Excel i SQL Server partner heb ymddiriedaeth parth

Mae llyfr gwaith Excel sy'n agor tabl ar SQL Server sefydliad arall angen tair peth y trafodir fel un yn aml: hunaniaeth mae'r gweinydd yn ei derbyn, trafnidiaeth mae'r cleient yn ei dilysu, a llwybr rhwydwaith mae'r ddwy ochr yn ei ganiatáu. Mae ymddiriedaeth parth yn un ffordd o fodloni'r gyntaf, a'r un ehangaf. Mae TLS yn bodloni'r ail ac yn dweud dim am y gyntaf. Mae'r llwybr yn bodloni'r drydedd ac yn gwarchod dim ar ei ben ei hun.

Mae gwahanu'r tair yn troi'r daenlen yn gais bach y gellir ei adolygu yn lle perthynas weinyddol.

Tair penderfyniad y mae'r cwestiwn yn eu cuddio

Hunaniaeth yw pwy y mae'r gronfa ddata yn credu ydych chi: cyfrif Windows o barth ymddiriedol, mewngofnod SQL gyda'i gyfrinair ei hun, neu hunaniaeth yn seiliedig ar dystysgrif. Trafnidiaeth yw a yw'r sesiwn wedi'i hamgryptio ac a yw'r cleient yn gwirio cadwyn dystysgrifau'r gweinydd. Llwybr yw sut mae pecynnau'n cyrraedd y gwrandäwr, a allai fod yn VPN, yn gyswllt preifat neu'n bwynt terfyn cyhoeddus gyda rheolau wal dân. Mae pob un yn byw mewn man gwahanol a gall pob un fethu ar ei ben ei hun.

Mae ymddiriedaeth coedwig yn ateb y gyntaf yn eang ac yn berthynas rhwng sefydliadau yn hytrach na gosodiad ar gyfer un llyfr gwaith. Nid yw'n amgryptio dim ychwaith, sy'n syndod i'r rhai a dybient mai'r ymddiriedaeth oedd y rheolydd diogelwch.

Hunaniaeth heb ymddiriedaeth coedwig

Gall cyfrif a ddarperir yn fwriadol yn yr amgylchedd targed wasanaethu gofyniad culach heb unrhyw ymddiriedaeth, ar yr amod y gall llif gwaith y cleient ei ddefnyddio. Dilysiad SQL yw'r ateb cyffredin arall pan fo polisi'n caniatáu: mae'r mewngofnod yn cario ei gylch bywyd credlyd ei hun ac nid yw'n ymuno â pharthau nac yn cynhyrchu dilysiad integredig Windows. Mae hunaniaeth yn seiliedig ar dystysgrif neu docyn yn drydydd opsiwn ar lwyfannau newydd. Pa un bynnag a ddewiswch, rhowch yn unig y caniatadau cronfa ddata y mae'r llyfr gwaith eu hangen mewn gwirionedd.

Mae'n well gennych gyfrif pwrpasol na mewngofnod personol rhywun. Mae credlyd a rennir mewn daenlen yn broblem gefnogi sy'n aros i ddigwydd, ac mae cyfrif a enwir yn gwneud dirymu'n bosibl pan ddaw'r prosiect i ben.

Amgryptio do, ond ymddiried yn y dystysgrif?

Gyda ODBC Driver 18, mae Encrypt=Yes;TrustServerCertificate=No yn gofyn am sesiwn amgryptiedig y gwirir ei thystysgrif mewn gwirionedd. Rhaid i'r llinyn cyswllt wedyn enwi'r gweinydd y mae'r dystysgrif yn ei chwmpasu, a rhaid i'r cleient ymddiried yn ei gadwyn. Mae Driver 18 hefyd yn amgryptio'n ddiofyn, yn wahanol i fersiynau cynharach, felly gall hen linyn cyswllt negodi TLS nawr heb ddweud hynny. Mae gosodiadau penodol yn gwneud y polisi bwriadedig yn weladwy ar draws peiriannau, sy'n bwysig pan fo sawl person yn cynnal yr un llyfr gwaith.

Mae TrustServerCertificate=Yes yn amgryptio ac yn hepgor dilysu, nad yw'n drwsio cyfwerth ar gyfer anghysondeb enw neu gadwyn annibynadwy. Mae'n tynnu'r signal a fyddai wedi dweud wrthych fod y cleient wedi cyrraedd y pwynt terfyn anghywir, felly trwsiwch y dystysgrif neu'r enw.

Mae gorfodaeth ar ochr y gweinydd yn rheolydd ar wahân. Os oes rhaid i amgryptio fod yn berthnasol i bob cleient, ffurfweddwch a gwirio gosodiad gorfodi amgryptio'r gweinydd, oherwydd nid yw un llinyn cyswllt cydweithredol yn gorfodi dim.

Nid y llwybr rhwydwaith yw'r amddiffyniad

Mae gwrandäwr preifat a gyrhaeddir trwy VPN yn lleihau datguddiad, a rhaid i'r VPN gario'r llwybrau cyrchfan a dychwelyd cywir i hynny weithio. Nid yw twnnel sy'n gweithio yn dileu'r angen am ddilysu na dilysu tystysgrif, ac nid yw TLS yn cyfyngu pa systemau anghysbell a all geisio cysylltiad. Mae'r rhain yn dri arsylfiad ar wahân: trosglwyddiad llaw TLS, mewngofnod VPN a chwestiwn awdurdodedig. Dim ond y trydydd sy'n profi bod y llyfr gwaith wedi darllen y data yr oedd ganddo ganiatâd i'w ddarllen.

Felly gwrthwynebwch y llwybr byr o ateb cwestiwn ymddiriedaeth trwy ddatgelu'r gronfa ddata i'r rhyngrwyd. Yr ateb cul fel arfer yw cyfrif pwrpasol, amgryptio wedi'i ddilysu ac un llwybr a gymeradwywyd, yn y drefn honno.

Gwiriwch gyda llif gwaith arferol Excel: yr hunaniaeth a dderbyniwyd, y caniatadau effeithiol a'r amgryptio a negodwyd, pob un drwy olwg sesiwn y gweinydd ei hun.