Planifier des comptes d'administration et de service dans SharePoint Server
S’APPLIQUE À :
2013 2016 2019 Édition d’abonnement 
SharePoint dans Microsoft 365
Pour installer SharePoint Server, vous devez disposer de comptes d’administration et de service appropriés sur les serveurs exécutant SharePoint Server et SQL Server. Après l'installation, vous devez avoir des comptes d'administration et de services appropriés pour modifier et mettre à jour l'environnement. Les comptes requis pour effectuer des groupes de tâches ne sont pas nécessairement les mêmes. Cet article décrit les comptes dont vous avez besoin après l’installation pour un environnement à serveur unique et un environnement de batterie de serveurs.
Importante
N’utilisez pas de noms de compte de service qui contiennent le symbole $ à l’exception de l’utilisation d’un compte de service managé de groupe pour SQL Server.
Importante
Les services SharePoint ne prennent pas en charge les comptes de service managés Active Directory ou les comptes de service gérés de groupe.
Utilisez cet article avec le déploiement initial des comptes d’administration et de service dans SharePoint Server.
L'article Comptes d'administration et de service requis pour le déploiement initial décrit le compte spécifique et les autorisations que vous devez octroyer avant d'exécuter le programme d'installation.
Cet article ne décrit pas la configuration requise pour l’utilisation du service Banque d’informations sécurisé dans SharePoint Server. Pour plus d'informations, voir Planifier le service Banque d'informations sécurisé dans SharePoint Server.
En savoir plus sur le rôle d’administrateur SharePoint dans Microsoft 365.
À propos des comptes d’administration et de service
Cette section répertorie et décrit les comptes pour lesquels vous devez planifier la gestion des serveurs exécutant SQL Server ou SharePoint Server. Les comptes sont regroupés en fonction de leur portée.
Une fois l’installation terminée et les comptes configurés, vérifiez que vous n’utilisez pas le compte de système local pour effectuer des tâches d’administration ou parcourir les sites.
Comptes au niveau des batteries de serveurs
Le tableau suivant décrit les comptes utilisés pour configurer le logiciel de base de données SQL Server et installer SharePoint Server.
| Account | Objectif | Configuration requise |
|---|---|---|
| Compte de service SQL Server | Le compte de service SQL Server utilisé pour exécuter SQL Server. Il s’agit du compte pour les services SQL Server suivants : MSSQLSERVER SQLSERVERAGENT Si vous n’utilisez pas l’instance SQL Server par défaut, dans la console Services Windows, ces services sont affichés comme suit : MSSQL<Nom d'instance> SQLAgent<Nom d'instance> |
Utilisez un compte d’utilisateur de domaine ou, de préférence, un compte de service géré de groupe. Si vous souhaitez effectuer une sauvegarde ou une restauration à partir d'une ressource externe, des autorisations pour cette ressource doivent être octroyées au compte approprié. Si vous utilisez un compte d’utilisateur de domaine ou un compte de service géré de groupe pour le compte de service SQL Server, accordez des autorisations à ce compte d’utilisateur de domaine. Toutefois, si vous utilisez le service réseau ou le compte système local, accordez des autorisations à la ressource externe au compte d’ordinateur (<domain_name>\<SQL_hostname>). Le nom de l'instance est arbitraire et a été créé lors de l'installation de SQL Server. |
| Compte d’utilisateur de l’administrateur de batterie de serveurs | Le compte d’utilisateur de l’administrateur de batterie de serveurs est un compte d’identification unique attribué à un administrateur SharePoint. Il est utilisé pour exécuter : Configuration Assistant Configuration des produits SharePoint |
Compte d'utilisateur de domaine Membre du groupe Administrateurs sur chaque serveur SharePoint de la batterie de serveurs. Membre du rôle SQL Server suivant (facultatif) : rôle serveur fixe sysadmin . Si vous exécutez des applets de commande Windows PowerShell qui affectent une base de données, ce compte doit être membre du rôle de base de données fixe db_owner pour la base de données ou membre du rôle serveur fixe sysadmin sur SQL. |
| Compte de service de batterie de serveurs | Le compte de service de batterie est utilisé pour effectuer les tâches suivantes : Agir comme identité du pool d’applications pour le site web Administration centrale de SharePoint Exécuter le service Minuteur de flux de travail Microsoft SharePoint Foundation |
Compte utilisateur de domaine. Des autorisations supplémentaires sont automatiquement accordées pour le compte de batterie de serveurs sur les serveurs Web et les serveurs d’applications joints à une batterie de serveurs. Le compte de batterie de serveurs est automatiquement ajouté en tant que connexion SQL Server sur l’ordinateur qui exécute SQL Server. Le compte est ajouté aux rôles de sécurité SQL Server suivants : * Rôle serveur fixe dbcreator * Rôle serveur fixe securityadmin * db_owner rôle de base de données fixe pour toutes les bases de données SharePoint de la batterie de serveurs Ce compte ne doit pas être utilisé de manière interactive par un administrateur. Modifier le compte de service de batterie de serveurs doit redémarrer le serveur IIS à l’aide de la iisreset.exe commande . |
Comptes d’applications de service
Le tableau suivant décrit les comptes utilisés pour installer et configurer une application de service.
Pour plus d'informations sur les points de terminaison d'applications de service, voir Utilisation des points de terminaison de service.
Notes
Excel Services et le service de synchronisation de profil utilisateur s’appliquent uniquement à SharePoint 2013.
Access Services et PerformancePoint Service ne s’appliquent pas à Subscription Edition.
| Account | Service | Objectif | Configuration requise |
|---|---|---|---|
| Point de terminaison d'application de service | Exécuter des instances SharePoint Services et des services Windows | Compte d’utilisateur de domaine |
| Nom de service | Dans SharePoint Server | Dans SharePoint Foundation |
|---|---|---|
| Services d'accès | X | |
| Service Business Data Connectivity | X | X |
| Service Banque d’informations sécurisé | X | |
| Service de collecte de données relatives à l'utilisation et à l'état | X | |
| Service de profil utilisateur | X | |
| Service Graphiques Visio | X | |
| Word Automation Services | X | |
| Excel Services | X | |
| Service de métadonnées gérées | X | |
| Service PerformancePoint | X | |
| Service de recherche | X |
Remarque
Ce compte sert d’identité au pool d’applications de points de terminaison d’application de service. Sauf exigences d’isolation particulières, ce pool d’applications peut être utilisé pour héberger plusieurs points de terminaison d’application de service. Pour Excel Services, le service de métadonnées managées, le service PerformancePoint et le service de recherche, vous devez être un compte d’utilisateur de domaine. Excel Services est également disponible uniquement dans SharePoint Server 2013.
| Nom de service | Dans SharePoint Server | Dans SharePoint Foundation |
|---|---|---|
| Service d'émission de jeton de sécurité | X | |
| Service de détection d'applications et d'équilibrage de charge | X | X |
Remarque
Ce compte sert d’identité au pool d’applications de points de terminaison d’application de service. Ce compte doit être le compte de service de batterie de serveurs et l’Assistant Configuration des produits SharePoint crée automatiquement le pool d’applications.
| Account | Service | Objectif | Conditions requises |
|---|---|---|---|
| Service automatisé | S/O | Utilisé pour exécuter des fonctions pour le compte de l’utilisateur ou du service | S/O |
| Nom de service | Dans SharePoint Server | Dans SharePoint Foundation |
|---|---|---|
| Excel Services | X | |
| Service PerformancePoint | X | |
| Service Graphiques Visio | X |
Remarque
Excel Services utilisé avec les classeurs pour actualiser les données. Il est requis lorsque les connexions de classeur spécifient la valeur « Aucune » pour l'authentification, ou lorsque des informations d'identification qui ne sont pas des informations d'identification Windows sont utilisées pour actualiser des données. Le service PerformancePoint est utilisé pour l’authentification auprès des sources de données. Le service Visio est utilisé avec les documents pour actualiser les données. Elle est requise lors de la connexion à des sources de données externes à SharePoint Server, telles que SQL Server.
| Account | Service | Objectif | Conditions requises |
|---|---|---|---|
| Accès au contenu par défaut | Recherche | Analyser du contenu | Accès en lecture au contenu analysé |
| Nom de service | Dans SharePoint Server | Dans SharePoint Foundation |
|---|---|---|
| Recherche SharePoint Server | X |
Remarque
Compte par défaut pour l’analyse de contenu. Un administrateur d’application de service de recherche peut créer des règles d’analyse pour spécifier d’autres comptes pour analyser un contenu spécifique. Doit disposer d’un accès en lecture au contenu analysé. Des autorisations de lecture totale doivent être octroyées explicitement au contenu situé en dehors de la batterie de serveurs locale. Des autorisations de lecture totale sont configurées automatiquement pour les bases de données de contenu dans la batterie de serveurs locale. Nécessite le droit Gérer l’audit et le journal de sécurité dans la stratégie d’utilisateur local sur les serveurs de fichiers Windows qu’elle est configurée pour analyser.
| Account | Service | Objectif | Conditions requises |
|---|---|---|---|
| Service de recherche | Recherche | Exécuter les services Recherche Windows | Être un compte d’utilisateur de domaine |
| Nom de service | Dans SharePoint Server | Dans SharePoint Foundation |
|---|---|---|
| Recherche SharePoint Server | X |
| Account | Service | Objectif | Conditions requises |
|---|---|---|---|
| Administrateur de batterie de serveurs | Service de synchronisation de profil utilisateur | Exécute les services Forefront Identity Manager | Compte d’administrateur de batterie de serveurs ; Administrateur local où le service de synchronisation de profils utilisateur est démarré |
| Nom de service | Dans SharePoint Server | Dans SharePoint Foundation |
|---|---|---|
| Service de synchronisation de profil utilisateur | X | S/O |
| Account | Service | Objectif | Conditions requises |
|---|---|---|---|
| Connexion de synchronisation | Service de profil utilisateur | Se connecter à des magasins d’identités d’utilisateur | Répliquer les modifications d’annuaire (Active Directory), accès en lecture (autres répertoires) |
| Nom de service | Dans SharePoint Server | Dans SharePoint Foundation |
|---|---|---|
| Service de profil utilisateur | X | S/O |
Notes
Autorisations Réplication des changements de répertoire sur la partition de configuration des domaines synchronisés si le nom NetBIOS et le nom de domaine complet ne correspondent pas.
| Account | Service | Objectif | Conditions requises |
|---|---|---|---|
| Service Gestion des applications | S/O | Utilisé pour installer des compléments SharePoint | S/O |
| Nom de service | Dans SharePoint Server | Dans SharePoint Foundation |
|---|---|---|
| Gestion des applications | X | X |
| Account | Service | Objectif | Conditions requises |
|---|---|---|---|
| Service de conversion PowerPoint | PowerPoint Conversion Services | Convertir des fichiers PowerPoint dans d’autres formats de fichier | Rôle d’administrateur de batterie (SharePoint Server 2013 uniquement) |
| Nom de service | Dans SharePoint Server | Dans SharePoint Foundation |
|---|---|---|
| Service de conversion PowerPoint | X |
| Account | Service | Objectif | Conditions requises |
|---|---|---|---|
| Service de traduction automatique | Service de traduction automatique | Effectuer des traductions automatiques automatisées | S/O |
| Nom de service | Dans SharePoint Server | Dans SharePoint Foundation |
|---|---|---|
| Service de traduction automatique | X |
| Account | Service | Objectif | Conditions requises |
|---|---|---|---|
| Access Services 2013 | Services d'accès | Interagir avec des bases de données Access 2013 dans un navigateur | S/O |
| Nom de service | Dans SharePoint Server | Dans SharePoint Foundation |
|---|---|---|
| Access Services dans SharePoint Server 2013 | X |
| Account | Service | Objectif | Conditions requises |
|---|---|---|---|
| Gestion du travail | Service de gestion du travail | Fournit l’agrégation des tâches dans SharePoint, Exchange et Project Server. | S/O |
| Nom de service | Dans SharePoint Server | Dans SharePoint Foundation |
|---|---|---|
| Gestion du travail | X |
| Account | Service | Objectif | Conditions requises |
|---|---|---|---|
| Cache distribué | Service Windows AppFabric | Exécute des opérations de cache distribué | S/O |
| Nom de service | Dans SharePoint Server | Dans SharePoint Foundation |
|---|---|---|
| Cache distribué | X | X |
Remarque
Certaines des fonctionnalités qui utilisent le service de cache distribué sont les flux d’actualités, l’authentification, l’accès au client OneNote, le découpage de sécurité et l’amélioration des performances de chargement de page. Au moins un serveur de cache distribué est requis dans la batterie de serveurs.
SharePoint Web Applications
Un seul compte doit être utilisé pour toutes les applications web, nommé compte de pool d’applications web. Cette condition permet à l’administrateur d’utiliser un pool d’applications IIS unique pour toutes les applications web, ce qui augmente les performances et réduit l’utilisation de la mémoire sur le serveur.
| Account | Objectif |
|---|---|
| Identité de pool d'applications | Compte d'utilisateur que les processus de travail qui servent le pool d'applications utilisent comme identité de processus. Ce compte est utilisé pour accéder aux bases de données de contenu associées aux applications web qui résident dans le pool d'applications. |
Configuration standard requise pour un serveur unique
Si vous effectuez un déploiement sur un seul serveur, les exigences de compte sont considérablement réduites. Dans un environnement d'évaluation, vous pouvez utiliser un seul compte pour toutes les utilisations de compte. Dans un environnement de production, assurez-vous que les comptes que vous créez disposent des autorisations appropriées pour leur utilisation.
Pour obtenir la liste des autorisations de compte pour les environnements à serveur unique, voir Comptes d’administration et de service de déploiement initial dans SharePoint Server.
Configuration requise pour une batterie de serveurs
Si vous effectuez un déploiement sur plusieurs serveurs, utilisez les exigences standard de la batterie de serveurs pour vous assurer que les comptes disposent des autorisations appropriées pour effectuer leurs processus sur plusieurs ordinateurs. La configuration standard requise pour une batterie de serveurs détaille la configuration minimale nécessaire pour opérer dans un environnement de batterie de serveurs.
Pour obtenir la liste des exigences standard pour les environnements de batterie de serveurs, voir celles énumérées dans la section Référence technique : configuration de compte requise par scénario de cet article.
Pour certains comptes, des autorisations supplémentaires ou un accès aux bases de données est configuré lorsque vous exécutez l’Assistant Configuration. Ces privilèges supplémentaires sont notés dans l’outil de planification des comptes. Une des exigences que les administrateurs de base de données doivent connaître constitue l'ajout du rôle de base de données WSS_Content_Application_Pools. L’Assistant Configuration ajoute ce rôle aux bases de données suivantes :
base de données SharePoint_Config (base de données de configuration) ;
base de données de contenu SharePoint_Admin
Les membres du rôle de base de données WSS_Content_Application_Pools disposent de l'autorisation d'exécution sur un sous-ensemble des procédures stockées pour la base de données. Ils disposent, en outre, de l'autorisation de sélection sur la table de versions (dbo.Versions) de la base de données SharePoint_AdminContent.
Pour les autres bases de données, l'outil de planification des comptes indique que l'accès en lecture à partir de ces bases de données est configuré automatiquement. Dans certains cas, un accès limité en écriture à une base de données est aussi configuré automatiquement. Pour fournir cet accès, des autorisations pour les procédures stockées sont configurées.
Référence technique : configuration de compte requise par scénario
Cette section énumère les configurations de compte requises par scénario :
Configuration standard requise pour un serveur unique
Importante
Nous déconseillons cette configuration dans un environnement de production.
Comptes au niveau des batteries de serveurs
| Account | Configuration requise |
|---|---|
| Service SQL Server | Compte de système local (défaut) |
| Compte d’utilisateur de l’administrateur de batterie de serveurs | Membre du groupe Administrateurs sur l’ordinateur local. |
| Service de batterie de serveurs | Service réseau (par défaut) Aucune configuration manuelle n’est nécessaire. |
Comptes d’applications de service
Importante
Les comptes de ce tableau ne s'appliquent qu'à SharePoint Server.
| Compte | Configuration requise |
|---|---|
| Service de recherche SharePoint Server | Par défaut, ce compte constitue le compte de système local. Si vous souhaitez analyser le contenu distant en modifiant le compte d’accès au contenu par défaut ou en utilisant des règles d’analyse, remplacez ce compte par un utilisateur de domaine. Dans le cas contraire, vous ne pouvez pas remplacer le compte d'accès au contenu par défaut par un compte d'utilisateur de domaine ou ajouter des règles d'analyse pour analyser ce contenu. Cette restriction sert à prévenir l'élévation de privilège pour tout autre processus constituant le compte de système local. |
| Accès au contenu par défaut | Aucune configuration manuelle n'est requise si ce compte n'analyse que du contenu de batterie locale. Si vous souhaitez analyser le contenu distant à l’aide de règles d’analyse, remplacez ce compte par un compte utilisateur de domaine et appliquez les exigences répertoriées pour une batterie de serveurs. |
| Accès au contenu | Configuration requise identique à celle du compte d'accès au contenu par défaut. |
| Compte de synchronisation de profil | Configuration requise identique à celle de la batterie de serveurs. |
| Service automatisé Excel Services | Doit être un compte d'utilisateur de domaine. |
Comptes d’identité de pool d’applications supplémentaires
| Account | Configuration requise |
|---|---|
| Identité de pool d'applications | Aucune configuration manuelle n'est requise. Le compte du service réseau est utilisé pour le site Web par défaut créé lors de l’installation et de la configuration. |
Configuration standard requise pour une batterie de serveurs
Comptes au niveau des batteries de serveurs
| Account | Objectif | Configuration requise |
|---|---|---|
| Compte de service SQL Server |
Le compte de service SQL Server utilisé pour exécuter SQL Server. Il s’agit du compte pour les services SQL Server suivants : MSSQLSERVER SQLSERVERAGENT Si vous n’utilisez pas l’instance SQL Server par défaut, dans la console Services Windows, ces services sont affichés comme suit : MSSQL<Nom d'instance> SQLAgent<Nom d'instance> |
Utilisez un compte d’utilisateur de domaine ou, de préférence, un compte de service géré de groupe. Si vous souhaitez effectuer une sauvegarde ou une restauration à partir d'une ressource externe, des autorisations pour cette ressource doivent être octroyées au compte approprié. Si vous utilisez un compte d’utilisateur de domaine ou un compte de service géré de groupe pour le compte de service SQL Server, accordez des autorisations à ce compte d’utilisateur de domaine. Toutefois, si vous utilisez le service réseau ou le compte système local, accordez des autorisations à la ressource externe au compte d’ordinateur (<domain_name>\<SQL_hostname>). Le nom de l'instance est arbitraire et a été créé lors de l'installation de SQL Server. |
| Compte d’utilisateur de l’administrateur de batterie de serveurs |
Le compte d’utilisateur de l’administrateur de batterie de serveurs est un compte d’identification unique attribué à un administrateur SharePoint. Il est utilisé pour exécuter : Configuration Assistant Configuration des produits SharePoint |
Compte d'utilisateur de domaine Membre du groupe Administrateurs sur chaque serveur SharePoint de la batterie de serveurs. Membre du rôle SQL Server suivant (facultatif) : rôle serveur fixe sysadmin . Si vous exécutez des applets de commande Windows PowerShell qui affectent une base de données, ce compte doit être membre du rôle de base de données fixe db_owner pour la base de données ou membre du rôle serveur fixe sysadmin sur SQL. |
| Compte de service de batterie de serveurs |
Le compte de service de batterie est utilisé pour effectuer les tâches suivantes : Agir comme identité du pool d’applications pour le site web Administration centrale de SharePoint Exécuter le service Minuteur de flux de travail Microsoft SharePoint Foundation |
Compte utilisateur de domaine. Des autorisations supplémentaires sont automatiquement accordées pour le compte de batterie de serveurs sur les serveurs Web et les serveurs d’applications joints à une batterie de serveurs. Le compte de batterie de serveurs est automatiquement ajouté en tant que connexion SQL Server sur l’ordinateur qui exécute SQL Server. Le compte est ajouté aux rôles de sécurité SQL Server suivants : * Rôle serveur fixe dbcreator * Rôle serveur fixe securityadmin * db_owner rôle de base de données fixe pour toutes les bases de données SharePoint de la batterie de serveurs Ce compte ne doit pas être utilisé de manière interactive par un administrateur. Modifier le compte de service de batterie de serveurs doit redémarrer le serveur IIS à l’aide de la iisreset.exe commande . |
Comptes de service d’applications de service
Importante
Le compte de synchronisation de profils et le compte de service sans assistance Excel Services s’appliquent uniquement à SharePoint Server.
| Account | Configuration requise |
|---|---|
| Compte du service de recherche SharePoint Server | Doit être un compte d'utilisateur de domaine. Ne doit pas être membre du groupe Administrateurs de batterie de serveurs. Les éléments suivants sont configurés automatiquement : accès à la lecture à partir de la base de données de configuration, base de données de contenu d’administration, base de données d’administration de recherche, bases de données d’analyse. accès en contrôle total aux partitions d'index sur les serveurs de requête. |
| Compte d’accès au contenu par défaut | Doit être un compte d'utilisateur de domaine. Ne doit pas être membre du groupe Administrateurs de batterie de serveurs. Accès en lecture aux sources de contenu externes ou sécurisées que vous voulez analyser en utilisant ce compte. Pour les sites qui ne font pas partie de la batterie de serveurs, ce compte doit disposer explicitement des autorisations de lecture totale sur les applications web qui hébergent ces sites. Les éléments suivants sont automatiquement configurés : les autorisations de lecture complète sont automatiquement accordées aux bases de données de contenu hébergées par la batterie de serveurs. |
| Compte d'accès au contenu | Accès en lecture aux sources de contenu externes ou sécurisées auxquelles la configuration de ce compte autorise l'accès. Pour les sites web qui ne font pas partie de la batterie de serveurs, ce compte doit disposer explicitement d'autorisations de lecture totale sur les applications web qui hébergent ces sites. |
| Compte de synchronisation de profil | Accès en lecture au service d'annuaire. Le compte doit disposer de l’autorisation Répliquer les modifications dans Active Directory. Autorisation des services de personnalisation Gérer les profils utilisateurs. Voir les autorisations sur les entités utilisées dans les connexions d'importation du catalogue de données métiers. |
| Compte de service automatisé Excel Services | Doit être un compte d'utilisateur de domaine. |
Comptes d’identité de pool d’applications supplémentaires
| Account | Configuration requise |
|---|---|
| Identité de pool d'applications | Aucune configuration manuelle n'est requise. Les éléments suivants sont configurés automatiquement : l’appartenance au rôle SP_DATA_ACCESS pour les bases de données de contenu et les bases de données de recherche associées à l’application web. appartenance à des rôles de pool d'applications spécifiques pour les bases de données de configuration et SharePoint_AdminContent. Des autorisations supplémentaires pour ce compte sur les serveurs web frontaux et les serveurs d’applications sont automatiquement accordées. |