iT邦幫忙

DAY 28
13

SQL Server 無敵手冊系列 第 28

SQL Server 無敵手冊第廿八篇-淺談SQL Server中SQL Server Agent Proxy

上一篇中我們已經了解了SQL Server Agent服務帳戶,如果我們需要進一步有彈性並且精確的,設定執行作業的權限,此時您就需要SQL Server Agent Proxy,所以這一篇文章就來跟大家介紹SQL Server Agent Proxy。
在介紹SQL Server Agent Proxy之前,我們相跟大家講解一下SQL Server Agent作業執行時,的作業執行期間的身分。
在作業執行的期間,預設執行身分會是使用SQL Server Agent的服務帳戶,關於SQL Server Agent的服務帳戶您可以參考SQL Server 無敵手冊第廿七篇。若是在SQL Server Agent的作業中執行步驟中,設定該步驟的執行身分,則會依您的設定來變更執行身分,設定方式如下圖所示,在設定步驟視窗中,的[一般]頁面設定執行身分。

但是Transact-SQL的類型的步驟預設使用該作業的擁有者為其執行身分,若是要變更則要。在設定步驟視窗中,的[進階]頁面指定執行時的身分。

另外我們還可以透過[認證]與[SQL Server Agent Proxy]來搭配步驟的執行身分,精準的設定作業權限,以求達到最小權限原則的安全理念。
[認證(Credential)]
SQL Server的認證指的是,存放了驗證資訊的物件,而驗證資訊就是包含使用者登入帳號與密碼等資訊。在這篇文章中,我們設定的認證,主要是為了[SQL Server Agent Proxy子系統]之執行身分使用。
SQL Server的認證與登入帳戶搭配是一對多的關係,所謂一對多就是說一個認證可以提供給多個登入帳戶使用,而一個登入帳戶只能對應到單一認證。
您可以在SSMS中的物件總管展開[安全性]節點,就可以看到[認證]的節點,如下圖所示,展開[認證]的節點可以看到目前所設定的認證項目,如果是系統所建立的認證會以##為開頭。

[SQL Server Agent Proxy]
SQL Server Agent Proxy 可讓 SQL Server Agent 使用認證的安全性內容。透過SQL Server Agent Proxy 可定義作業步驟的安全性內容。在SQL Server Agent Proxy下定義了[SQL Server Agent Proxy子系統],每個子系統預先定義了SQL Server Agent Proxy所能使用的功能集。您可以在SSMS中的物件總管展開[SQL Server Agent]節點,如下圖所示,展開[Proxy]的節點可以看到在SQL Server Agent Proxy中可以使用的子系統類型。

每個 Proxy 都可與一或多個子系統產生關聯,也就是說一個Proxy可以具備多個子系統的存取權。使用 Proxy 的作業步驟,可使用 Windows 使用者的安全性內容來存取指定的子系統。在 SQL Server Agent 執行使用 Proxy 的作業步驟之前,SQL Server Agent 會先模擬 Proxy 中所定義的認證,然後使用該安全性內容來執行作業步驟。所以當您使用Proxy時,SQL Server Agent會依據子系統設定功能來執行,因此就算編輯作業的擁有者有最高權限,也只能執行子系統中所具備的權限。
另外如果您使用SQL Server 2008的SSMS連接到SQL Server 2000時,因為SQL Server 2000只能設定一個Proxy 帳戶,也沒有子系統的限制功能,所以您可以在[SQL Server Agent]的屬性頁面中的[作業的系統]頁面上設定作業步驟Proxy帳戶,如下圖所示:

如果連接到2008您就會在屬性頁面看到該功能被Disable,如下圖所示:

現在你已經知道了SQL Server Agent Proxy 的觀念以及所謂的認證,下一篇我們將為大家介紹如何進行實作。


上一篇
SQL Server 無敵手冊第廿七篇-淺談SQL Server中SQL Server Agent服務帳戶
下一篇
SQL Server 無敵手冊第廿九篇-SQL Server中SQL Server Agent Proxy實作
系列文
SQL Server 無敵手冊30

2 則留言

0
funkent
iT邦高手 1 級 ‧ 2009-10-29 13:08:52

補上SQL Server 無敵手冊的連結
SQL Server 無敵手冊

0
Ken(Bigcandy)
iT邦大師 1 級 ‧ 2009-10-30 14:03:07

拍say我只能推一票,哈哈。

funkent iT邦高手 1 級‧ 2009-10-30 22:26:07 檢舉

您這一票對小弟來說有如千票萬票,感謝您的肯定阿

我要留言

立即登入留言