Microsoft SQL Server 2016 oferuje administratorom dwie możliwości implementacji sposobu uwierzytelniania użytkowników przez system: tryb uwierzytelniania systemu Windows lub tryb mieszanego uwierzytelniania.
Uwierzytelnianie systemu Windows oznacza, że SQL Server sprawdza tożsamość użytkownika, używając tylko jego nazwy użytkownika i hasła Windows. Jeśli użytkownik został już uwierzytelniony przez system Windows, SQL Server nie pyta o hasło.
Tryb mieszany oznacza, że SQL Server umożliwia uwierzytelnianie systemu Windows i uwierzytelnianie serwera SQL. Uwierzytelnianie serwera SQL tworzy loginy użytkownika niepowiązane z systemem Windows.
Podstawy uwierzytelniania
Uwierzytelnienie to proces potwierdzania tożsamości użytkownika lub komputera. Proces zwykle składa się z czterech kroków:
-
Użytkownik składa wniosek o tożsamość, zwykle podając nazwę użytkownika.
-
System wymaga od użytkownika potwierdzenia swojej tożsamości. Najczęstszym wyzwaniem jest prośba o podanie hasła.
-
Użytkownik odpowiada na wyzwanie, dostarczając żądany dowód, zwykle hasło.
-
System sprawdza, czy użytkownik dostarczył akceptowalny dowód, na przykład sprawdzając hasło w lokalnej bazie danych haseł lub za pomocą scentralizowanego serwera uwierzytelniania.
W naszym omówieniu trybów uwierzytelniania programu SQL Server krytycznym punktem jest czwarty krok: punkt, w którym system weryfikuje dowód tożsamości użytkownika. Wybór trybu uwierzytelniania determinuje gdzie SQL Server przejdzie do weryfikacji hasła użytkownika.
Informacje o trybach uwierzytelniania programu SQL Server
Przeanalizujmy te dwa tryby nieco dalej:
Tryb uwierzytelniania systemu Windows wymaga od użytkowników podania prawidłowej nazwy użytkownika i hasła systemu Windows w celu uzyskania dostępu do serwera bazy danych. Po wybraniu tego trybu SQL Server wyłącza funkcję logowania specyficznego dla serwera SQL, a tożsamość użytkownika jest potwierdzana wyłącznie przez jego konto Windows. Ten tryb jest czasami określany jako zintegrowane bezpieczeństwo z powodu zależności programu SQL Server od systemu Windows w celu uwierzytelnienia.
Tryb mieszanego uwierzytelniania umożliwia korzystanie z poświadczeń systemu Windows, ale uzupełnia je o lokalne konta użytkowników SQL Server, które administrator tworzy i obsługuje w SQL Server. Nazwa użytkownika i hasło są przechowywane w SQL Server, a użytkownicy muszą być ponownie uwierzytelniani przy każdym połączeniu.
Wybór trybu uwierzytelniania
Zalecenia firmy Microsoft dotyczące najlepszych praktyk polegają na tym, aby w miarę możliwości korzystać z trybu uwierzytelniania systemu Windows. Główną korzyścią jest to, że korzystanie z tego trybu pozwala scentralizować administrację kontem dla całego przedsiębiorstwa w jednym miejscu: Active Directory. To znacznie zmniejsza szanse na błąd lub niedopatrzenie. Ponieważ tożsamość użytkownika jest potwierdzana przez system Windows, określone konta użytkowników i grup systemu Windows można skonfigurować do logowania się do programu SQL Server. Ponadto uwierzytelnianie systemu Windows wykorzystuje szyfrowanie do uwierzytelniania użytkowników programu SQL Server.
Z drugiej strony, uwierzytelnianie SQL Server umożliwia przekazywanie nazw użytkowników i haseł w całej sieci, czyniąc je mniej bezpiecznymi. Ten tryb może być dobrym wyborem, jeśli użytkownicy łączą się z różnymi niezaufanymi domenami lub gdy są prawdopodobnie używane mniej bezpieczne aplikacje internetowe, takie jak ASP.NET.Weźmy na przykład scenariusz, w którym zaufany administrator bazy danych opuszcza organizację na nieprzyjaznych warunkach. Jeśli używasz trybu uwierzytelniania systemu Windows, odwołanie dostępu tego użytkownika następuje automatycznie po wyłączeniu lub usunięciu konta Active Directory DBA. Jeśli korzystasz z mieszanego trybu uwierzytelniania, nie tylko musisz wyłączyć konto Windows DBA, ale musisz także przeczesać listy użytkowników lokalnych na każdym serwerze bazy danych aby upewnić się, że nie istnieją konta lokalne, na których administrator może znać hasło. To dużo pracy! Podsumowując, wybrany tryb wpływa zarówno na poziom bezpieczeństwa, jak i łatwość utrzymania baz danych organizacji.
