SQL Server 服务帐户配置 - 每台服务器一个帐户？

Question

计划为我们的 Sql-Servers 重新创建新的服务帐户，我想知道 - 从安全角度来看 - 每个服务和每个服务器拥有一个域帐户或仅为每个服务创建一个域帐户并重复使用可能更好那些在不同的服务器上？

DOMAIN\Service-SSRS
DOMAIN\Service-SSAS
DOMAIN\Service-SSIS

vs.

DOMAIN\Service-SQL01-SSRS
DOMAIN\Service-SQL01-SSAS
DOMAIN\Service-SQL01-SSIS
DOMAIN\Service-SQL02-SSRS
DOMAIN\Service-SQL02-SSAS
DOMAIN\Service-SQL02-SSIS
etc.

我们这样做是因为我们希望在所有服务器上都有一个统一和一致的配置，而今天还没有到位。我觉得每个服务器都有一个帐户可能会带来更大的灵活性，因此适得其反......

有什么具体的优点/缺点吗？为每台服务器设置单独的服务帐户是否有很多用途？

Answer 1

在以下情况下，每台服务器和每项服务的单独服务帐户会将任何问题限制在一台服务器和一项服务上：

1. 服务帐号遭到入侵
2. 服务帐户被锁定
3. 服务帐号密码已更改
4. 服务帐户被错误地禁用/删除/重命名

想象一下，如果您多次输入错误的服务凭据（脚本非常适合），单个服务帐户会发生什么情况：您将锁定该帐户并拆除整个 SQL Server 场。不好。