Excel לשרת SQL של שותף בלי אמון דומיין

חוברת עבודה של Excel שפותחת טבלה בשרת SQL של ארגון אחר זקוקה לשלושה דברים שבדרך כלל נדונים כדבר אחד: זהות שהשרת מקבל, תעבורה שהלקוח מאמת ונתיב רשת ששני הצדדים מתירים. אמון דומיין הוא דרך אחת לספק את הראשון, והרחבה ביותר. TLS מספק את השני ואינו אומר דבר על הראשון. הנתיב מספק את השלישי ואינו מגן על דבר בעצמו.

הפרדת השלושה הופכת את הגיליון לבקשה קטנה שניתנת לבדיקה במקום ליחסים מנהליים.

שלוש החלטות שהשאלה מסתירה

זהות היא מי מסד הנתונים חושב שאתם: חשבון Windows מדומיין מהימן, התחברות SQL עם סיסמה משל עצמה, או זהות מבוססת תעודה. תעבורה היא אם ההפעלה מוצפנת ואם הלקוח בודק את שרשרת התעודות של השרת. נתיב הוא איך חבילות מגיעות למאזין, שעשוי להיות VPN, קישור פרטי או נקודת קצה ציבורית עם כללי חומת אש. כל אחד חי במקום אחר וכל אחד יכול להיכשל לבדו.

אמון יער עונה לראשון באופן רחב והוא יחסים בין ארגונים ולא הגדרה לחוברת אחת. הוא גם אינו מצפין דבר, מה שמפתיע את מי שהניחו שהאמון הוא בקרת האבטחה.

זהות בלי אמון יער

חשבון שהוקצה במכוון בסביבת היעד יכול לשרת דרישה צרה יותר בלי שום אמון, בתנאי שזרימת העבודה של הלקוח יכולה להשתמש בו. אימות SQL הוא התשובה הנפוצה האחרת כשהמדיניות מתירה: ההתחברות נושאת מחזור חיים משלה של אישורים ואינה מצטרפת לדומיינים ואינה מפיקה אימות Windows משולב. זהות מבוססת תעודה או אסימון היא אפשרות שלישית בפלטפורמות חדשות יותר. אשר תבחרו, העניקו רק את הרשאות מסד הנתונים שהחוברת באמת צריכה.

העדיפו חשבון ייעודי על פני התחברות אישית של מישהו. אישור משותף בגיליון הוא בעיית תמיכה שממתינה לקרות, וחשבון בעל שם מאפשר שלילה כשהפרויקט נגמר.

הצפנה כן, אבל לסמוך על התעודה?

עם ODBC Driver 18, Encrypt=Yes;TrustServerCertificate=No מבקש הפעלה מוצפנת שתעודתה נבדקת באמת. מחרוזת החיבור חייבת אז לנקוב בשם השרת שהתעודה מכסה, והלקוח חייב לסמוך על שרשרתה. Driver 18 גם מצפין כברירת מחדל, שלא כמו גרסאות קודמות, כך שמחרוזת חיבור ישנה עשויה כעת לנהל משא ומתן TLS בלי לומר זאת. הגדרות מפורשות הופכות את המדיניות המיועדת לגלויה בכל המכונות, וזה חשוב כשכמה אנשים מתחזקים את אותה חוברת.

TrustServerCertificate=Yes מצפין ומדלג על האימות, וזה אינו תיקון שקול לאי-התאמת שם או לשרשרת לא מהימנת. הוא מסיר את האות שהיה אומר לכם שהלקוח הגיע לנקודת הקצה הלא נכונה, אז תקנו את התעודה או את השם.

אכיפה בצד השרת היא בקרה נפרדת. אם ההצפנה חייבת לחול על כל לקוח, הגדירו ואמתו את הגדרת ההצפנה הכפויה של השרת, כי מחרוזת חיבור משתפת פעולה אחת אינה כופה דבר.

נתיב הרשת אינו ההגנה

מאזין פרטי שאליו מגיעים דרך VPN מפחית את החשיפה, וה-VPN חייב לשאת את נתיבי היעד והחזרה הנכונים כדי שזה יעבוד. מנהרה שעובדת אינה מסירה את הצורך באימות או באימות תעודה, ו-TLS אינו מגביל אילו מערכות מרוחקות רשאיות לנסות חיבור. אלה שלוש תצפיות נפרדות: לחיצת יד TLS, התחברות VPN ושאילתה מורשית. רק השלישית מוכיחה שהחוברת קראה את הנתונים שהיה לה רשות לקרוא.

לכן התנגדו לקיצור הדרך של מענה לשאלת אמון על ידי חשיפת מסד הנתונים לאינטרנט. התשובה הצרה היא בדרך כלל חשבון ייעודי, הצפנה מאומתת ונתיב אחד מאושר, בסדר הזה.

אמתו באמצעות זרימת העבודה הרגילה של Excel: הזהות המקובלת, ההרשאות האפקטיביות וההצפנה שנקבעה, כל אחד דרך תצוגת ההפעלה של השרת עצמו.