Excel ke SQL Server rakan kongsi tanpa kepercayaan domain

Buku kerja Excel yang membuka jadual pada SQL Server organisasi lain memerlukan tiga perkara yang biasanya dibincangkan sebagai satu: identiti yang diterima pelayan, pengangkutan yang disahkan klien, dan laluan rangkaian yang dibenarkan kedua-dua pihak. Kepercayaan domain ialah satu cara memenuhi yang pertama, dan yang paling luas. TLS memenuhi yang kedua dan tidak berkata apa-apa tentang yang pertama. Laluan memenuhi yang ketiga dan tidak melindungi apa-apa dengan sendirinya.

Mengasingkan ketiga-tiganya menjadikan hamparan itu permintaan kecil yang boleh disemak, bukan hubungan pentadbiran.

Tiga keputusan yang disembunyikan soalan

Identiti ialah siapa yang dianggap pangkalan data tentang anda: akaun Windows daripada domain dipercayai, log masuk SQL dengan kata laluannya sendiri, atau identiti berasaskan sijil. Pengangkutan ialah sama ada sesi disulitkan dan sama ada klien memeriksa rantaian sijil pelayan. Laluan ialah bagaimana paket sampai ke pendengar, yang mungkin VPN, pautan peribadi atau titik akhir awam dengan peraturan tembok api. Setiap satu tinggal di tempat berbeza dan setiap satu boleh gagal sendiri.

Kepercayaan hutan menjawab yang pertama secara luas dan merupakan hubungan antara organisasi, bukan tetapan untuk satu buku kerja. Ia juga tidak menyulitkan apa-apa, yang mengejutkan mereka yang menganggap kepercayaan itu kawalan keselamatan.

Identiti tanpa kepercayaan hutan

Akaun yang disediakan secara sengaja dalam persekitaran sasaran boleh memenuhi keperluan yang lebih sempit tanpa sebarang kepercayaan, dengan syarat aliran kerja klien boleh menggunakannya. Pengesahan SQL ialah jawapan biasa yang lain apabila dasar membenarkan: log masuk membawa kitaran hayat kelayakannya sendiri dan tidak menyertai domain atau menghasilkan pengesahan bersepadu Windows. Identiti berasaskan sijil atau token ialah pilihan ketiga pada platform yang lebih baharu. Apa pun yang anda pilih, berikan hanya kebenaran pangkalan data yang benar-benar diperlukan buku kerja.

Utamakan akaun khusus daripada log masuk peribadi seseorang. Kelayakan yang dikongsi dalam hamparan ialah masalah sokongan yang menunggu berlaku, dan akaun bernama membolehkan pembatalan apabila projek tamat.

Sulitkan ya, tetapi percaya sijilnya?

Dengan ODBC Driver 18, Encrypt=Yes;TrustServerCertificate=No meminta sesi disulitkan yang sijilnya benar-benar diperiksa. String sambungan kemudian mesti menamakan pelayan yang diliputi sijil, dan klien mesti mempercayai rantaiannya. Driver 18 juga menyulitkan secara lalai, tidak seperti versi terdahulu, jadi string sambungan lama kini boleh berunding TLS tanpa menyatakannya. Tetapan eksplisit menjadikan dasar yang dimaksudkan kelihatan merentas mesin, yang penting apabila beberapa orang menyelenggara buku kerja yang sama.

TrustServerCertificate=Yes menyulitkan dan melangkau pengesahan, yang bukan pembaikan setara untuk ketidakpadanan nama atau rantaian yang tidak dipercayai. Ia membuang isyarat yang akan memberitahu anda bahawa klien mencapai titik akhir yang salah, jadi betulkan sijil atau namanya.

Penguatkuasaan di pihak pelayan ialah kawalan berasingan. Jika penyulitan mesti terpakai kepada setiap klien, konfigurasikan dan sahkan tetapan penyulitan paksa pelayan, kerana satu string sambungan yang bekerjasama tidak menguatkuasakan apa-apa.

Laluan rangkaian bukanlah perlindungan

Pendengar peribadi yang dicapai melalui VPN mengurangkan pendedahan, dan VPN mesti membawa laluan destinasi dan pemulangan yang betul agar itu berfungsi. Terowong yang berfungsi tidak menghapuskan keperluan pengesahan atau pengesahan sijil, dan TLS tidak mengehadkan sistem jauh mana yang boleh mencuba sambungan. Itu tiga pemerhatian berasingan: jabat tangan TLS, log masuk VPN dan pertanyaan yang dibenarkan. Hanya yang ketiga membuktikan buku kerja membaca data yang dibenarkan untuk dibacanya.

Oleh itu, tolak jalan pintas menjawab soalan kepercayaan dengan mendedahkan pangkalan data kepada internet. Jawapan sempitnya biasanya akaun khusus, penyulitan yang disahkan dan satu laluan yang diluluskan, dalam urutan itu.

Sahkan dengan aliran kerja Excel biasa: identiti yang diterima, kebenaran berkesan dan penyulitan yang dirundingkan, masing-masing diperiksa melalui paparan sesi pelayan itu sendiri.