Excel cap a un SQL Server soci sense confiança de domini

Un llibre d’Excel que obre una taula en un SQL Server d’una altra organització necessita tres coses que sovint es tracten com una de sola: una identitat que el servidor accepti, un transport que el client validi i un camí de xarxa que tots dos costats permetin. La confiança de domini és una manera de satisfer la primera, i la més àmplia. TLS satisfà la segona i no diu res sobre la primera. El camí satisfà la tercera i no protegeix res per si sol.

Separar les tres coses converteix el full de càlcul en una petició petita i revisable en lloc d’una relació administrativa.

Tres decisions que la pregunta amaga

La identitat és qui creu la base de dades que sou: un compte de Windows d’un domini de confiança, un inici de sessió SQL amb la seva pròpia contrasenya o una identitat basada en certificat. El transport és si la sessió va xifrada i si el client comprova la cadena de certificats del servidor. El camí és com arriben els paquets a l’oient, que pot ser una VPN, un enllaç privat o un punt final públic amb regles de tallafoc. Cadascun viu en un lloc diferent i cadascun pot fallar pel seu compte.

Una confiança de bosc respon àmpliament a la primera i és una relació entre organitzacions, no un paràmetre per a un sol llibre. A més, no xifra res, cosa que sorprèn qui donava per fet que la confiança era el control de seguretat.

Identitat sense confiança de bosc

Un compte preparat expressament a l’entorn de destinació pot cobrir un requisit més estret sense cap confiança, sempre que el flux de treball del client el pugui fer servir. L’autenticació SQL és l’altra resposta habitual quan la política ho permet: l’inici de sessió porta el seu propi cicle de vida de credencials i no s’uneix a dominis ni produeix autenticació integrada de Windows. La identitat basada en certificat o testimoni és una tercera opció a les plataformes més noves. Triïs el que triïs, concedeix només els permisos de base de dades que el llibre necessita realment.

Preferiu un compte dedicat a l’inici de sessió personal d’algú. Una credencial compartida en un full de càlcul és un problema de suport esperant a passar, i un compte amb nom fa possible la revocació quan el projecte acaba.

Xifrar sí, però confiar en el certificat?

Amb ODBC Driver 18, Encrypt=Yes;TrustServerCertificate=No demana una sessió xifrada el certificat de la qual es comprova de debò. La cadena de connexió ha de nomenar llavors el servidor que cobreix el certificat, i el client ha de confiar en la seva cadena. Driver 18 també aplica el xifratge per defecte, a diferència de les versions anteriors, així que una cadena de connexió antiga pot negociar ara TLS sense dir-ho. Els paràmetres explícits fan visible la política prevista a totes les màquines, cosa que importa quan diverses persones mantenen el mateix llibre.

TrustServerCertificate=Yes xifra i omet la validació, cosa que no és una reparació equivalent per a un desajust de nom o una cadena no confiable. Elimina el senyal que us hauria dit que el client havia arribat al punt final equivocat, així que arregleu el certificat o el nom.

L’aplicació al costat del servidor és un control a part. Si el xifratge ha d’aplicar-se a tots els clients, configureu i verifiqueu el paràmetre de xifratge forçós del servidor, perquè una cadena de connexió cooperativa no imposa res.

El camí de xarxa no és la protecció

Un oient privat al qual s’arriba per una VPN redueix l’exposició, i la VPN ha de portar les rutes de destinació i de retorn correctes perquè això funcioni. Un túnel que funciona no elimina la necessitat d’autenticació ni la validació del certificat, i TLS no restringeix quins sistemes remots poden intentar una connexió. Són tres observacions separades: un handshake TLS, un inici de sessió VPN i una consulta autoritzada. Només la tercera demostra que el llibre va llegir les dades que tenia permís de llegir.

Per tant, resistiu la drecera de respondre una pregunta de confiança exposant la base de dades a internet. La resposta estreta sol ser un compte dedicat, xifratge validat i un camí aprovat, en aquest ordre.

Verifiqueu-ho amb el flux habitual d’Excel: la identitat acceptada, els permisos efectius i el xifratge negociat, cadascun comprovat a través de la vista de sessió del mateix servidor.