復(fù)制代理安全性模式

復(fù)制代理安全性模式SQLServer2005其他版本MicrosoftgpDIII■尊? MicrosoftgpDIII■尊? [?T?]此主題尚未評級-評價此主題更新日期：2006年12月12日使用復(fù)制代理安全模式，可以對復(fù)制代理運(yùn)行和建立連接所用的帳戶進(jìn)行精細(xì)粒度的控制:可以為每個代理指定不同的帳戶。有關(guān)如何指定帳戶的詳細(xì)信息，請參管理復(fù)制中的登錄名和密碼，區(qū)重要提示：sysadmin固定服務(wù)器角色的成員配置復(fù)制時，可以配置復(fù)制代理來模擬SQLServer代理帳戶。不指定復(fù)制代理的登錄名和密碼即可完成此操作;但是不推薦這種方法。作為最佳安全做法，建議以本主題后面的"代理所需權(quán)限'部分中介紹的最小權(quán)限來為每個代理指定一個帳戶。和所有可執(zhí)行文件一樣，復(fù)制代理在Windows帳戶的上下文中運(yùn)行。它們使用此帳戶來建立Windows集成安全性連接。代理在哪個帳戶之下運(yùn)行取決于代理的啟動方式：從SQLServer代理作業(yè)啟動代理時，默認(rèn)設(shè)置為：使用SQLServer代理作業(yè)來啟動復(fù)制代理時，代理將在配置復(fù)制時所指定的帳戶的上下文中運(yùn)行。有關(guān)SQLServer代理和復(fù)制的詳細(xì)信息，請參閱本主題后面的'SQLServer代理下的代理安全性'部分。有關(guān)運(yùn)行SQLServer代理的帳戶所需權(quán)限的信息，請參閱配置SQLServer代理。從MS-DOS命令行中直接啟動或通過腳本啟動代理時:代理在通過命令行運(yùn)行代理的用戶帳戶的上下文中運(yùn)行。從使用復(fù)制管理對象(RMO)或ActiveX控件的應(yīng)用程序啟動代理時：代理在調(diào)用RMO或ActiveX控件的應(yīng)用程序的上下文中運(yùn)行。注意：不推薦使用ActiveX控件建議在Windows集成安全性的上下文中建立連接。為了向后兼容，還可以使用SQLServer安全性。有關(guān)最佳方法的詳細(xì)信息，請參閱復(fù)制安全最佳實踐。代理所需權(quán)限用來運(yùn)行代理并建立連接的帳戶需要多種權(quán)限。下表對這些權(quán)限進(jìn)行了說明。建議每個代理使用不同的Windows帳戶運(yùn)行，并應(yīng)僅授予帳戶所需的權(quán)限。有關(guān)與多個代理相關(guān)的發(fā)布訪問列表(PAL)的信息，請參閱保護(hù)發(fā)布服務(wù)器的安全,V注意：WindowsVista中的用戶帳戶控制(UAC)可防止對快照共享的管理訪問。因此，必須對快照代理、分發(fā)代理和合并代理使用的Windows帳戶顯式授予快照共享權(quán)限。即使Windows帳戶是管理員組的成員，也必須執(zhí)行此操作。有關(guān)詳細(xì)信息，請參保護(hù)快照文件夾的安全代理權(quán)限快照代理與分發(fā)服務(wù)器建立連接時，將使用運(yùn)行代理的Windows帳戶。此帳戶必須：至少是分發(fā)數(shù)據(jù)庫中的db_owner固定數(shù)據(jù)庫角色的成員。對快照共享具有寫權(quán)限。用于連接到發(fā)布服務(wù)器的帳戶必須至少是發(fā)布數(shù)據(jù)庫中的db_owner固定數(shù)據(jù)庫角色的成員。日志讀取器與分發(fā)服務(wù)器建立連接時，將使用運(yùn)行代理的Windows帳戶。此帳戶必須至少是分發(fā)數(shù)代理據(jù)庫中的db_owner固定數(shù)據(jù)庫角色的成員。用于連接到發(fā)布服務(wù)器的帳戶必須至少是發(fā)布數(shù)據(jù)庫中的db_owner固定數(shù)據(jù)庫角色的成員。推送訂閱的與分發(fā)服務(wù)器建立連接時，將使用運(yùn)行代理的Windows帳戶。此帳戶必須：分發(fā)代理至少是分發(fā)數(shù)據(jù)庫中的db_owner固定數(shù)據(jù)庫角色的成員。是PAL的成員。對快照共享擁有讀取權(quán)限。如果是對非SQLServer訂閱服務(wù)器的訂閱，必須對訂閱服務(wù)器的OLEDB訪問接口的安裝目錄擁有讀取權(quán)限。用于連接到訂閱服務(wù)器的帳戶必須至少是訂閱數(shù)據(jù)庫中的lb_owner固定數(shù)據(jù)庫角色的成員，或者必須擁有同等權(quán)限(如果訂閱針對非SQLServer訂閱服務(wù)器)。

請求訂閱的與訂閱服務(wù)器建立連接時，將使用運(yùn)行代理的Windows帳戶。此帳戶必須至少是訂閱數(shù)分發(fā)代理據(jù)庫中的db_owner固定數(shù)據(jù)庫角色的成員。用于連接到分發(fā)服務(wù)器的帳戶必須：是PAL的成員。對快照共享擁有讀取權(quán)限。推送訂閱的與發(fā)布服務(wù)器和分發(fā)服務(wù)器建立連接時，將使用運(yùn)行代理的Windows帳戶。此帳戶必須：合并代理至少是分發(fā)數(shù)據(jù)庫中的db_owner固定數(shù)據(jù)庫角色的成員。是PAL的成員。是與發(fā)布數(shù)據(jù)庫中的某個用戶關(guān)聯(lián)的登錄名。對快照共享擁有讀取權(quán)限。用于連接到訂閱服務(wù)器的帳戶必須至少是訂閱數(shù)據(jù)庫中的!b_owner固定數(shù)據(jù)庫角色的成員。請求訂閱的與訂閱服務(wù)器建立連接時，將使用運(yùn)行代理的Windows帳戶。此帳戶必須至少是訂閱數(shù)合并代理據(jù)庫中的db_owner固定數(shù)據(jù)庫角色的成員。用于連接到發(fā)布服務(wù)器和分發(fā)服務(wù)器的帳戶必須：是PAL的成員。是與發(fā)布數(shù)據(jù)庫中的某個用戶關(guān)聯(lián)的登錄名。是與分發(fā)數(shù)據(jù)庫中的某個用戶關(guān)聯(lián)的登錄名。用戶可以為Guest用戶。對快照共享擁有讀取權(quán)限。隊列讀取器與分發(fā)服務(wù)器建立連接時，將使用運(yùn)行代理的Windows帳戶。此帳戶必須至少是分發(fā)數(shù)代理據(jù)庫中的db_owner固定數(shù)據(jù)庫角色的成員。用于連接到發(fā)布服務(wù)器的帳戶必須至少是發(fā)布數(shù)據(jù)庫中的db_owner固定數(shù)據(jù)庫角色的成員。用于連接到訂閱服務(wù)器的帳戶必須至少是訂閱數(shù)據(jù)庫中的db_owner固定數(shù)據(jù)庫角色的

成員。SQLServer代理下的代理安全性使用SQLServerManagementStudioTransact-SQL過程或RMO配置復(fù)制時，默認(rèn)情況下將為每個代理創(chuàng)建SQLServer代理作業(yè)。然后，代理將使用作業(yè)步驟的上下文運(yùn)行，而不管它們是連續(xù)運(yùn)行、根據(jù)計劃運(yùn)行還是按需運(yùn)行?？梢栽赟QLServerManagementStudio中的Jobs文件夾下查看這些作業(yè)。下表列出了作業(yè)名稱。代理作業(yè)名稱快照代理＜發(fā)布服務(wù)器＞-＜發(fā)布數(shù)據(jù)庫＞-＜發(fā)布＞-＜整數(shù)＞合并發(fā)布分區(qū)的快照代理Dyn_＜發(fā)布服務(wù)器＞-＜發(fā)布數(shù)據(jù)庫＞-＜發(fā)布＞-＜GUID＞日志讀取器代理＜發(fā)布服務(wù)器＞-＜發(fā)布數(shù)據(jù)庫〉-＜整數(shù)＞請求訂閱的合并代理＜發(fā)布服務(wù)器＞-＜發(fā)布數(shù)據(jù)庫＞-＜發(fā)布＞-＜訂閱服務(wù)器＞-＜訂閱數(shù)據(jù)庫＞-＜整數(shù)＞推送訂閱的合并代理＜發(fā)布服務(wù)器＞-＜發(fā)布數(shù)據(jù)庫〉-＜發(fā)布＞-＜訂閱服務(wù)器＞-＜整、嘰_數(shù)＞推送訂閱的分發(fā)代理＜發(fā)布服務(wù)器＞-＜發(fā)布數(shù)據(jù)庫〉-＜發(fā)布＞-＜訂閱服務(wù)器＞-＜整數(shù)＞對于對于Oracle發(fā)布的推送訂閱，作業(yè)名稱是'＜發(fā)布服務(wù)器＞-＜發(fā)布服務(wù)器＞”，而不是"＜發(fā)布服務(wù)器＞-＜發(fā)布數(shù)據(jù)庫＞"。請求訂閱的分發(fā)代理＜發(fā)布服務(wù)器＞-＜發(fā)布數(shù)據(jù)庫＞-＜發(fā)布＞-＜訂閱服務(wù)器＞-＜訂閱數(shù)據(jù)庫＞-＜GUID＞2非SQLServer訂閱服務(wù)器的推送訂閱的分發(fā)代理＜發(fā)布服務(wù)器＞-＜發(fā)布數(shù)據(jù)庫〉-＜發(fā)布＞-＜訂閱服務(wù)器＞-＜整數(shù)＞隊列讀取器代理[＜分發(fā)服務(wù)器＞]?＜整數(shù)＞2對于Oracle發(fā)布的請求訂閱，作業(yè)名稱是'＜發(fā)布服務(wù)器＞-＜分發(fā)數(shù)據(jù)庫＞”，而不是"＜發(fā)布服務(wù)器＞-＜發(fā)布數(shù)據(jù)庫＞”配置復(fù)制時，指定運(yùn)行代理應(yīng)使用的帳戶。但是，所有作業(yè)步驟都使用弋理”的安全上下文運(yùn)行；因此，復(fù)制會為指定的代理帳戶在內(nèi)部執(zhí)行下列映射：首先使用Transact-SQLCREATECREDENTIAL語句將帳戶映射到憑據(jù)。SQLServer代理的代理帳戶使用憑據(jù)存儲Windows用戶帳戶的相關(guān)信息。調(diào)用sp_add_proxy存儲過程，并使用憑據(jù)來創(chuàng)建代理。有關(guān)代理的詳細(xì)信息，請參閱創(chuàng)建SQLServer代理的代理帳戶注意：提供此信息有助于您了解使用適當(dāng)?shù)陌踩舷挛倪\(yùn)行代理