Microsoft SQL Server 2016 предлага на двамата администратори два възможности за определяне на начина, по който системата ще удостоверява автентичността на потребителите: Режим на удостоверяване на Windows или смесен режим на удостоверяване.
Удостоверяването на Windows означава, че SQL Server потвърждава самоличността на потребителя, като използва само своето потребителско име и парола за Windows. Ако потребителят вече е удостоверен от системата Windows, SQL Server не изисква парола.
Смесеният режим означава, че SQL Server позволява както удостоверяване на Windows, така и удостоверяване на SQL Server. Удостоверяването в SQL Server създава потребителски данни за вход, които не са свързани с Windows.
Основи на удостоверяването
Удостоверяването на автентичността е процес на потвърждаване на самоличността на потребителя или компютъра. Процесът обикновено се състои от четири стъпки:
- Потребителят прави иск за самоличност, обикновено чрез предоставяне на потребителско име.
- Системата предизвиква потребителя да докаже своята идентичност. Най-често срещаното предизвикателство е искането за парола.
- Потребителят отговаря на предизвикателството, като предоставя исканото доказателство, обикновено парола.
- Системата проверява дали потребителят е предоставил приемливо доказателство например чрез проверка на паролата срещу локална база данни с пароли или чрез използване на централизиран сървър за удостоверяване.
За нашата дискусия на режимите за удостоверяване на SQL Server, критичната точка е в четвъртата стъпка по-горе: точката, в която системата проверява доказателството за идентичност на потребителя. Изборът на режим за удостоверяване определя къде SQL Server отива да провери паролата на потребителя.
Всичко за режимите за удостоверяване на SQL Server
Нека разгледаме тези два режима още малко:
Режимът на удостоверяване на Windows изисква потребителите да предоставят валидно потребителско име и парола за достъп до сървъра на базата данни. Ако е избран този режим, SQL Server деактивира специфичната за SQL Server функционалност за вход и самоличността на потребителя се потвърждава само чрез неговия акаунт в Windows. Този режим понякога се нарича интегрирана защита поради зависимостта на SQL Server от Windows за удостоверяване.
Смесеният режим за удостоверяване позволява използването на идентификационни данни за Windows, но ги допълва с локални потребителски акаунти на SQL Server, които администраторът създава и поддържа в рамките на SQL Server. Потребителското име и паролата на потребителя се съхраняват в SQL Server и потребителите трябва да бъдат повторно удостоверени всеки път, когато се свързват.
Избиране на режим за удостоверяване
Най-добрата препоръка на Microsoft е да използвате, когато е възможно, режима за удостоверяване на Windows. Основното предимство е, че използването на този режим ви позволява да централизирате управлението на профила за цялото си предприятие на едно място: Active Directory. Това драстично намалява шансовете за грешка или надзор. Тъй като идентичността на потребителя се потвърждава от Windows, специфични потребителски и групови профили на Windows могат да бъдат конфигурирани да влизат в SQL Server. Освен това удостоверяването на Windows използва шифроване за удостоверяване на потребителите на SQL Server.
SQL Server удостоверяването, от друга страна, позволява потребителски имена и пароли да бъдат предавани в цялата мрежа, което ги прави по-малко сигурни. Този режим може да бъде добър избор, обаче, ако потребителите се свързват от различни не-доверени домейни или когато се използват по-малко сигурни интернет приложения, като например ASP.NET.
Например, помислете за сценария, при който даден администратор на надеждна база данни напуска вашата организация по неблагоприятни условия. Ако използвате режим за удостоверяване в Windows, отменянето на този достъп на потребителя става автоматично, когато деактивирате или премахнете профила на Active Directory на DBA.
Ако използвате режим на смесено удостоверяване, не само трябва да деактивирате профила в Windows на DBA, но също така трябва да комбинирате локалните списъци с потребители на всеки сървър на база данни, за да сте сигурни, че няма локални профили, в които DBA може да знае паролата. Това е много работа!
В обобщение, избраният от вас режим влияе както върху нивото на сигурност, така и върху лесната поддръжка на базите данни на вашата организация.