Записки о мониторинге инфраструктуры на русском языке

OpsMgr 2007 достаточно сложный в плане понимания всех требуемых прав и уровней доступа продукт. В основном в силу того, что в нем используется достаточно много разнообразных аккаунтов для доступа к разным системам (SQL Server, IIS, AD и т.д.).

Здесь я постараюсь описать основные аккакунты (без аккаунтов, которые требуются для разнообразных менеджмент паков). ~~~

Итак, начнем.

Аккакунт, который вы будете использовать для установки продукта:

• Локальный администратор сервера, на котором устанавливается Root Management Server (RMS), Management Server (MS), сервер отчетов (репортинг) или сервер сбора аудита (Audit Collector).
• Локальный администратор сервера, на котором устанавливается операционная база данных, база данных DataWarehouse (DW), база данных репортинга (SSRS) или база данных Audit Collection Service(ACS).
• SA в инстансе SQL Server в котором устанавливается операционная база данных, база данных DataWarehouse, база данных репортинга (SSRS) или база данных Audit Collection Service(ACS).

SDK и Config аккаунты:

• Локальный администратор сервера на RMS, MS и Audit Collector
• Роль public в экземпляре SQL сервера, на котором находятся операционная база данных и база данных DataWarehouse
• Следующие роли в операционной базе данных: configsvc_users, db_datareader, db_datawriter, db_ddladmin, public, sdk_users
• Следующие роли в базе DW: db_datareader, OpsMgrReader, public

Management Server Action аккаунт:

• Локальный администратор RMS, MS, Audit Collector
• Роль public в экземпляре SQL сервера, на котором находятся операционная база данных
• Следующие роли в операционной базе данных: db_datareader, db_datawriter, db_ddladmin, dbmodule_users, public

Reporting Data Reader аккаунт:

• public роль в экземплярах SQL сервера, в которых находятся база данных DW и база данных репортинга (SSRS)
• Следующие роли в базе данных DW: db_datareader, OpsMgrReader и public
• Следующие роли в базах данных репортинг сервера:                                                                                       ReportServer и ReportServerTempDB: db_owner, public, RSExecRole                                                                         master: public, RSExecRole
  msdb: public, RSExecRole, SQLAgentOperatorRole, SQLAgentReaderRole, SQLAgentUserRole

Reporting Data Writer аккаунт:

• Роль public в экземплярах SQL серверов, в которых установлены операционная база данных и база данных DW
• Локальный администратор сервера репортинга (SSRS)
• Следующие роли в базе данных DW: db_owner, OpsMgrWriter, public
• Следующие роли в операционной базе данных:  db_datareader, dwsynch_users, public

Аккаунт компьютера, на котором находится Audit collector:

• Роль public в экземпляре SQL сервера, в котором установлена база данных аудита
• Следующие роли в базе данных аудита: db_owner, public

Глобальная доменная группа, которая назначена как группа администраторов OpsMgr 2007: 

• Локальный администратор сервера, на котором устанавливается Root Management Server (RMS), Management Server (MS), сервер отчетов (репортинг) или сервер сбора аудита (Audit Collector). Строго говоря, это не самые низкие привилегии, с которыми можно работать. Именно просто сопровождать сам продукт. Но не рекомендуется понижать права группы, администрирующей OpsMgr, исключая ее из локальных администраторов, потому что права локального администратора требуются для установки сервис паков, хотфиксов и ряда других операций, необходимость в которых может возникнуть.
• Роль public в экземплярах SQL сервера, в которых установлены операционная база данных и база данных DW. Строго говоря, для работы продукта прямой доступ к экземпляру SQL сервера группе администраторов OpsMgr не требуется. Он нужен для того, чтобы администраторы OpsMgr могли запускать запросы к базе напрямую для тестирования, поиска неисправностей и разработки новых отчетов. Если для OpsMgr (операционной базы или DW) выделен отдельный экземпляр SQL сервера, рекомендуется давать группе администраторов OpsMgr права SA для поддержки и поиска неисправностей.
• Роль SA в экземпляре SQL Reporting Services
• Если роль SA в экземпляре SQL сервера, в котором установлена операционная база, назначить не представляется возможным, то минимальными требуемыми привилегиями будет db_datareader и public
• Если роль SA в экземпляре SQL сервера, в котором установлена база DW, назначить не представляется возможным, то минимальными требуемыми привилегиями будет db_datareader, OpsMgrReader и public