Администраторы домена не могут подключиться к SQL Server


9

У меня есть контроллер домена Windows Server 2012 R2 и сервер базы данных (W2K12R2 / SQL Server 2012).

В качестве разрешенной группы пользователей я предоставил группе "domain-admins" права sysadmin .

Но каким-то образом любой администратор домена не может подключиться к этому серверу SQL, но когда я добавляю пользователя-администратора домена непосредственно в качестве разрешенного пользователя, он работает. Активный каталог работает. RDP-Логин работает. Я что-то пропустил?

Кто-нибудь знает, как предоставить доступ всей группе «администраторы домена»?

Сообщение об ошибке:

Имя сервера: SRV-DB
Номер ошибки: 18456
Швереград: 14
Статус: 1
Строка кода: 65536

В журнале событий написано (переведено):

Ошибка проверки доступа к серверу на основе токенов при сбое инфраструктуры.

Состояние "1". Я вхожу на этот db-сервер с RDP как администратор домена. Я должен явно запустить SSMS с «Запуск от имени администратора». Тогда я могу получить доступ к "localhost". Если я оставлю запуск SSMS от имени администратора, я не смогу этого сделать. Я думал, что быть в группе "администраторы домена" будет достаточно.


1
А государственный номер? 11? См. Sqlblog.com/blogs/aaron_bertrand/archive/2011/01/14/…
Аарон Бертран

Ответы:


14

Я нашел ответ на свою проблему в этом ответе Ремуса Русану.

Как администратор домена, подключенный к этому хосту SQL-Server через удаленный рабочий стол. Мне пришлось запустить SQL Server Management Studio явно «как администратор». (щелкните правой кнопкой мыши -> запустить от имени администратора).

Если SSMS не запускается в режиме администратора, текущий логин не входит в группу «builtin \ administrator». Это была проблема.

Это происходит от контроля доступа пользователей Windows (UAC). Так что это на самом деле "особенность" безопасности.


1
Итак, это было именно то, что предлагает состояние 11 в ссылке, которую я разместил ранее .
Аарон Бертран

Это не «фича», это именно то, как должен работать UAC : With UAC, applications and tasks always run in the security context of a non-administrator account, unless an administrator specifically authorizes administrator-level access to the system.
vonPryz

-2

Это просто. Если вы можете войти со старыми учетными данными (администратором локального компьютера), вам нужно использовать его для доступа к удаленному рабочему столу и использовать его для добавления администратора контроллера домена.

Используя наш сайт, вы подтверждаете, что прочитали и поняли нашу Политику в отношении файлов cookie и Политику конфиденциальности.
Licensed under cc by-sa 3.0 with attribution required.