Excel ка SQL Server-у партнера без поверења у домен

Радна свеска Excel-а која отвара табелу на SQL Server-у друге организације захтева три ствари о којима се обично говори као о једној: идентитет који сервер прихвата, транспорт који клијент проверава и мрежну путању коју обе стране дозвољавају. Поверење у домен је један начин да се задовољи прво, и најшири. TLS задовољава друго и не говори ништа о првом. Путања задовољава треће и сама по себи ништа не штити.

Раздвајање тих три претвара табелу у мали, проверљив захтев уместо административног односа.

Три одлуке које питање крије

Идентитет је кога база података мисли да сте: Windows налог из поузданог домена, SQL пријава са сопственом лозинком или идентитет заснован на сертификату. Транспорт је да ли је сесија шифрована и да ли клијент проверава ланац сертификата сервера. Путања је како пакети стижу до слушаоца, који може бити VPN, приватна веза или јавна завршна тачка са правилима заштитног зида. Свако живи на другом месту и свако може да поднесе неуспех само.

Поверење шуме одговара на прво широко и представља однос између организација, а не подешавање за једну радну свеску. Оно такође ништа не шифрује, што изненађује оне који су претпоставили да је поверење безбедносна контрола.

Идентитет без поверења шуме

Намерно припремљен налог у циљном окружењу може да послужи ужем захтеву без икаквог поверења, под условом да га ток рада клијента може користити. SQL аутентикација је други уобичајен одговор када политика дозвољава: пријава носи сопствени животни циклус акредитива и не придружује се доменима нити ствара интегрисану Windows аутентикацију. Идентитет заснован на сертификату или токену је трећа опција на новијим платформама. Шта год да изаберете, дајте само дозволе базе које радној свесци заиста требају.

Претпоставите наменски налог нечијој личној пријави. Дељени акредитив у табели је проблем подршке који чека да се догоди, а именовани налог омогућава опозив када пројекат заврши.

Шифровање да, али веровати сертификату?

Са ODBC Driver 18, Encrypt=Yes;TrustServerCertificate=No захтева шифровану сесију чији се сертификат заиста проверава. Ниска за повезивање тада мора да именује сервер који сертификат покрива, а клијент мора да верује његовом ланцу. Driver 18 такође подразумевано шифрује, за разлику од ранијих верзија, па стара ниска за повезивање сада може да преговара TLS без да то каже. Експлицитна подешавања чине предвиђену политику видљивом на свим машинама, што је важно када неколико људи одржава исту радну свеску.

TrustServerCertificate=Yes шифрује и прескаче проверу, што није еквивалентна поправка за неслагање имена или неповерљив ланац. Уклања сигнал који би вам рекао да је клијент стигао до погрешне завршне тачке, зато поправите сертификат или име.

Спровођење на страни сервера је посебна контрола. Ако шифровање мора да важи за сваког клијента, конфигуришите и проверите подешавање присилног шифровања сервера, јер једна сарадљива ниска за повезивање ништа не спроводи.

Мрежна путања није заштита

Приватни слушалац доступан преко VPN-а смањује изложеност, и VPN мора да носи исправне маршруте одредишта и повратка да би то радило. Тунел који ради не уклања потребу за аутентикацијом или провером сертификата, а TLS не ограничава који удаљени системи могу да покушају везу. То су три одвојена запажања: TLS руковање, VPN пријава и овлашћени упит. Само треће доказује да је радна свеска прочитала податке које је смела да чита.

Зато се супротставите пречици да на питање поверења одговорите излагањем базе интернету. Уски одговор је обично наменски налог, проверено шифровање и једна одобрена путања, тим редом.

Проверите уобичајеним током рада у Excel-у: прихваћени идентитет, стварне дозволе и преговарано шифровање, свако кроз сопствени приказ сесије сервера.