Excel į partnerio SQL Server be domeno pasitikėjimo

Excel darbaknygė, atidaranti lentelę kitos organizacijos SQL Server, reikalauja trijų dalykų, kurie paprastai aptariami kaip vienas: tapatybės, kurią serveris priima, transporto, kurį klientas patikrina, ir tinklo kelio, kurį leidžia abi pusės. Domeno pasitikėjimas yra vienas būdas patenkinti pirmąjį, ir plačiausias. TLS patenkina antrąjį ir nieko nesako apie pirmąjį. Kelias patenkina trečiąjį ir pats savaime nieko neapsaugo.

Šių trijų atskyrimas paverčia skaičiuoklę maža, peržiūrima užklausa, o ne administraciniu ryšiu.

Trys sprendimai, kuriuos klausimas slepia

Tapatybė yra tai, kuo duomenų bazė mano esąs: Windows paskyra iš patikimo domeno, SQL prisijungimas su savo slaptažodžiu arba sertifikatu pagrįsta tapatybė. Transportas yra tai, ar sesija šifruojama ir ar klientas tikrina serverio sertifikatų grandinę. Kelias yra tai, kaip paketai pasiekia klausytoją, kuris gali būti VPN, privati jungtis arba viešas galinis taškas su ugniasienės taisyklėmis. Kiekvienas gyvena kitoje vietoje ir kiekvienas gali nepavykti atskirai.

Miško pasitikėjimas plačiai atsako į pirmąjį ir yra organizacijų santykis, o ne vienos darbaknygės nustatymas. Jis taip pat nieko nešifruoja, o tai nustebina tuos, kurie manė, kad pasitikėjimas yra saugumo kontrolė.

Tapatybė be miško pasitikėjimo

Tikslingai paruošta paskyra tikslinėje aplinkoje gali patenkinti siauresnį reikalavimą be jokio pasitikėjimo, jei kliento darbo eiga gali ją naudoti. SQL autentifikavimas yra kitas įprastas atsakymas, kai politika leidžia: prisijungimas turi savo kredencialų gyvavimo ciklą ir nesijungia prie domenų bei nesukuria integruoto Windows autentifikavimo. Sertifikatu arba žetonu pagrįsta tapatybė yra trečias variantas naujesnėse platformose. Kad ir ką pasirinktumėte, suteikite tik tas duomenų bazės teises, kurių darbaknygei tikrai reikia.

Pirmenybę teikite specialiai paskyrai, o ne kieno nors asmeniniam prisijungimui. Bendri kredencialai skaičiuoklėje yra palaikymo problema, kurios tik laukia, o pavadinta paskyra leidžia atšaukti teises projektui pasibaigus.

Šifruoti taip, bet pasitikėti sertifikatu?

Su ODBC Driver 18 Encrypt=Yes;TrustServerCertificate=No reikalauja šifruotos sesijos, kurios sertifikatas tikrai tikrinamas. Tada prisijungimo eilutė turi nurodyti serverį, kurį sertifikatas apima, o klientas turi pasitikėti jo grandine. Driver 18 taip pat pagal nutylėjimą šifruoja, kitaip nei ankstesnės versijos, todėl sena prisijungimo eilutė dabar gali derėtis dėl TLS to nesakydama. Aiškūs nustatymai daro numatytą politiką matomą visose mašinose, o tai svarbu, kai keli žmonės prižiūri tą pačią darbaknygę.

TrustServerCertificate=Yes šifruoja ir praleidžia tikrinimą, o tai nėra lygiavertis pataisymas, kai nesutampa pavadinimas arba grandinė nepatikima. Jis pašalina signalą, kuris būtų pasakęs, kad klientas pasiekė netinkamą galinį tašką, todėl pataisykite sertifikatą arba pavadinimą.

Serverio pusės vykdymas yra atskira kontrolė. Jei šifravimas turi galioti kiekvienam klientui, sukonfigūruokite ir patikrinkite serverio priverstinio šifravimo nustatymą, nes viena bendradarbiaujanti prisijungimo eilutė nieko neįpareigoja.

Tinklo kelias nėra apsauga

Privatus klausytojas, pasiekiamas per VPN, sumažina ekspoziciją, ir kad tai veiktų, VPN turi perduoti teisingus paskirties ir grįžimo maršrutus. Veikiantis tunelis nepanaikina autentifikavimo ar sertifikato tikrinimo poreikio, o TLS neriboja, kurios nuotolinės sistemos gali bandyti prisijungti. Tai trys atskiri pastebėjimai: TLS rankos paspaudimas, VPN prisijungimas ir autorizuota užklausa. Tik trečiasis įrodo, kad darbaknygė perskaitė duomenis, kuriuos jai buvo leista skaityti.

Todėl priešinkitės pasitikėjimo klausimo sprendimui atskleidžiant duomenų bazę internetui. Siauras atsakymas paprastai yra speciali paskyra, patikrintas šifravimas ir vienas patvirtintas kelias, ta tvarka.

Patikrinkite įprasta Excel darbo eiga: priimtą tapatybę, faktines teises ir suderintą šifravimą, kiekvieną per paties serverio sesijos rodinį.