Microsoft SQL Server 2016 предлагает администраторам два варианта реализации способа аутентификации пользователей: Режим проверки подлинности Windows или режим смешанной проверки подлинности.
Проверка подлинности Windows означает, что SQL Server проверяет подлинность пользователя, используя только его имя пользователя и пароль Windows. Если пользователь уже прошел аутентификацию в системе Windows, SQL Server не запрашивает пароль.
Смешанный режим означает, что SQL Server включает проверку подлинности Windows и проверку подлинности SQL Server. Аутентификация SQL Server создает логины пользователей, не связанные с Windows.
Основы аутентификации
Аутентификация - это процесс подтверждения личности пользователя или компьютера. Процесс обычно состоит из четырех этапов:
-
Пользователь заявляет о личности, обычно предоставляя имя пользователя.
-
Система ставит перед пользователем задачу доказать свою личность. Наиболее распространенной проблемой является запрос пароля.
-
Пользователь отвечает на вызов, предоставляя требуемое подтверждение, обычно пароль.
-
Система проверяет, что пользователь предоставил приемлемые доказательства, например, проверив пароль в базе данных локальных паролей или используя централизованный сервер аутентификации.
Для нашего обсуждения режимов проверки подлинности SQL Server критическая точка находится на четвертом шаге выше: точка, в которой система проверяет подлинность пользователя. Выбор режима аутентификации определяет где SQL Server проверяет пароль пользователя.
О режимах проверки подлинности SQL Server
Давайте рассмотрим эти два режима немного дальше:
Режим проверки подлинности Windows требует от пользователей предоставления действительного имени пользователя и пароля Windows для доступа к серверу базы данных. Если этот режим выбран, SQL Server отключает функциональные возможности входа в SQL Server, а личность пользователя подтверждается исключительно через его учетную запись Windows. Этот режим иногда называют интегрированная безопасность из-за зависимости SQL Server от Windows для аутентификации.
Режим смешанной аутентификации позволяет использовать учетные данные Windows, но дополняет их локальными учетными записями SQL Server, которые администратор создает и поддерживает в SQL Server. Имя пользователя и пароль пользователя хранятся в SQL Server, и пользователи должны быть повторно аутентифицированы каждый раз, когда они подключаются.
Выбор режима аутентификации
Рекомендация Microsoft по лучшей практике - использовать режим проверки подлинности Windows, когда это возможно. Основное преимущество заключается в том, что использование этого режима позволяет централизовать администрирование учетной записи для всего предприятия в одном месте: в Active Directory. Это значительно снижает вероятность ошибки или недосмотра. Поскольку идентификация пользователя подтверждается Windows, для пользовательских и групповых учетных записей Windows можно настроить для входа на SQL Server. Кроме того, аутентификация Windows использует шифрование для аутентификации пользователей SQL Server.
С другой стороны, аутентификация SQL Server позволяет передавать имена пользователей и пароли по всей сети, что делает их менее безопасными. Этот режим может быть хорошим выбором, однако, если пользователи подключаются из разных недоверенных доменов или, когда используются менее безопасные интернет-приложения, например ASP.NET.Например, рассмотрите сценарий, в котором доверенный администратор базы данных оставляет вашу организацию на недружелюбных условиях. Если вы используете режим проверки подлинности Windows, отмена доступа пользователя происходит автоматически при отключении или удалении учетной записи Active Directory администратора базы данных. Если вы используете режим смешанной проверки подлинности, вам нужно не только отключить учетную запись Windows DBA, но также нужно прочесывать списки локальных пользователей на каждом сервере базы данных чтобы не существовало локальных учетных записей, в которых администратор баз данных может знать пароль. Это много работы! Таким образом, выбранный вами режим влияет как на уровень безопасности, так и на простоту обслуживания баз данных вашей организации.
