Excel na ’n vennoot se SQL Server sonder ’n domeinvertroue

’n Excel-werkboek wat ’n tabel op ’n ander organisasie se SQL Server oopmaak, het drie dinge nodig wat gewoonlik as een bespreek word: ’n identiteit wat die bediener aanvaar, ’n vervoer wat die kliënt valideer, en ’n netwerkpad wat beide kante toelaat. ’n Domeinvertroue is een manier om die eerste te bevredig, en die breedste. TLS bevredig die tweede en sê niks oor die eerste nie. Die pad bevredig die derde en beskerm op sigself niks nie.

Om die drie te skei maak die sigblad ’n klein, nasienbare versoek eerder as ’n administratiewe verhouding.

Drie besluite wat die vraag versteek

Identiteit is wie die databasis dink jy is: ’n Windows-rekening uit ’n vertroude domein, ’n SQL-aanmelding met sy eie wagwoord, of ’n sertifikaatgebaseerde identiteit. Vervoer is of die sessie versleutel is en of die kliënt die bediener se sertifikaatketting nagaan. Pad is hoe pakkette die luisteraar bereik, wat ’n VPN, ’n private skakel of ’n openbare eindpunt met firewallreëls kan wees. Elkeen woon op ’n ander plek en elkeen kan op sy eie misluk.

’n Woudvertroue beantwoord die eerste breed en is ’n verhouding tussen organisasies eerder as ’n instelling vir een werkboek. Dit versleutel ook niks, wat mense verras wat aangeneem het die vertroue was die sekuriteitsbeheer.

Identiteit sonder ’n woudvertroue

’n Doelbewus ingerigte rekening in die teikenomgewing kan ’n smaller vereiste sonder enige vertroue dien, mits die kliënt se werkvloei dit kan gebruik. SQL-verifikasie is die ander algemene antwoord wanneer beleid dit toelaat: die aanmelding dra sy eie geloofsbriewe-lewensiklus en sluit nie by domeine aan nie en lewer nie Windows-geïntegreerde verifikasie nie. Sertifikaat- of tekengebaseerde identiteit is ’n derde opsie op nuwer platforms. Watter een jy ook kies, gee slegs die databasisregte wat die werkboek werklik nodig het.

Verkies ’n toegewyde rekening bo iemand se persoonlike aanmelding. ’n Gedeelde geloofsbrief in ’n sigblad is ’n ondersteuningsprobleem wat wag om te gebeur, en ’n genoemde rekening maak herroeping moontlik wanneer die projek eindig.

Versleutel ja, vertrou die sertifikaat dan maar?

Met ODBC Driver 18 vra Encrypt=Yes;TrustServerCertificate=No ’n versleutelde sessie waarvan die sertifikaat werklik nagegaan word. Die verbindingstring moet dan die bediener noem wat die sertifikaat dek, en die kliënt moet sy ketting vertrou. Driver 18 verstel ook by verstek op versleuteling, anders as vroeër weergawes, so ’n ou verbindingstring kan nou TLS onderhandel sonder om dit te sê. Eksplisiete instellings maak die bedoelde beleid sigbaar oor masjiene heen, wat saak maak wanneer verskeie mense dieselfde werkboek onderhou.

TrustServerCertificate=Yes versleutel en slaan validering oor, wat nie ’n gelykwaardige herstel is vir ’n naamverskil of ’n onvertroude ketting nie. Dit verwyder die sein wat jou sou gesê het die kliënt het die verkeerde eindpunt bereik, so maak die sertifikaat of die naam eerder reg.

Afdwinging aan die bedienerkant is ’n aparte beheer. As versleuteling op elke kliënt moet geld, stel die bediener se dwingende versleutelingsinstelling op en verifieer dit, want een samewerkende verbindingstring dwing niks af nie.

Die netwerkpad is nie die beskerming nie

’n Private luisteraar wat deur ’n VPN bereik word, verminder blootstelling, en die VPN moet die regte bestemming- en terugroetes dra vir dit om te werk. ’n Werkende tonnel verwyder nie die behoefte aan verifikasie of sertifikaatvalidering nie, en TLS beperk nie watter afgeleë stelsels ’n verbinding mag probeer nie. Dit is drie aparte waarnemings: ’n TLS-handdruk, ’n VPN-aanmelding en ’n gemagtigde navraag. Slegs die derde bewys dat die werkboek die data gelees het wat hy mag lees.

Weerstaan dus die kortpad om ’n vertrouevraag te beantwoord deur die databasis aan die internet bloot te stel. Die nou antwoord is gewoonlik ’n toegewyde rekening, gevalideerde versleuteling en een goedgekeurde pad, in daardie volgorde.

Verifieer met die gewone Excel-werkvloei: die aanvaarde identiteit, die effektiewe regte en die onderhandelde versleuteling, elkeen nagegaan deur die bediener se eie sessie-aansig.