Blog de Jose Mariano Alvarez

Como recuperar la contraseña del SA si se perdió o se olvidó

jmalvarez — Fri, 25 Feb 2011 20:07:50 -0100

Como los instaladores del SQL Server de las últimas versiones, no incorporan automáticamente al grupo de administradores de Windows (builtin\Administrators) como administradores del SQL Server (y tampoco es una buena práctica hacerlo), es bastante probable que ocurran este tipo de problemas o accidentes si los procedimientos para la generación, protección y guardado de contraseñas no están documentados y no son estrictos.

A veces, durante los procesos de operación y administración de los servidores, o instalación y configuración, puede suceder que se pierden las contraseñas o los privilegios de los administradores de un motor de base de datos de SQL Server. Entre los casos más habituales se encuentran por ejemplo:

Se han quitado todos los inicios de sesión o todos los grupos de Windows que son miembros del rol fijo de servidor sysadmin,
Los inicios de sesión que son miembros del rol fijo de servidor sysadmin son personas que no están disponibles porque han dejado la empresa o están de vacaciones por ejemplo
Se pierde la contraseña, ya sea del SA o de un inicio de sesión creado como administrador de SQL Server.

Una manera de solucionar este problema es reinstalar SQL Server. Sin embargo este procedimiento tiene algunas consecuencias ya que más allá del tiempo necesario para realizar la reinstalación se pierden en este proceso datos que están grabados en las bases del sistema, como por ejemplo los inicios de sesión (o logins) y por lo tanto se deberá recuperar estos datos desde una copia de seguridad. Se debe tener en cuenta que al realizar este proceso de restauración se vuelve al estado anterior al proceso de instalación porque se reescribe la base de datos del sistema con una copia previa y dependiendo del caso, podría tener los mismos inicios de sesión que antes de la reinstalación y por consiguiente, los administradores aún no tendrán acceso.

Solución

Para resolver este problema, lo mejor es aprovechar las propiedades que tienen los administradores de Windows luego de iniciar la instancia de SQL Server en modo de usuario único utilizando la opción -m. Después de iniciar la instancia del SQL Server en modo de usuario único, cualquier miembro del grupo local de administradores del equipo puede conectarse a la instancia de SQL Server como miembro del rol fijo de servidor sysadmin y realizar tareas administrativas como cambiar permisos. Se debe tener en cuenta que en este modo no se pueden realizar todos los cambios posibles. Esto previene que los administradores de Windows abusen de los privilegios de actuar como un administrador de SQL Server.

Los pasos a seguir son los siguientes:

Abrir el SQL Server Configuration Manager desde el menú de Windows y detener el servicio de la instancia del SQL Server involucrada.
En la solapa de “Avanzado” (Advanced), en el cuadro de texto propiedades (Properties), agregar “;–m” al final de la lista en la opción de parámetros de arranque “Startup parameters”. Debe tenerse en cuenta que no haya espacios entre “;” y “-m” porque si no va a dar error.
Aceptar los cambios presionando “OK”.
Reiniciar la instancia del SQL Server. En este instante se debe verificar que el resto de los servicios que componen el SQL Server están de detenidos, especialmente si alguno de esos corre con una cuenta de servicio que es administrador local, porque estos servicios podrían conectarse utilizando la única conexión disponible antes de que lográramos conectarnos para realizar los cambios necesarios, y ya no sería posible que nos conectáramos porque sería una segunda conexión.
Conectarse al sql server utilizando autenticación Windows mediante la herramienta de línea de comandos “sqlcmd”. El usuario de Windows debe ser administrador local. (*)

Por ejemplo:

SQLCMD –S Localhost –E

Ejecutar por ejemplo un comando TSQL como "sp_addsrvrolemember" para agregar un inicio de sesión existente (o uno nuevo recién creado con CREATE LOGIN) como administrador del sql server o cambiar la contraseña de inicio de sesión con ALTER LOGIN.

Por ejemplo:

CREATE LOGIN [Dominio\usuario] FROM WINDOWS WITH DEFAULT_DATABASE=[master]
GO
EXEC master..sp_addsrvrolemember             
               @loginame = N'Dominio\usuario',             
               @rolename = N'sysadmin'
GO

Luego de que se tiene acceso al sql server como administrador, eliminar el “;-m” como parámetro de arranque utilizando el configuration manager y reiniciar la instancia del sql server.

(*) Importante: Si el sistema operativo tiene User Account Control (UAC), y está activado, a pesar de pertenecer al grupo de administradores locales, no es posible conectarse al SQL Server con privilegios de administrador local a menos que la consola se abra con la opción de “ejecutar como administrador” utilizando el menú de contesto que aparece presionando el botón derecho sobre el icono del CMD.EXE.

Referencias:

Solucionar problemas: conectarse a SQL Server cuando los administradores del sistema no tienen acceso

http://msdn.microsoft.com/es-ar/library/dd207004.aspx

Iniciar SQL Server en modo de usuario único

http://msdn.microsoft.com/es-ar/library/ms188236.aspx

Paquete de actualización acumulativa 1 para SQL Server 2005 Service Pack 4

jmalvarez — Mon, 27 Dec 2010 00:12:04 -0100

Microsoft ha liberado el 24 de diciembre de 2010 la actualización acumulativa 1 del Microsoft SQL Server 2005 (build 9.00.5254) que solo se debe aplicar a una revisión de SQL Server 2005 Service Pack 4 (build 9.00.5000). Esta actualización contiene soluciones para problemas que han sido corregidos desde el lanzamiento de SQL Server 2005 Service Pack 4.

Es importante tener en cuenta que es recomendable instalar esta actualización solo en sistemas que experimenten los problemas específicos que corrige este paquete y solo si estos sistemas se ven muy afectados por dichos problemas. El próximo service pack del SQL Server 2005 va a contener los hotfix de este paquete de actualización.

Pueden encontrar los detalles de la actualización (incluidos los problemas resueltos) y el enlace de descarga en:

http://support.microsoft.com/kb/2464079

También pueden encontrar el paquete como Cumulative update package 1 for SQL Server 2005 Service Pack 4 o CU1 for SQL Server 2005 Service Pack 4

SQL Server 2005 Service Pack 4 - SP4

jmalvarez — Sat, 25 Dec 2010 19:16:53 -0100

Microsoft ha liberado el 17 de diciembre 2010 el Service Pack 4 del SQL Server 2005 (BUILD 9.00.5000). El SQL Server 2005 SP4 incluye las actualizaciones acumulativas del SQL Server 2005 SP3 desde la 1 a la 11, además de otras correcciones solicitadas por los clientes.

Debido a que las compilaciones de estas actualizaciones son acumulativas, cada nueva actualización contiene todas las mejoras anteriores y por lo tanto no es necesario instalarla antes de esta actualización.

En el SQL Server 2005 las actualizaciones no son multilenguaje. Por lo tanto debe ser utilizado el paquete del idioma que coincide con la instalación que se desea actualizar. Este service pack 4 incluye actualizaciones de todos los componentes del SQL Server, pero solo se instalarán los correspondientes a los componentes que ya están instalados en el sistema.

Esta actualización se puede utilizar para actualizar las siguientes ediciones de SQL Server 2005:

Enterprise
Developer
Standard
Workgroup

Para obtener SQL Server 2005 Express Edition , se debe descargar la versión SP4 del SQL Server 2005 Express o el SQL Server 2005 Express Edition con Advanced Services.

Para obtener más información, puede ver los siguientes links:

Microsoft SQL Server 2005 SP4 Release Notes
Notas de la versión de Microsoft SQL Server 2005 SP4 (es-ES)

Lista de los errores corregidos en SQL Server 2005 Service Pack 4
http://support.microsoft.com/kb/2463332

Descargas del Service Pack 4 de Microsoft SQL Server 2005

Service Pack 4 de Microsoft SQL Server 2005 (Inglés)

Service Pack 4 de Microsoft SQL Server 2005 (Español)

SQL Server 2005 Express Edition SP4

Service Pack 4 de Microsoft SQL Server 2005 Express Edition (Español)

Microsoft SQL Server 2005 Express Edition Service Pack 4 (Inglés)

Microsoft SQL Server Management Studio Express Service Pack 4 (Inglés)

Service Pack 4 de Microsoft SQL Server Management Studio Express (Español)

Otras descargas

Feature Pack for Microsoft SQL Server 2005 SP4 (Inglés)

Feature Pack de Microsoft SQL Server 2005 SP4 (Español)

Sistemas operativos compatibles:

Windows 7
Windows Server 2003
Windows Server 2008
Windows Server 2008 R2
Windows Vista
Windows XP

NOTA: Siempre es recomendable que pruebe las actualizaciones antes de implementarlas en un entorno de producción.

FIX para el Error 315 The backup set holds backup of a database other than the existing database

jmalvarez — Thu, 25 Nov 2010 17:43:24 -0100

Hace poco migrando de equipo y edición (pero no de versión) una base de datos de SQL Server utilizada por Blackberry que estaba en un SQL Server 2005 SP3 me dio un error al realizar un RESTORE con el siguiente comando en el nuevo servidor:


RESTORE DATABASE [BESMgmt] 
FROM  DISK = N'O:\MSSQL\Blackberry\BESMgmt20101125.bak' 
WITH MOVE N'BESMgmt_data' 
TO N'O:\MSSQL\Blackberry\BESMgmt.mdf',  
MOVE N'BESMgmt_log'      
TO N'O:\MSSQL\Blackberry\BESMgmt.ldf',  
NOUNLOAD,  STATS = 10
GO

El error fue el siguiente

Error 3154: The backup set holds a backup of a database other than the existing database.

Lo extraño fue que había hecho el Backup con el siguiente comando con lo cual estaba totalmente seguro que el archivo de Backup contenía la base de datos correcta.

BACKUP DATABASE [BESMgmt] 
TO  DISK = N'C:\Backup\BESMgmt20101125.bak' 
WITH NOFORMAT, NOINIT,  
NAME = N'BESMgmt-Full Database Backup', 
SKIP, NOREWIND, NOUNLOAD,  STATS = 10
GO

La solución

La solución es simple e ingeniosa. Únicamente debemos “mentirle” para que crea que debe sobrescribir una base de datos existente utilizando WITH REPLACE. Aunque la base de datos no existe la ejecución es exitosa y resuelve el problema, permitiendo realizar el RESTORE.

Ejemplo

RESTORE DATABASE [BESMgmt] 
FROM  DISK = N'O:\MSSQL\Blackberry\BESMgmt20101125.bak' 
WITH REPLACE,  
MOVE N'BESMgmt_data' 
TO N'O:\MSSQL\Blackberry\BESMgmt.mdf',  
MOVE N'BESMgmt_log'      
TO N'O:\MSSQL\Blackberry\BESMgmt.ldf',  
NOUNLOAD,  STATS = 10
GO

Truco para diseñar una dimensión tiempo de un Data Warehouse

JMAlvarez — Thu, 18 Nov 2010 01:32:10 -0100

La dimensión de tiempo existe habitualmente en cada data warehouse y la granularidad más usada es el día. Generalmente tiene muchos atributos pero solo algunos de estos atributos como por ejemplo el nombre del mes y el año pueden ser obtenidos fácilmente usando una expresión SQL aplicada a la fecha. Si la dimensión tiene atributos para dar soporte a múltiples lenguajes resulta a veces complicado construirla con el lenguaje SQL. Otros atributos no se pueden obtener mediante SQL ya que no hay mecanismos predecibles y dependen de decisiones humanas.

Otra característica de la dimensión tiempo es que suele tener muchos atributos como por ejemplo marcas de días feriados o no laborables, atributos de períodos fiscales o de temporadas, atributos relacionados a la fecha como el número de semana, la marca de último día del mes, y otros atributos muy útiles usados especialmente para la navegación y que deben estar integrados en la dimensión fecha mediante atributos dimensionales.

La gran ventaja de esta dimensión es que está completamente definida y especificada desde el inicio del proyecto del data warehouse. Pero la desventaja es que no tiene una fuente de datos convencional sino que se suele generar mediante algún mecanismo como una planilla o tabla cargada manualmente o mediante algún proceso.

La clave de la dimensión fecha

Todas las dimensiones fecha necesitan un atributo que representa a la fecha y un atributo para relacionar con la tabla de hechos. Debe haber al menos un registro que permita representar situaciones especiales como una fecha no aplicable o no informada o que no ha ocurrido aún y además es posible que desee distinguir varias de estas condiciones inusuales.

En estos casos en que se deben representar hechos relacionados a estas “fechas especiales”, las referencias foreign key en la tabla de hechos deben permitir referenciar a estos registros con “fechas inusuales” en la tabla de la dimensión fecha. Recordemos que el valor de estos atributos en los campos de la tabla de hechos no puede ser nulo, ya que debe estar relacionado con la tabla de la dimensión tiempo.

La clave principal de la dimensión fecha ideal debería ser una clave subrogada sin representación semántica, como por ejemplo un numero entero (que no representa una fecha), pero muchos diseñadores no pueden resistir la tentación de hacer que la clave sea legible como por ejemplo 20101116 significando el 16 de noviembre de 2010. Sin embargo, como con todas las claves inteligentes, los pocos registros especiales en la dimensión fecha harán que el diseñador utilice trucos para representarlas. Por ejemplo, la clave inteligente para una fecha “no aplicable” tendría que ser un valor sin sentido como por ejemplo 99999999, y esto trae aparejado que las aplicaciones que tratan de interpretar la fecha directamente para obtener información (como por ejemplo el mes) sin usar los atributos de la dimensión tengan inconvenientes porque no es una fecha válida.

Conclusión

En definitiva utilizar un tipo de dato fecha para el atributo clave de la dimensión fecha no es una buena elección y conviene que el valor este subrogado utilizando una clave entera que está oculto al usuario dentro de la meta data. El atributo representativo de la fecha debe ser un atributo que acepte representaciones especiales y no solamente representación de fechas válidas.

Referencia:

[PDF] Kimball Design Tip #51: Latest Thinking On Time Dimension Tables
http://www.rkimball.com/html/designtipsPDF/KimballDT51LatestThinking.pdf

Libros en linea de SQL Server 2011 “Denali”

jmalvarez — Sat, 13 Nov 2010 22:56:17 -0100

Quienes quieran ver las novedades disponibles en la próxima versión de SQL Server 2011 “DENALI” además de poder descargar el CTP1 que ya está disponible pueden acceder en línea a los libros en línea disponibles en inglés.

Books Online for SQL Server "Denali"
http://msdn.microsoft.com/en-us/library/ms130214(SQL.110).aspx

Novedades

What's New (SQL Server "Denali")
http://msdn.microsoft.com/en-us/library/bb500435(SQL.110).aspx

Ya se puede descargar el CTP1 de SQL Server 2011 “Denali”

jmalvarez — Tue, 09 Nov 2010 20:33:02 -0100

Ayer fue anunciado en la conferencia PASS que está disponible para descargar el CTP1 de la próxima versión del SQL Server 2011 cuyo nombre de proyecto es "Denali". Si bien falta algo de tiempo para que este entre nosotros la versión final, se pueden ver y probar algunas de las nuevas características.

El CTP1 de “Denali”, está disponible para el que quiera probarlo. Sus objetivos son proporcionar una plataforma altamente disponible y escalable con una mayor flexibilidad, facilidad de uso, menor coste total de propiedad, y el rendimiento requerido por la mayoría de las aplicaciones de misión crítica.

Siempre debe tenerse en cuenta que en el proceso de desarrollo pueden cambiar, o desaparecer algunas de las características que tiene durante el proceso de pruebas.

Les dejo algunos links:

Información de SQL Server 2011 “Denali”:

http://www.microsoft.com/sqlserver/en/us/product-info/future-editions.aspx,

Anuncio del Parallel Data Warehouse 2008 R2:

http://www.microsoft.com/Presspass/press/2010/nov10/11-09PASS10PR.mspx.

Descarga del Microsoft® SQL Server® code-named 'Denali' - Community Technology Preview 1 (CTP1)

http://www.microsoft.com/downloads/en/details.aspx?FamilyID=6a04f16f-f6be-4f92-9c92-f7e5677d91f9

Algunas novedades que tendrá

SQL Server AlwaysOn (Siempre activo), proporciona un conjunto de capacidades para ayudar a las empresas a maximizar el tiempo de funcionamiento de sus aplicaciones de misión crítica, simplificar las implementaciones de alta disponibilidad y ofrecer un mejor rendimiento de las inversiones de hardware.
Acelerador de consultas basado en columnas, ayudará a aumentar drásticamente el rendimiento de consultas (~ 10x) y reducir las tareas de optimización del rendimiento a través de experiencias interactivas con los datos y eliminar la necesidad de construir agregaciones.
Mejorar el cumplimiento mediante la auditoría en todas las ediciones de SQL Server
Gestionar eficazmente la separación de funciones con las funciones de servidor de grano fino.
Las mejoras de compatibilidad ayudarán a simplificar las pruebas de aplicaciones y reducir los errores con los cambios en las aplicaciones y las actualizaciones distribuidas utilizando Replay.
Un rendimiento más rápido de FileStream y búsqueda de texto completo, el apoyo espaciales 2D y FileTable.
Experiencia unificada de desarrollo, herramientas de SQL Server con nombre en código " "
Entorno único para el desarrollo de bases de datos, BI y soluciones web.
Ampliación del alcance de BI a través de la visualización basada en web altamente interactivas y storyboard.
Exploración de datos en Internet y soluciones de visualización.
Análisis en memoria y disco para toda la organización
Proporcionar el mayor rendimiento de análisis desde el desktop al centro de datos a través de la tecnología Vertipaq
Modelo semántico, tanto para la presentación de informes y análisis.
Integración de datos empresariales
Dos componentes nuevos para la gestión de datos, servicios de datos de calidad de la limpieza de datos basada en el conocimiento y análisis de impacto y linaje.

Como transferir los roles de servidor entre instancias de SQL Server 2005 o 2008

jmalvarez — Fri, 13 Aug 2010 03:03:58 -0100

Recientemente escribí un post que habla de cómo transferir los Logins entre instancias de SQL Server utilizando scripts documentados en la base de conocimiento de Microsoft. Pueden encontrar este post en:

Cómo transferir los inicios de sesión y las contraseñas entre instancias de SQL Server

Además de transferir la contraseña, normalmente queremos que el nuevo Login tenga el mismo SID para evitar que los usuarios queden huérfanos dentro de las bases de datos migradas o transferidas. Esto lo realizan los script documentados en la base de conocimiento que hago referencia en el post.

Sin embargo uno de los lectores me hizo notar que no había explicado que los scripts generados por estos documentos no generan los scripts correspondientes a los roles (funciones) de servidor que tenían en la instancia de origen. Solo el método 2 del documento en inglés que transfiere los Logins desde el SQL Server 2000 al SQL Server 2005/2008 tiene la posibilidad de generar el script para transferir los roles de servidor entre las instancias. Las otras versiones del script no lo hacen.

Si ya hemos creado los Login con el script de estos documentos de la base de conocimiento y debemos además, transferir los roles de servidor a esta nueva instancia, y nuestro origen es un SQL Server 2005 o un SQL Server 2008, podemos usar el siguiente script para generar el script de transferencia:

-- Genera el script con los Roles para los Logins
Select 
 'exec master.dbo.sp_addsrvrolemember @loginame=''' 
 + sp.name + ''', @rolename='''+sp2.name +''';' 
from 
master.sys.server_principals as sp 
join master.sys.server_role_members as srm 
on sp.principal_id = srm.member_principal_id 
join master.sys.server_principals as sp2 
on srm.role_principal_id=sp2.principal_id
where sp.type in ('S','U','G')


-- Genera el script con la base de datos por default (omision) para los Logins
Select 
 'ALTER LOGIN ['+ sp.name 
 +'] WITH DEFAULT_DATABASE = [' 
 + sp.default_database_name +'];'
from 
master.sys.server_principals as sp 
where sp.type in ('S','U','G')
and sp.default_database_name is not null

Cómo transferir los inicios de sesión y las contraseñas entre instancias de SQL Server

jmalvarez — Mon, 09 Aug 2010 12:49:58 -0100

Una de las tareas fundamentales a la hora de hacer las migraciones o mover las bases de datos de una instancia a otra es transferir los logins. Cuando queremos transferir un login entre instancias de SQL Server, además de transferir la contraseña, normalmente queremos que el nuevo login tenga el mismo SID para evitar que los usuarios queden huérfanos dentro de las bases de datos migradas o transferidas.

En la base de conocimiento de Microsoft existen dos artículos que describen los pasos y los detalles a tener en cuenta para realizar esta tarea. Se deberá seleccionar el que corresponda dependiendo de la versión de SQL Server de origen como de destino.

El método usado es el de crear dos procedimientos almacenados que luego al ser invocados generan una secuencias de comandos T-SQL que permiten crean los inicios de sesión con el mismo SID y la contraseñas original cuando se los ejecutan en la nueva instancia.

How to transfer logins and passwords between instances of SQL Server

En este artículo (en inglés) se describe cómo transferir los inicios de sesión y las contraseñas a un nuevo servidor. El método explicado en el documento se aplica cuando:

Transfiere inicios de sesión y contraseñas de SQL Server 7.0 a SQL Server 7.0.
Transfiere inicios de sesión y contraseñas de SQL Server 7.0 a SQL Server 2000.
Transfiere inicios de sesión y contraseñas de SQL Server 7.0 a SQL Server 2005.
Transfiere inicios de sesión y contraseñas entre servidores que ejecutan SQL Server 2000.
Transfiere inicios de sesión y contraseñas de SQL Server 2000 a SQL Server 2005.

http://support.microsoft.com/?scid=kb;en-us;246133&x=13&y=12

IMPORTANTE: Existen diferencias entre el artículo de la versión en inglés que contiene dos scripts diferentes, un script para transferir los logins entre versiones SQL Server 7.0/2000 y SQL Server 7.0/2000 y otro script para transferirlos entre SQL Server 7.0/2000 y SQL Server 2005/8. En el mismo artículo en español solo está documentado el procedimiento entre versiones SQL Server 7.0/2000 a SQL Server 7.0/2000.

Cómo transferir inicios de sesión y contraseñas entre servidores SQL Server

Versión en español (incompleto)

http://support.microsoft.com/kb/246133/es

Cómo transferir los inicios de sesión y las contraseñas entre instancias de SQL Server 2005 y SQL Server 2008

Este artículo describe cómo transferir los inicios de sesión y las contraseñas entre instancias de Microsoft SQL Server 2005 y Microsoft SQL Server 2008.

http://support.microsoft.com/kb/918992/es

Cifrado, Blackberry, Cloud Computing y Seguridad Nacional

jmalvarez — Tue, 03 Aug 2010 02:53:32 -0100

Los algoritmos de cifrado y la seguridad nacional.

Hace unos años hubo una gran controversia acerca de la exportación de software y hardware que contenía algoritmos de cifrado “duros” debido a que los “enemigos” los podían usar para intercambiar información.

La controversia del AES y la seguridad nacional

Lo mismo ocurrió acerca de la selección del sucesor del DES como el algoritmo de cifrado, el cual iban a utilizar las agencias no militares y los contratistas del gobierno. La elección del AES como el algoritmo estándar de cifrado, una variación limitada en cuanto a sus prestaciones del algoritmo original Rijndael, fue anunciada por el Instituto Nacional de Estándares y Tecnología (NIST) como el estándar federal de procesamiento de la información. Esta controversia se basaba en el hecho de que se temía, de que los cambios introducidos al algoritmo ganador del concurso, permitían realizar un criptoanálisis a la información cifrada. Esto era algo que se sospechaba pero que oficialmente no se discutía, por temas de seguridad nacional.

Blackberry y la seguridad nacional

Recientemente dos países anunciaron restricciones a los servicios de e-mail y mensajería instantánea del Blackberry, utilizando como pretexto el que los servicios centralizan el manejo de los datos en servidores alojados en el extranjero. Esto puede ser verdad, pero sin embargo a veces puede haber sospechas de que en realidad son escusas que utilizan los gobiernos para prohibir la utilización de la tecnología por otros motivos, como por ejemplo los culturales, políticos o religiosos. Hay quienes dicen que la iniciativa más que buscar la protección de la seguridad nacional esconde un intento por controlar la información de la población.

Research In Motion (RIM), la creadora del Blackberry, hace que cierta información pase por sus servidores que están ubicados principalmente en Canadá. Si bien los datos viajan cifrados, el algoritmo usado no es conocido lo cual aumenta las sospechas.

Otro detalle no menor para los gobiernos es que puede alegarse que la información intercambiada constituye un peligro para la seguridad nacional, porque puede ser de terroristas y otros criminales y de esta forma puede ser intercambiada sin que puedan ser supervisadas por las autoridades.

Si bien las razones exactas del impedimento no están muy claras, el número de usuarios afectados podría ser mucho mayor si la represión se aplica también a extranjeros en viaje. Otro detalle no menor es que como la mayoría de los equipos pertenecen a empleados de áreas de las finanzas, y los bancos que los emplean dicen que están más preocupados por la seguridad de los datos frente a sus rivales que por la censura estatal.

El regulador de telecomunicaciones dice que el impedimento es el resultado del fracaso de que RIM se ajuste a las normas locales desde el año 2007. La prohibición se parece más un paso táctico para negociar con la empresa. En India pasó algo similar y alcanzaron un acuerdo.

Cloud Computing y seguridad nacional

La idea de Cloud Computing (informática en nube) ha ido ganando impulso en los últimos tiempos. La globalización ha llegado también a los servicios ofrecidos en internet. Sus promesas de reducción de costos y de mejora de la flexibilidad de TI han conseguido despertar el interés de las empresas. Pero el uso de modelos Cloud Computing también conlleva algunos riesgos relacionados con la conformidad, la disponibilidad y la integridad de los datos corporativos que deben superarse.

Debe tenerse en cuenta sobre todo que en última instancia, frente a las autoridades y clientes, el consumidor de los servicios es el responsable de mantener la confidencialidad, integridad y disponibilidad de los datos.

Esta nueva ola tecnológica trae también controversias de seguridad, que si bien son diferentes, en algunos aspectos pueden parecerse a lo que le está ocurriendo al Blackberry. El almacenamiento de la información fuera de las fronteras, o fuera del alcance de la justicia local, pero si al alcance de la justicia o medidas de los gobiernos extranjeros donde residen los Datacenters, pueden ser vistas como riesgos a la seguridad nacional.

Conclusión

Si no se elabora un acuerdo internacional en cuanto a la gestión global de la información, equivalente a lo que ocurre en el área de las transacciones comerciales con los acuerdos de la Organización Mundial de Comercio (OMC), esto puede retrasar el avance de la nube principalmente en países que no son económicamente “convenientes” para tener los Datacenters locales.

Herramientas y enfoques para la actualización a SQL Server 2008

jmalvarez — Mon, 26 Jul 2010 04:02:31 -0100

En mayo de 2010 Dmitry Artemov y Alexei Khalyako han publicado un documento (en inglés) que han escrito acerca de las herramientas y los posibles enfoques para la actualización a SQL Server 2008 y SQL Server 2008 R2 desde versiones anteriores.

Realizar una actualización suele ser un proyecto complejo y en ocasiones arriesgado. Si en dicho proceso de actualización tenemos problemas corremos el riesgo de que se pueda causar la pérdida de tiempo y dinero e inclusive de datos. Cualquiera que sea el problema se puede crear una mala percepción tanto del producto como del futuro de las aplicaciones a medida que avanza la tecnología y surgen nuevas versiones del SQL Server.

Una actualización correcta por el contrario, puede proporcionar a la organización una moderna plataforma de base de datos, actualizada, más segura y con capacidades mejoradas tanto para el desarrollo como para el soporte a los sistemas en ambiente productivo.

Este documento reseña tanto los documentos disponibles como las herramientas que pueden ser utilizadas para ayudar a los administradores (DBA) y a los desarrolladores a lograr exitosamente y sobre todo sin mayores inconvenientes, la actualización desde bases de datos SQL Server 2000 o SQL Server 2005 a SQL Server 2008 (tanto R2 o SQL Server 2008).

En el documento se explica la utilización de una carga de trabajo de SQL Server capturada en el entorno de producción, y luego como esta carga de trabajo se puede ejecutar en las versiones antiguas y nuevas de SQL Server en un entorno de prueba para comparar el rendimiento y aislar los problemas de la migración. Entre las herramientas usadas para esta tarea están RML para SQL Server y el Upgrade Advisor.

Pueden descargar este document desde el sitio de Microsoft:

Database Upgrade to SQL Server 2008, Tools and Approaches

Relación entre el log de transacciones (Transaction Log) y la captura de datos modificados (Change Data Capture)

jmalvarez — Sun, 25 Jul 2010 01:17:52 -0100

Pequeño aumento de I/O en el Log de Transacciones.

En primer lugar, debemos tener en cuenta que, existe un pequeño aumento del I/O en los archivos del Log de Transacciones si la captura de datos modificados o Change Data Capture (CDC) está habilitado en la base de datos. Esto ocurre debido a que se deben leer los datos de los cambios desde estos archivos del log de transacciones para poder identificar los cambios e incorporarlos en las tablas de captura. Además cuando corre el proceso o job de limpieza, se eliminan registros de las tablas de captura relacionadas y el log de transacciones también debe ser actualizado para respetar las reglas de las transacciones de las bases de datos.

Consecuencias de la captura de datos modificados o Change Data Capture en la reutilización de las entradas en el log de transacciones.

Cuando usamos una base de datos, una de las cosas que debiéramos tomar en cuenta es el tamaño que va a tener nuestro registro o log de transacciones (Transaction Log). Para el correcto control del tamaño de los archivos que lo componen, si el modelo de recuperación es full, se realizan periódicamente tareas administrativas como el backup (o copia de seguridad) del log de transacciones. Esta tarea permite que en condiciones normales el mismo no crezca sin control ya que al completar la copia se pueden reutilizar las entradas y no hace falta que siga creciendo. Otra de las alternativas usadas es el modelo de recuperación simple que marca las transacciones completadas y grabadas en los archivos de datos como reutilizables lo que minimiza el uso del mismo a expensas de tener más posibilidades de recuperar datos en caso de una falla.

Es importante señalar que la captura de datos modificados o Change Data Capture (CDC) funciona correctamente en todos los modelos de recuperación. Cuando el CDC está habilitado en los modelos de recuperación simple o bulk-logged, los cambios realizados por las operaciones que normalmente se registran mínimamente, pasan a ser totalmente registrados en el log de transacciones para permitir la captura de todos los datos modificados. Además, cuando usamos la Captura de Datos Modificados o Change Data Capture se producen cambios en cómo se marcan las entradas que pueden reutilizarse en el log de transacciones.

Si vemos con más detalle lo que ocurre, veremos que los registros del log de transacciones permanecen activos hasta que el CDC los ha procesado. Esto significa, que en entornos en los que hay una gran tasa de cambios o la latencia de captura es grande, cuando el CDC no procesa frecuentemente las entradas de log de transacciones, se acumulan entradas no reutilizables en el archivo del log de transacciones y por lo tanto este debe crecer porque el espacio no se puede reutilizar . Esto puede ocurrir tanto en el modelo de recuperación simple como después de un backuo o copia de seguridad de log de transacciones en el modelo de recuperación full (completa).

Consecuencias del log de transacciones lleno

Cuando un disco donde está el registro de transacciones se llena, no se puede reducir el tamaño del archivo del log de transacciones usando el comando shrink, hasta que la Captura de Datos Modificados o Change Data Capture (CDC) ha procesado todas las transacciones involucradas. El problema es que el CDC no puede procesar las transacciones cuando los discos donde está el log de transacciones está lleno (o no puede crecer), porque el CDC inserta registros en las tablas de captura y estas operaciones también deben registrarse en el LOG de transacciones.

Si el problema es el espacio en el disco, la forma más fácil de recuperarse de esta situación es añadir otro archivo al log de transacciones,al menos de manera temporal, en un disco diferente donde haya espacio.

Actualización acumulativa 9 CU9 del Service Pack 1 del SQL Server 2008

jmalvarez — Thu, 22 Jul 2010 03:14:32 -0100

Microsoft ha liberado el 21 de Julio del 2010 la actualización acumulativa 9 del Service Pack 1 del SQL Server 2008 (CU9 o BUILD 10.00.2789.00). Esta actualización contiene varios parches entre los incluidos en el motor relacional, Analysis Services, Reporting Services y búsquedas de texto completo (FullText). Debido a que las compilaciones son acumulativas, cada nueva actualización contiene todas las mejoras anteriores incluidas en las actualizaciones que se han liberado desde el lanzamiento del Service Pack 1 del SQL Server 2008.

Es importante recordar que Microsoft ha "retirado" la rama de desarrollo RTM del SQL Server 2008, lo que significa que no habrá más actualizaciones acumulativas de esa rama de desarrollo, y que sólo proporcionará un soporte limitado y solución de problemas si se llama a soporte a clientes (CSS). Por lo tanto es recomendable obtener y actualizar al menos al Service Pack 1.

NOTA: Siempre es recomendable que pruebe las actualizaciones antes de implementarlas en un entorno de producción.

En el SQL Server 2008 las actualizaciones son multilenguaje. Por lo tanto, sólo hay un paquete de actualización acumulativo para todos los idiomas. Además incluye todos los paquetes de actualización de todos los componentes que requieren ser actualizados, pero solo se instalarán los correspondientes a los componentes que ya están instalados en el sistema.

Para obtener más información, puede ver los siguientes artículos en la base de conocimiento de Microsoft:

The SQL Server 2008 builds that were released after SQL Server 2008 Service Pack 1 was released
http://support.microsoft.com/kb/970365/en-us

Cumulative update package 9 for SQL Server 2008 Service Pack 1
http://support.microsoft.com/kb/2083921/en-us

Kit de entrenamiento para desarrolladores. Actualización a SQL Server 2008 R2

jmalvarez — Fri, 16 Jul 2010 01:29:08 -0100

El SQL Server 2008 R2 ofrece una impresionante gama de capacidades para los desarrolladores basadas en las innovaciones que empezaron a introducirse en el SQL Server 2008. El kit de entrenamiento para desarrolladores del SQL Server 2008 R2 está actualizado y es ideal para los que quieren entender cómo tomar ventaja de las mejoras introducidas tanto en el SQL Server 2008 como en el SQL Server 2008 R2. No solo contiene novedades sino que además tiene contenidos para los desarrolladores que son nuevos en SQL Server.

Dentro del material podemos encontrar como crear aplicaciones que aprovechan las características y capacidades de SQL Server 2008 y SQL Server 2008 R2, mediante 55 videos, 32 presentaciones, 39 demostraciones y 24 prácticas de laboratorio. Además de las novedades contiene todo el contenido existente del Kit de capacitación de desarrollo de SQL Server 2008.

El kit está diseñado para los desarrolladores que construyen aplicaciones para la plataforma Microsoft como también para los especialistas técnicos y consultores.

Pueden ver más detalles y descargarlo desde:

http://www.microsoft.com/downloads/details.aspx?familyid=FFFAAD6A-0153-4D41-B289-A3ED1D637C0D&displaylang=en

NOTA: EL contenido esta en inglés

Actualización del Kit de Entrenamiento de Servicios Azure

jmalvarez — Wed, 14 Jul 2010 19:59:52 -0100

El Kit de entrenamiento de Servicios Azure incluye un conjunto completo de contenido técnico, incluidos laboratorios prácticos, presentaciones y demostraciones que se han diseñado para aprender y comprender como utilizar la plataforma Windows Azure, incluyendo: Windows Azure, SQL Azure y AppFabric.

Esta actualización incluye tanto actualizaciones como nuevos laboratorios actualizados para Visual Studio 2010.

Entre lo nuevo que incluye el Kit está:

Introducción a Windows Azure - versión VS2010
Introducción a SQL Azure - versión VS2010
Introducción a la plataforma Windows Azure + AppFabric Service Bus - versión VS2010
Introducción a Dallas - versión VS2010
Introducción a la plataforma Windows Azure AppFabric Servicio de Control de Acceso - versión VS2010
Servicios Web y la identidad en la nube (CLOUD)
Explorando el almacenamiento de Windows Azure versión VS2010. Nuevo ejercicio: "Trabajar con unidades de disco"
Implementación en Windows Azure versión VS2010. Nuevo ejercicio: "La seguridad de Windows Azure con SSL"
Correcciones menores a las presentaciones (sobre todo los plazos, precios, novedades, etc)

http://www.microsoft.com/downloads/details.aspx?FamilyID=413E88F8-5966-4A83-B309-53B7B77EDF78&displaylang=en

Materiales-Índices y rendimiento (Performance) en el SQL Server

jmalvarez — Tue, 03 Nov 2009 09:09:56 -0100

El objetivo fue aprender como el SQL Server almacena los datos y como utiliza los índices para poder diseñarlos y usarlos eficientemente. El objetivo final fue que los asistentes puedan tener el conocimiento necesario para optimizar mediante índices el uso que hace una aplicación de los recursos disponibles en el SQL Server.

Los siguientes enlaces tienen el contenido de los materiales mostrados en el curso dictado en el MUG y que no están incluidos en el CD con materiales que han recibido.

Índices y rendimiento (Performance) en el SQL Server.pdf (1,76 mb)

DemosIndicesOct2009.zip (25,81 kb)

Actualización de Seguridad para el SQL Server 2005 Service Pack 3 (KB970894)

jmalvarez — Thu, 15 Oct 2009 14:04:33 -0100

Se ha identificado un problema de seguridad en el SQL Server 2005 Service Pack 3 que podría permitir a un atacante comprometer su sistema y obtener el control sobre ella. Entre los problemas conocidos que resuelve esta el del Boletín de seguridad Microsoft MS09-062

Security Update for SQL Server 2005 Service Pack 3 (KB970894)

http://www.microsoft.com/downloads/details.aspx?familyid=e6f307c1-8b21-406e-9c6f-b1a3a1e9a98f&displaylang=en

IMPORTANTE: Se recomienda aplicar la actualización lo antes posible, previa verificación de las cuestiones relacionadas (compatibilidad, etc)

Boletín de seguridad Microsoft MS09-062

jmalvarez — Thu, 15 Oct 2009 13:56:07 -0100

El boletín de seguridad Microsoft MS09-062 del 13 de Octubre del 2009, es en realidad una actualización donde se modifica la información correspondiente a esta vulnerabilidad. Esta vulnerabilidad podría permitir la ejecución remota de código si un usuario, por ejemplo visualiza, utilizando el software afectado por esta vulnerabilidad, una imagen desde un archivo especialmente diseñado para aprovecharla.

Entre los sistemas que podrían estar afectados se encuentra el SQL Server 2005 Service Pack 3 o actualizaciones anteriores, algunas herramientas de desarrollo y otros productos. Como siempre ocurre, podrían ser menos afectados los usuarios que tengan pocos derechos en el sistema respecto de los usuarios que cuenten con derechos de administrador del equipo.

La actualización de seguridad relacionada resuelve varias vulnerabilidades reportadas del Microsoft Windows GDI +.

El detalle se encuentra en el siguiente enlace:

Microsoft Security Bulletin MS09-062

Critical - Vulnerabilities in GDI+ Could Allow Remote Code Execution (957488)

http://www.microsoft.com/technet/security/bulletin/ms09-062.mspx

IMPORTANTE: Se recomienda aplicar la actualización lo antes posible, previa verificación de las cuestiones relacionadas (compatibilidad, etc)

Migración a SQL Server 2008 cuando los nombres de los Data Source compartidos de Reporting Services contienen espacios

jmalvarez — Thu, 03 Sep 2009 00:04:30 -0100

Si se realiza una migración o actualización de un reporte que hace referencia a un origen de datos compartido de Reporting Services 2005 a Reporting Services 2008, el informe dejará de funcionar después de la migración, ya que este proceso actualiza el nombre del data source compartido.

Quienes diseñaron reportes en el Business Intelligence Development Studio de SQL Server Reporting Services 2005 pueden utilizar nombres de data source compartidos con espacios en blanco. Sin embargo en la versión del 2008 ya no se pueden utilizar más. Por lo tanto no es posible crear nuevos data source con espacios en blanco.

En el IDE de Visual Studio 2005 si se puede utilizar fuentes de datos (data source) con espacios en blanco en el nombre.

Como puede verse en la siguiente imagen, en el IDE de Visual Studio 2008 no se puede usar fuentes de datos compartidas con nombres que contengan espacios en blanco en el nombre.

El problema es que si le cambiamos desde el sitio del Report Manager de Reporting Services el data source al que hace referencia el reporte que se encuentra en el servidor este cambio no tiene efecto a pesar que desde la interface el cambio queda impactado.

Existe una solución alternativa y consiste en editar el nombre del data source compartido del reporte para eliminar los espacios en blanco. Esto se realiza editando el contenido dentro del TAG <DataSourceReference> que se encuantra dentro del tag <DataSources> en el archvo RDL del reporte como puede verse en la siguiente Imagen.

La alineación de particiones de disco y el SQL Server – Documento de SQLCAT

jmalvarez — Thu, 27 Aug 2009 18:51:33 -0100

La alineación de particiones de disco es una técnica esencial pero a menudo se la pasa por alto. Es una de las herramientas posibles que podemos usar para mejorar el rendimiento o performance del SQL Server 2008. Configurar el rendimiento óptimo del disco muchas veces es visto como un arte en lugar de como una ciencia. Una de las buenas prácticas para configurar un rendimiento óptimo es la alineación de particiones de disco que más que arte tiene ciertas reglas básicas a seguir.

Windows Server 2008 intenta ajustar automáticamente las nuevas particiones, sin embargo como no corrige la configuración de las particiones ya existentes, en las particiones creadas en versiones anteriores de Windows la alineación de particiones de disco sigue siendo una tecnología relevante a tener en cuenta aun en Windows Server 2008.

Este paper que recientemente ha publicado el grupo SQLCAT, trata de explicar y comparar el desempeño de los almacenamientos alineados y no alineados y de explicar por qué las particiones no alineadas puede afectar negativamente rendimiento I/O.

Algunas de las mediciones que se encuentran en el documento muestran por ejemplo, casos de mejoras del 30% en la latencia y duración en los discos o como seis discos alineados pueden tener mejor rendimiento que ocho discos no alineados.

También describe cómo Windows Server 2008 intenta solucionar los problemas relacionados con la alineación de particiones para las particiones nuevas y explica cómo es la alineación de particiones de disco para los almacenamientos en Windows Server 2003, incluyendo el análisis, el diagnóstico y los planes de remediación.

Los siguientes temas también se explican:

Información de contexto relacionada
Implementación
Consideraciones a tener en cuenta de los proveedores de almacenamiento
Desplazamientos de particiones de arranque validos
El protocolo (simple) de alineación de particiones
Como definir el tamaño de unidad de asignación de archivos
Links a más información

Para aquellos que quieran leerlo les dejo el Link:

http://msdn.microsoft.com/en-us/library/dd758814.aspx

Como cambiar la instancia del SQL Server usada por el “Development Storage” del SDK de AZURE

jmalvarez — Sun, 23 Aug 2009 18:57:03 -0100

El almacenamiento en el entorno de desarrollo

El entorno de desarrollo SDK de Windows Azure incluye el “Development Storage”, que es una herramienta que simula los servicios Blob, Queue y Table disponibles en la nube. Además ofrece una interfaz de usuario para ver el estado y para iniciar o detener estos servicios de almacenamiento local.

El servicio “Development Storage” se basa en una instancia de SQL Server para simular los servidores de almacenamiento de la nube. De forma predeterminada, el almacenamiento de desarrollo está configurado para utilizar una versión “Express“ del SQL Server 2005 o 2008 como base de datos.

Cambiando la instancia

Cuando ya tenemos un entorno de desarrollo con el SQL Server instalado y este no es la edición “Express” generalmente ocurre que la instancia es una instancia DEFAULT o es una instancia con nombre pero no se llama “express”. Por ejemplo es muy común tener la edición SQL Server 2008 Developer edition en el entorno de desarrollo. Si queremos utilizar esta instancia SQL Server previamente instalada y que no se llama “express” tenemos que reconfigurar nuestro entorno de desarrollo.

Para poder configurar el “development storage”, se debe tener privilegios de administrador del equipo. El programa de línea de comandos DSInit.exe inicializa el “development storage” en el entorno de desarrollo local. Esta herramienta se ejecuta automáticamente la primera vez que se inicia el “development storage” mediante la ejecución del programa DevelopmentStorage.exe y no es necesario ejecutarla a menos que queramos reinicializarlo o cambiarlo como es en nuestro caso. La herramienta DSInit.exe se instala en el directorio C: \ Archivos de programa \ Windows Azure SDK \ v1.0 \ bin \.

Para que el servicio “development storage” utilice otra instancia local del SQL Server tenemos que ejecutar el DSInit con el parámetro /SQLInstance, pasándole el nombre de la instancia del SQL Server de destino. Se puede llamar a DsInit.exe /SQLInstance en cualquier momento para configurar el “development storage” para que apunte a una instancia diferente de SQL Server.

Hay que utilizar el nombre de la instancia de SQL Server sin el calificativo de servidor o “.” para indicar la instancia “Default”

Si disponemos de una instancia local con nombre, por ejemplo la instancia es SQLTotalJMA\SQL2008 como es en mi caso, debemos ejecutar “DSInit.exe /sqlinstance:SQL2008” como muestra la imagen.

Esto nos configura el entorno de desarrollo como muestra la siguiente imagen

Cómo ejecutar xp_cmdshell con mínimos permisos

jmalvarez — Mon, 03 Aug 2009 01:49:12 -0100

El procedimiento almacenado xp_cmdshell es esencialmente un mecanismo para ejecutar llamadas en el sistema operativo utilizando el contexto de SQL Server (es decir, la cuenta de Windows utilizada para iniciar el servicio del SQL Server) o una cuenta proxy que puede ser configurada para ejecutar xp_cmdshell con diferentes credenciales. Si bien habilitar y utilizar este procedimiento almacenado no es una buena práctica, ciertas aplicaciones usan esta técnica y a veces puede ser necesario acceder a la línea de comandos del sistema operativo para ejecutar algún programa fuera del SQL Server. En estos casos tenemos que tener mucho cuidado en como habilitamos y damos permisos para que el usuario pueda acceder a los recursos del sistema operativo con mínimos permisos. En este artículo analizaremos algunos detalles y de cómo habilitarlo con menos permisos que los indicado en la ayuda.

El procedimiento almacenado xp_cmdshell

Para ejecutar un programa fuera del contexto del SQL Server se utiliza el procedimiento almacenado extendido xp_cmdshell, Con este procedimiento almacenado extendido podemos ejecutar cualquier proceso de línea de comandos, por lo que no solo se pueden ejecutar programas EXE sino que se puede ejecutar un archivo de lotes (BAT o CMD).

Debemos tener sumo cuidado en cómo se utiliza este procedimiento almacenado ya que si el contexto de ejecución tiene permisos de administrador local del equipo por ejemplo el programa o un código inyectado pueden agregar un usuario administrador del equipo (del WIndows) utilizando NET USER y NET GROUP.

En SQL Server 2000, por los riesgos de seguridad que implica y para limitar el acceso al xp_cmdshell , su uso está restringido por defecto o en forma predeterminada solo a los miembros de la función de servidor o rol sysadmin. Para extender los derechos a otros usuarios se puede utilizar el comando GRANT.

En SQL Server 2005 el uso de xp_cmdshell está desactivado por defecto como mecanismo de protección para minimizar los riesgos de seguridad de código no deseado en ejecución dentro o fuera de SQL Server de SQL Server. Por ello, si no se habilita la ejecución del xp_cmdshell ni siquiera los administradores del SQL Server (grupo de servidor sysadmin) podrán ejecutarlo.

Por ejemplo si ejecutamos como administradores:

exec xp_cmdshell 'dir c:\*.*'

El resultado es:

Msg 15281, Level 16, State 1, Procedure xp_cmdshell, Line 1

SQL Server blocked access to procedure 'sys.xp_cmdshell' of component 'xp_cmdshell' because this component is turned off as part of the security configuration for this server. A system administrator can enable the use of 'xp_cmdshell' by using sp_configure. For more information about enabling 'xp_cmdshell', see "Surface Area Configuration" in SQL Server Books Online.

Para poder ejecutar el procedimiento almacenado extendido xp_cmdshell debemos habilitarlo haciendo:

--Habilito la ejecucion del xp_cmdshell

EXEC sp_configure 'show advanced options', 1
GO

RECONFIGURE
GO

EXEC sp_configure 'xp_cmdshell', 1
GO

RECONFIGURE
GO

Ahora vemos que si volvemos a ejecutar el scrip T-SQL anterior como administrador del SQL Server vemos que nos responde cuando estamos autenticados como administradores. El proceso de Windows creado por xp_cmdshell dispone de los mismos derechos de seguridad que la cuenta de servicio de SQL Server la cual tenía los permisos adecuados en la raíz del disco.

Cuenta proxy para el xp_cmdshell

Cuando es llamada por un usuario que no pertenece al rol (función de servidor) sysadmin, el xp_cmdshell se conecta a Windows con el nombre de la cuenta y la contraseña almacenados en la credencial con el nombre ##xp_cmdshell_proxy_account## en lugar de usar la cuenta de servicio por lo que habrá que indicarla previamente o sino dará error.

Vamos a probar ahora con un login que solo tiene permisos mínimos

--Creamos el login 
CREATE LOGIN [Prueba]
WITH PASSWORD=N'<la contraseña del usuario>',
DEFAULT_DATABASE=[master],
CHECK_EXPIRATION=OFF, CHECK_POLICY=OFF
GO

Para crear la credencial de la cuenta de proxy hay que ejecutar sp_xp_cmdshell_proxy_account y como parámetros el nombre del usuario y la contraseña de Windows.

-- Asigno la proxy account
EXEC sp_xp_cmdshell_proxy_account
N'sqltotal\mariano',
N'<la contraseña del usuario>'

El resultado es:

Msg 15137, Level 16, State 1, Procedure sp_xp_cmdshell_proxy_account, Line 1

An error occurred during the execution of sp_xp_cmdshell_proxy_account. Possible reasons: the provided account was invalid or the '##xp_cmdshell_proxy_account##' credential could not be created. Error code: '5'.

Aquí nos encontramos con un nuevo problema si estamos usando Windows Vista como es mi caso. No podemos asignar esta contraseña por más que el usuario usado sea administrador del SQL Server debido al UAC. Por lo tanto debemos ejecutar este comando en una nueva instancia del SQL Server Management Studio como administrador usando la opción “RUN AS ADMINISTRATOR” (ejecutar como administrador).

Luego de asignar la cuanta proxy como administrador local y del SQL Server abrimos una nueva ventana con el usuario prueba y verificamos que pasa:

exec xp_cmdshell 'dir c:\*.*'

Y el resultado es:

Msg 229, Level 14, State 5, Procedure xp_cmdshell, Line 1

The EXECUTE permission was denied on the object 'xp_cmdshell', database 'mssqlsystemresource', schema 'sys'.

En este punto si revisamos la ayuda en el link siguiente podemos verificar que nos dice que se requiere el permiso CONTROL SERVER, para poder ejecutar xp_cmdshell el cual no es adecuado ya que posibilita tomar el control total del SQL Server.

xp_cmdshell en la ayuda del SQL Server

Por lo tanto vamos a crear el usuario dentro de la base de datos master relacionado con el login y asignar solo el permiso de ejecución del procedimiento almacenado:

-- Creo el usuario en la base de datos
-- master para el login anterior
USE [master]
GO

CREATE USER [Prueba] FOR LOGIN [Prueba]
GO

-- Asigno el permiso de ejecucion al usuario
use [master]
GO

GRANT EXECUTE ON [sys].[xp_cmdshell]
TO [Prueba]
GO

Si ahora probamos veremos que es posible ejecutar el procedimiento almacenado xp_cmdshell sin ser administrador sin asignar permisos de CONTROL SERVER.

Veamos qué pasa si tenemos asignado solo el permiso de ejecución del procedimiento almacenado pero no existe la credencial.

Como administradores eliminamos la cuenta proxy:

EXEC sp_xp_cmdshell_proxy_account null

Probamos la ejecucion del procediemiento almacenado nuevamente con el usuario prueba

exec xp_cmdshell 'dir c:\*.*'

El resultado es:

Msg 15153, Level 16, State 1, Procedure xp_cmdshell, Line 1

The xp_cmdshell proxy account information cannot be retrieved or is invalid. Verify that the '##xp_cmdshell_proxy_account##' credential exists and contains valid information.

Conclusiones

No es recomendable utilizar el procedimiento almacenado xp_cmdshell.
Para poder ejecutarlo se requiere habilitar su ejecución en la configuración del SQL Server utilizando el procedimiento almacenado sp_configure.
Si somos administradores podemos ejecutar el procedimiento xp_cmdshell el cual utiliza la cuenta de servicio del SQL Server
Si no somos administradores utiliza la cuenta proxy que debe estar definida.
Si no somos administradores solo debemos tener permiso de ejecución en el procedimiento almacenado xp_cmdshell y no hace falta asignar el permiso CONTROL SERVER como dice la ayuda.

Cómo permitir el uso del Profiler o la creación de Trazas sin tener derechos de administrador

jmalvarez — Fri, 31 Jul 2009 23:26:51 -0100

La ejecución del SQL Server Profiler requiere al menos del permiso de servidor ALTER TRACE. Este es el mismo permiso que se requiere para poder ejecutar los procedimientos almacenados de T-SQL que se utilizan para crear las trazas.

Veamos un ejemplo.

Creamos un usuario con mínimos permisos :

USE [master]

GO

-- creamos el Login 

CREATE LOGIN [prueba] 

WITH PASSWORD=N'pruebaPass', 

DEFAULT_DATABASE=[master], 

CHECK_EXPIRATION=OFF, CHECK_POLICY=OFF

GO

Luego podemos verificar que no se puede acceder mediante el profiler:

Hacer click en la imagen para agrandarla.

Asignamos el permiso de servidor ALTER TRACE con lo cual le concedemos el permiso de hacer trazas y conectar el Profiler para realizar un seguimiento.

GRANT ALTER TRACE 

TO [Prueba]

GO

Luego nos conectamos desde el Profiler y verificamos que ahora si se puede conectar.

Entonces ejecutamos :

CREATE LOGIN [prueba2] 

WITH PASSWORD=N'pruebaPass', 

DEFAULT_DATABASE=[master], 

CHECK_EXPIRATION=OFF, CHECK_POLICY=OFF

GO

exec sp_help 'sys.indexes'

Como puede verse en la próxima imagen siguiente, el Profiler funciona y como seleccionamos el evento SQL:BatchStarting nos muestra las sentencias que ejecutamos.

Hacer click en la imagen para agrandarla.

Consideraciones de seguridad importantes al asignar el permiso ALTER TRACE

Es importante ver que en el caso del CREATE LOGIN nos oculta los datos del usuario y la contraseña. Sin embargo nos muestra el parámetro del procedimiento almacenado sp_help.

Como los usuarios que tienen el permiso ALTER TRACE pueden ver las consultas capturadas, se debe tener cuidado ya que las mismas pueden contener datos confidenciales, como contraseñas que se pasan como parámetros en los procedimientos almacenados. El caso mas común es cuando se utilizan mecanismos propietarios de autenticación. Por lo tanto, es importante conceder estos permisos solo a los usuarios que tengan autorización para ver información confidencial.

SQL Server Service Broker - Mensajería asincrónica desde la base de datos

jmalvarez — Tue, 28 Jul 2009 15:57:30 -0100

El SQL Service Service Broker incluye la infraestructura necesaria para la programación asincrónica y se puede utilizar para la creación de aplicaciones distribuidas a través de múltiples bases de datos. Hace ya un tiempo que vengo hablando con algunos colegas respecto de los beneficios que nos ofrece el Service Bróker sobre todo cuando se necesita realizar el procesamiento de forma asincrónica o se necesita distribuir el procesamiento entre varios equipos.

Entre los beneficios que nos ofrece el Service bróker tenemos:

La integración de bases de datos.
Ordenación y coordinación de mensajes.
El acoplamiento flexible de las aplicaciones.
El bloqueo de mensajes relacionados.
La activación automática.

Para ver el detalle de estos conceptos pueden visitar:

Ventajas de Service Broker

Algunos ejemplos de uso del Service bróker pueden ser:

Desencadenadores asincrónicos
Procesamiento confiable de consultas
Recopilación confiable de datos
Procesamiento distribuido en el servidor para aplicaciones cliente
Consolidación de datos para aplicaciones cliente
Procesamiento por lotes a gran escala

Para ver el detalle de estos conceptos pueden visitar:

Usos habituales de Service Broker

Motivación

Ayer mismo estuvimos hablando de las posibilidades de usarlo en una reunión de trabajo con un grupo de arquitectos y desarrolladores. Luego me puse a buscar algo de información al respecto para respaldar mis afirmaciones y encontré este caso de éxito.

Les resumo parte de lo que pueden ver en el documento (en inglés) que pueden encontrar en el siguiente Link:

MySpace Uses SQL Server Service Broker to Protect Integrity of 1 Petabyte of Data

Resumen del caso de éxito en el uso del Service Broker

MySpace decidió que la mejor manera de manejar el constante crecimiento de sus bases de datos relacionales, que actualmente suman más de 1 petabyte, era escalar horizontal mente y dividir la información a través de múltiples instancias de SQL Server. Para ayudar a garantizar la integridad de los datos mientras se mantiene picos de demanda de servicio de hasta 4,4 millones de usuarios simultáneos, se necesitaba una solución eficiente de mensajería asincrónica entre sus 440 instancias de SQL Server y más de 1000 bases de datos.

MySpace creó una solución para que actúa como punto de coordinación para la entrega de mensajes a través de sus bases de datos distribuidas. La solución trabaja en un modelo de broadcast en la que el despachador de servicios asegura que un cambio originario de una base de datos se entrega al grupo de bases de datos destino relevante para la transaccion mediante la utilización del Service Broker, lo que ha permitido a MySpace realizar la gestión de claves foráneas a través de sus 440 servidores de bases de datos, la activación y desactivación de cuentas de sus millones de usuarios.

MySpace también utiliza Service Broker administrativa para distribuir los nuevos procedimientos almacenados y otras actualizaciones en todos los 440 servidores de bases de datos a través del despachador que crearon.

Usando el Resource Governor - Documento

jmalvarez — Sat, 25 Jul 2009 21:52:30 -0100

Entre las nuevas características que se encuentran en el SQL Server 2008 está el Resource Governor (regulador de recursos), que ofrece la capacidad de vigilar y controlar el uso de CPU y memoria.

Este “White Paper” explica varios escenarios de uso práctico del Resource Governor y ofrece orientación sobre las mejores prácticas para emplearlo de manera eficiente. Se encuentra dirigido a los profesionales de IT y administradores de base de datos responsables de la gestión de los servidores SQL Server 2008. Entre las características que cubre el documento se encuentran la forma de utilizar el Resource Governor tomando en cuenta los requerimientos de concurrencia, de alta disponibilidad, la consolidación, la virtualización, o los acuerdos de nivel de servicio (Service Level Agreement o SLA) para los casos de entornos de producción con SQL Server.

En el documento se destacan varios escenarios de uso común, que pueden ayudar a decidir cuándo y dónde utilizar esta tecnología, y un resumen de las mejores prácticas cuando se utiliza el Resource Governor.

Les dejo el enlace para poder descargar el documento (en inglés) desde el sitio de Microsoft

Using the Resource Governor (DOCX)

Si les interesan los conceptos básicos les dejo un par de links a los libros de ayuda:

Introducción al regulador de recursos

Conceptos del regulador de recursos