Excel naar de SQL Server van een partner zonder domeinvertrouwen

Een Excel-werkmap die een tabel op de SQL Server van een andere organisatie opent, heeft drie dingen nodig die meestal als één worden besproken: een identiteit die de server accepteert, een transport dat de client valideert en een netwerkpad dat beide partijen toestaan. Domeinvertrouwen is één manier om het eerste te vervullen, en de breedste. TLS vervult het tweede en zegt niets over het eerste. Het pad vervult het derde en beschermt op zichzelf niets.

De drie scheiden maakt van de spreadsheet een klein, controleerbaar verzoek in plaats van een administratieve relatie.

Drie beslissingen die de vraag verbergt

Identiteit is wie de database denkt dat u bent: een Windows-account uit een vertrouwd domein, een SQL-aanmelding met een eigen wachtwoord of een op certificaat gebaseerde identiteit. Transport is of de sessie versleuteld is en of de client de certificaatketen van de server controleert. Pad is hoe pakketten de listener bereiken, die een VPN, een privékoppeling of een openbaar eindpunt met firewallregels kan zijn. Elk woont op een andere plek en elk kan op zichzelf falen.

Een forestvertrouwen beantwoordt het eerste breed en is een relatie tussen organisaties, geen instelling voor één werkmap. Het versleutelt ook niets, wat verrast wie aannam dat het vertrouwen de beveiligingscontrole was.

Identiteit zonder forestvertrouwen

Een bewust ingericht account in de doelomgeving kan een smaller vereiste vervullen zonder enig vertrouwen, mits de werkstroom van de client het kan gebruiken. SQL-verificatie is het andere gangbare antwoord wanneer beleid het toestaat: de aanmelding draagt zijn eigen levenscyclus van inloggegevens en sluit zich niet aan bij domeinen en levert geen geïntegreerde Windows-verificatie op. Identiteit op basis van certificaat of token is een derde optie op nieuwere platforms. Wat u ook kiest, verleen alleen de databaserechten die de werkmap echt nodig heeft.

Geef de voorkeur aan een speciaal account boven iemands persoonlijke aanmelding. Gedeelde inloggegevens in een spreadsheet zijn een supportprobleem dat staat te wachten, en een genoemd account maakt intrekking mogelijk wanneer het project eindigt.

Versleutelen ja, maar het certificaat vertrouwen?

Met ODBC Driver 18 vraagt Encrypt=Yes;TrustServerCertificate=No om een versleutelde sessie waarvan het certificaat echt wordt gecontroleerd. De verbindingsreeks moet dan de server noemen die het certificaat dekt, en de client moet de keten ervan vertrouwen. Driver 18 versleutelt ook standaard, anders dan eerdere versies, dus een oude verbindingsreeks kan nu TLS onderhandelen zonder dat te zeggen. Expliciete instellingen maken het bedoelde beleid zichtbaar op alle machines, wat telt wanneer meerdere mensen dezelfde werkmap onderhouden.

TrustServerCertificate=Yes versleutelt en slaat validatie over, wat geen gelijkwaardige reparatie is voor een naamafwijking of een niet-vertrouwde keten. Het haalt het signaal weg dat u zou hebben verteld dat de client het verkeerde eindpunt bereikte, dus herstel het certificaat of de naam.

Afdwinging aan de serverkant is een aparte controle. Als versleuteling voor elke client moet gelden, configureer en verifieer dan de instelling voor geforceerde versleuteling van de server, want één meewerkende verbindingsreeks dwingt niets af.

Het netwerkpad is niet de bescherming

Een privé-listener die via een VPN wordt bereikt, verkleint de blootstelling, en de VPN moet de juiste bestemmings- en retourroutes dragen om dat te laten werken. Een werkende tunnel neemt de behoefte aan verificatie of certificaatvalidatie niet weg, en TLS beperkt niet welke externe systemen een verbinding mogen proberen. Dat zijn drie afzonderlijke observaties: een TLS-handshake, een VPN-aanmelding en een geautoriseerde query. Alleen de derde bewijst dat de werkmap de gegevens las die ze mocht lezen.

Weersta dus de sluiproute om een vertrouwensvraag te beantwoorden door de database aan het internet bloot te stellen. Het smalle antwoord is meestal een speciaal account, gevalideerde versleuteling en één goedgekeurd pad, in die volgorde.

Verifieer met de gewone Excel-werkstroom: de geaccepteerde identiteit, de effectieve rechten en de onderhandelde versleuteling, elk gecontroleerd via de sessieweergave van de server zelf.