Instanzabhängige Dienste werden mit einer bestimmten Instanz von SQL Server verknüpft und haben eine eigene Registrierungsstruktur. Sie können mehrere Kopien von instanzabhängigen Diensten installieren, indem Sie das SQL Server-Setup für die einzelnen Komponenten oder Dienste ausführen. Nicht instanzabhängige Dienste werden für alle installierten SQL Server-Instanzen freigegeben. Sie sind nicht mit einer bestimmten Instanz verknüpft, werden nur einmal installiert und können nicht parallel installiert werden.

Instanzabhängige Dienste in SQL Server umfassen Folgendes:

  • SQL Server

  • SQL Server-Agent

    Achten Sie darauf, dass der SQL Server-Agent-Dienst für Instanzen von SQL Server Express und SQL Server Express with Advanced Services deaktiviert ist.

  • Analysis Services 1

  • Reporting Services

  • Volltextsuche

Nicht instanzabhängige Dienste in SQL Server umfassen Folgendes:

  • Integration Services

  • SQL Server-Browser

  • SQL Writer

1Analysis Services im integrierten SharePoint-Modus wird als "PowerPivot" als einzelne benannte Instanz ausgeführt. Der Instanzname ist unveränderlich. Sie können keinen anderen Namen angeben. Sie können nur eine Instanz von Analysis Services installieren, die auf jedem physischen Server als 'PowerPivot' ausgeführt wird.

Lokalisierte Dienstnamen

In der folgenden Tabelle werden Dienstnamen aufgeführt, die in lokalisierten Versionen von Windows angezeigt werden.

Sprache Name für lokalen Dienst Name für Netzwerkdienst Name für lokales System Name für Administratorgruppe
Englisch

Chinesisch (vereinfacht)

Chinesisch (traditionell)

Koreanisch

Japanisch		 NT AUTHORITY\LOCAL SERVICE NT AUTHORITY\NETWORK SERVICE NT AUTHORITY\SYSTEM BUILTIN\Administrators
Deutsch NT-AUTORITÄT\LOKALER DIENST NT-AUTORITÄT\NETZWERKDIENST NT-AUTORITÄT\SYSTEM VORDEFINIERT\Administratoren
Französisch AUTORITE NT\SERVICE LOCAL AUTORITE NT\SERVICE RÉSEAU AUTORITE NT\SYSTEM BUILTIN\Administrators
Italienisch NT AUTHORITY\SERVIZIO LOCALE NT AUTHORITY\SERVIZIO DI RETE NT AUTHORITY\SYSTEM BUILTIN\Administrators
Spanisch NT AUTHORITY\SERVICIO LOC NT AUTHORITY\SERVICIO DE RED NT AUTHORITY\SYSTEM BUILTIN\Administradores
Russisch NT AUTHORITY\LOCAL SERVICE NT AUTHORITY\NETWORK SERVICE NT AUTHORITY\SYSTEM BUILTIN\Администраторы

Verwandte Inhalte

Überlegungen zur Sicherheit bei SQL Server-Installationen

Dateispeicherorte für Standard- und benannte Instanzen von SQL Server

Installieren von Master Data Services