Veritabanı yansıtma ve AlwaysOn kullanılabilirlik grupları (SQL Server) için aktarım güvenliği

Makale
12/11/2012

Taşıma güvenliği SQL Server 2005ve sonraki sürümleri kimlik doğrulama ve isteğe bağlı olarak, veritabanları arasında gönderilip alınan iletilerin şifrelenmesi. Veritabanı yansıtma ve AlwaysOn Kullanılabilirlik Grupları, kimlik doğrulama ve şifreleme bitiş noktası yansıtma veritabanı üzerinde yapılandırılır. Bitiş noktası yansıtma veritabanı giriş için bkz: Veritabanı yansıtma bitiş noktası (SQL Server).

Bu konuda:

Kimlik doğrulama
Veri şifreleme
ilişkili Görevler

Kimlik doğrulama

Kimlik doğrulama, kullanıcı kullanıcının iddia olduğunu doğrulama işlemidir. Bitiş noktası yansıtma veritabanı arasındaki bağlantılarda kimlik doğrulama gerektirir. Bağlantı isteklerini bir ortağı ya da tanık, varsa, kimlik doğrulaması gerekir.

Veritabanı yansıtma için bir sunucu örneği tarafından kullanılan kimlik doğrulama türü veya AlwaysOn Kullanılabilirlik Gruplarıbitiş noktası yansıtma veritabanı özelliğidir. Taşıma güvenliği için iki tür bitiş noktası yansıtma veritabanı için kullanılabilir: Windows kimlik doğrulaması (Güvenlik Desteği Sağlayıcısı Arabirimi (SSPI)) ve sertifika tabanlı kimlik doğrulama.

Windows kimlik doğrulaması

Windows kimlik doğrulaması altında her sunucu örneği diğer tarafı işlemin altında çalıştığı Windows kullanıcı hesabı Windows kimlik bilgilerini kullanarak açar. Windows kimlik doğrulaması oturum açma hesapları, bazı el ile yapılandırılması gibi gerektirebilir:

Eğer örnekleri SQL Serverhizmetleri aynı etki alanı hesabı altında çalıştırmak, herhangi bir ek yapılandırma gereklidir.
Eğer örnekleri SQL ServerHizmetleri (aynı veya güvenilen etki alanlarında), farklı bir etki alanı hesabı altında çalıştırmak her hesabı oturum açma oluşturulmalıdır masterher sunucu örnekleri ve bu oturum açma connect izni son noktadaki verilmelidir.
Eğer örnekleri SQL Servergiriş her ana bilgisayar ağ hizmeti hesabı olarak çalışacak, bilgisayar hesabı (DomainName**\**ComputerName$) oluşturulmalıdır masterher diğer sunucular ve bu oturum açma connect izni son noktadaki verilmelidir. Bunun nedeni, ana bilgisayar etki alanı hesabını kullanarak Network Service hesabı altında çalışan bir sunucu örneği kimliğini doğrular.

[!NOT]

Windows kimlik doğrulaması kullanarak oturum yansıtma veritabanı ayarlama örneği için bkz: Örnek: Windows kimlik doğrulaması (Transact-sql) kullanarak yansıtma veritabanı ayarlama.

Sertifikalar

Ne zaman sunucu örnekleri güvenilen etki alanlarındaki değildir gibi bazı durumlarda, ya da ne zaman SQL Serverçalıştıran yerel hizmet olarak, Windows kimlik doğrulaması kullanılamıyorsa. Gibi durumlarda, kullanıcı kimlik bilgileri yerine bağlantı isteklerinin kimlik doğrulaması için sertifikalar gereklidir. Her sunucu örneği yansıtma bitiş noktası yerel olarak oluşturulan kendi sertifikasıyla yapılandırılması gerekir.

Şifreleme yöntemi sertifika oluşturulduğunda kurulur. Daha fazla bilgi için, bkz. Veritabanı yansıtma bitiş noktası (Transact-sql) giden bağlantılar için sertifikalar kullanmak için izin. Dikkatli sen kullanan sertifikaları yönetme.

Sunucu örneği, bir bağlantı kurma sırasında kimliğini tanıtmak için kendi sertifikasının özel anahtarı kullanır. Bağlantı isteğini alan server örneği, gönderenin kimliğini doğrulamak için gönderenin sertifikasının ortak anahtarı kullanır. Örneğin, iki sunucu örnekleri, Server_A ve Server_B ele alalım. Server_A, Server_B için bir bağlantı isteği göndermeden önce bağlantı başlığı şifrelemek için özel anahtarını kullanır. Server_B Server_A'ın sertifikasının ortak anahtar bağlantı başlığı şifresini kullanır. Şifresi çözülmüş başlık doğru ise, Server_B başlığı Server_A tarafından şifrelenmiş ve bağlantı doğrulanır bilir. Decrypted başlık yanlış ise, Server_B bilir bağlantı isteğini asılsız ve bağlantıyı reddeder.

Veri şifreleme

Varsayılan olarak, bitiş noktası yansıtma veritabanı yansıtma bağlantıları üzerinden gönderilen verilerin şifrelenmesi gerekir. Bu durumda son nokta şifreleme kullanan uç için bağlanabilir. Ağınızı güvenli olduğunu garanti sürece, bağlantıları yansıtma veritabanı için şifreleme gerektirir öneririz. Ancak, şifrelemeyi devre dışı veya bu desteklenen, ancak gerekli değildir. Şifreleme devre dışıysa, veriler asla şifrelenir ve son nokta için son nokta bağlanamıyor şifreleme gerektirir. Şifrelemeyi destekliyorsa, yalnızca ters uç destekler veya şifreleme gerektirir veriler şifrelenir.

[!NOT]

Tarafından oluşturulmuş bitiş noktası yansıtma SQL Server Management Studiogerekli ya da devre dışı şifreleme ile oluşturulan. İçin desteklenen şifreleme ayarını değiştirmek için KULLANINALTER bitiş noktası kullanmak Transact-SQLdeyimi. Daha fazla bilgi için, bkz. alter bitiş noktası (Transact-sql).

İsterseniz, bir bitiş noktası tarafından bir bitiş noktası create deyimi veya alter bitiş noktası deyimi belirterek ALGORİTMASI seçeneği için aşağıdaki değerlerden birini kullanılabilir şifreleme algoritmaları denetleyebilirsiniz:

ALGORİTMASI değeri	Açıklama
RC4	RC4 algoritması bitiş noktası kullanması gerektiğini belirtir. Varsayılan değer budur. Not RC4 algoritması kaldırılmıştır.Bu özellik Microsoft SQL Server'ın ilerideki bir sürümünde kaldırılacaktır. Yeni geliştirme işlerinde bu özelliği kullanmayın ve bu özelliği kullanmakta olan uygulamaları mümkün olduğunca erken bir zamanda değiştirin.aes kullanmanızı öneririz.
AES	AES algoritması bitiş noktası kullanması gerektiğini belirtir.
AES RC4	Iki bitiş noktası için bir şifreleme algoritması aes algoritması tercih vererek bu bitiş noktası anlaşacağı belirtir.
RC4 AES	Iki bitiş noktası için bir şifreleme algoritması aes algoritması tercih vererek bu bitiş noktası anlaşacağı belirtir.

Her iki algoritmaları bağlanan bitiş noktaları belirtirseniz, ancak farklı siparişlerinde, bağlantı kabul bitiş noktası kazanır.

[!NOT]

RC4 algoritması yalnızca geriye dönük uyumluluk için desteklenir. Yeni malzeme yalnızca veritabanı uyumluluk düzeyi 90 ya da 100 olduğunda RC4 veya RC4_128 kullanılarak şifrelenebilir. (Önerilmez.) Bir aes algoritması gibi yeni bir algoritma kullanın. De SQL Server 2012Malzeme RC4 veya RC4_128 kullanılarak şifrelenmiş herhangi bir uyumluluk düzeyi şifresi.

aes nispeten güçlü algoritması ise önemli ölçüde daha hızlı daha aes, RC4 görece zayıf bir algoritma olsa. Bu nedenle, aes algoritması kullanmanızı öneririz.

Hakkında bilgi Transact-SQLŞifreleme belirtmek için sözdizimini görmek Bitiş noktası (Transact-sql) oluştur.