Discussion :

[janlouk]

Bonjour à tous,

Désolé, la question a surement déjà été posée, mais je ne trouve pas, si ce que je souhaite faire est possible.
J'ai regardé sur internet https://docs.microsoft.com/en-us/sql...t-sql#security, et je vois que le droit minimum pour faire un backup est db_backupoperator

Ils disent : BACKUP DATABASE and BACKUP LOG permissions default to members of the sysadmin fixed server role and the db_owner and db_backupoperator fixed database roles.

Un client utilise HP Data Protector, et l'équipe serveur gère les backup/restore et recherche les causes en cas de plantage.

Un compte est utilisé pour se connecter sur le serveur, il fait partie d'un groupe qui est sysadmin sur toutes les instances.

J'aimerais "empêcher" tous les membres de l'équipe serveur, de pouvoir utiliser ce compte et donc d'avoir accès à toutes les données de l'entreprise. Je voudrais donc diminuer les privilèges de ce compte car c'est un sous-traitant qui le fait.

Alors, comme vous le savez, il n'y a pas de "Server roles" pour faire des backup, donc c'est au niveau de la DB. Pas pratique quand une nouvelle DB est crée, je n'ai pas envie de devoir gérer cela et attribuer pour chaque DB, ce rôle...
Et si je le faisais, ils auraient aussi besoin de visualiser l'error log, même si ça c'est moins grave, je peux le faire.
Et surtout, ils ont besoin d'avoir accès pour faire un restore. Pour ce dernier, seul sysadmin peut le faire ou dbcreator est suffisant?

Qu'avez-vous comme expérience quand c'est un outil externe/société externe qui gère les backups et les privilèges à accorder?

Merci pour votre retour.
Jean-Luc

[SQLpro]

En gros, pas d'autres solution que de faire un DENY BACKUP ... base par base. Vous pouvez résoudre cela automatiquement par un script mis dans l'Agent.
Un déclencheur DDL sur CREATE DATABASE ne peut pas le faire (enfin je le pense, pas testé).
A +

[janlouk]

Ok merci, c'est pas top, Microsoft devrait prévoir ça dans les rôles. Un rôle unique pour faire des backup et pas db par db...

[SQLpro]

pas d'accord du tout.... Le principe de sécurité est de pouvoir la gérer au plus fin. Donc permettre le BACKUP de certaines bases et pas d'autres !

A +

[janlouk]

Oui, pas faux.

Et pour un restore, il faut sysadmin ou je peux aussi restreindre ?

[SQLpro]

Le restore est en fait une création de base. Il fait donc partit des privilège de niveau "serveur" car on ne peut être dans le base que l'on créé puisque cette dernière n'existe pas avant d'être créé...

A +