Excel nei in SQL Server fan in partner sûnder domeinfertrouwen

In Excel-wurkboek dat in tabel iepenet op ’e SQL Server fan in oare organisaasje hat trije dingen nedich dy’t meastentiids as ien besprutsen wurde: in identiteit dy’t de tsjinner akseptearret, in transport dy’t de klant falidearret, en in netwurkpaad dat beide kanten tastean. Domeinfertrouwen is ien manier om it earste te foldwaan, en de breedste. TLS foldocht oan it twadde en seit neat oer it earste. It paad foldocht oan it tredde en beskermet op himsels neat.

De trije skiede makket it rekkenblêd in lyts, neisjenber fersyk ynstee fan in bestjoerlike relaasje.

Trije besluten dy’t de fraach ferberget

Identiteit is wa’t de databank tinkt dat jo binne: in Windows-account út in fertroud domein, in SQL-ynloggen mei syn eigen wachtwurd, of in identiteit op basis fan in sertifikaat. Transport is oft de sesje fersifere is en oft de klant de sertifikaatkeatling fan ’e tsjinner kontrolearret. Paad is hoe’t pakketten de lústerer berikke, dy’t in VPN, in priveelink of in iepenbier einpunt mei firewallregels wêze kin. Elk wennet op in oar plak en elk kin op himsels mislearje.

In boskfertrouwen beantwurdet it earste breed en is in relaasje tusken organisaasjes, net in ynstelling foar ien wurkboek. It fersiferet ek neat, wat minsken ferrast dy’t oannamen dat it fertrouwen de feilichheidskontrôle wie.

Identiteit sûnder boskfertrouwen

In mei opsetsin oanmakke account yn ’e doelomjouwing kin in smeller fereaske tsjinje sûnder hokker fertrouwen dan ek, mits de wurkstream fan ’e klant it brûke kin. SQL-autentikaasje is it oare gewoane antwurd as belied it tasteat: de oanmelding draacht syn eigen libbenssyklus fan bewiisstikken en slút him net oan by domeinen en produsearret gjin yntegrearre Windows-autentikaasje. Identiteit op basis fan sertifikaat of token is in tredde opsje op nijere platfoarms. Hokker jo ek kieze, jou allinnich de databankrjochten dy’t it wurkboek echt nedich hat.

Ferken in tawijde account boppe immen syn persoanlike oanmelding. In dield bewiisstik yn in rekkenblêd is in stipeprobleem dat wachtet om te barren, en in neamde account makket weromlûken mooglik as it projekt einiget.

Fersiferje ja, mar it sertifikaat fertrouwe?

Mei ODBC Driver 18 freget Encrypt=Yes;TrustServerCertificate=No om in fersifere sesje wêrfan’t it sertifikaat echt kontrolearre wurdt. De ferbiningsstring moat dan de tsjinner neame dy’t it sertifikaat dekt, en de klant moat syn keatling fertrouwe. Driver 18 fersiferet ek standert, oars as eardere ferzjes, sadat in âlde ferbiningsstring no TLS ûnderhannelje kin sûnder dat te sizzen. Eksplisite ynstellingen meitsje it bedoelde belied sichtber oer masines hinne, wat fan belang is as ferskate minsken itselde wurkboek ûnderhâlde.

TrustServerCertificate=Yes fersiferet en slacht falidaasje oer, wat gjin lykweardige reparaasje is foar in nammeôfwiking of in net-fertroude keatling. It hellet it sinjaal wei dat jo sein hawwe soe dat de klant it ferkearde einpunt berikt hat, dus reparearje it sertifikaat of de namme.

Ofdwinging oan ’e tsjinnerkant is in aparte kontrôle. As fersifering foar elke klant jilde moat, konfigurearje en ferifiearje dan de ynstelling foar twongen fersifering fan ’e tsjinner, want ien meiwurkjende ferbiningsstring twingt neat ôf.

It netwurkpaad is net de beskerming

In privee lústerer dy’t fia in VPN berikt wurdt, ferminderet bleatstelling, en de VPN moat de juste bestimming- en weromrûtes drage om dat te litten wurkje. In wurkjende tunnel hellet de needsaak foar autentikaasje of sertifikaatfalidaasje net wei, en TLS beheint net hokker ôfstienne systemen in ferbining besykje meie. Dat binne trije aparte waarnimmingen: in TLS-hânskodding, in VPN-aanmelding en in autorisearre query. Allinnich de tredde bewissiget dat it wurkboek de gegevens lêzen hat dy’t it lêze mocht.

Wjerstean dus de koarte wei om in fertrouwensfraach te beantwurdzjen troch de databank oan it ynternet bleat te stellen. It smelle antwurd is meastal in tawijde account, falidearre fersifering en ien goedkard paad, yn dy oarder.

Ferifiearje mei de gewoane Excel-wurkstream: de akseptearre identiteit, de effektive rjochten en de ûnderhannele fersifering, elk kontrolearre fia de eigen sesje-byld fan ’e tsjinner.