Konfigurieren von Dienstkonten (Analysis Services)

Gilt für: SQL Server Analysis Services Azure Analysis Services Fabric/Power BI Premium

Die produktweite Kontobereitstellung ist unter Konfigurieren von Windows-Dienstkonten und -berechtigungen dokumentiert, einem Thema, das umfassende Dienstkontoinformationen für alle SQL Server-Dienste enthält, einschließlich SQL Server Analysis Services. Dort erfahren Sie alles über gültige Kontotypen, beim Setup zugewiesene Windows-Berechtigungen, Dateisystemberechtigungen, Registrierungsberechtigungen und vieles mehr.

Dieses Thema enthält zusätzliche Informationen für SQL Server Analysis Services, einschließlich zusätzlicher Berechtigungen, die für tabellarische und gruppierte Installationen erforderlich sind. Außerdem werden Berechtigungen behandelt, die zur Unterstützung von Servervorgängen erforderlich sind. Beispielsweise können Sie Verarbeitungs- und Abfragevorgänge so konfigurieren, dass sie unter dem Dienstkonto ausgeführt werden . In diesem Szenario sind zusätzliche Berechtigungen erforderlich.

• Analysis Services zugewiesene Windows-Berechtigungen

• Analysis Services zugewiesene Dateisystemberechtigungen

• Erteilen zusätzlicher Berechtigungen für bestimmte Servervorgänge

Ein weiterer Konfigurationsschritt, der hier nicht dokumentiert ist, besteht darin, einen Dienstprinzipalnamen (Service Principal Name, SPN) für die SQL Server Analysis Services instance und das Dienstkonto zu registrieren. Dieser Schritt ermöglicht Pass-Through-Authentifizierung von Clientanwendungen zu Back-End-Datenquellen in Double-Hop-Szenarien. Dieser Schritt kann bei Diensten verwendet werden, die für eingeschränkte Kerberos-Delegierung konfiguriert sind. Weitere Anweisungen finden Sie unter Configure Analysis Services for Kerberos constrained delegation .

Kontoempfehlungen für die Anmeldung

Das Startkonto des WINDOWS-Diensts MSSQLServerOLAPService kann ein Windows-Domänenbenutzerkonto, ein virtuelles Konto, ein verwaltetes Dienstkonto (MSA) oder ein integriertes Konto wie eine Dienst-SID, NetworkService oder LocalSystem sein. Die Verwendung eines Domänenbenutzerkontos als Dienstanmeldungskonto enthält Details zu Benutzerkontenformaten.

In einem Failovercluster sollten alle Instanzen von Analysis Services so konfiguriert werden, dass sie ein Windows-Domänenbenutzerkonto verwenden. Weisen Sie dasselbe Konto für alle Instanzen zu. Weitere Informationen finden Sie unter Clustern von Analysis Services .

Eigenständige Instanzen sollten das virtuelle Standardkonto verwenden: NT Service\MSSQLServerOLAPService für die Standardinstanz oder NT Service\MSOLAP$Instanzname für eine benannte Instanz. Diese Empfehlung gilt für Analysis Services-Instanzen in allen Servermodi, Windows Server 2008 R2 und höher für das Betriebssystem und SQL Server 2012 und höher für Analysis Services vorausgesetzt.

Erteilen von Berechtigungen für Analysis Services

In diesem Abschnitt werden die Berechtigungen erläutert, die Analysis Services für lokale interne Vorgänge benötigt. Zu diesen Vorgängen gehören das Starten der ausführbaren Datei, das Lesen der Konfigurationsdatei und das Laden von Datenbanken aus dem Datenverzeichnis. Anleitungen zum Festlegen von Berechtigungen für den Zugriff auf externe Daten und die Interoperabilität mit anderen Diensten und Anwendungen finden Sie unter Gewähren zusätzlicher Berechtigungen für bestimmte Servervorgänge weiter in diesem Thema.

Bei internen Vorgängen ist der Berechtigungsinhaber in Analysis Services nicht das Anmeldekonto, sondern eine lokale Windows-Sicherheitsgruppe, die vom Setup erstellt wurde und die dienstspezifische SID enthält. Das Zuweisen von Berechtigungen für die Sicherheitsgruppe deckt sich mit früheren Versionen von Analysis Services. Darüber hinaus können sich Anmeldekonten mit der Zeit ändern, aber die Pro-Dienst-SID und die lokale Sicherheitsgruppe bleiben für die Lebensdauer der Serverinstallation gleich. Für Analysis Services ist die Sicherheitsgruppe eine bessere Wahl für das Speichern von Berechtigungen als das Anmeldekonto. Wenn Sie manuell Berechtigungen für die Dienstinstanz erteilen, egal ob Dateisystemberechtigungen oder Windows-Berechtigungen, erteilen Sie der für die Serverinstanz erstellten lokalen Sicherheitsgruppe die Berechtigungen.

Der Name der Sicherheitsgruppe folgt einem Muster. Das Präfix ist immer SQLServerMSASUser$, gefolgt vom Computernamen, und endet mit dem Instanznamen. Die Standardinstanz ist MSSQLSERVER. Ein benannter instance ist der Name, der während des Setups angegeben wird.

Sie finden diese Sicherheitsgruppe in den lokalen Sicherheitseinstellungen:

• Ausführen von compmgmt.msc | Lokale Benutzer und Gruppen | Gruppen | SQLServerMSASUser$<Servername>$MSSQLSERVER (für eine Standard-instance).

• Doppelklicken Sie auf die Sicherheitsgruppe, um die zugehörigen Mitglieder anzuzeigen.

Die einzige Mitglieder der Gruppe ist die Pro-Dienst-SID. Rechts daneben ist das Anmeldekonto. Den Namen des Anmeldekontos ist kosmetischer Natur, um einen Kontext für die Pro-Dienst-SID anzugeben. Wenn Sie das Anmeldekonto ändern, werden die Sicherheitsgruppe und die Dienst-SID nicht geändert. Nur die Bezeichnung des Anmeldekontos ist anders.

Windows-Berechtigungen, die dem Analysis Services-Dienstkonto zugewiesen sind

Analysis Services benötigt Berechtigungen vom Betriebssystem für das Starten des Dienstes sowie das Anfordern von Systemressourcen. Die Anforderungen variieren je nach Servermodus und sind außerdem abhängig davon, ob die Instanz gruppiert ist.

Alle Instanzen von Analysis Services erfordern die Berechtigung Anmelden als Dienst (SeServiceLogonRight). SQL Server-Setup weist die Berechtigung dem Dienstkonto zu, das Sie bei der Installation angegeben haben. Bei Servern, die im mehrdimensionalen oder im Data Mining-Modus ausgeführt werden, ist dies die einzige Windows-Berechtigung, die für das Analysis Services-Dienstkonto für eigenständige Serverinstallationen benötigt wird. Außerdem ist es die einzige Berechtigung, die beim Setup für Analysis Services konfiguriert wird. Für gruppierte und tabellarische Instanzen müssen Sie Windows-Berechtigungen manuell hinzufügen.

Failoverclusterinstanzen im tabellarischen oder multidimensionalen Modus erfordern außerdem ein Anheben der Zeitplanungspriorität (SeIncreaseBasePriorityPrivilege).

Tabellarische Instanzen nutzen die folgenden drei zusätzlichen Privilegien, die nach der Installation der Instanz manuell hinzugefügt werden müssen.

So können Sie Windows-Berechtigungen mit dem Dienstkonto anzeigen oder hinzufügen

1. Führen Sie GPEDIT.msc aus und wählen Sie Richtlinie für "Lokaler Computer" | Computerkonfiguration | Windows-Einstellungen | Sicherheitseinstellungen | Lokale Richtlinien | Zuweisen von Benutzerrechten.

2. Prüfen Sie vorhandene Richtlinien, die SQLServerMSASUser$enthalten. Hierbei handelt es sich um eine lokale Sicherheitsgruppe auf Computern mit einer Analysis Services-Installation. Diese Sicherheitsgruppe erhält sowohl Windows-Berechtigungen als auch Dateiordnerberechtigungen. Doppelklicken Sie auf die Richtlinie Anmelden als Dienst , um anzuzeigen, wie die Sicherheitsgruppe im System angegeben wurde. Der vollständige Name der Sicherheitsgruppe variiert abhängig davon, ob Sie Analysis Services als benannte Instanz installiert haben. Nutzen Sie diese Sicherheitsgruppe, statt des Dienstkontos, wenn Sie Kontoberechtigungen hinzufügen.

3. Klicken Sie mit der rechten Maustaste auf Arbeitssatz eines Prozesses vergrößern , und wählen Sie Eigenschaftenaus, um Kontoberechtigungen in GPEDIT hinzuzufügen.

4. Klicken Sie auf Benutzer oder Gruppe hinzufügen.

5. Geben Sie die Benutzergruppe für die Analysis Services-Instanz ein. Beachten Sie, dass das Dienstkonto ein Mitglied der lokalen Sicherheitsgruppe ist. Daher müssen Sie den Namen des lokalen Computers als Domäne des Kontos voranstellen.

   Die folgende Liste enthält zwei Beispiele für eine Standardinstanz. Diese heißt "Tabular" auf einem Computer namens "SQL01-WIN12", wobei der Computername die lokale Domäne ist.

   • SQL01-WIN12\SQL01-WIN12$SQLServerMSASUser$MSSQLSERVER

   • SQL01-WIN12\SQL01-WIN12$SQLServerMSASUser$TABULAR

6. Wiederholen Sie dies für Anpassen des Arbeitsspeicherkontingents für einen Prozessund optional für Sperren von Seiten im Speicher oder Erhöhen der Zeitplanungspriorität.

Dateisystemberechtigungen, die dem Analysis Services-Dienstkonto zugewiesen sind

Alle Dateisystemberechtigungen, die für Servervorgänge erforderlich sind, einschließlich berechtigungen, die zum Laden und Entladen von Datenbanken aus einem bestimmten Datenordner erforderlich sind, werden während der Installation von SQL Server Setup zugewiesen.

Der Berechtigungsinhaber für Datendateien, ausführbare Programmdateien, Konfigurationsdateien, Protokolldateien und temporäre Dateien ist eine lokale Sicherheitsgruppe, die von SQL Server Setup erstellt wurde.

Für jede installierte Instanz gibt es nur eine Sicherheitsgruppe. Die Sicherheitsgruppe ist nach dem instance benannt: entweder SQLServerMSASUser$MSSQLSERVER für die Standard-instance oder SQLServerMSASUser$<servername>$<instancename> für einen benannten instance. Diese Sicherheitsgruppe erhält von Setup die Dateiberechtigungen, die zum Ausführen von Servervorgängen erforderlich sind. An den Sicherheitsberechtigungen für das Verzeichnis \MSAS13.MSSQLSERVER\OLAP\BIN erkennen Sie, dass die Sicherheitsgruppe (und nicht das Dienstkonto oder dessen Pro-Dienst-SID (Sicherheits-ID)) die Berechtigungen für dieses Verzeichnis besitzt.

Die Sicherheitsgruppe enthält nur ein Mitglied: die Sicherheits-ID (SID) pro Dienst des SQL Server Analysis Services instance Startkontos. Setup fügt die Pro-Dienst-SID zur lokalen Sicherheitsgruppe hinzu. Die Verwendung einer Sicherheitsgruppe mit SID-Mitgliedschaft macht einen kleinen, aber wichtigen Unterschied dabei aus, wie SQL Server Setup im Vergleich mit der Datenbank-Engine Analysis Services bereitstellt.

Wenn Sie vermuten, dass Dateiberechtigungen beschädigt sind, führen Sie folgende Schritte aus, um sicherzustellen, dass der Dienst immer noch korrekt bereitgestellt wird:

1. Verwenden Sie das Service Control-Befehlszeilentool (sc.exe), um die SID einer Standarddienstinstanz zu erhalten.

   SC showsid MSSqlServerOlapService

   Verwenden Sie bei einer benannten Instanz (mit Instanzname Tabular) folgende Syntax:

   SC showsid MSOlap$Tabular

2. Verwenden Sielokale Benutzer- und Gruppengruppen | des Computer-Managers | , um die Mitgliedschaft der Sicherheitsgruppe SQLServerMSASUser$<servername>$<instancename> zu überprüfen.

   Die Mitglieds-SID sollte der Pro-Dienst-SID aus Schritt 1 entsprechen.

3. Verwenden von Windows Explorer | Program Files | Microsoft SQL Server | MSASxx.MSSQLServer | OLAP | bin, um zu überprüfen, ob der Sicherheitsgruppe in Schritt 2 die Sicherheitseigenschaften des Ordners gewährt werden.

Weitere Informationen zu Pro-Dienst-SIDs

Jedes Windows-Konto verfügt über eine zugeordnete SID, allerdings können Dienste ebenfalls eine SID aufweisen, die daher Pro-Dienst-SID genannt wird. Eine Pro-Dienst-SID wird erstellt, wenn die Dienstinstanz installiert ist. Sie ist das eindeutige, feste Element des Dienstes. Die Pro-Dienst-SID ist eine lokale, auf Computerebene aus dem Dienstnamen generierte SID. Auf einer Standardinstanz lautet der benutzerfreundliche Name NT SERVICE\MSSQLServerOLAPService.

Eine Pro-Dienst-SID bietet den Vorteil, dass das allgemein sichtbare Anmeldekonto beliebig geändert werden kann, ohne dass sich dies auf die Dateiberechtigungen auswirkt. Angenommen, Sie haben zwei Analysis Services-Instanzen in Form einer Standardinstanz und einer benannten Instanz installiert, die beide unter demselben Windows-Benutzerkonto ausgeführt werden. Solange das Anmeldekonto freigegeben ist, wird jede Dienstinstanz eine eindeutige Pro-Dienst-SID haben. Diese SID unterscheidet sich von der SID des Anmeldekontos. Die Pro-Dienst-SID wird für Dateiberechtigungen und Windows-Berechtigungen verwendet. Im Gegensatz dazu dient die Anmeldekonto-SID für Authentifizierungs- und Autorisierungsszenarien ─ verschiedene SIDs für verschiedene Zwecke.

Da die SID unveränderlich ist, können während der Installation eines Dienstes erstellte Dateisystem-ACLs beliebig oft verwendet werden, und zwar unabhängig von der Anzahl der Änderungen am Kontonamen. Darüber hinaus bieten ACLs, in denen Berechtigungen per SID angegeben sind, zusätzliche Sicherheit, da sie gewährleisten, dass der Zugriff auf ausführbare Programmdateien und Datenordner ausschließlich über eine einzelne Dienstinstanz erfolgt. Dies gilt selbst dann, wenn weitere Dienste unter demselben Konto ausgeführt werden.

Gewähren zusätzlicher Analysis Services-Berechtigungen für spezifische Servervorgänge

SQL Server Analysis Services führt einige Aufgaben im Sicherheitskontext des Dienstkontos (oder Anmeldekontos) aus, das zum Starten SQL Server Analysis Services verwendet wird, und führt andere Aufgaben im Sicherheitskontext des Benutzers aus, der die Aufgabe anfordert.

In der folgenden Tabelle werden zusätzliche Berechtigungen beschrieben, die zum Ausführen von Tasks über das Dienstkonto erforderlich sind.

Verwandte Inhalte

Konfigurieren von Windows-Dienstkonten und -Berechtigungen
SQL Server-Dienstkonto und pro Dienst-SID (Blog)
SQL Server verwendet eine Dienst-SID, um die Dienstisolation bereitzustellen (KB-Artikel)
Zugriffstoken (MSDN)
Sicherheits-IDs (MSDN)
Zugriffstoken (Wikipedia)
Zugriffssteuerungslisten (Wikipedia)