من Excel إلى خادم SQL لدى شريك دون ثقة بالنطاق

يحتاج مصنّف Excel الذي يفتح جدولًا على خادم SQL لدى مؤسسة أخرى إلى ثلاثة أشياء تُناقش عادةً كأنها شيء واحد: هوية يقبلها الخادم، ونقل يتحقق منه العميل، ومسار شبكة يسمح به الطرفان. الثقة بالنطاق إحدى طرق تحقيق الأول، وهي الأوسع. أما TLS فيحقق الثاني ولا يقول شيئًا عن الأول. والمسار يحقق الثالث ولا يحمي شيئًا بذاته.

فصل هذه الثلاثة يحوّل جدول البيانات إلى طلب صغير قابل للمراجعة بدلًا من علاقة إدارية.

ثلاثة قرارات يخفيها السؤال

الهوية هي ما يعتقد الخادم أنك عليه: حساب Windows من نطاق موثوق، أو تسجيل دخول SQL له كلمة مروره الخاصة، أو هوية قائمة على شهادة. النقل هو ما إذا كانت الجلسة مشفّرة وما إذا كان العميل يفحص سلسلة شهادات الخادم. المسار هو كيفية وصول الحزم إلى المستمع، وقد يكون VPN أو وصلة خاصة أو نقطة نهاية عامة بقواعد جدار حماية. كل منها يقيم في مكان مختلف وكل منها قد يفشل بمفرده.

ثقة الغابة تجيب عن الأول على نطاق واسع، وهي علاقة بين مؤسسات لا إعداد لمصنّف واحد. وهي أيضًا لا تشفّر شيئًا، وهو ما يفاجئ من افترضوا أن الثقة كانت ضابط الأمان.

هوية دون ثقة غابة

يمكن لحساب مُعدّ عمدًا في بيئة الهدف أن يلبي متطلبًا أضيق دون أي ثقة، شريطة أن يستطيع سير عمل العميل استخدامه. مصادقة SQL هي الجواب الشائع الآخر عندما تسمح السياسة: يحمل تسجيل الدخول دورة حياة اعتماده الخاصة ولا ينضم إلى النطاقات ولا ينتج مصادقة Windows المتكاملة. الهوية القائمة على شهادة أو رمز خيار ثالث على المنصات الأحدث. أيًّا كان ما تختاره، امنح فقط أذونات قاعدة البيانات التي يحتاجها المصنّف فعلًا.

فضّل حسابًا مخصصًا على تسجيل دخول شخصي لأحدهم. الاعتماد المشترك في جدول بيانات مشكلة دعم تنتظر الحدوث، والحساب المسمّى يجعل الإلغاء ممكنًا عند انتهاء المشروع.

تشفير نعم، وثوق بالشهادة على أي حال؟

مع ODBC Driver 18، يطلب Encrypt=Yes;TrustServerCertificate=No جلسة مشفّرة يُفحص شهادتها فعليًا. يجب عندئذٍ أن تسمّي سلسلة الاتصال الخادم الذي تغطيه الشهادة، وأن يثق العميل بسلسلتها. كما أن Driver 18 يستخدم التشفير افتراضيًا، خلافًا للإصدارات الأقدم، لذا قد تتفاوض سلسلة اتصال قديمة على TLS دون أن تقول ذلك. الإعدادات الصريحة تجعل السياسة المقصودة مرئية عبر الأجهزة، وهذا مهم عندما يشترك عدة أشخاص في صيانة المصنّف نفسه.

TrustServerCertificate=Yes يشفّر ويتجاوز التحقق، وهذا ليس إصلاحًا مكافئًا لعدم تطابق الاسم أو لسلسلة غير موثوقة. فهو يزيل الإشارة التي كانت ستدلّك على أن العميل وصل إلى نقطة النهاية الخطأ، لذا أصلح الشهادة أو الاسم بدلًا من ذلك.

الفرض من جهة الخادم ضابط منفصل. إذا كان التشفير يجب أن ينطبق على كل عميل، فاضبط إعداد فرض التشفير في الخادم وتحقّق منه، لأن سلسلة اتصال متعاونة واحدة لا تفرض شيئًا.

مسار الشبكة ليس هو الحماية

المستمع الخاص الذي يُبلَغ عبر VPN يقلل التعرّض، ويجب أن يحمل VPN الوجهة الصحيحة ومسارات العودة كي ينجح ذلك. النفق العامل لا يزيل الحاجة إلى المصادقة أو التحقق من الشهادة، وTLS لا يقيّد أي الأنظمة البعيدة قد تحاول الاتصال. هذه ثلاث ملاحظات منفصلة: مصافحة TLS، وتسجيل دخول VPN، واستعلام مصرّح به. الثالث وحده يثبت أن المصنّف قرأ البيانات التي سُمح له بقراءتها.

لذا قاوم الاختصار الذي يجيب عن سؤال الثقة بتعريض قاعدة البيانات للإنترنت. الجواب الضيق عادةً حساب مخصص وتشفير مُتحقَّق منه ومسار واحد معتمد، بهذا الترتيب.

تحقّق بسير عمل Excel المعتاد: الهوية المقبولة، والأذونات الفعلية، والتشفير المتفاوض عليه، كلٌّ منها عبر عرض الجلسة الخاص بالخادم.