분석 서비스의 서비스 계정 구성

적용 대상: SQL Server Analysis Services Azure Analysis Services Fabric/Power BI Premium

제품 전체 계정 프로비전은 SQL Server Analysis Services를 비롯한 모든 SQL Server 서비스에 대한 포괄적인 서비스 계정 정보를 제공하는 항목인 Windows 서비스 계정 및 권한 구성에 설명되어 있습니다. 유효한 계정 유형, 설치 프로그램에서 할당한 Windows 권한, 파일 시스템 권한, 레지스트리 권한 등에 대해 자세히 알아보려면 참조하세요.

이 항목에서는 테이블 형식 및 클러스터형 설치에 필요한 추가 권한을 포함하여 SQL Server Analysis Services에 대한 추가 정보를 제공합니다. 또한 서버 작업을 지원하는 데 필요한 권한도 다룹니다. 예를 들어 서비스 계정에서 실행되도록 처리 및 쿼리 작업을 구성할 수 있습니다. 이 시나리오에서는 추가 권한이 필요합니다.

• Analysis Services에 할당된 Windows 권한

• Analysis Services에 할당된 파일 시스템 권한

• 특정 서버 작업에 대한 추가 권한 부여

여기에 문서화되지 않은 또 다른 구성 단계는 SQL Server Analysis Services 인스턴스 및 서비스 계정에 대한 SPN(서비스 사용자 이름)을 등록하는 것입니다. 이 단계를 통해 클라이언트 애플리케이션에서 이중 홉 시나리오의 백 엔드 데이터 원본으로의 통과 인증을 사용할 수 있습니다. 이 단계는 Kerberos 제한 위임에 대해 구성된 서비스에만 적용됩니다. Kerberos 제한 위임을 위한 Analysis Services 구성을 보려면 여기를 참조하세요.

로그온 계정 권장 사항

MSSQLServerOLAPService Windows 서비스의 시작 계정은 Windows 도메인 사용자 계정, 가상 계정, MSA(관리 서비스 계정) 또는 서비스별 SID, NetworkService 또는 LocalSystem과 같은 기본 제공 계정일 수 있습니다. 도메인 사용자 계정을 서비스 로그온 계정으로 사용하면 사용자 계정 형식에 대한 세부 정보가 제공됩니다.

장애 조치(failover) 클러스터에서 Analysis Services의 모든 인스턴스는 Windows 도메인 사용자 계정을 사용하도록 구성해야 합니다. 모든 인스턴스에 동일한 계정을 할당합니다. 자세한 내용은 Analysis Services를 클러스터하는 방법을 참조하세요.

독립 실행형 인스턴스는 기본 인스턴스의 경우 NT Service\MSSQLServerOLAPService 기본 가상 계정을 사용해야 하며, 명명된 인스턴스의 경우에는 NT Service\MSOLAP$instance-name 계정을 사용해야 합니다. 이 권장 사항은 운영 체제의 경우 Windows Server 2008 R2 이상을 가정하고 Analysis Services의 경우 SQL Server 2012 이상을 가정하여 모든 서버 모드의 Analysis Services 인스턴스에 적용됩니다.

Analysis Services에 사용 권한 부여

이 섹션에서는 Analysis Services가 로컬 내부 작업에 필요한 권한을 설명합니다. 이러한 작업에는 실행 파일 시작, 구성 파일 읽기 및 데이터 디렉터리에서 데이터베이스 로드가 포함됩니다. 외부 데이터 액세스에 대한 사용 권한 설정 및 다른 서비스 및 애플리케이션과의 상호 운용성에 대한 지침은 이 항목에서 추가적으로 특정 서버 작업에 대한 추가 권한을 부여하는 데 제공됩니다.

내부 작업의 경우 Analysis Services의 권한 보유자는 로그온 계정이 아니라 서비스별 SID를 포함하는 설치 프로그램에서 만든 로컬 Windows 보안 그룹입니다. 보안 그룹에 권한을 할당하는 것은 이전 버전의 Analysis Services와 일치합니다. 또한 로그온 계정은 시간이 지남에 따라 변경 될 수 있지만 서비스별 SID 및 로컬 보안 그룹은 서버 설치의 수명 동안 일정합니다. Analysis Services의 경우 보안 그룹은 로그온 계정보다 사용 권한을 보유하는 데 더 적합합니다. 파일 시스템 권한 또는 Windows 권한 등 서비스 인스턴스에 대한 권한을 수동으로 부여할 때마다 서버 인스턴스에 대해 만든 로컬 보안 그룹에 권한을 부여해야 합니다.

보안 그룹의 이름은 패턴을 따릅니다. 접두사는 항상 SQLServerMSASUser$이며, 그 뒤에 컴퓨터 이름이 잇고 인스턴스 이름으로 끝납니다. 기본 인스턴스는 MSSQLSERVER입니다. 명명된 인스턴스는 설치 중에 지정된 이름입니다.

로컬 보안 설정에서 이 보안 그룹을 볼 수 있습니다.

• compmgmt.msc 실행 | 로컬 사용자 및 그룹 | 그룹 | SQLServerMSASUser$<server-name>$MSSQLSERVER (기본 인스턴스의 경우).

• 구성원을 보려면 보안 그룹을 두 번 클릭합니다.

그룹의 유일한 멤버는 서비스별 SID입니다. 바로 옆에 로그온 계정이 있습니다. 로그온 계정 이름은 코스메틱이며 서비스별 SID에 컨텍스트를 제공합니다. 로그온 계정을 변경하는 경우 보안 그룹과 서비스별 SID는 변경되지 않습니다. 로그온 계정 레이블만 다릅니다.

Analysis Services 서비스 계정에 할당된 Windows 권한

Analysis Services는 서비스 시작 및 시스템 리소스를 요청하기 위해 운영 체제의 권한이 필요합니다. 요구 사항은 서버 모드 및 인스턴스가 클러스터형인지 여부에 따라 달라집니다.

Analysis Services의 모든 인스턴스에는 서비스로 로그온 (SeServiceLogonRight) 권한이 필요합니다. SQL Server 설치 프로그램은 설치 중에 지정된 서비스 계정에 대한 권한을 할당합니다. 다차원 및 데이터 마이닝 모드에서 실행되는 서버의 경우 독립 실행형 서버 설치에 Analysis Services 서비스 계정에 필요한 유일한 Windows 권한이며 설치 프로그램이 Analysis Services에 대해 구성하는 유일한 권한입니다. 클러스터형 및 테이블 형식 인스턴스의 경우 추가 Windows 권한을 수동으로 추가해야 합니다.

테이블 형식 또는 다차원 모드의 장애 조치 클러스터 인스턴스에는 예약 우선 순위 증가 (SeIncreaseBasePriorityPrivilege)가 필요합니다.

테이블 형식 인스턴스는 인스턴스가 설치된 후 수동으로 부여해야 하는 다음 세 가지 추가 권한을 사용합니다.

서비스 계정에서 Windows 권한을 보거나 추가하려면

1. GPEDIT.msc 실행 | 로컬 컴퓨터 정책 | 컴퓨터 구성 | Windows 설정 | 보안 설정 | 로컬 정책 | 사용자 권한 할당.

2. SQLServerMSASUser$를 포함하는 기존 정책을 검토합니다. Analysis Services가 설치되어 있는 컴퓨터에서 찾을 수 있는 로컬 보안 그룹입니다. 이 보안 그룹에는 Windows 권한과 파일 폴더 권한이 모두 부여됩니다. 서비스 정책으로 로그온을 두 번 클릭하여 보안 그룹이 시스템에 지정되는 방식을 확인합니다. 보안 그룹의 전체 이름은 Analysis Services를 명명된 인스턴스로 설치했는지 여부에 따라 달라집니다. 계정 권한을 추가할 때 실제 서비스 계정이 아닌 이 보안 그룹을 사용합니다.

3. GPEDIT에서 계정 권한을 추가하려면 프로세스 작업 집합 증가를 마우스 오른쪽 단추로 클릭하고 속성을 선택합니다.

4. 사용자 또는 그룹 추가를 클릭합니다.

5. Analysis Services 인스턴스에 대한 사용자 그룹을 입력합니다. 서비스 계정은 로컬 보안 그룹의 구성원이므로 계정의 도메인으로 로컬 컴퓨터 이름을 앞에 추가해야 합니다.

   다음 목록에서는 컴퓨터 이름이 로컬 도메인인 "SQL01-WIN12"라는 컴퓨터에서 기본 인스턴스와 "테이블 형식"이라는 명명된 인스턴스에 대한 두 가지 예제를 보여 줍니다.

   • SQL01-WIN12\SQL01-WIN12$SQLServerMSASUser$MSSQLSERVER

   • SQL01-WIN12\SQL01-WIN12$SQLServerMSASUser$TABULAR

6. 프로세스에 대한 메모리 할당량 조정 및 필요에 따라 메모리의 페이지 잠금 또는 예약 우선 순위 증가에 대해 반복합니다.

Analysis Services 서비스 계정에 할당된 파일 시스템 권한

지정된 데이터 폴더에서 데이터베이스를 로드하고 언로드하는 데 필요한 권한을 포함하여 서버 작업에 필요한 모든 파일 시스템 권한은 설치 중에 SQL Server 설치 프로그램에서 할당합니다.

데이터 파일, 프로그램 파일 실행 파일, 구성 파일, 로그 파일 및 임시 파일에 대한 권한 보유자는 SQL Server 설치 프로그램에서 만든 로컬 보안 그룹입니다.

설치하는 각 인스턴스에 대해 하나의 보안 그룹이 만들어집니다. 보안 그룹의 이름은 기본 인스턴스에 대한 SQLServerMSASUser$MSSQLSERVER 또는 명명된 인스턴스의 SQLServerMSASUser$servername<$><instancename>의 이름을 따서 지정됩니다. 설치 프로그램은 서버 작업을 수행하는 데 필요한 파일 권한으로 이 보안 그룹을 프로비전합니다. \MSAS13에 대한 보안 권한을 확인하는 경우 MSSQLSERVER\OLAP\BIN 디렉터리에서 서비스 계정 또는 서비스별 SID가 아닌 보안 그룹이 해당 디렉터리에 대한 사용 권한 소유자임을 알 수 있습니다.

보안 그룹에는 SQL Server Analysis Services 인스턴스 시작 계정의 서비스별 SID(보안 식별자)라는 하나의 멤버만 포함됩니다. 설치 프로그램은 서비스별 SID를 로컬 보안 그룹에 추가합니다. SID 멤버 자격과 함께 로컬 보안 그룹을 사용하는 것은 데이터베이스 엔진에 비해 SQL Server 설치 프로그램이 Analysis Services를 프로비전하는 방식에서 작지만 눈에 띄는 차이입니다.

파일 권한이 손상되었다고 생각되는 경우 다음 단계에 따라 서비스가 여전히 올바르게 프로비전되었는지 확인합니다.

1. 서비스 제어 명령줄 도구(sc.exe)를 사용하여 기본 서비스 인스턴스의 SID를 가져옵니다.

   SC showsid MSSqlServerOlapService

   명명된 인스턴스(인스턴스 이름이 테이블 형식인 경우)의 경우 다음 구문을 사용합니다.

   SC showsid MSOlap$Tabular

2. 컴퓨터 관리자 | 로컬 사용자 및 그룹 그룹을 | 사용하여 SQLServerMSASUser$servername$<>instancename<> 보안 그룹의 멤버 자격을 검사합니다.

   멤버 SID는 1단계의 서비스별 SID와 일치해야 합니다.

3. Windows Explorer | 프로그램 파일 | Microsoft SQL Server의 폴더 보안 속성이 2단계의 보안 그룹에 부여되었는지 확인하려면 | MSASxx.MSSQLServer | OLAP | bin을 사용하십시오.

서비스별 SID에 대한 자세한 정보

모든 Windows 계정에는 연결된 SID가 있지만 서비스에는 SID가 있을 수도 있으므로 서비스별 SID라고 합니다. 서비스별 SID는 서비스 인스턴스가 설치될 때 서비스의 고유한 영구 고정 장치로 만들어집니다. 서비스별 SID는 서비스 이름에서 생성된 로컬 컴퓨터 수준 SID입니다. 기본 인스턴스에서 사용자에게 친숙한 이름은 NT SERVICE\MSSQLServerOLAPService입니다.

서비스별 SID의 이점은 파일 권한에 영향을 주지 않고 더 널리 표시되는 로그온 계정을 임의로 변경할 수 있다는 것입니다. 예를 들어 동일한 Windows 사용자 계정으로 실행되는 두 개의 Analysis Services 인스턴스(기본 인스턴스 및 명명된 인스턴스)를 설치했다고 가정해 보겠습니다. 로그온 계정이 공유되는 동안 각 서비스 인스턴스에는 고유한 서비스별 SID가 있습니다. 이 SID는 로그온 계정의 SID와 다릅니다. 서비스별 SID는 파일 권한 및 Windows 권한에 사용됩니다. 반면 로그온 계정 SID는 인증 및 권한 부여 시나리오에 사용되며 다른 SIDS는 다른 용도로 사용됩니다.

SID는 변경할 수 없으므로 서비스 계정을 변경하는 빈도에 관계없이 서비스 설치 중에 만든 파일 시스템 ACL을 무기한으로 사용할 수 있습니다. 추가 보안 조치로 SID를 통해 권한을 지정하는 ACL은 다른 서비스가 동일한 계정으로 실행되는 경우에도 프로그램의 실행 파일 및 데이터 폴더에 서비스의 단일 인스턴스에서만 액세스되도록 합니다.

특정 서버 작업에 대한 추가 Analysis Services 권한 부여

SQL Server Analysis Services는 SQL Server Analysis Services를 시작하는 데 사용되는 서비스 계정(또는 로그온 계정)의 보안 컨텍스트에서 일부 작업을 실행하고 작업을 요청하는 사용자의 보안 컨텍스트에서 다른 작업을 실행합니다.

다음 표에서는 서비스 계정으로 실행되는 작업을 지원하는 데 필요한 추가 권한을 설명합니다.

관련 콘텐츠

Windows 서비스 계정 및 권한 구성
SQL Server 서비스 계정 및 Per-Service SID(블로그)
서비스 SID를 사용하여 SQL Server 2017의 서비스에 사용 권한 부여
액세스 토큰(MSDN)
MSDN(보안 식별자)
액세스 토큰(Wikipedia)
액세스 제어 목록(Wikipedia)