Criar contas padrão, privilegiadas e globais somente leitura para uma instância ApsaraDB RDS for SQL Server - ApsaraDB RDS: Central de Documentação do Alibaba Cloud

Pré-requisitos e limites

A primeira conta de uma instância deve ser uma conta privilegiada ou uma superuser account (with SA permissions).
É possível criar contas privilegiadas e padrão em instâncias de qualquer especificação. Contas globais somente leitura só podem ser criadas em instâncias que atendem aos seguintes requisitos:
- Versão do banco de dados: SQL Server 2016 ou posterior.
- Família da instância: uso geral ou dedicada.
Limites de contas:
- Contas padrão: sem limite.
- Contas privilegiadas: máximo de uma por instância.
- Contas globais somente leitura: máximo de duas por instância.

Regras de permissão de conta

Conta privilegiada

Cenário	Descrição
Criar uma conta privilegiada	Após a criação, a conta recebe automaticamente a função db_owner role em todos os bancos de dados existentes.
Adicionar um banco de dados	A conta não tem acesso a bancos de dados criados após sua própria criação. Acesse o console ApsaraDB RDS e modifique o escopo de permissões da conta privilegiada para conceder a permissão db_owner no novo banco de dados.
Excluir uma conta privilegiada	Esta operação remove permanentemente a conta e suas permissões em todos os bancos de dados. Não será mais possível usar a conta para fazer login ou executar operações no banco de dados.
Recriar uma conta privilegiada	Ao recriar uma conta privilegiada, mesmo que utilize o nome original, o sistema concede automaticamente à nova conta a permissão db_owner em todos os bancos de dados existentes na instância atual. Para bancos de dados criados posteriormente, ainda é necessário modificar manualmente as permissões para conceder a permissão db_owner à conta.

Selecionar manualmente a função de servidor sysadmin para uma conta privilegiada no SQL Server Management Studio (SSMS) não surte efeito. O ApsaraDB RDS aplica restrições de segurança às contas privilegiadas e não permite conceder diretamente a permissão sysadmin. Caso precise da permissão sysadmin, crie uma conta de superusuário (com permissões SA). Após criar uma conta de superusuário, a instância deixa de ser coberta pelo SLA. Para mais informações, consulte Create a database account with SA permissions.

Conta padrão

Cenário	Descrição
Criar uma conta padrão	Durante a criação da conta, especifique manualmente os bancos de dados a autorizar e as permissões correspondentes (leitura/gravação, somente leitura ou proprietário). Se nenhum banco de dados for autorizado durante a criação, a conta será criada sem acesso a nenhum banco de dados. Posteriormente, será necessário conceder permissões manualmente para que a conta acesse bancos de dados específicos.
Adicionar um banco de dados	Por padrão, uma conta padrão não tem acesso a bancos de dados recém-criados. Mesmo que possua permissões existentes, a conta não recebe acesso automático a novos bancos de dados. É necessário adicionar manualmente o novo banco de dados à lista de autorização da conta e definir as permissões apropriadas.
Excluir uma conta padrão	A exclusão da conta remove permanentemente todas as suas permissões de acesso ao banco de dados. Não será mais possível usar a conta para fazer login ou executar operações no banco de dados. Conexões de aplicativos associados falharão. Atualize prontamente as informações de conta e senha.
Recriar uma conta padrão com o mesmo nome	Mesmo ao recriar uma conta com o mesmo nome, as permissões originais não são restauradas automaticamente. A nova conta não possui permissões em nenhum banco de dados. É necessário reautorizar manualmente os bancos de dados e definir permissões para restaurar o acesso.

Conta global somente leitura

Cenário	Descrição
Criar uma conta global somente leitura	Após a criação, a conta recebe automaticamente permissões de somente leitura em todos os bancos de dados existentes na instância. A conta não tem acesso aos bancos de dados de sistema `master` e `rdscore` (se existir).
Adicionar um banco de dados	A conta recebe automaticamente acesso de somente leitura aos novos bancos de dados.
Excluir uma conta global somente leitura	A exclusão da conta remove permanentemente suas permissões de somente leitura. Não será mais possível usar a conta para fazer login ou executar operações no banco de dados.
Recriar uma conta global somente leitura	Ao recriar uma conta global somente leitura, independentemente de usar o nome original, o sistema concede automaticamente permissões de somente leitura em todos os bancos de dados existentes na instância atual. A conta também recebe automaticamente permissões de somente leitura para bancos de dados criados posteriormente.

Precauções

Defina uma senha forte: Para garantir a segurança do banco de dados, defina uma senha forte para a conta do banco de dados e altere-a regularmente. Também é possível definir uma política de senha para uma conta para controlar o período de validade da senha e aumentar a segurança da conta.
Princípio do menor privilégio: Ao atribuir permissões, siga o princípio do menor privilégio. Crie contas com base nas funções de negócio e atribua permissões de somente leitura e leitura/gravação conforme necessário. Se necessário, crie contas de banco de dados e bancos de dados com granularidade mais fina. Isso garante que cada conta de banco de dados acesse apenas os dados necessários para seu negócio. Se uma conta não precisar modificar dados, conceda permissões de somente leitura.

Criar uma conta

Acesse a página Instances. Na barra de navegação superior, selecione a região onde a instância RDS reside. Em seguida, localize a instância RDS e clique em ID da instância.
No painel de navegação à esquerda, clique em Accounts.

Clique em Create Account e configure os parâmetros.

Nota

A primeira conta de uma instância ApsaraDB RDS for SQL Server deve ser uma conta privilegiada ou uma superuser account. Só é possível criar uma conta padrão ou global somente leitura após a criação de uma dessas contas.

Conta privilegiada

Parâmetro	Descrição
Database Account	Insira um nome para a conta do banco de dados. O nome deve começar com uma letra, terminar com uma letra ou dígito e conter apenas letras minúsculas, dígitos e sublinhados (_). O nome da conta não pode ser igual a um reserved keyword.
Account Type	Selecione Privileged Account. Cada instância pode ter apenas uma conta privilegiada.
New Password	Insira uma senha para a conta. A senha deve atender aos seguintes requisitos: Ter entre 8 e 32 caracteres. Conter pelo menos três dos seguintes tipos de caracteres: letras maiúsculas, letras minúsculas, dígitos e caracteres especiais. Os caracteres especiais suportados são `!@#$%^&*()_+-=`.
Confirm Password	Insira a mesma senha novamente para confirmá-la.
Apply password policy	Aplicar uma política de senha permite controlar o período de validade da senha e aumentar a segurança da conta. Antes de aplicar uma política, é necessário primeiro definir uma política de senha para uma conta.
Description	Insira uma descrição. A descrição pode ter até 256 caracteres.

Conta padrão

Parâmetro	Descrição
Database Account	Insira um nome para a conta do banco de dados. O nome deve começar com uma letra, terminar com uma letra ou dígito e conter apenas letras minúsculas, dígitos e sublinhados (_). O nome da conta não pode ser igual a um reserved keyword.
Account Type	Selecione Standard Account. Uma instância pode ter várias contas padrão.
Authorize Database:	É possível conceder permissões de uma Standard Account em um ou mais bancos de dados e definir permissões diferentes para cada um. Se não houver bancos de dados, deixe este campo vazio e conceda permissões posteriormente. Para conceder permissões: Na lista Unauthorized Databases, selecione os bancos de dados que deseja autorizar. Clique em para adicionar os bancos de dados à lista Authorized Databases. Defina as permissões nos bancos de dados para a conta. As permissões podem ser Read/Write (DML), Read-Only ou Owner. Para mais informações sobre permissões, consulte Account permissions.
New Password	Insira uma senha para a conta. A senha deve atender aos seguintes requisitos: Ter entre 8 e 32 caracteres. Conter pelo menos três dos seguintes tipos de caracteres: letras maiúsculas, letras minúsculas, dígitos e caracteres especiais. Os caracteres especiais suportados são `!@#$%^&*()_+-=`.
Confirm Password	Insira a mesma senha novamente para confirmá-la.
Apply password policy	Aplicar uma política de senha permite controlar o período de validade da senha e aumentar a segurança da conta. Antes de aplicar uma política, é necessário primeiro definir uma política de senha para uma conta.
Description	Insira uma descrição. A descrição pode ter até 256 caracteres.

Conta global somente leitura

Parâmetro	Descrição
Database Account	Insira um nome para a conta do banco de dados. O nome deve começar com uma letra, terminar com uma letra ou dígito e conter apenas letras minúsculas, dígitos e sublinhados (_). O nome da conta não pode ser igual a um reserved keyword.
Account Type	Selecione Global Read-Only Account. Após a criação desta conta, ela recebe automaticamente permissões de somente leitura em todos os bancos de dados existentes na instância. Essas permissões também se aplicam a quaisquer novos bancos de dados criados.
New Password	Insira uma senha para a conta. A senha deve atender aos seguintes requisitos: Ter entre 8 e 32 caracteres. Conter pelo menos três dos seguintes tipos de caracteres: letras maiúsculas, letras minúsculas, dígitos e caracteres especiais. Os caracteres especiais suportados são `!@#$%^&*()_+-=`.
Confirm Password	Insira a mesma senha novamente para confirmá-la.
Apply password policy	Aplicar uma política de senha permite controlar o período de validade da senha e aumentar a segurança da conta. Antes de aplicar uma política, é necessário primeiro definir uma política de senha para uma conta.
Description	Insira uma descrição. A descrição pode ter até 256 caracteres.

Clique em OK. Após a atualização da página, visualize a conta criada.

Documentos relacionados

Use o console para criar uma conta de banco de dados com permissões SA.
Crie contas chamando a operação de API CreateAccount.
Exclua contas chamando a operação de API DeleteAccount.

Perguntas frequentes

Contas em instâncias somente leitura

Contas criadas em uma instância primária são sincronizadas com suas instâncias somente leitura. Não é possível gerenciar contas em instâncias somente leitura. Essas contas sincronizadas possuem permissões de somente leitura nas instâncias somente leitura e não podem ser usadas para operações de gravação.

Ignorar complexidade de senha

Para garantir a segurança do banco de dados, o ApsaraDB RDS for SQL Server exige que a senha contenha pelo menos três dos seguintes tipos de caracteres: letras maiúsculas, letras minúsculas, dígitos e caracteres especiais, e tenha comprimento entre 8 e 32 caracteres.

No entanto, se for necessário ignorar os requisitos de complexidade de senha por motivos de negócio, execute as etapas a seguir:

Importante

Uma senha simples aumenta o risco de ataques ao sistema. Recomendamos definir uma senha forte para sua conta de banco de dados e alterá-la regularmente.

Em sua instância ApsaraDB RDS, crie uma conta de usuário (por exemplo, A). Use esta conta para conectar-se à instância do SQL Server com o SQL Server Management Studio (SSMS).
Use a conta A para criar a conta de destino executando a seguinte instrução SQL, que também desativa a verificação de complexidade de senha:

Nota
Como o Data Management (DMS) não permite alternar para o banco de dados master, use o SSMS para executar esta instrução SQL.
```
-- Switch to the master database.
USE master
GO
-- Create the target account.
CREATE LOGIN [your_account_name] WITH PASSWORD=N'your_password', CHECK_EXPIRATION=OFF, CHECK_POLICY=OFF
GO
-- Enable the target account.
ALTER LOGIN [your_account_name] ENABLE
GO
```
O parâmetro CHECK_EXPIRATION = OFF desativa o recurso de expiração de senha. O parâmetro CHECK_POLICY = OFF desativa a verificação da política de complexidade de senha, que inclui requisitos de comprimento e complexidade.

Nota
É possível usar o console ApsaraDB RDS para personalizar uma política de senha de uma conta de usuário individual em uma instância ApsaraDB RDS for SQL Server, implementando gerenciamento granular de senhas e aumentando a segurança da conta.

Uma conta ApsaraDB RDS for SQL Server está inativa e o login falha com o erro The account is disabled.?

Problema

Na página Accounts de uma instância ApsaraDB RDS for SQL Server, o status da conta é exibido como Inactive. Ao tentar fazer login no banco de dados usando uma conta inativa, a mensagem de erro The account is disabled. é relatada.

Causa

Contas de usuário criadas na página Accounts de uma instância ApsaraDB RDS for SQL Server ou chamando uma operação API estão ativas por padrão. Não é necessário ativá-las manualmente. Uma conta pode ficar inativa pelos seguintes motivos:

A conta foi criada em estado desabilitado usando uma instrução SQL.
A conta foi desabilitada manualmente após a criação.

Solução

Use outra conta ativa para conectar-se à instância do SQL Server usando o SQL Server Management Studio (SSMS).
Verifique se a conta de destino está desabilitada. Se estiver, ative a conta.
- Método 1: Visualize e modifique o status da conta na interface gráfica do usuário (GUI) do SSMS.
- Método 2: Visualize e modifique o status da conta usando instruções SQL.
  1. Execute a seguinte consulta SQL para verificar o status atual da conta de destino:
```
-- Query the status of the target logon name.
SELECT 
    name AS LoginName,          -- Logon name
    is_disabled AS IsDisabled   -- Status: 1 indicates disabled, 0 indicates enabled.
FROM 
    sys.server_principals
WHERE 
    name = 'your_logon_name';
```
  2. Se a conta de destino estiver desabilitada (is_disabled = 1), execute o seguinte comando SQL para ativar a conta:
```
ALTER LOGIN [your_logon_name] ENABLE;
```

Erro AccountLimitExceeded no CreateAccount

Problema

Ao chamar a operação de API CreateAccount para criar uma conta de banco de dados, você pode receber o seguinte erro se especificar parâmetros incorretos:

"Code": "AccountLimitExceeded",
"Message": "AccountQuotaExceeded: Exceeding the allowed amount of account"

Este erro indica que o número de contas na instância atingiu o limite máximo.

Causa

Cada instância limita-se a uma conta privilegiada e uma conta de superusuário. A conta privilegiada não pode ser excluída.
Problema com configurações de parâmetros: No SQL Server, se o parâmetro AccountType estiver definido como Sysadmin (conta de superusuário) ou Super (conta privilegiada), e já existir uma conta privilegiada correspondente no banco de dados, o erro AccountLimitExceeded será acionado.

Solução

Criar uma conta padrão: Certifique-se de que AccountType esteja definido como Normal. O ApsaraDB RDS geralmente não limita o número de contas padrão, mas o número específico depende do kernel da instância.
Criar uma conta privilegiada: Certifique-se de que AccountType esteja definido como Super. Na página Accounts do console ApsaraDB RDS, verifique se já existe uma conta privilegiada na instância. Se já existir, evite criar uma duplicata.
Criar uma conta de superusuário: Certifique-se de que AccountType esteja definido como Sysadmin. Verifique se já existe uma conta privilegiada para a instância na página Accounts no console ApsaraDB RDS. Se já existir, não crie uma duplicata.