Здравствуйте, товарищи!

Столкнулся со странной хренью. Есть инстанс у некоего клиента, на котором нужно проделать некоторую работу. Внутренняя security кухня это внутренне дело клиента. Мне создали доменный логин, имеющий права локального админа, и добавили его в роль sysadmin на инстансе. При этом, когда я подключаюсь к инстансу, я вижу, что мои права сильно ограничены. Не вижу логины, включая свой, sql server agent, нет доступа к ряду баз. ИТшники клиента включают дурака: типа ты локальный админ и вообще, не знаем, как так может быть. Я, в силу ограниченности доступа, ничего толком не могу видеть и предпринять. Тем более это прод, и что-то там хакать я не собираюсь.


возвращает guest


возвращает мою доменную учётку, тогда как в списке логинов я её не вижу.

Вопрос в следующем: что эти упыри могли нахимичить и как можно эту ситуацию исправить (подсказать упырям), дабы я мог таки воспользоваться своими админскими привилегиями?

Модератор: Ссылка на сайт БОМЖа была удалена

Согласен, что давать всем подряд админские привилегии это не есть гуд, и пользователей ограничивают в правах в рамках чисто их задач. Но в данном случае задача предполагает админские права, и ИТ-стаф клиента намеревался их предоставить. Но что-то пошло не так. Всем спасибо за идеи! Попробую их заимплементить в общении с админами. О результатах отпишусь.

Итак,
сказала, что у меня нет прав на выполнение таких опасных процедур. Зато IS_SRVROLEMEMBER сказал, что я точно не sysadmin.
Однако мне удалось раздобыть пароль от sa. Когда я подключился, то увидел, что учётка моя действительно добавлена с правами сисадмина. В то же время, когда я запустил
, то обнаружил, что моя учётка находится в AD группе, которая добавлена в инстанс с ролью public и некоторыми разрешениями вроде просмотра некоторых баз. И, когда я подключаюсь к MS SQL со своей AD учёткой, я имею права именно этой группы. Вот здесь хотелось бы понять, почему так? Ибо, насколько я понимаю, разрешения группы не должны отменять разрешения учётки за исключением denied.

вот этот тезис не сходится с тем что вы озвучили до него. или вы неправильно смотрели


вам надо определить какие токены доступа у вашей учетки. посмотреть это можно выполнив запрос из под своей учетки:


Я не рассуждаю, а я как чукча: что вижу, о том и пою.

Моя доменная учётка в списке ролей имеет проставленную галочку напротив слов "sysadmin" и "public". При этом она включена в некую группу AD, с некоторыми специфическими правами. И именно эти права она демонстрирует, буде я её использую. Вот я и хочу понять, как так может быть. Впрочем, я уже попросил упырей мою учётку из группы в AD выпилить, а завтра я и посмотрю, как оно повлияет. Заодно и токены проверим, если ничего не поменяется. А пока про них почитаю. Секюрити это не мой кап ов ти, никогда не любил там вдаваться в детали, да и необходимости такой не было.

результаты запросов я, собственно, озвучил, кроме токенов. Буквами, к сожалению, не отличается. Ну и, собственно, ничто мне сейчас не мешает этот логин просто из инстанса удалить и добавить заново из AD, используя правильные буквы, дабы исключить возможные когнитивные искажения. Но я, собственно, не имею цели пререкаться. Завтра постараюсь подробно проапдейтить топик.

Увы, чистая правда. Если захожу с виндовой аутентификацией, то своей учётки в логинах не вижу, а если с sa, то вижу. Был бы рад, если бы было не так. Правда, нельзя исключать теоретическую возможность, что просочилась какая-то разница в раскладке и т.п.. Т.е. выглядит оно так же, но кто знает. Сейчас буду всё проверять.

Поздно. Админы просто удалили группу из инстанса. Ибо меня из неё удалить было нельзя, так как тогда бы я потерял доступ к RDP. После этого я вообще не смог подключиться к инстансу под своей учёткой.
Тогда я подключился с помощью SA и опять увидел свою учётку с админскими правами. Скопипастил доменное имя из SSMS и сравнил в BeyondCompare с тем, что ввожу, когда логинюсь: мало ли, вдруг какая буква там из другой раскладки. Оказалось, всё идентично. Затем попытался добавить себя из AD в логины. Логин нашёлся только один, ничего похожего. Добавляться отказался: типа уже есть. Затем удалил себя из списка логинов и тут же добавил заново с теми же правами. И тут же смог подключиться, и всё стало хорошо. Хотите верьте, хотите - нет. Жаль, токены не успел посмотреть, пока группу не грохнули.