Excel до SQL Server на партнер без доверба во доменот

Работна книга на Excel што отвора табела на SQL Server на друга организација бара три работи што обично се дискутираат како едно: идентитет што серверот го прифаќа, транспорт што клиентот го проверува и мрежна патека што двете страни ја дозволуваат. Довербата во доменот е еден начин да се задоволи првото, и најширокиот. TLS го задоволува второто и не кажува ништо за првото. Патеката го задоволува третото и сама по себе не штити ништо.

Одвојувањето на трите ја претвора табелата во мало, проверливо барање наместо административна врска.

Три одлуки што прашањето ги крие

Идентитет е кого базата на податоци мисли дека сте: сметка на Windows од доверлив домен, SQL најава со сопствена лозинка или идентитет заснован на сертификат. Транспорт е дали сесијата е шифрирана и дали клиентот го проверува синџирот на сертификати на серверот. Патека е како пакетите стигнуваат до слушачот, што може да биде VPN, приватна врска или јавен краен пункт со правила на огнен ѕид. Секое живее на различно место и секое може да пропадне само.

Довербата на шумата одговара на првото широко и е однос меѓу организации, а не поставка за една работна книга. Таа исто така ништо не шифрира, што ги изненадува оние што претпоставуваа дека довербата е безбедносната контрола.

Идентитет без доверба на шумата

Намерно обезбедена сметка во целното опкружување може да послужи за потесно барање без никаква доверба, под услов работниот тек на клиентот да може да ја користи. SQL автентикацијата е другиот вообичаен одговор кога политиката дозволува: најавата носи сопствен животен циклус на акредитиви и не се приклучува на домени ниту произведува интегрирана Windows автентикација. Идентитетот заснован на сертификат или токен е трета опција на понови платформи. Што и да изберете, дајте ги само дозволите на базата што работната книга навистина ѝ требаат.

Претпочитајте наменска сметка наместо нечија лична најава. Споделените акредитиви во табела се проблем за поддршка што чека да се случи, а именуваната сметка овозможува отповикување кога проектот ќе заврши.

Шифрирање да, но дали да ѝ се верува на сертификатот?

Со ODBC Driver 18, Encrypt=Yes;TrustServerCertificate=No бара шифрирана сесија чиј сертификат навистина се проверува. Низата за поврзување тогаш мора да го именува серверот што сертификатот го покрива, а клиентот мора да му верува на неговиот синџир. Driver 18 исто така стандардно шифрира, за разлика од постарите верзии, па старата низа за поврзување сега може да преговара за TLS без да го каже тоа. Експлицитните поставки ја прават предвидената политика видлива на сите машини, што е важно кога неколку луѓе одржуваат иста работна книга.

TrustServerCertificate=Yes шифрира и го прескокнува проверувањето, што не е еквивалентно поправање за несовпаѓање на името или недоверлив синџир. Го отстранува сигналот што ќе ви кажеше дека клиентот стигнал до погрешниот краен пункт, затоа поправете го сертификатот или името.

Спроведувањето од страната на серверот е посебна контрола. Ако шифрирањето мора да важи за секој клиент, конфигурирајте и проверете ја поставката за присилно шифрирање на серверот, бидејќи една соработлива низа за поврзување не спроведува ништо.

Мрежната патека не е заштитата

Приватен слушач достапен преку VPN ја намалува изложеноста, и VPN-от мора да ги носи правилните маршрути за одредиште и враќање за тоа да работи. Работечкиот тунел не ја отстранува потребата од автентикација или проверка на сертификат, а TLS не ограничува кои оддалечени системи можат да се обидат да се поврзат. Тоа се три одделни набљудувања: TLS ракување, VPN најава и овластено барање. Само третото докажува дека работната книга ги прочитала податоците што смеела да ги чита.

Затоа сѐ уште спротивставете се на кратенката да одговорите на прашање за доверба со изложување на базата на интернет. Тесниот одговор обично е наменска сметка, проверено шифрирање и една одобрена патека, по тој редослед.

Проверете со вообичаениот работен тек на Excel: прифатениот идентитет, ефективните дозволи и преговараното шифрирање, секое преку сопствениот приказ на сесијата на серверот.