分發者角色回顧
分發者承載：快照文件存儲、分發代理運行、歷史/錯誤記錄、跨發布者/訂閱者協調。
域同步用戶創建與授權
- AD 建立專用服務賬號
SYNCDOMAIN\repl_distributor（非交互、密碼不過期、最小權限）。
- SSMS →「安全性」→「登錄名」→ 新建 → Windows 認證 → 搜尋
repl_distributor。
- 「用戶映射」→ 勾選
distribution 數據庫 → 角色：db_owner（分發代理需建表/寫入歷史）。
快照文件夾共享與 NTFS 權限
- 建立專用目錄
E:\ReplSnapshot（非系統盤、RAID 10/SSD）。
- 右鍵「屬性」→「共享」→「高級共享」→ 共享名
ReplSnapshot$（隱藏共享）。
- 「權限」→ 移除 Everyone，添加：
| 賬號 | 共享權限 | NTFS 權限 | 角色 |
|---|
| SYNCDOMAIN\repl_snapshot | 讀/寫 | 修改 | 快照代理生成文件 |
| SYNCDOMAIN\sync_user | 讀取 | 讀取/執行 | 訂閱者下載快照 |
| SYNCDOMAIN\repl_distributor | 讀取 | 讀取/執行 | 分發代理讀取/清理 |
| BUILTIN\Administrators | 完全控制 | 完全控制 | 運維管理 |
分發數據庫安全配置
distribution 數據庫設置 TRUSTWORTHY OFF（默認）、DB_CHAINING OFF。- 啟用
PARAMETERIZATION FORCED 減少臨時計劃（可選，測試後啟用）。
- 定期
DBCC CHECKDB、sp_cleanupdbreplication 清理孤立元數據。
網絡與傳輸加固
- 防火牆僅開放：SQL 端口 (1433/實例端口)、SMB (445) 限於同步用戶 IP 段、HTTP/HTTPS (80/443) 限於 IIS 伺服器。
- 強制 SMB 簽名/加密（組策略），防止中間人篡改快照文件。
- IIS 虛擬目錄啟用 SSL、基本認證 + SSL 或 Windows 整合認證，禁用匿名。
最小權限檢查清單
| 組件 | 服務賬號 | 必要權限 | 禁止權限 |
|---|
| 快照代理 | repl_snapshot | 發布庫 SELECT、快照目錄寫入、distribution 寫入 | sysadmin、SA、磁盤管理員 |
| 分發代理 | repl_distributor | distribution 讀寫、訂閱庫 寫入、快照目錄讀取 | 發布庫 直接訪問 |
| 合並代理 | sync_user | 發布庫 SELECT/INSERT/UPDATE/DELETE、快照目錄讀取 | DDL、安全管理 |
| IIS 應用池 | repl_iis | 讀取快照目錄、調用 sqlcesa.dll | 寫入快照、訪問數據庫 |
- 上一篇文章： 合並複製發布配置全流程：發行項選擇、列篩選、行過濾與快照代理設置
- 下一篇文章： 合並複製分發者配置實戰：快照文件夾創建、共享權限與分發數據庫初始化
Copyright ©
程式碼之家 All Rights Reserved
