Excel към SQL Server на партньор без доверие между домейни

Работна книга на Excel, която отваря таблица на SQL Server на друга организация, се нуждае от три неща, обикновено обсъждани като едно: идентичност, която сървърът приема, транспорт, който клиентът проверява, и мрежов път, който двете страни разрешават. Доверието между домейни е един начин да се удовлетвори първото и най-широкият. TLS удовлетворява второто и не казва нищо за първото. Пътят удовлетворява третото и сам по себе си не защитава нищо.

Разделянето на трите превръща таблицата в малка, прегледима заявка вместо административна връзка.

Три решения, които въпросът крие

Идентичността е това, което базата данни смята, че сте: акаунт на Windows от доверен домейн, SQL вход със собствена парола или идентичност, основана на сертификат. Транспортът е дали сесията е криптирана и дали клиентът проверява веригата от сертификати на сървъра. Пътят е как пакетите достигат до слушателя, който може да е VPN, частна връзка или публична крайна точка с правила на защитна стена. Всяко живее на различно място и всяко може да се провали самостоятелно.

Доверието на ниво гора отговаря на първото широко и е отношение между организации, а не настройка за една работна книга. То също не криптира нищо, което изненадва хората, приели, че доверието е контролата за сигурност.

Идентичност без доверие на ниво гора

Умишлено осигурен акаунт в целевата среда може да обслужи по-тясно изискване без никакво доверие, при условие че работният процес на клиента може да го използва. SQL удостоверяването е другият често срещан отговор, когато политиката позволява: входът носи свой собствен жизнен цикъл на идентификационни данни, не се присъединява към домейни и не създава интегрирано удостоверяване на Windows. Идентичност, основана на сертификат или токен, е трети вариант на по-нови платформи. Кое и да изберете, давайте само правата в базата данни, които работната книга действително се нуждае.

Предпочитайте специален акаунт пред нечий личен вход. Споделените идентификационни данни в таблица са проблем за поддръжката, който чака да се случи, а именуваният акаунт прави отнемането възможно, когато проектът приключи.

Криптиране — да, но да се доверим ли на сертификата?

С ODBC Driver 18 Encrypt=Yes;TrustServerCertificate=No изисква криптирана сесия, чийто сертификат действително се проверява. Тогава низът за връзка трябва да назове сървъра, който сертификатът покрива, и клиентът трябва да се довери на веригата му. Driver 18 също така по подразбиране използва криптиране, за разлика от по-старите версии, така че стар низ за връзка може вече да договаря TLS, без да го казва. Явните настройки правят предвидената политика видима на всички машини, което е важно, когато няколко души поддържат една и съща работна книга.

TrustServerCertificate=Yes криптира и пропуска проверката, което не е равностойно поправяне при несъответствие на името или недоверена верига. То премахва сигнала, който би ви казал, че клиентът е достигнал грешната крайна точка, затова поправете сертификата или името.

Прилагането от страна на сървъра е отделна контрола. Ако криптирането трябва да важи за всеки клиент, конфигурирайте и проверете настройката за принудително криптиране на сървъра, защото един отстъпчив низ за връзка не налага нищо.

Мрежовият път не е защитата

Частен слушател, достигнат през VPN, намалява излагането, и VPN трябва да носи правилните маршрути за дестинация и връщане, за да работи това. Работещият тунел не премахва нуждата от удостоверяване или проверка на сертификата, а TLS не ограничава кои отдалечени системи могат да опитат връзка. Това са три отделни наблюдения: TLS ръкостискане, VPN вход и оторизирана заявка. Само третото доказва, че работната книга е прочела данните, които ѝ е разрешено да чете.

Затова се противопоставете на прекия път да отговорите на въпрос за доверие, като изложите базата данни в интернет. Тесният отговор обикновено е специален акаунт, проверено криптиране и един одобрен път, в този ред.

Проверявайте с обичайния работен процес на Excel: приетата идентичност, ефективните права и договореното криптиране, всяко през собствения изглед на сесията на сървъра.