如何建立一个安全的MSSQLSERVER的启动账号

一般来说，我们会考虑采用WINDOWS验证模式，建立安全的用户权限，改变SQL SERVER TCP/IP的默认端口...等安全措施，但很多DBA还是忽略了MSSQL SERVER服务的启动账号，这也是一个非常值得重点关注的问题。特别是MSSQL SERVER提供了许多操作系统和注册表扩展存储过程，比如：xp_cmdshell, xp_regdeletekey, xp_regdeletevalue 等等。

我们先来回顾一下MSSQL SERVER执行这些扩展存储过程的步骤。MS SQL SERVER提供的扩展存储过程使你可以向T-SQL一样调用一些动态链接库的内部函数逻辑，而且这些扩展存储过程可以包括WIN32和COM的大多数功能。

当关系数据库引擎确定 Transact-SQL 语句引用扩展存储过程时：

关系数据库引擎将扩展存储过程请求传递到开放式数据服务层。

然后开放式数据服务将包含扩展存储过程函数的 DLL 装载到 SQL Server 2000 地址空间(如果还没有装载)。

开放式数据服务将请求传递到扩展存储过程。

开放式数据服务将操作结果传递到数据库引擎。

从上图中我们可以清楚的看到SQL Server 2000的数据库引擎通过扩展存储过程和Windows Resources进行交互。而扩展存储过程可以完成处理操作系统任务的关键是要有一个自己的身份SID，这个SID就来自MSSQL SERVER服务启动账号。所以如果这个MSSQL SERVER服务启动账号是administrators组的用户，我们就可以通过这些扩展存储过程做任意想做的事情：删除系统信息，破坏注册表等等。如果我们限制MSSQL SERVER服务启动账号的权限，这样即使“黑客”或怀有恶意的开发人员获得数据库的管理员权限，也不会对操作系统造成很大的影响。只要有数据库的备份我们可以非常方便的恢复数据库，而不要重新安装系统。所以为了更安全的保护我们的系统，我们希望MSSQL SERVER服务启动账号的权限越低越好。

默认情况下SQL SERVER 只允许administrators组的成员可以连接到数据库。

要想使其它组或用户能登陆到SQL SERVER，你必须在SQL SERVER里创建相应的登录。

方法是在企业管理器里，展开服务器节点，定位到“安全性”-“登录”

然后右击新建登录，“名称”里边选择某个组或用户，然后设置该登录的权限，一般设置成db_owner就可以对相应数据库进行操作了。另外默认数据库也有设置好，否则对默认数据库没有访问权限也会造成登录失败。

你是问的到入了“服务器配置 ”那一步吧？，单击 对所有SQL Server 服务使用相同的账户 ，在弹出的对话框中，在右方点下箭头，选择 NT AUTHORITY\SYSTEM , 然后单击 下一步 继续进行安装了……后面所有选账户的地方，都选“添加当前账户”就可以了

---