SQL Server NETWORK SERVICE 账户权限

Question

我的SQL Server Windows服务设置为使用NETWORK SERVICE账户。

该服务器安装在C:\Program Files\Microsoft SQL Server\MSSQL10_50.MSSQLSERVER\MSSQL目录下。

但是看着该文件夹的权限，NETWORK SERVICE没有任何权限。可以访问该文件夹的组包括...

- CREATOR OWNER - 这是谁？ - SYSTEM - 听起来很好 - 所以Windows可以访问该文件夹？ - SQLServerMSSQLUser$Computer_Name$MSSQLSERVER - 这个有意思 - 是什么？ - 管理员 - 用户

如果NETWORK SERVICE是一个具有最小系统权限的用户，并且看起来像从网络连接的某个人，则它如何具有访问SQL Server安装文件夹中任何文件的权限？

谢谢！

- Remotec

Answer 1

请参见SQL Server文档中的“设置Windows服务帐户”：http://msdn.microsoft.com/en-us/library/ms143504%28v=sql.100%29.aspx：

SQL Server使用安全组设置资源ACL，而不是直接使用服务帐户，因此更改服务帐户可以避免重复执行资源ACL过程。安全组可以是本地安全组、域安全组或服务SID。

在安装SQL Server时，SQL Server Setup为每个SQL Server组件创建一个服务组。这些组简化了授予运行SQL Server服务和其他可执行文件所需权限的过程，并有助于保护SQL Server文件。

根据服务配置，在安装或升级期间将服务或服务SID的服务帐户添加为服务组的成员。

这就是SQLServerMSSQLUser$Computer_Name$MSSQLSERVER。

关于 NetworkService Account：http://msdn.microsoft.com/en-us/library/windows/desktop/ms684272%28v=vs.85%29.aspx：

NetworkService帐户是由服务控制管理器预定义的本地帐户。

运行在NetworkService帐户上下文中的服务向远程服务器提供计算机的凭据。 并不像你所说的： 看起来像是从网络上连接的某个人

- Damien_The_Unbeliever