Excel í SQL Server samstarfsaðila án lénstrausts

Excel-vinnubók sem opnar töflu á SQL Server annarrar stofnunar þarf þrennt sem oftast er rætt sem eitt: auðkenni sem þjónninn samþykkir, flutning sem biðlarinn staðfestir og netleið sem báðir aðilar leyfa. Lénstraust er ein leið til að fullnægja hinu fyrsta, og sú víðtækasta. TLS fullnægir hinu öðru og segir ekkert um hið fyrsta. Leiðin fullnægir hinu þriðja og verndar ekkert sjálf.

Að aðskilja þessi þrjú gerir töflureikninn að lítilli, yfirfarinni beiðni í stað stjórnunarlegra tengsla.

Þrjár ákvarðanir sem spurningin felur

Auðkenni er hver gagnagrunnurinn telur þig vera: Windows-reikningur úr traustu léni, SQL-innskráning með eigin lykilorði eða auðkenni byggt á skírteini. Flutningur er hvort lotan er dulkóðuð og hvort biðlarinn athugar skírteinakeðju þjónsins. Leið er hvernig pakkar ná til hlustandans, sem getur verið VPN, einkatenging eða opinbert endapunkt með eldveggjarreglum. Hvert þeirra býr á öðrum stað og hvert getur mistekist eitt og sér.

Skógartraust svarar hinu fyrsta vítt og er samband milli stofnana, ekki stilling fyrir eina vinnubók. Það dulkóðar líka ekkert, sem kemur á óvart þeim sem héldu að traustið væri öryggisstýringin.

Auðkenni án skógartrausts

Reikningur sem er vísvitandi útbúinn í markumhverfinu getur þjónað þrengri kröfu án nokkurs trausts, að því tilskildu að vinnuflæði biðlarans geti notað hann. SQL-sannvottun er hið öðru algenga svar þegar stefnan leyfir: innskráningin ber sitt eigið lífsferil skilríkja og tengist ekki lénum né framleiðir samþætta Windows-sannvottun. Auðkenni byggt á skírteini eða tákni er þriðji valkosturinn á nýrri kerfum. Hverju sem þú velur, veittu aðeins þau gagnagrunnsheimildir sem vinnubókin þarf í raun.

Veldu sérstakan reikning fram yfir persónulega innskráningu einhvers. Sameiginlegt skilríki í töflureikni er stuðningsvandamál sem bíður þess að gerast, og nafngreindur reikningur gerir afturköllun mögulega þegar verkefninu lýkur.

Dulkóða já, en treysta skírteininu?

Með ODBC Driver 18 biður Encrypt=Yes;TrustServerCertificate=No um dulkóðaða lotu þar sem skírteinið er í raun athugað. Tengingarstrengurinn verður þá að nefna þann þjón sem skírteinið nær yfir, og biðlarinn verður að treysta keðju þess. Driver 18 dulkóðar einnig sjálfgefið, ólíkt eldri útgáfum, svo gamall tengingarstrengur getur nú samið um TLS án þess að segja það. Skýrar stillingar gera fyrirhugaða stefnu sýnilega á öllum vélum, sem skiptir máli þegar fleiri en einn halda við sömu vinnubók.

TrustServerCertificate=Yes dulkóðar og sleppir staðfestingu, sem er ekki jafngild lagfæring fyrir nafnamisræmi eða ótrausta keðju. Það fjarlægir merkið sem hefði sagt þér að biðlarinn hefði náð rangum endapunkti, svo lagaðu skírteinið eða nafnið.

Þvingun á þjónshlið er aðskilin stýring. Ef dulkóðun á að gilda um hvern biðlara, stilltu og staðfestu þvingaða dulkóðunarstillingu þjónsins, því ein samvinnufús tengingarstrengur þvingar ekkert.

Netleiðin er ekki verndin

Einkahlustandi sem næst í gegnum VPN dregur úr áhættu, og VPN verður að flytja réttar leiðir að áfangastað og til baka til þess að það virki. Virk göng fjarlægja ekki þörfina fyrir sannvottun eða staðfestingu skírteinis, og TLS takmarkar ekki hvaða fjartengdu kerfi mega reyna tengingu. Þetta eru þrjár aðskildar athuganir: TLS-handaband, VPN-innskráning og heimiluð fyrirspurn. Aðeins sú þriðja sannar að vinnubókin las gögnin sem hún hafði leyfi til að lesa.

Þess vegna skaltu standa gegn þeirri flýtileið að svara traustsspurningu með því að afhjúpa gagnagrunninn á internetinu. Þrönga svarið er venjulega sérstakur reikningur, staðfest dulkóðun og ein samþykkt leið, í þeirri röð.

Staðfestu með venjulegu Excel-vinnuflæði: samþykkt auðkenni, árangursrík heimildir og samið dulkóðun, hvert um sig í gegnum lotusýn þjónsins sjálfs.