システム管理者 (SA) ロールは、SQL Server で最も強力なロールです。このロールは、すべてのセキュリティチェックを完全にバイパスし、SQL Server で任意の操作を実行できます。RDS SQL Server でシステム管理者権限を持つデータベースアカウント (特権アカウント) を作成して、オンプレミスソフトウェアをクラウドに迅速に適応させることができます。
前提条件
RDS インスタンスは、次の要件を満たす必要があります:
インスタンスエディション: Basic Edition、High-availability Edition (SQL Server 2012 以降)、または Cluster Edition
インスタンスタイプ: 汎用、専用 (共有タイプはサポートされていません)
課金方法: サブスクリプションまたは従量課金 (サーバーレスインスタンスではサポートされていません)
ネットワークタイプ: Virtual Private Cloud (VPC)。ネットワークタイプを変更するには、「ネットワークタイプを変更する」をご参照ください。
インスタンス作成時間:
High-availability Edition および Cluster Edition インスタンスは、2021 年 1 月 1 日以降に作成されている必要があります。
Basic Edition インスタンスは、2022 年 9 月 2 日以降に作成されている必要があります。
説明実行ステータス 配下の 基本情報 ページで [作成時間] を表示できます。
Alibaba Cloud アカウントでログインする必要があります。
注意
インスタンスが前提条件を満たしているにもかかわらず、コンソールにシステム管理者アカウントを作成するためのエントリが表示されない場合は、インスタンスで ゾーン移行操作を実行できます。操作が完了したら、アカウント管理 ページを更新してシステム管理者アカウントを作成します。
各インスタンスに作成できるシステム管理者権限を持つデータベースアカウントは 1 つだけです。このアカウントは、作成後にコンソールから削除できます。
Apsara Stack は、システム管理者アカウントの作成をサポートしていません。
システム管理者アカウント名には、次のいずれも使用できません:
root|admin|eagleye|master|aurora|sysadmin|administrator|mssqld|public|securityadmin|serveradmin|setupadmin|processadmin|diskadmin|dbcreator|bulkadmin|tempdb|msdb|model|distribution|mssqlsystemresource|guest|add|except|percent|all|exec|plan|alter|execute|precision|and|exists|primary|any|exit|print|as|fetch|proc|asc|file|procedure|authorization|fillfactor|public|backup|for|raiserror|begin|foreign|read|between|freetext|readtext|break|freetexttable|reconfigure|browse|from|references|bulk|full|replication|by|function|restore|cascade|goto|restrict|case|grant|return|check|group|revoke|checkpoint|having|right|close|holdlock|rollback|clustered|identity|rowcount|coalesce|identity_insert|rowguidcol|collate|identitycol|rule|column|if|save|commit|in|schema|compute|index|select|constraint|inner|session_user|contains|insert|set|containstable|intersect|setuser|continue|into|shutdown|convert|is|some|create|join|statistics|cross|key|system_user|current|kill|table|current_date|left|textsize|current_time|like|then|current_timestamp|lineno|to|current_user|load|top|cursor|national|tran|database|nocheck|transaction|dbcc|nonclustered|trigger|deallocate|not|truncate|declare|null|tsequal|default|nullif|union|delete|of|unique|deny|off|update|desc|offsets|updatetext|disk|on|use|distinct|open|user|distributed|opendatasource|values|double|openquery|varying|drop|openrowset|view|dummy|openxml|waitfor|dump|option|when|else|or|where|end|order|while|errlvl|outer|with|escape|over|writetext||dbo|login|sys|drc_rds$
影響
システム管理者アカウントは RDS SQL Server の制御範囲を超える過剰な権限を持つため、RDS SQL Server インスタンスでシステム管理者アカウントを作成した場合、そのインスタンスは サービスレベル契約 (SLA) の対象外となります。インスタンスのランタイム環境はお客様に属しますが、インスタンスの通常の使用とアフターサービスには影響しません。システム管理者アカウントが作成されていない RDS SQL Server インスタンスは、引き続き SLA の完全な対象となります。
使用上の推奨事項
システム管理者アカウントは RDS SQL Server の制御範囲を超える過剰な権限を持つため、このアカウントを使用する際は、次の推奨事項に従う必要があります:
High-availability Edition または Cluster Edition の RDS SQL Server インスタンスの
rdscoreデータベースを操作しないでください。システムアカウントを操作しないでください。詳細については、「システムアカウントの説明」をご参照ください。
ローカル環境で物理バックアップ操作を実行しないでください。これらの操作は、インスタンスのポイントインタイムリカバリ (PITR) 機能に影響します。RDS のバックアップ機能を使用することをお勧めします。詳細については、「SQL Server データのバックアップ」をご参照ください。
High-availability Edition または Cluster Edition の RDS SQL Server インスタンスの高可用性関連オブジェクトを削除または操作しないでください。たとえば、
DROP AVAILABILITY GROUP操作を実行するなどです。C ドライブ (システムディスク) にはデータを保存しないでください。
RDS インスタンス内の既存のサーバーレベルのトリガーを変更しないでください。これには、
[_$$_tr_$$_rds_alter_database]、[_$$_tr_$$_rds_alter_login]、[_$$_tr_$$_rds_create_database]、[_$$_tr_$$_rds_create_login]、[_$$_tr_$$_rds_drop_database]、[_$$_tr_$$_rds_drop_login]、および[_$$_tr_$$_rds_server_role]が含まれます。起動アカウントやポートなど、SQL Server のコア構成を変更しないでください。
Windows の管理者パスワードを変更しないでください。
手順
[インスタンス] ページに移動します。上部のナビゲーションバーで、RDS インスタンスが存在するリージョンを選択します。次に、RDS インスタンスを見つけて、インスタンスの ID をクリックします。
左側のナビゲーションウィンドウで、アカウント管理 をクリックします。
アカウントの作成 をクリックし、次のパラメーターを設定して、OK をクリックします。
パラメーター
説明
データベースアカウント
アカウント名には、小文字、数字、アンダースコア (_) を使用できます。先頭は文字である必要があり、末尾は文字または数字である必要があります。アカウント名は 64 文字までです。
アカウントタイプ
システム管理者アカウント を選択し、[特権アカウントの作成によって生じる RDS サービスレベル契約の変更を読み、同意します] を読んで選択します。
説明このアカウントタイプが見つからない場合は、インスタンスが前提条件を満たしているかどうかを確認してください。
他のアカウントタイプの詳細については、「標準アカウントと特権アカウント」および「ホストアカウント」をご参照ください。
新しいパスワード
アカウントのパスワードを設定します。パスワードは、次の要件を満たす必要があります:
パスワードの長さは 8～32 文字である必要があります。
パスワードには、大文字、小文字、数字、特殊文字のうち、3 種類以上を含める必要があります。
特殊文字には、
!@#$%^&*()_+-=が含まれます。
パスワードの確認
パスワードを再入力して確認します。
パスワードポリシーの適用
アカウントを作成するときに、パスワードポリシーを適用してアカウントパスワードの有効期間を制御し、アカウントのセキュリティを強化するかどうかを選択できます。パスワードポリシーを適用する前に、パスワードポリシーを設定する必要があります。
備考
アカウントの説明を入力します。説明は 256 文字までです。
(オプション) アカウントのパスワードをリセットするか、アカウントを無効にします。
操作 列の パスワードのリセット、アカウントを無効化、または [削除] ボタンをクリックして、アカウントを管理できます。詳細については、「パスワードのリセット」をご参照ください。
リファレンス
API 操作を呼び出して、システム管理者権限またはその他の権限を持つデータベースアカウントを作成することもできます。詳細については、「CreateAccount - データベースアカウントの作成」をご参照ください。
コンソールで標準アカウントまたは特権アカウントを作成するには、「標準アカウントまたは特権アカウントの作成」をご参照ください。