Excel k SQL Serveru partnera bez doménovej dôvery

Zošit Excelu, ktorý otvára tabuľku na SQL Serveri inej organizácie, potrebuje tri veci, o ktorých sa zvyčajne hovorí ako o jednej: identitu, ktorú server prijme, prenos, ktorý klient overí, a sieťovú cestu, ktorú obe strany povolia. Doménová dôvera je jeden spôsob, ako splniť prvú, a najširší. TLS spĺňa druhú a o prvej nehovorí nič. Cesta spĺňa tretiu a sama o sebe nič nechráni.

Oddelenie týchto troch mení tabuľku na malú, preskúmateľnú požiadavku namiesto administratívneho vzťahu.

Tri rozhodnutia, ktoré otázka skrýva

Identita je to, kým si databáza myslí, že ste: účet Windows z dôveryhodnej domény, prihlásenie SQL s vlastným heslom alebo identita založená na certifikáte. Prenos je to, či je relácia šifrovaná a či klient kontroluje reťazec certifikátov servera. Cesta je to, ako pakety dorazia k naslúchajúcemu koncu, ktorým môže byť VPN, súkromné prepojenie alebo verejný koncový bod s pravidlami firewallu. Každé žije inde a každé môže zlyhať samo.

Dôvera doménového lesa odpovedá na prvú široko a je vzťahom medzi organizáciami, nie nastavením pre jeden zošit. Takisto nič nešifruje, čo prekvapí tých, ktorí predpokladali, že dôvera je bezpečnostná kontrola.

Identita bez dôvery lesa

Zámerne zriadený účet v cieľovom prostredí môže obslúžiť užšiu požiadavku bez akejkoľvek dôvery, ak ho pracovný postup klienta dokáže použiť. Overovanie SQL je druhá bežná odpoveď, keď to politika dovoľuje: prihlásenie nesie vlastný životný cyklus prihlasovacích údajov a nepripája sa k doménam ani nevytvára integrované overovanie Windows. Identita založená na certifikáte alebo tokene je tretia možnosť na novších platformách. Či zvolíte čokoľvek, udeľte len databázové oprávnenia, ktoré zošit skutočne potrebuje.

Uprednostnite vyhradený účet pred niekoho osobným prihlásením. Zdieľané prihlasovacie údaje v tabuľke sú problém podpory, ktorý čaká na príležitosť, a pomenovaný účet umožňuje odvolanie, keď sa projekt skončí.

Šifrovať áno, ale dôverovať certifikátu?

S ODBC Driver 18 Encrypt=Yes;TrustServerCertificate=No žiada šifrovanú reláciu, ktorej certifikát sa skutočne kontroluje. Pripojovací reťazec potom musí uviesť server, ktorý certifikát pokrýva, a klient musí dôverovať jeho reťazcu. Driver 18 tiež predvolene šifruje, na rozdiel od starších verzií, takže starý pripojovací reťazec môže teraz vyjednať TLS bez toho, aby to povedal. Explicitné nastavenia robia zamýšľanú politiku viditeľnou na všetkých strojoch, čo je dôležité, keď rovnaký zošit udržiava viac ľudí.

TrustServerCertificate=Yes šifruje a vynecháva overenie, čo nie je rovnocenná oprava nesúladu názvu alebo nedôveryhodného reťazca. Odstraňuje signál, ktorý by vám povedal, že klient dosiahol nesprávny koncový bod, takže opravte certifikát alebo názov.

Vynútenie na strane servera je samostatná kontrola. Ak má šifrovanie platiť pre každého klienta, nakonfigurujte a overte nastavenie vynúteného šifrovania servera, pretože jeden ústretový pripojovací reťazec nič nevynúti.

Sieťová cesta nie je ochrana

Súkromný naslúchajúci koncový bod dostupný cez VPN znižuje vystavenie a VPN musí prenášať správne trasy cieľa aj návratu, aby to fungovalo. Fungujúci tunel neodstraňuje potrebu overovania ani overenia certifikátu a TLS neobmedzuje, ktoré vzdialené systémy sa môžu pokúsiť o pripojenie. Sú to tri samostatné pozorovania: TLS handshake, prihlásenie VPN a autorizovaná požiadavka. Len tretie dokazuje, že zošit prečítal dáta, ktoré smel čítať.

Preto sa vzoprite skratke odpovedať na otázku dôvery vystavením databázy internetu. Úzka odpoveď zvyčajne je vyhradený účet, overené šifrovanie a jedna schválená cesta, v tomto poradí.

Overte bežným postupom v Exceli: prijatú identitu, skutočné oprávnenia a vyjednané šifrovanie, každé cez vlastný pohľad relácie servera.