SQL Server 禁用Windows 管理员"BUILTIN/Administrators"

本文介绍如何禁止 Microsoft Windows NT 系统管理员在 SQL Server 中拥有系统管理员 (sa) 权限。

在默认情况下，Microsoft SQL Server 安装程序会创建“BUILTIN/Administrators”登录，它将对本地管理员组中的任何帐户授予系统管理员 (sa) 权限。

在某些情况下，您可能不想让 Microsoft Windows NT 系统管理员对 SQL Server 拥有此类访问权限。

在运行 SQL Server 的独立服务器上，您可以通过从 SQL Server 删除“BUILTIN/Administrators”登录来限制此类访问权限。

有关其他信息，请单击下面的文章编号，以查看 Microsoft 知识库中相应的文章：

237604  (http://support.microsoft.com/kb/237604/EN-US/ ) PRB：SQL Server 代理无法启动并显示错误 18456

291255  (http://support.microsoft.com/kb/291255/EN-US/ ) BUG：IsAlive 检查不在 BUILTIN/Administrators 帐户的上下文中运行

295034  (http://support.microsoft.com/kb/295034/EN-US/ ) FIX：如果删除了 BUILTIN/Administrators 登录，Microsoft Search 服务可能导致 CPU 使用率达到 100%

274446  (http://support.microsoft.com/kb/274446/EN-US/ ) INF：升级到为所有非 SQL Server 2000 虚拟服务器推荐的 SQL Server 2000 故障转移解决方案

在群集 SQL Server 上，删除“BUILTIN/Administrators”登录可能导致出现问题。如果对群集服务器删除“BUILTIN/Administrators”登录，SQL Server 资源将进入一种联机挂起状态，而最终将失败。然而，如果您在删除“BUILTIN/Administrators”登录后运行“故障转移群集向导”，进程将成功结束，因为“故障转移群集向导”将为需要访问权限的帐户显式添加一个 SQL Server 登录。

SQL Server 6.5 和 SQL Server 7.0

要将 Windows NT 管理员访问权限限制为 SQL Server 群集上的系统管理员 (sa)，请执行下列步骤：

1. 将正在用于群集服务的帐户作为 SQL Server 登录显式添加。您必须为此登录分配系统管理员角色。
   
   注意 如果运行 SQL Server 的服务器脱离群集然后又加入群集，则您必须重复此过程。
2. 在 SQL Server 故障转移群集向导成功地将 SQL Server 安装加入群集之后，从 SQL Server 删除“BUILTIN/Administrators”登录。

SQL Server 2000

要将 Windows NT 管理员访问权限限制为 SQL Server 群集上的系统管理员 (sa)，请执行下列步骤：

1. 将正在用于群集服务的帐户显式添加为 SQL Server 登录。您必须为此登录分配系统管理员角色。如果要对群集使用全文搜索，必须将 [NT Authority/System] 帐户添加到服务器 sysadmin 组。例如：

   Grant [NT Authority/System] a logon to SQL Server:
   EXEC sp_grantlogin [NT Authority/System]
   Add that account to the sysadmins role:
   EXEC sp_addsrvrolemember @loginame = [NT Authority/System] 
   , @rolename =  'sysadmin'
   					

2. 安装虚拟服务器后，从 SQL Server 删除“BUILTIN/Administrators”登录。