Excel para o SQL Server de um parceiro sem confiança de domínio

Um livro do Excel que abre uma tabela no SQL Server de outra organização precisa de três coisas habitualmente discutidas como uma: uma identidade que o servidor aceite, um transporte que o cliente valide e um caminho de rede que ambas as partes permitam. A confiança de domínio é uma forma de satisfazer a primeira, e a mais ampla. O TLS satisfaz a segunda e não diz nada sobre a primeira. O caminho satisfaz a terceira e não protege nada por si só.

Separar as três transforma a folha de cálculo num pedido pequeno e verificável em vez de uma relação administrativa.

Três decisões que a pergunta esconde

A identidade é quem a base de dados pensa que você é: uma conta Windows de um domínio fidedigno, um início de sessão SQL com a sua própria palavra-passe ou uma identidade baseada em certificado. O transporte é se a sessão é cifrada e se o cliente verifica a cadeia de certificados do servidor. O caminho é como os pacotes chegam ao serviço de escuta, que pode ser uma VPN, uma ligação privada ou um ponto final público com regras de firewall. Cada um vive num lugar diferente e cada um pode falhar sozinho.

Uma confiança de floresta responde amplamente à primeira e é uma relação entre organizações, não uma definição para um livro. Também não cifra nada, o que surpreende quem assumia que a confiança era o controlo de segurança.

Identidade sem confiança de floresta

Uma conta aprovisionada de propósito no ambiente de destino pode servir um requisito mais estreito sem qualquer confiança, desde que o fluxo de trabalho do cliente a possa usar. A autenticação SQL é a outra resposta comum quando a política o permite: o início de sessão transporta o seu próprio ciclo de vida de credenciais e não se junta a domínios nem produz autenticação integrada do Windows. A identidade baseada em certificado ou token é uma terceira opção em plataformas mais recentes. Escolha o que escolher, conceda apenas as permissões de base de dados de que o livro realmente precisa.

Prefira uma conta dedicada ao início de sessão pessoal de alguém. Uma credencial partilhada numa folha de cálculo é um problema de suporte à espera de acontecer, e uma conta com nome torna a revogação possível quando o projeto termina.

Cifrar sim, mas confiar no certificado?

Com o ODBC Driver 18, Encrypt=Yes;TrustServerCertificate=No pede uma sessão cifrada cujo certificado é realmente verificado. A cadeia de ligação tem então de nomear o servidor que o certificado cobre, e o cliente tem de confiar na sua cadeia. O Driver 18 também cifra por omissão, ao contrário das versões anteriores, pelo que uma cadeia de ligação antiga pode agora negociar TLS sem o dizer. Definições explícitas tornam a política pretendida visível em todas as máquinas, o que importa quando várias pessoas mantêm o mesmo livro.

TrustServerCertificate=Yes cifra e ignora a validação, o que não é uma reparação equivalente para uma divergência de nome ou uma cadeia não fidedigna. Remove o sinal que lhe teria dito que o cliente chegou ao ponto final errado, por isso corrija o certificado ou o nome.

A imposição do lado do servidor é um controlo separado. Se a cifragem tiver de se aplicar a todos os clientes, configure e verifique a definição de cifragem forçada do servidor, porque uma cadeia de ligação cooperativa não impõe nada.

O caminho de rede não é a proteção

Um serviço de escuta privado alcançado por VPN reduz a exposição, e a VPN tem de transportar as rotas de destino e de retorno corretas para isso funcionar. Um túnel a funcionar não elimina a necessidade de autenticação nem de validação do certificado, e o TLS não restringe que sistemas remotos podem tentar uma ligação. São três observações separadas: um handshake TLS, um início de sessão VPN e uma consulta autorizada. Só a terceira prova que o livro leu os dados que lhe era permitido ler.

Por isso, resista ao atalho de responder a uma pergunta de confiança expondo a base de dados à internet. A resposta estreita é habitualmente uma conta dedicada, cifragem validada e um caminho aprovado, nessa ordem.

Verifique com o fluxo de trabalho normal do Excel: a identidade aceite, as permissões efetivas e a cifragem negociada, cada uma confirmada através da vista de sessão do próprio servidor.