运行所有 SQL Server 的单个服务帐户

Question

对于在 35 台服务器的小型公司中运行的所有 SQL Server 实例，使用相同的服务帐户和代理帐户分别运行 SQL Server 和 SQL Agent 是否会对性能产生负面影响？最大的数据库是 0.5 GB。欢迎提出任何建议。谢谢你。

Answer 1

对于在 35 台服务器的小型公司中运行的所有 SQL Server 实例，使用相同的服务帐户和代理帐户分别运行 SQL Server 和 SQL Agent 是否会对性能产生负面影响？

不会。服务帐户不会以任何方式影响性能。一切都与安全有关！

来自SQL Server 2012 安全最佳实践白皮书 （警告：word doc）：

选择服务帐户时，请考虑最小权限原则。服务帐户应该拥有完成其工作所需的权限，并且没有更多权限。

您还需要考虑帐户隔离；服务帐户不仅应彼此不同，而且不应被同一服务器上的任何其他服务使用。

如果您运行的是 Windows Server 2008 R2 和 SQL Server 2012 及更高版本，那么最好使用

• 虚拟账户或

  虚拟帐户是自动配置和管理的受管本地帐户。在 SQL Server 2012 中，它们是安装过程中指定的默认服务帐户。它可以访问网络。虚拟服务帐户具有 NT SERVICE\ 形式的众所周知的名称，并且可以使用凭据 \$ 访问网络。

• 托管服务帐户

  托管服务帐户是一种特殊类型的域帐户，可以分配给一台计算机并用于管理服务。在使用之前，它必须由域管理员提供。这种类型的帐户不能用于登录计算机，并且在提供后提供自动 SPN 和密码管理。

Answer 2

为所有服务器使用一个服务帐户的真正问题是：您希望安全到什么程度？如果有人能够破解那个帐户，那么所有 35 台服务器都将一举暴露。

我更喜欢每台服务器至少有一个服务帐户。为了安全起见，还建议拥有多个用于不同用途的服务帐户。

请参阅：配置 Windows 服务帐户和权限

这提供了有关服务帐户的广泛建议。当然，这取决于您需要或想要做的事情。

当然，您可以为另一台服务器上的服务帐户授予本地权限。这将允许它根据您授予的权限进行更改。

Answer 3

在所有服务器上使用同一帐户不会对性能产生负面影响。但是，如果该帐户发生更改，则会影响使用该帐户的所有服务。您可能需要考虑针对不同环境（例如DEV、TEST、PROD）的不同帐户。