Discussion :

[johndoe08]

Bonjour,

sur un serveur sql server 2008 standard, un compte utilisateur sql a été supprimé. Etant donné que plusieurs personnes ont accès au serveur en "sysadmin" (login NT), j'aurai besoin de retrouver la personne qui a effectué cette suppression.

Est-il possible de retrouver une trace de cette manipulation? Je n'ai pas trouvé de réponses dans les journaux "errors logs " d'SQL Server.

Merci pour votre aide.

JD

[dbaffaleuf]

Hello,

La trace par défaut: des fichiers .trc sous le répertoire ~log de l'instance, à charger avec SQL profiler par exemple. Ils tracent tout un tas d'évènements dont Audit: Add Login Event. EventSubclass à 2 signifie que le login a été supprimé, et TargetLoginName donne le nom du login en question.

David B.

[johndoe08]

bonjour,

merci pour votre réponse. En effet j'ai pu retrouver ces fichiers .trc.
Malheureusement , les logs ne commencent qu'a partir du 25/06 à 23h45 (j'aurai eu besoin d'avoir les logs avant cette période là )

J'imagine qu'il y a une purge par défaut dans sql server?

Merci

JD

[SQLpro]

a chaque fois que vous redémarrer le serveur.
Redémarrer un serveur SQL est une très mauvaise pratique !
En principe SQL Server/Windows est fait pour tourner 24h/24, 7j/7 et 365 jours par an, toutes les opérations, y compris rajoute de CPU et RAM pouvant être fait à chaud !

A +

[dbaffaleuf]

SQL server ne garde que 5 fichiers de trace en ligne, 20Mb maximum par fichier. Au 6ième, le plus ancien .trc est réécrasé. La trace par défaut n'est pas paramétrable.

David B.

[mikedavem]

sur un serveur sql server 2008 standard, un compte utilisateur sql a été supprimé. Etant donné que plusieurs personnes ont accès au serveur en "sysadmin" (login NT), j'aurai besoin de retrouver la personne qui a effectué cette suppression.

Si plusieurs personnes ont un accès sysadmin, je vous conseille de mettre en place des audits via les triggers DDL.

++

[johndoe08]

merci pour vos réponses, je vais mettre cela en place.

Bonne journée !