复制代理安全性模式

复制代理安全性模式SQLServer2005其他版本MicrosoftgpDIII■尊« MicrosoftgpDIII■尊« [«T©]此主题尚未评级-评价此主题更新日期：2006年12月12日使用复制代理安全模式，可以对复制代理运行和建立连接所用的帐户进行精细粒度的控制:可以为每个代理指定不同的帐户。有关如何指定帐户的详细信息，请参管理复制中的登录名和密码，区重要提示：sysadmin固定服务器角色的成员配置复制时，可以配置复制代理来模拟SQLServer代理帐户。不指定复制代理的登录名和密码即可完成此操作;但是不推荐这种方法。作为最佳安全做法，建议以本主题后面的"代理所需权限'部分中介绍的最小权限来为每个代理指定一个帐户。和所有可执行文件一样，复制代理在Windows帐户的上下文中运行。它们使用此帐户来建立Windows集成安全性连接。代理在哪个帐户之下运行取决于代理的启动方式：从SQLServer代理作业启动代理时，默认设置为：使用SQLServer代理作业来启动复制代理时，代理将在配置复制时所指定的帐户的上下文中运行。有关SQLServer代理和复制的详细信息，请参阅本主题后面的'SQLServer代理下的代理安全性'部分。有关运行SQLServer代理的帐户所需权限的信息，请参阅配置SQLServer代理。从MS-DOS命令行中直接启动或通过脚本启动代理时:代理在通过命令行运行代理的用户帐户的上下文中运行。从使用复制管理对象(RMO)或ActiveX控件的应用程序启动代理时：代理在调用RMO或ActiveX控件的应用程序的上下文中运行。注意：不推荐使用ActiveX控件建议在Windows集成安全性的上下文中建立连接。为了向后兼容，还可以使用SQLServer安全性。有关最佳方法的详细信息，请参阅复制安全最佳实践。代理所需权限用来运行代理并建立连接的帐户需要多种权限。下表对这些权限进行了说明。建议每个代理使用不同的Windows帐户运行，并应仅授予帐户所需的权限。有关与多个代理相关的发布访问列表(PAL)的信息，请参阅保护发布服务器的安全,V注意：WindowsVista中的用户帐户控制(UAC)可防止对快照共享的管理访问。因此，必须对快照代理、分发代理和合并代理使用的Windows帐户显式授予快照共享权限。即使Windows帐户是管理员组的成员，也必须执行此操作。有关详细信息，请参保护快照文件夹的安全代理权限快照代理与分发服务器建立连接时，将使用运行代理的Windows帐户。此帐户必须：至少是分发数据库中的db_owner固定数据库角色的成员。对快照共享具有写权限。用于连接到发布服务器的帐户必须至少是发布数据库中的db_owner固定数据库角色的成员。日志读取器与分发服务器建立连接时，将使用运行代理的Windows帐户。此帐户必须至少是分发数代理据库中的db_owner固定数据库角色的成员。用于连接到发布服务器的帐户必须至少是发布数据库中的db_owner固定数据库角色的成员。推送订阅的与分发服务器建立连接时，将使用运行代理的Windows帐户。此帐户必须：分发代理至少是分发数据库中的db_owner固定数据库角色的成员。是PAL的成员。对快照共享拥有读取权限。如果是对非SQLServer订阅服务器的订阅，必须对订阅服务器的OLEDB访问接口的安装目录拥有读取权限。用于连接到订阅服务器的帐户必须至少是订阅数据库中的lb_owner固定数据库角色的成员，或者必须拥有同等权限(如果订阅针对非SQLServer订阅服务器)。

请求订阅的与订阅服务器建立连接时，将使用运行代理的Windows帐户。此帐户必须至少是订阅数分发代理据库中的db_owner固定数据库角色的成员。用于连接到分发服务器的帐户必须：是PAL的成员。对快照共享拥有读取权限。推送订阅的与发布服务器和分发服务器建立连接时，将使用运行代理的Windows帐户。此帐户必须：合并代理至少是分发数据库中的db_owner固定数据库角色的成员。是PAL的成员。是与发布数据库中的某个用户关联的登录名。对快照共享拥有读取权限。用于连接到订阅服务器的帐户必须至少是订阅数据库中的!b_owner固定数据库角色的成员。请求订阅的与订阅服务器建立连接时，将使用运行代理的Windows帐户。此帐户必须至少是订阅数合并代理据库中的db_owner固定数据库角色的成员。用于连接到发布服务器和分发服务器的帐户必须：是PAL的成员。是与发布数据库中的某个用户关联的登录名。是与分发数据库中的某个用户关联的登录名。用户可以为Guest用户。对快照共享拥有读取权限。队列读取器与分发服务器建立连接时，将使用运行代理的Windows帐户。此帐户必须至少是分发数代理据库中的db_owner固定数据库角色的成员。用于连接到发布服务器的帐户必须至少是发布数据库中的db_owner固定数据库角色的成员。用于连接到订阅服务器的帐户必须至少是订阅数据库中的db_owner固定数据库角色的

成员。SQLServer代理下的代理安全性使用SQLServerManagementStudioTransact-SQL过程或RMO配置复制时，默认情况下将为每个代理创建SQLServer代理作业。然后，代理将使用作业步骤的上下文运行，而不管它们是连续运行、根据计划运行还是按需运行。可以在SQLServerManagementStudio中的Jobs文件夹下查看这些作业。下表列出了作业名称。代理作业名称快照代理＜发布服务器＞-＜发布数据库＞-＜发布＞-＜整数＞合并发布分区的快照代理Dyn_＜发布服务器＞-＜发布数据库＞-＜发布＞-＜GUID＞日志读取器代理＜发布服务器＞-＜发布数据库〉-＜整数＞请求订阅的合并代理＜发布服务器＞-＜发布数据库＞-＜发布＞-＜订阅服务器＞-＜订阅数据库＞-＜整数＞推送订阅的合并代理＜发布服务器＞-＜发布数据库〉-＜发布＞-＜订阅服务器＞-＜整、叽_数＞推送订阅的分发代理＜发布服务器＞-＜发布数据库〉-＜发布＞-＜订阅服务器＞-＜整数＞对于对于Oracle发布的推送订阅，作业名称是'＜发布服务器＞-＜发布服务器＞”，而不是"＜发布服务器＞-＜发布数据库＞"。请求订阅的分发代理＜发布服务器＞-＜发布数据库＞-＜发布＞-＜订阅服务器＞-＜订阅数据库＞-＜GUID＞2非SQLServer订阅服务器的推送订阅的分发代理＜发布服务器＞-＜发布数据库〉-＜发布＞-＜订阅服务器＞-＜整数＞队列读取器代理[＜分发服务器＞]・＜整数＞2对于Oracle发布的请求订阅，作业名称是'＜发布服务器＞-＜分发数据库＞”，而不是"＜发布服务器＞-＜发布数据库＞”配置复制时，指定运行代理应使用的帐户。但是，所有作业步骤都使用弋理”的安全上下文运行；因此，复制会为指定的代理帐户在内部执行下列映射：首先使用Transact-SQLCREATECREDENTIAL语句将帐户映射到凭据。SQLServer代理的代理帐户使用凭据存储Windows用户帐户的相关信息。调用sp_add_proxy存储过程，并使用凭据来创建代理。有关代理的详细信息，请参阅创建SQLServer代理的代理帐户注意：提供此信息有助于您了解使用适当的安全上下文运行代理