開発ボックスに対する開発者へのSA特権の付与

私たちの激しい抗議にもかかわらず、私たちの経営陣は、開発チームに開発サーバーに対する「sa」権限を付与する必要があると決定しました。キャッチは、私たち、DBサポートグループがまだこのボックスを維持する責任があるということです。

私たちは今、これらの強化された特権を持つ開発チームのために、すべきこととすべきでないことのリストを思いつくことを任されています。

このリストに追加してください：

DO-開発中のDBにアクティビティを制限する

しない -

• SQLインスタンスの設定を変更する
• sp_configure（cmdshellを含む）
• セキュリティ設定の追加/変更/削除
• データベースオブジェクトの追加/変更/削除
• バックアップデバイスやリンクサーバーなどのサーバーオブジェクトの追加/変更/削除
• 複製の追加/変更/削除
• メンテナンスプランの追加/変更/削除
• チームに属していないデータベースに触れる

これらのユーザーの活動を追跡するために利用できるツールへのポインタは大歓迎です。

手遅れにならない場合は、権限をアップグレードしたり、開発者の既存のアカウントを置き換えたりするのではなく、うまく機能する1つの妥協案として、昇格した権限が必要な場合にのみ使用する別のアカウントを作成します。

したがって、通常、これらは個別の「制限された」アカウントで機能します（これらの制限されたアカウントには、依然としていくつかの大きな権限が必要です（つまり、テーブルの作成、削除、変更）。ただし、必要と思われるまれな場合にはsa、このアカウントを使用してログインできます。次に、ログでアカウントにフラグを付け、追加の監視を行うことができます。開発者に要求したアクセス権を与えましたが、その方が少し制御しやすくなっています。

最終的に、悪用があった場合、このアカウントのログは、それを奪う証拠として使用できます。

それは言いますが、システム管理者（SA）を必要とする（MSDN）ここでは SQL Server 2005の上のデバッグに。

ただし、このSOの質問は、saを使用しない別の方法を示しています。単に実行を許可するsp_sidedebug

また、他の問題も解決するローカルSQL Expressを提供することをお勧めします...

（より多くの情報で編集）

W.クレイグトレーダーの回答の後に編集

最悪の場合の「sa」権限に関するその他の問題：

• 開発者は信頼できないCLRアセンブリを作成します
• 彼らはxp_cmdshellを使用します
• すべてのアクションは、SQLサーバーサービスアカウントのコンテキスト内にあります
• 彼らはクライアント接続のsa権限を引き継ぎます
• などなど

例えば xp_cmdshell 'scm -Action 6 -Server PRODSERVER'

私が提案しているのは、ポリシーベースの管理を設定し、すべての「実行」および「実行しない」をポリシールールとして適用することです。これは、インスタンスを保護するのに大いに役立ちます。

また、DDL変更監査も展開します。「SQL Server 2008での監査」を参照してください。抑止力ではなく、ほとんどが変更追跡システムであるため、何かがおかしくなったときに、少なくとも何が変更されたかがわかります。

DEVELOPMENTサーバーの場合、DEVELOPERSが完全なアクセス権を持つことができる問題は何ですか？データベースオブジェクト（例：テーブル、列、インデックス）を追加/削除/変更できないことを開発者に伝えることは、「コンパイラは使用できるが、実行は許可されていない」と伝えるのと同じです。開発者は、独自のデータベースインスタンスへのアクセスを望んでいる/必要としているように見えます。特に、PRODUCTIONまたはTESTデータベースをいじる必要なしに、問題を解決するさまざまな方法をテストできるようにします。あなたはそれを落胆させるのではなく、そのような行動を奨励すべきです。

開発者がSQL Expressのローカルインスタンスで作業することを提案する人もいますが、開発者ごとのSQL Expressは特定の問題を解決できますが、別のサーバー上の完全なSQL Serverとは異なる制限とパフォーマンス特性があります。

行うべきことは、定期的なバックアップスケジュールを設定し（少なくとも毎晩）、開発者と協力して、スケジュールされていないバックアップを開始し、バックアップから復元する方法を確実に理解して、問題が発生した場合のダウンタイムを最小限に抑えることです。

そののdevのサーバーではなく、DBサポートグループサーバー、またはプロダクションサーバー。適切なバックアップ/イメージを保持し、開発者にハッキングを許可します。DBAがdevboxを制御できるようにすることは、尾に犬を振らせるようなものです。開発者が開発者の作業を行うためにあります。これには、時々物事を壊してテーブルを削除し、それらを別の設定で戻すことが含まれます。開発用ボックスは、しばらくすると常に壊れた状態になります。それが私たちの仕事です。問題が発生している場所がわからない場合は、さまざまなことを試します。元に戻すのが簡単なものもあれば、そうでないものもあります。

私は、彼らが開発ボックスに対するSA特権を必要としているとは思いません。ほとんどの場合、彼らはなしで行うことができます。

ローカルの開発版をインストールすることをお勧めします。

質問：

開発者にデータベースオブジェクトの追加/変更/削除を望まない？!! 彼らはどのように成長するのでしょうか？

すべてのデータベース構造の変更は、スクリプトでも（devでも）実行し、subversionに保存する必要があります。次に、設定されたスケジュールに従って、製品から開発を更新します。開発サイクルの元の場所に戻るには、スクリプトを再実行する必要があります。これにより、すべてがスクリプトを介して実行され、展開の準備が整ったときにスクリプトを準備することができます。

2008年にデータベースの構造変化を追跡するためにDDLトリガーを設定できることを知っていますが、2005年にこれを実行できますか？このようにして、少なくとも誰かが設定を変更したときにそれを実行した人を見つけ、その理由を知ることができます。

SQL Server監査が必要ですが、データベースオブジェクトの作成をすべて行う場合、開発者はsaを必要とするのはなぜですか？

http://msdn.microsoft.com/en-us/library/cc280526.aspx