Signieren von Paketen mit Zertifikaten

Aktualisiert: 12. Dezember 2006

Ein SQL Server 2005 Integration Services (SSIS)-Paket kann mit einem Zertifikat signiert und so konfiguriert werden, dass die Signatur vor dem Laden des Pakets von der Laufzeit geprüft werden muss. Die Eigenschaften des Pakets, CheckSignatureOnLoad und CertificateObject, geben an, ob ein Zertifikat geprüft werden muss, und geben das Zertifikat an, das zum Signieren des Pakets verwendet wurde. Das zum Signieren des Pakets verwendete Zertifikat muss für die Codesignierung aktiviert sein.

Integration Services stellt einen Registrierungswert bereit, mit dem Sie die Richtlinie einer Organisation zum Laden von signierten und nicht signierten Paketen verwalten können. Mit dem Registrierungswert können auch nicht vertrauenswürdige Signaturen signierter Pakete verwaltet werden. Hinsichtlich des Status der zum Signieren von Paketen verwendeten Signaturen werden für den Registrierungswert BlockedSignatureStates folgende Definitionen verwendet:

• Eine gültige Signatur ist eine Signatur, die erfolgreich gelesen werden kann.
• Eine ungültige Signatur ist eine Signatur, bei der die entschlüsselte Prüfsumme (der mit einem privaten Schlüssel verschlüsselte unidirektionale Hash des Paketcodes) nicht der entschlüsselten Prüfsumme entspricht, die während des Ladevorgangs von Integration Services-Paketen berechnet wird.
• Eine vertrauenswürdige Signatur ist eine Signatur, die mithilfe eines von einer vertrauenswürdigen Stammzertifizierungsstelle signierten digitalen Zertifikats erstellt wird. Für diese Einstellung ist es nicht erforderlich, dass der Unterzeichner in der Liste vertrauenswürdiger Herausgeber des Benutzers vorhanden ist.
• Eine nicht vertrauenswürdige Signatur ist eine Signatur, bei der nicht überprüft werden kann, ob sie von einer vertrauenswürdigen Stammzertifizierungsstelle ausgestellt wurde, oder eine Signatur, die nicht aktuell ist.

Wenn Sie den Registrierungswert verwenden möchten, um das Laden von Paketen zu verhindern, wenn diese nicht signiert sind oder ungültige oder nicht vertrauenswürdige Signaturen aufweisen, müssen Sie den DWORD-Wert BlockedSignatureStates dem Registrierungsschlüssel HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MSDTS hinzufügen und den Wert 0, 1, 2 oder 3 angeben.

In der folgenden Tabelle werden die gültigen Werte der DWORD-Daten und ihre zugeordneten Richtlinien aufgelistet.

Wenn der Registrierungswert BlockedSignatureStates vom Typ DWORD und der Registrierungswert nicht 0, 1, 2 oder 3 ist, wird der Registrierungswert von Integration Services so behandelt, als wäre er 3. Wenn BlockedSignatureStates nicht auf DWORD festgelegt ist, wird der Registrierungswert von Integration Services so behandelt, als wäre er vom Typ DWORD und hätte den Wert 0.

Hinweis:

Die empfohlene Einstellung für BlockedSignatureStates lautet 3. Diese Einstellung bietet den besten Schutz vor nicht signierten Paketen oder Signaturen, die entweder ungültig oder nicht vertrauenswürdig sind. Die empfohlene Einstellung eignet sich jedoch möglicherweise nicht in allen Fällen. Weitere Informationen zum Signieren von Digital Assets finden Sie im Thema "Introduction to Code Signing" (in Englisch) in der MSDN Library.

So signieren Sie ein Paket

• Vorgehensweise: Signieren eines Pakets mit einer digitalen Signatur

• Vorgehensweise: Implementieren einer Signaturrichtlinie mithilfe eines Registrierungswerts

Siehe auch

Konzepte

SQL Server Integration Services-Pakete
Sicherheitsüberlegungen zu Integration Services

Hilfe und Informationen

Informationsquellen für SQL Server 2005

Änderungsverlauf