SQL Server 2000：BUILTIN\Administrators 登入帳號安全性管理指南

安裝 SQL Server 2000 時，安裝程式會自動為 BUILTIN\Administrators 建立一個登入帳號，並將其加入 sysadmin 固定伺服器角色。此帳號代表 Windows 2000 上的「系統管理員」本機群組，而 Windows 2000 內建的 Administrator 帳號即屬於該群組成員。

若伺服器加入網域，Domain Admins 全域群組也會自動成為本機系統管理員群組成員。這意味著本機系統管理員群組的所有成員，都會自動獲得 SQL Server 的 sysadmin 權限。

強化安全性的建議做法

為避免 Windows 系統管理員與 SQL Server 系統管理員權限過度綁定，建議採取下列步驟：

1. 建立自訂 Windows 群組（如 SQLAdmins），並指派適當成員。
2. 將 SQLAdmins 對應為 SQL Server 的 Windows 驗證登入帳號，並加入 sysadmin 角色。
3. 刪除 BUILTIN\Administrators 登入帳號，或至少將其從 sysadmin 角色移除。
4. 將 SQL Server 驗證模式改為「僅 Windows 驗證」。
5. 重新啟動 SQL Server 服務以套用變更。

⚠️ 關鍵順序提醒

若按錯誤順序執行（先刪除 BUILTIN\Administrators，再改為僅 Windows 驗證，最後重啟服務），sa 帳號將被停用，且因無其他 Windows 驗證登入帳號，導致無法以 sysadmin 身分登入。請務必依上述正確順序操作。

透過此方式，可有效切斷 SQL Server 與 Windows 系統管理員的權限綁定，實現最小權限原則，提升資料庫安全性。