اکسل به SQL Server شریک بدون اعتماد دامنه
یک اتصال اکسل به هویت پذیرفته‌شده، TLS اعتبارسنجی‌شده و یک مسیر شبکه نیاز دارد. تنها مورد اول به اعتماد دامنه مربوط است؛ بقیه جای دیگری هستند.
یک کتاب کار اکسل که جدولی را روی SQL Server سازمان دیگری باز می‌کند به سه چیز نیاز دارد که معمولاً یکی فرض می‌شوند: هویتی که سرور می‌پذیرد، انتقالی که کلاینت اعتبارسنجی می‌کند، و مسیر شبکه‌ای که هر دو طرف اجازه می‌دهند. اعتماد دامنه یکی از راه‌های برآورده کردن مورد اول است، و گسترده‌ترین. TLS مورد دوم را برآورده می‌کند و دربارهٔ اولی چیزی نمی‌گوید. مسیر مورد سوم را برآورده می‌کند و به‌خودی‌خود چیزی را محافظت نمی‌کند.
جدا کردن این سه، صفحه‌گسترده را به درخواستی کوچک و قابل بازبینی تبدیل می‌کند، نه یک رابطهٔ اداری.
سه تصمیمی که پرسش پنهان می‌کند
هویت یعنی پایگاه داده فکر می‌کند شما چه کسی هستید: یک حساب Windows از دامنهٔ مورد اعتماد، یک ورود SQL با گذرواژهٔ خودش، یا هویتی مبتنی بر گواهی. انتقال یعنی اینکه نشست رمزنگاری شده باشد و اینکه کلاینت زنجیرهٔ گواهی سرور را بررسی کند. مسیر یعنی اینکه بسته‌ها چگونه به شنونده می‌رسند، که می‌تواند VPN، یک پیوند خصوصی یا یک نقطهٔ پایانی عمومی با قواعد دیوار آتش باشد. هر کدام جای دیگری زندگی می‌کند و هر کدام می‌تواند به‌تنهایی شکست بخورد.
اعتماد جنگل به مورد اول پاسخی گسترده می‌دهد و رابطه‌ای میان سازمان‌هاست، نه تنظیمی برای یک کتاب کار. همچنین چیزی را رمزنگاری نمی‌کند، که کسانی را که گمان می‌کردند اعتماد همان کنترل امنیتی است شگفت‌زده می‌کند.
هویت بدون اعتماد جنگل
حسابی که به‌عمد در محیط مقصد فراهم شده می‌تواند نیاز محدودتری را بدون هیچ اعتمادی برآورده کند، به شرطی که گردش کار کلاینت بتواند از آن استفاده کند. احراز هویت SQL پاسخ رایج دیگر است وقتی سیاست اجازه می‌دهد: ورود، چرخهٔ عمر اعتبارنامهٔ خودش را دارد و به دامنه‌ها نمی‌پیوندد و احراز هویت یکپارچهٔ Windows تولید نمی‌کند. هویت مبتنی بر گواهی یا توکن گزینهٔ سومی روی سکوهای جدیدتر است. هر کدام را انتخاب کنید، فقط مجوزهای پایگاه داده‌ای را بدهید که کتاب کار واقعاً نیاز دارد.
حساب اختصاصی را به ورود شخصی کسی ترجیح دهید. اعتبارنامهٔ مشترک در یک صفحه‌گسترده مشکلی پشتیبانی است که در انتظار رخ دادن است، و حساب نام‌دار ابطال را هنگام پایان پروژه ممکن می‌کند.
رمزنگاری بله، اما اعتماد به گواهی؟
با ODBC Driver 18، Encrypt=Yes;TrustServerCertificate=No نشستی رمزنگاری‌شده می‌خواهد که گواهی آن واقعاً بررسی می‌شود. آن‌گاه رشتهٔ اتصال باید سروری را نام ببرد که گواهی آن را پوشش می‌دهد، و کلاینت باید به زنجیرهٔ آن اعتماد کند. Driver 18 به‌طور پیش‌فرض هم رمزنگاری می‌کند، برخلاف نسخه‌های پیشین، پس یک رشتهٔ اتصال قدیمی ممکن است اکنون بدون گفتن آن، TLS را مذاکره کند. تنظیمات صریح سیاست مقصود را در همهٔ ماشین‌ها دیدنی می‌کند، که وقتی چند نفر همان کتاب کار را نگه‌داری می‌کنند اهمیت دارد.
TrustServerCertificate=Yes رمزنگاری می‌کند و اعتبارسنجی را رد می‌کند، که جبران معادلی برای ناهمخوانی نام یا زنجیرهٔ نامعتبر نیست. سیگنالی را برمی‌دارد که به شما می‌گفت کلاینت به نقطهٔ پایانی اشتباه رسیده است، پس گواهی یا نام را درست کنید.
اعمال از سمت سرور کنترلی جداگانه است. اگر رمزنگاری باید برای هر کلاینت اعمال شود، تنظیم رمزنگاری اجباری سرور را پیکربندی و بررسی کنید، زیرا یک رشتهٔ اتصال همکار چیزی را اعمال نمی‌کند.
مسیر شبکه محافظت نیست
شنوندهٔ خصوصی که از طریق VPN در دسترس است مواجهه را کاهش می‌دهد، و برای اینکه این کار کند VPN باید مسیرهای درست مقصد و بازگشت را حمل کند. تونلی که کار می‌کند نیاز به احراز هویت یا اعتبارسنجی گواهی را از میان برنمی‌دارد، و TLS محدود نمی‌کند که کدام سیستم‌های دور می‌توانند اتصال را بیازمایند. این‌ها سه مشاهدهٔ جداگانه‌اند: دست‌دادن TLS، ورود VPN و پرس‌وجویی مجاز. تنها سومی ثابت می‌کند که کتاب کار داده‌ای را خوانده که اجازهٔ خواندنش را داشت.
پس در برابر میانبر پاسخ دادن به پرسش اعتماد با در معرض گذاشتن پایگاه داده در اینترنت مقاومت کنید. پاسخ محدود معمولاً حساب اختصاصی، رمزنگاری اعتبارسنجی‌شده و یک مسیر تأییدشده است، به همین ترتیب.
با گردش کار معمول Excel بررسی کنید: هویت پذیرفته‌شده، مجوزهای مؤثر و رمزنگاری مذاکره‌شده، هر کدام از طریق نمای نشست خود سرور.