Perché NT AUTHORITY \ SYSTEM può creare backup del database di SQL Server?

Ho un'attività pianificata (nell'Utilità di pianificazione di Windows) che si collega a SQL Server tramite SMO (Autenticazione di Windows) e crea un backup del database. Finora, questa attività era in esecuzione con l'account Administrator e volevo modificarla per utilizzare invece l'account SYSTEM.

Ho modificato l'attività pianificata e, con mia grande sorpresa, ha funzionato immediatamente.

Vorrei capire perché questo è il caso. Il sistema è Windows Server 2012 R2 e il database è SQL Server 2012 (SP1) Express Edition. È un'installazione standard con l'aggiunta di un utente SQL Auth.

In SSMS, questi sono gli accessi e i ruoli server associati:

• MS_PolicyEventProcessingLogin ## (disabilitato)

• MS_PolicyTsqlExecutionLogin ## (disabilitato)

• MyServer \ Administrator (pubblico, amministratore di sistema)
• MySqlAuthUser (pubblico)
• BUILTIN \ Users (pubblico)
• NT AUTHORITY \ SYSTEM (pubblico)
• NT SERVICE \ MSSQLSERVER (pubblico, amministratore di sistema)
• NT SERVICE \ SQLWriter (public, sysadmin)
• NT SERVICE \ Winmgmt (pubblico, amministratore di sistema)
• sa (pubblico, amministratore di sistema)

Il database stesso ha i seguenti utenti e i loro ruoli:

• MySqlAuthUser (Accedi MySqlAuthUser) (db_owner)
• dbo (Login sa) (db_owner)
• ospite (disabilitato)
• INFORMATION_SCHEMA (disabilitato)
• sys (disabilitato)

La visualizzazione delle "autorizzazioni effettive" dell'utente NT AUTHORITY \ SYSTEM produce il seguente output:

• ALTER QUALSIASI GRUPPO DISPONIBILITÀ
• CONNECT SQL
• CREA GRUPPO DISPONIBILITÀ
• VISUALIZZA QUALSIASI DATABASE
• VISUALIZZA STATO SERVER

Perché NT AUTHORITY \ SYSTEM dispone delle autorizzazioni per il backup dei database? Sono contento che lo sia, ma mi piacerebbe davvero capire perché ...

Le autorizzazioni minime per il backup di un database sono PUBLICa livello di server ea livello DB_BACKUPOPERATORdi database.

In SQL Server 2005, Microsoft ha raccomandato di non rimuovere NT AUTHORITY\SYSTEMdal ruolo sysadmin:

L'account NT AUTHORITY \ SYSTEM ha anche un accesso a SQL Server. L'account NT AUTHORITY \ SYSTEM è fornito nel ruolo predefinito del server SYSADMIN. Non eliminare questo account o rimuoverlo dal ruolo predefinito del server SYSADMIN. L'account NT AUTHORITY \ SYSTEM viene utilizzato da Microsoft Update e da Microsoft SMS per applicare service pack e hotfix a un'installazione di SQL Server 2005. L'account NT AUTHORITY \ SYSTEM viene utilizzato anche dal servizio SQL Writer.

Questo non è più il caso nel 2012. Ho ricontrollato sulla mia istanza di Express 2012: NT AUTHORITY\SYSTEMnon è un amministratore di sistema. Tuttavia, SQL Service VSS Writer è in esecuzione come NT AUTHORITY\SYSTEMed è un amministratore di sistema.

Non riesco a trovare alcun collegamento di backup che è per questo che NT AUTHORITY\SYSTEMè consentito eseguire il backup dei database, ma credo che sia il caso.