Excel egy partner SQL Serveréhez doménbizalom nélkül

Egy Excel-munkafüzet, amely egy másik szervezet SQL Serverén nyit meg egy táblát, három dologra szorul, amelyeket általában egyként tárgyalnak: a kiszolgáló által elfogadott identitásra, az ügyfél által ellenőrzött átvitelre és egy mindkét fél által engedélyezett hálózati útvonalra. A doménbizalom az első kielégítésének egyik módja, és a legszélesebb. A TLS a másodikat elégíti ki, és semmit sem mond az elsőről. Az útvonal a harmadikat elégíti ki, és önmagában semmit sem véd.

A három szétválasztása a táblázatot kicsi, áttekinthető kéréssé teszi igazgatási kapcsolat helyett.

Három döntés, amelyet a kérdés elrejt

Az identitás az, akinek az adatbázis önt hiszi: Windows-fiók egy megbízható tartományból, saját jelszóval rendelkező SQL-bejelentkezés vagy tanúsítványalapú identitás. Az átvitel az, hogy a munkamenet titkosított-e, és hogy az ügyfél ellenőrzi-e a kiszolgáló tanúsítványláncát. Az útvonal az, hogyan jutnak el a csomagok a figyelőhöz, amely lehet VPN, privát kapcsolat vagy tűzfalszabályokkal rendelkező nyilvános végpont. Mindegyik más helyen lakik, és mindegyik egyedül is meghiúsulhat.

Az erdőbizalom szélesen válaszol az elsőre, és szervezetek közötti kapcsolat, nem egy munkafüzet beállítása. Az sem titkosít semmit, ami meglepheti azokat, akik azt hitték, hogy a bizalom a biztonsági ellenőrzés.

Identitás erdőbizalom nélkül

A célkörnyezetben szándékosan kiépített fiók szűkebb követelményt is kiszolgálhat minden bizalom nélkül, feltéve hogy az ügyfél munkafolyamata tudja használni. Az SQL-hitelesítés a másik gyakori válasz, ha a házirend engedi: a bejelentkezés saját hitelesítőadat-életciklust hordoz, nem csatlakozik tartományokhoz, és nem hoz létre Windows integrált hitelesítést. A tanúsítvány- vagy tokenalapú identitás harmadik lehetőség az újabb platformokon. Bármelyiket választja, csak azokat az adatbázis-engedélyeket adja meg, amelyekre a munkafüzetnek valóban szüksége van.

A dedikált fiókot részesítse előnyben valaki személyes bejelentkezésével szemben. A táblázatban megosztott hitelesítő adat olyan támogatási probléma, amely csak vár a megtörténésre, a nevesített fiók pedig lehetővé teszi a visszavonást a projekt végén.

Titkosítás igen, de bízzunk a tanúsítványban?

Az ODBC Driver 18-cal a Encrypt=Yes;TrustServerCertificate=No olyan titkosított munkamenetet kér, amelynek tanúsítványát valóban ellenőrzik. A kapcsolati karakterláncnak ekkor meg kell neveznie a kiszolgálót, amelyet a tanúsítvány lefed, és az ügyfélnek meg kell bíznia a láncában. A Driver 18 alapértelmezés szerint is titkosít, a korábbi verzióktól eltérően, így egy régi kapcsolati karakterlánc most TLS-t tárgyalhat anélkül, hogy ezt kimondaná. A kifejezett beállítások a szándékolt házirendet minden gépen láthatóvá teszik, ami számít, amikor többen tartják karban ugyanazt a munkafüzetet.

TrustServerCertificate=Yes titkosít és kihagyja az ellenőrzést, ami nem egyenértékű javítás névegyezés hiánya vagy nem megbízható lánc esetén. Eltávolítja azt a jelzést, amely megmondta volna, hogy az ügyfél a rossz végpontra ért el, ezért inkább a tanúsítványt vagy a nevet javítsa.

A kiszolgálóoldali kényszerítés külön ellenőrzés. Ha a titkosításnak minden ügyfélre érvényesnek kell lennie, állítsa be és ellenőrizze a kiszolgáló kényszerített titkosítási beállítását, mert egy együttműködő kapcsolati karakterlánc semmit sem kényszerít ki.

A hálózati útvonal nem a védelem

A VPN-en keresztül elérhető privát figyelő csökkenti a kitettséget, és a VPN-nek a helyes cél- és visszaútvonalakat kell szállítania ehhez. A működő alagút nem szünteti meg a hitelesítés vagy a tanúsítvány-ellenőrzés szükségességét, és a TLS nem korlátozza, mely távoli rendszerek próbálhatnak kapcsolódni. Ez három külön megfigyelés: TLS-kézfogás, VPN-bejelentkezés és engedélyezett lekérdezés. Csak a harmadik bizonyítja, hogy a munkafüzet elolvasta azokat az adatokat, amelyeket olvashatott.

Ellenálljon tehát annak a rövidítésnek, hogy a bizalmi kérdésre az adatbázis internetre való kitételével válaszoljon. A szűk válasz általában dedikált fiók, ellenőrzött titkosítás és egy jóváhagyott útvonal, ebben a sorrendben.

Ellenőrizze a szokásos Excel-munkafolyamattal: az elfogadott identitást, a tényleges engedélyeket és a kialkudott titkosítást, mindegyiket a kiszolgáló saját munkamenet-nézetén keresztül.