Łączenie z aparatu bazy danych, używając rozszerzonej ochrony

Opis ochrony rozszerzonej

Rozszerzona ochrona używa usługa powiązanie i powiązanie kanału, aby zapobiec atak przekazywania uwierzytelnianie.W ataku przekazywania uwierzytelniania klient, który można wykonywać uwierzytelnianie NTLM (na przykład Eksploratora Windows, Microsoft programu Outlook.Aplikacja netto SqlClient itp.), łączy (na przykład złośliwy CIFS pliku serwera) osoba atakująca.Atakujący wykorzystuje poświadczenia klient udają klient i usługa uwierzytelniania (na przykład wystąpienie Aparat baz danych usługa).

Istnieją dwie odmiany atak:

• W luring atak klient jest pułapki i podania połączyć dobrowolnie osoba atakująca.

• W ataku fałszowanie, zamierza połączyć się z prawidłową usługa klient, ale jest unaware że jeden lub oba DNS i IP routingu są intoksykowane zamiast przekierować połączenia do osoby atakującej.

SQL Serverobsługuje usługa powiązanie i powiązanie kanału, aby zmniejszyć ataki na SQL Server wystąpień.

Powiązanie usługi

Powiązania kanału

Obsługa systemu operacyjnego

Ustawienia

Istnieją trzy SQL Server Ustawienia połączenia, które wpływają na powiązanie usługa i powiązania kanału.Ustawienia można skonfigurować przy użyciu SQL Server Menedżer konfiguracji lub poprzez przy użyciu usługi WMI i przez można przeglądać za pomocą Ustawień protokołu Server aspekt zarządzania zasady.

• Siły szyfrowania.

  Możliwe wartości to na i poza.Aby używać wiązania kanałów Siły szyfrowania musi być zestaw do na, i wszystkich klientów będzie zmuszony do zaszyfrowania.Jeśli jest poza, tylko powiązanie usługa jest gwarantowane.Siły szyfrowania na protokołów dla właściwości MSSQLSERVER (karta flag) w SQL Server Menedżer konfiguracji.

• Ochrona rozszerzona

  Możliwe wartości to poza, dozwolone, i wymagane.Ochrony rozszerzonej zmienna pozwala użytkownikom konfigurować Ochrony rozszerzonej dla każdego poziom SQL Serverwystąpienie. Ochrony rozszerzonej na protokołów dla właściwości MSSQLSERVER (karta Zaawansowane) w SQL Server Menedżer konfiguracji.

  • Gdy zestaw do poza, Ochrony rozszerzonej jest wyłączona.Wystąpienie SQL Server będzie akceptować połączenia z dowolnego klienta, niezależnie od tego, czy klient jest chronione lub nie.Wyłącz jest zgodny z systemami operacyjnymi starszymi i bez poprawki, ale jest mniej bezpieczne.Użyj tego ustawienia, gdy wiadomo, że klient systemy operacyjne nie obsługują ochrony rozszerzonej.

  • Gdy zestaw do dozwolone, Ochrony rozszerzonej jest wymagane dla połączeń z systemów operacyjnych obsługujących Ochrony rozszerzonej.Rozszerzona ochrona jest ignorowana dla połączeń z systemami operacyjnymi, które nie obsługują Ochrony rozszerzonej.Połączenia z aplikacji niechronione klient, które działają w systemach operacyjnych klient chronione są odrzucane.To ustawienie jest bezpieczniejsze niż poza, ale nie jest to najbezpieczniejsze ustawienie.Użyj tego ustawienia w środowiskach mieszanych, w którym niektóre systemy operacyjne obsługują Ochrony rozszerzonej , a niektóre nie.

  • Gdy zestaw do wymagane, akceptowane są tylko połączenia z chronionego aplikacji w systemach operacyjnych chronionych.To ustawienie jest najbezpieczniejsza ale połączeń z systemów operacyjnych lub aplikacji, które nie obsługują Ochrony rozszerzonej nie będą mogli łączyć się z SQL Server.

• Zaakceptowane nazwy SPN NTLM

  Zaakceptowane nazwy główna nazwa usługi NTLM zmiennej jest wymagane, gdy serwer jest znany przez więcej niż jedną nazwę główna nazwa usługi.Gdy klient próbuje połączyć się z serwerem przy użyciu prawidłową nazwę główna nazwa usługi serwera nie wie, powiązanie usługa nie powiedzie się.Aby uniknąć tego problemu, użytkownicy mogą określić kilka SPN, reprezentujące serwera za pomocą Zaakceptowane nazwy SPN NTLM.Zaakceptowane nazwy SPN NTLM jest szereg SPN oddzielone średnikami Moje.Na przykład, aby umożliwić SPN MSSQLSvc / HostName1.Contoso.com i MSSQLSvc / HostName2.Contoso.com, wpisz MSSQLSvc/HostName1.Contoso.com;MSSQLSvc/HostName2.Contoso.com w Zaakceptowane nazwy SPN NTLM pole.Zmienna ma maksymalną długość 2048 znaków.Zaakceptowane nazwy SPN NTLM na protokołów dla właściwości MSSQLSERVER (karta Zaawansowane) w SQL Server Menedżer konfiguracji.

Włączenie ochrony rozszerzonej dla aparatu bazy danych

Aby użyć Ochrony rozszerzonej, serwer i klient musi mieć system operacyjny obsługiwanych przez Ochrony rozszerzonej, i Ochrony rozszerzonej musi być włączony w systemie operacyjnym.Aby uzyskać więcej informacji dotyczących sposobu włączania Ochrony rozszerzonej dla systemu operacyjnego, zobacz Ochrony rozszerzonej uwierzytelniania.

SQL Serverobsługuje Ochrony rozszerzonej z SQL Server 2008 R2.Rozszerzona ochrona w niektórych starszych wersjach SQL Server zostaną udostępnione w przyszłych aktualizacji.Po włączeniu Ochrony rozszerzonej na komputerze serwera, należy użyć włączyć następujące kroki Ochrony rozszerzonej w SQL Server 2008 R2:

1. Na Start menu wybierz Wszystkie programy, wskaż Microsoft SQL Server , a następnie kliknij przycisk SQL Server Menedżer konfiguracji.

2. Rozwiń Konfiguracja sieci programu SQL Serveri kliknij prawym przyciskiem myszy protokołów dla <nazwa_wystąpienia>, a następnie kliknij przycisk Właściwości.

3. Zarówno kanał powiązanie i usługa, powiązanie z Zaawansowane karty, ustaw Ochrony rozszerzonej odpowiednie zestaw.

4. Opcjonalnie, gdy serwer jest znany główna nazwa usługi więcej niż jeden na Zaawansowane skonfigurować kartę Zaakceptowane nazwy główna nazwa usługi NTLM pole zgodnie z opisem w "Ustawienia" sekcja.

5. Dla kanału powiązanie z flagi karcie zestaw Siły szyfrowania do na.

6. Uruchom ponownie Aparat baz danych usługa.

Konfigurowanie innych SQL Server składników

Aby uzyskać więcej informacji dotyczących sposobu konfigurowania Reporting Services, zobacz Ochrona rozszerzona do uwierzytelniania przy użyciu usług raportowania.

Podczas korzystania z dostępu do usług IIS Usługi Analysis Services danych przy użyciu połączenia HTTP lub HTTPs, Usługi Analysis Services mogą korzystać z rozszerzonych zapewniany przez usługi IIS.Aby uzyskać więcej informacji na temat sposobu konfigurowania usług IIS korzystanie z ochrony rozszerzonej, zobacz Konfigurowanie ochrony rozszerzonej w IIS 7.5.

Zobacz także

Koncepcje

Inne zasoby