SQL Server 网络服务帐户权限

Question

我的 SQL Server Windows 服务设置为使用 NETWORK SERVICE 帐户。

服务器安装到C:\Program Files\Microsoft SQL Server\MSSQL10_50.MSSQLSERVER\MSSQL。

但是查看该文件夹的权限，NETWORK SERVICE 没有任何权限。允许访问该文件夹的组是...

• 创作者所有者 - 这是谁？
• SYSTEM - 听起来不错 - 以便 Windows 可以访问我认为的文件夹？
• SQLServerMSSQLUser$Computer_Name$MSSQLSERVER - 这是有趣的 - 这是什么？
• 管理员
• 用户

如果 NETWORK SERVICE 是对系统具有最低权限的用户，并且将操作系统视为从网络连接的人，它如何有权访问 SQL Server 安装文件夹中的任何文件？

谢谢。

Answer 1

请参阅 SQL Server 文档中的 Setting Up Windows Service Accounts：

SQL Server 使用安全组来设置资源 ACL，而不是直接使用服务帐户，因此无需重复资源 ACL 过程即可更改服务帐户。安全组可以是本地安全组、域安全组或服务 SID。

在 SQL Server 安装期间，SQL Server 安装程序会为每个 SQL Server 组件创建一个服务组。这些组简化了授予运行 SQL Server 服务和其他可执行文件所需的权限，并有助于保护 SQL Server 文件。

根据服务配置，服务或服务 SID 的服务帐户在安装或升级期间添加为服务组的成员。

SQLServerMSSQLUser$Computer_Name$MSSQLSERVER 就是这样。

---

关于NetworkService Account：

NetworkService 帐户是服务控制管理器使用的预定义本地帐户。

...

在 NetworkService 帐户上下文中运行的服务将计算机的凭据提供给远程服务器。

不是，正如你所说：

将操作系统视为从网络连接的人