Come aggiornare il gruppo di sicurezza AD con le autorizzazioni SQL Server

Sto usando SQL Server 2008 su Small Business Server 2003; il client utilizza WinXP.

Ho aggiunto un utente al mio gruppo di sicurezza di Active Directory; Perché questo utente non può accedere immediatamente al database? Sembra che ci sia un ritardo prima che l'utente venga riconosciuto in SQL Server.

Sto usando i gruppi di sicurezza AD per le autorizzazioni espressamente, quindi non ho bisogno di aggiungere singoli utenti in SQL Server. Così efficacemente non ho bisogno di fare altro che aggiungere l'utente al gruppo di sicurezza AD per consentire l'accesso.

Ma per qualche ragione SQL Server non riconosce immediatamente l'aggiunta. L'ho visto un numero di volte. Aggiungo l'utente al gruppo ma quell'utente non può accedere ai dati fino al giorno successivo. Sembra che non interroghi l'Active Directory in tempo reale. Puoi confermare che è così?

Cosa devo fare in modo che il server SQL "aggiorni" l'elenco degli utenti da Active Directory?

L'utente deve disconnettersi dalla propria workstation e riconnettersi. Ecco perché le modifiche sembrano avere effetto il giorno successivo. La ragione di ciò è che quando l'utente accede il giorno successivo riceve un nuovo token dal controller di dominio e questo token contiene l'elenco dei gruppi di dominio di cui sono membri. Questo token con l'elenco dei gruppi di dominio viene aggiornato solo quando l'utente accede al proprio computer, quindi se l'utente non si disconnette mai il token non viene mai aggiornato.

Esistono anche ritardi nella replica di domini multi-sito che devono essere presi in considerazione se i controller di dominio si trovano in posizioni fisiche diverse.

Quando un utente accede, gli viene assegnato un token di sicurezza che include tutte le informazioni sull'appartenenza al gruppo.

Questo token persiste fino a quando l'utente non si disconnette, a quel punto viene scartato, anche se nel frattempo apporti modifiche all'appartenenza al gruppo in AD. Le modifiche apportate avranno effetto solo al successivo accesso dell'utente e alla ricezione di un nuovo token di sicurezza.

È possibile riprodurre lo stesso scenario quando si assegnano autorizzazioni su un file system, ad esempio; è un comportamento di Active Directory, non un comportamento di SQL Server.

Quindi ottenere risultati immediati sarebbe ottenere nuove credenziali ogni volta eseguendo un cmd / script come:

runas /netonly /user:domain\username "sqlcmd -S serverName -d dbname -q \"insert into testpermissions values (65)\""

usando cmd.exe (non powershell, non sono riuscito a ottenere la quotazione corretta).

In questo modo otterrai un nuovo token ogni volta (ma devi inserire il tuo pwd). Probabilmente potresti fare qualcosa anche con un testo della password salvato, se le cose fossero troppo onerose.

Comunque, funziona per me e spero che aiuti qualcun altro.