Всем доброго времени суток.
Вопрос следующий: сейчас выяснилось, что администраторы домена могут видеть данные в OLAP-кубиках. Это при том, что права им никто не давал, в ролях баз/кубиков их нет, в локальную группу OLAP-администраторов они не входят. Однако, группа Domain Admins входит в группу локальных админов сервера, на котором работает MS AS.
В BOL я ничего не нашел на эту тему, может кто чего подскажет?

Заранее спасибо.

Добавлю: MS AS 2000 SP3

Ребята, давайте не будем обсуждать вопрос этичности закрытия от системных администраторов инфы...
У меня есть проблема и я пытаюсь ее решить. Сервер из домена выкидывать - не подходит...

ЗЫ
Я вот не думаю, что сисадмины какого-нить там ГазПрома, например, имеют доступ к консолидированной финансовой инфе корпорации с возможностью ее детализации, просмотра в разрезах и т.д.

> Mosha
Я все прекрасно понимаю насчет возможностей сисадминов...
Вы не могли бы выслать мне этот hotfix? Или ссылку на него на MS-сайте?

Заранее спасибо.

MoshaПрислать hotfix по почте или указать линк на него я к сожалению не могу. Hotfixes могут быть получены только напрямую от PSS. Если Вы к ним обратитесь, то можете процитировать следующий reference number: SRQ031120600058.

Имя registry entry - ExcludeMachineAdminFromOLAPAdmin, но без hotfix-а сервер не будет знать что с ним делать.

Ок, в PSS мы обратимся. Мне только непонятно одно (вопрос к Mosha, как к разработчику MS AS engine): почему данный хотфикс не выложен в общий даунлоад как заплатка (глюк-то и расхождение с BOL налицо :-( ), а необходимо терять время на общение с PSS?

ЗЫ
Тема закрыта. Кому интересно, вот линк на MS KB: http://support.microsoft.com/default.aspx?scid=kb;en-us;834419

MoshaВ данном конкретном случае нет ни глюка ни расхождения с BOL. Такое поведение AS2000 было "By Design". Вышеупомянутый hotfix представляет собой не "bug fix" а "design change".

Я все-таки процитирую BOL:

BOLAdministrator security concerns users' access to Microsoft® SQL Server™ 2000 Analysis Services data through Analysis Manager and their ability to perform administrative functions. Administrator security is granted through membership in the OLAP Administrators group.

During initial installation, Analysis Services establishes a Microsoft NT® 4.0, Windows® 2000, or Windows XP group named OLAP Administrators. The user account, which must have Machine Administrator rights in order to successfully install Analysis Services, is then added to the OLAP Administrators group. The OLAP Administrators group is a local group on the computer where Analysis Services is installed. Only members of this group can:

Access the Analysis server through Analysis Manager and perform administrative functions.

Perform administrative functions on the Analysis server programmatically with Decision Support Objects (DSO).
Administrative functions include maintaining security roles and processing Analysis Services objects.

You can use User Manager in Windows NT 4.0 or Computer Management in Windows 2000 or Windows XP to manage the OLAP Administrators group.

There are not multiple degrees or levels of administrator security. A user either is or is not an administrator, depending on whether he or she is included in the OLAP Administrators group.

When connected to an Analysis server through client applications, members of the OLAP Administrators group have full read access to all cubes and dimensions on the server. They also have full read/write access to all write-enabled cubes and write-enabled dimensions. This access is granted regardless of role definitions on the Analysis server. Источник: mk:@MSITStore:C:\Program%20Files\Microsoft%20SQL%20Server\80\Tools\Books\olapdmad.chm::/agsecurity_841l.htm

А теперь скажите мне, где там упоминание про группу локальных админов? Так что глюк и расхождение с BOL есть :-).

ЗЫ
1. HotFix мы получили, он решил проблему.
2. По поводу инфы про PSS - спасибо, теперь все понятно.

MoshaВ свое оправдание приведу выдержку из Security Administration section of Analysis Services Operation Guide:

When Analysis Services is installed, the setup program creates the OLAP Administrators local group on the Analysis Services computer and adds the user account of the person installing Analysis Services to this group. All members of the local Administrators group are automatically members of the OLAP Administrators group, regardless of whether they are explicitly added to the OLAP Administrators group.

Источник по адресу: http://www.microsoft.com/technet/prodtechnol/sql/2000/maintain/anservog.mspx#XSLTsection128121120120
Прикольно. Первый раз встречаю такое расхождение в различных источниках документации...