Excel zu einem SQL Server beim Partner ohne Domänenvertrauen

Eine Excel-Arbeitsmappe, die eine Tabelle auf dem SQL Server einer anderen Organisation öffnet, benötigt drei Dinge, die meist als eines diskutiert werden: eine Identität, die der Server akzeptiert, einen Transport, den der Client prüft, und einen Netzwerkpfad, den beide Seiten zulassen. Domänenvertrauen ist ein Weg, das Erste zu erfüllen, und der breiteste. TLS erfüllt das Zweite und sagt nichts über das Erste. Der Pfad erfüllt das Dritte und schützt für sich genommen nichts.

Die Trennung der drei macht aus der Tabelle eine kleine, prüfbare Anfrage statt einer administrativen Beziehung.

Drei Entscheidungen, die die Frage verbirgt

Identität ist, für wen die Datenbank Sie hält: ein Windows-Konto aus einer vertrauenswürdigen Domäne, ein SQL-Login mit eigenem Kennwort oder eine zertifikatsbasierte Identität. Transport ist, ob die Sitzung verschlüsselt ist und ob der Client die Zertifikatskette des Servers prüft. Pfad ist, wie Pakete den Listener erreichen, der ein VPN, eine private Verbindung oder ein öffentlicher Endpunkt mit Firewallregeln sein kann. Jedes lebt an einem anderen Ort, und jedes kann für sich scheitern.

Ein Gesamtstruktur-Vertrauen beantwortet das Erste breit und ist eine Beziehung zwischen Organisationen, keine Einstellung für eine Arbeitsmappe. Es verschlüsselt außerdem nichts, was diejenigen überrascht, die das Vertrauen für die Sicherheitskontrolle hielten.

Identität ohne Gesamtstruktur-Vertrauen

Ein bewusst bereitgestelltes Konto in der Zielumgebung kann eine engere Anforderung ohne jedes Vertrauen erfüllen, sofern der Client-Workflow es nutzen kann. SQL-Authentifizierung ist die andere übliche Antwort, wenn die Richtlinie es erlaubt: Das Login trägt seinen eigenen Lebenszyklus für Anmeldeinformationen und tritt weder Domänen bei noch erzeugt es Windows-integrierte Authentifizierung. Zertifikats- oder tokenbasierte Identität ist eine dritte Option auf neueren Plattformen. Was immer Sie wählen, gewähren Sie nur die Datenbankberechtigungen, die die Arbeitsmappe tatsächlich braucht.

Bevorzugen Sie ein dediziertes Konto gegenüber dem persönlichen Login von jemandem. Ein gemeinsames Anmeldeinformationspaar in einer Tabelle ist ein Supportproblem, das nur auf seine Gelegenheit wartet, und ein benanntes Konto ermöglicht den Widerruf, wenn das Projekt endet.

Verschlüsseln ja, dem Zertifikat trotzdem vertrauen?

Mit ODBC Driver 18 verlangt Encrypt=Yes;TrustServerCertificate=No eine verschlüsselte Sitzung, deren Zertifikat tatsächlich geprüft wird. Die Verbindungszeichenfolge muss dann den Server benennen, den das Zertifikat abdeckt, und der Client muss seiner Kette vertrauen. Driver 18 verwendet außerdem standardmäßig Verschlüsselung, anders als frühere Versionen, sodass eine alte Verbindungszeichenfolge jetzt TLS aushandeln kann, ohne es zu sagen. Ausdrückliche Einstellungen machen die beabsichtigte Richtlinie über Maschinen hinweg sichtbar, was zählt, wenn mehrere Personen dieselbe Arbeitsmappe pflegen.

TrustServerCertificate=Yes verschlüsselt und überspringt die Prüfung, was keine gleichwertige Reparatur für eine Namensabweichung oder eine nicht vertrauenswürdige Kette ist. Es entfernt das Signal, das Ihnen gesagt hätte, dass der Client den falschen Endpunkt erreicht hat, also korrigieren Sie stattdessen das Zertifikat oder den Namen.

Die Durchsetzung auf Serverseite ist eine separate Kontrolle. Wenn Verschlüsselung für jeden Client gelten muss, konfigurieren und prüfen Sie die Einstellung zur erzwungenen Verschlüsselung des Servers, denn eine kooperative Verbindungszeichenfolge erzwingt nichts.

Der Netzwerkpfad ist nicht der Schutz

Ein privater Listener, der über ein VPN erreicht wird, verringert die Exposition, und das VPN muss die richtigen Ziel- und Rückwege tragen, damit das funktioniert. Ein funktionierender Tunnel beseitigt nicht die Notwendigkeit der Authentifizierung oder der Zertifikatsprüfung, und TLS schränkt nicht ein, welche entfernten Systeme eine Verbindung versuchen dürfen. Das sind drei getrennte Beobachtungen: ein TLS-Handshake, ein VPN-Login und eine autorisierte Abfrage. Nur die dritte beweist, dass die Arbeitsmappe die Daten gelesen hat, die sie lesen durfte.

Widerstehen Sie daher der Abkürzung, eine Vertrauensfrage zu beantworten, indem Sie die Datenbank dem Internet aussetzen. Die enge Antwort ist meist ein dediziertes Konto, geprüfte Verschlüsselung und ein genehmigter Pfad, in dieser Reihenfolge.

Prüfen Sie mit dem gewohnten Excel-Workflow: die akzeptierte Identität, die effektiven Berechtigungen und die ausgehandelte Verschlüsselung, jeweils über die eigene Sitzungsansicht des Servers.