Discussion :

[FMJ]

Bonjour,

J'ai récemment changé la config d'un SQL Server 2016 en passant ses compte de service MSQLSEERVER et SQLSERVERAGENT sous gMSA. J'ai bien entendu donné à ce compte les droits d'accès sur les ressources contenant les bases. Jusqu'à là, pas de problème.

Sauf que je me suis aperçu que certaines bases étaient en recovery pending. J'ai rapidement identifié qu'elle était dans le même répertoire et compris qu'il y avait un problème de droit d'accès sur celui-ci. Mais c'est bizarre puisque le compte gMSA y a bien accès (SMSS peut lister les fichiers de ces bases, en se connectant avec un compte SQL Server --> donc a priori SMSS utilise bien les droits du compte gMSA).
Ceci a été confirmé en essayant d'attacher une base contenu dans ce répertoire --> message d'erreur Access Denied !

Bref, après avoir pas mal tâtonné, j'ai trouvé que, pour que le moteur SQL et le commande ATTACH aient accès à ces fichiers de base de données, il fallait que le compte NT SERVICE\MSQLSERVER ait le contrôle total du répertoire ! Je dis bien contrôle total, car avoir les droits modifier ne suffit pas --> cela génère quand même l'erreur (SQL Server a besoin de pouvoir modifier les droits, notamment pour le DETACH).

Et c'est là que je me m'interroge ! Pourquoi SQL Server a toujours besoin de ce compte intégré et pourquoi le compte gMSA ne suffit pas ? je dois avoir forcément un souci de configuration autrement cela signifierait qu'il n'est pas possible de stocker des bases sur un SAN ?....

Merci d'avance pour vos lumières.

[Boubou2020]

je suis un peu étonné que le faite le compte GMSA peuvent entrainer le problème de recovery pending

y'a t'il une chose dans votre Errorlog

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

exec xp_readerrorlog 0 1

[FMJ]

Voici l'erreur quand je réalise un ATTACH :

2021-07-12 11:00:16.98 spid67 Erreur*: 17204, Gravité*: 16, État*: 1.
2021-07-12 11:00:16.98 spid67 FCB::Open failed: Could not open file D:\Database\1\TEST2.mdf for file number 0. OS error: 5(Accès refusé.).

Et si je rajoute les droits pour le compte intégré MSSQLSERVER --> l'ATTACH fonctionne correctement.

Pourtant si je fais un SELECT * FROM sys.dm_server_services, on voit bien que l'instance tourne avec un compte gMSA.