2.6. Проверка подлинности в sql server 2000

Чтобы пользователь мог выполнять какие-либо действия или получить доступ к БД в системе SQL Server 2000, администратор должен создать регистрационную запись, которая предоставит пользователю доступ к SQL Server 2000, и назначить ей соответствующие разрешения. Регистрационная запись может быть связана с определенной группой или пользователем Windows NT 4.0/2000 или с записью пользователя SQL Server 2000 (учетная запись SQL Server 2000).

Подключаясь к SQL Server 2000, пользователь выбирает вид проверки подлинности (проверка средствами Windows или средствами SQL Server 2000) и вводит имя и пароль. Чтобы пользователь мог войти в систему, SQL Server 2000 должен проверить, является ли он зарегистрированным пользователем и имеет ли право устанавливать соединение с SQL Server, т. е. должны быть проверены регистрационные реквизиты пользователя.

Проверка подлинности средствами Windows

Если пользователь прошел проверку подлинности в домене и является зарегистрированным пользователем Windows, ОС предложит SQL Server 2000 доверять результа­там этой проверки и предоставить доступ на основании указанных имени и пароля. При этом для подтверждения личности пользователя передается билет Kerberos (в Windows 2000) или маркер доступа (в Windows NT 4.0). SQL Server 2000 проверяет аутентичность билета Kerberos или маркера доступа, и сравнивает полученные данные со списком пользователей и групп, которым разрешен доступ. На основе этой информации SQL Server 2000 предоставляет или отказывает в доступе.

Подключение, использующее средства проверки подлинности Windows, называется доверенным (trusted connection).

Проверка подлинности средствами sql Server 2000

Если подключающийся пользователь не прошел проверку подлинности в домене Windows или подключается при помощи регистрационной записи SQL Server 2000, он может предложить SQL Server 2000 проверить его подлинность средствами SQL Server на основе указанных имени и пароля (если SQL Server 2000 допускает такой вид проверки подлинности). При проверке подлинности собственными средствами SQL Server 2000 сравнивает переданное имя пользователя со списком зарегистрированных пользователей. Если SQL Server находит имя пользователя в таблице sysxlogins, он зашифровывает пароль и сравнивает его с зашифрованным паролем в таблице. По результатам проверки SQL Server 2000 предоставляет доступ или отказывает в нем.

Если клиентские и серверные сетевые библиотеки не используют для всего сеанса SSL-шифрование, имя и пароль пользователя передаются SQL Server 2000 открытым текстом.

Сравнение типов проверки подлинности

В табл. 2.4. перечислены различные возможности защиты, предоставляемые при проверке подлинности средствами Windows и средствами SQL Server 2000.

Табл. 2.4.

Возможности защиты при проверке подлинности средствами Windows и SQL Server 2000

Проверка подлинности средствами Windows	Проверка подлинности средствами SQL Server 2000
Имя и пароль, указываемые пользователем для входа в домен, передаются контроллеру домена Windows в зашифрованном виде	Windows не проверяет подлинность пользователя
Когда пользователь, прошедший проверку подлинности, передает имя и пароль SQL Server 2000, билет Kerberos или маркер доступа зашифровываются	Имя и пароль, которые вводит пользователь, передаются в незашифрованном виде (если не включен протокол SSL)
В Windows NT 4.0/2000 действует политика паролей (требуется сложный пароль, срок действия пароля ограничен)	Политики пароля нет: он может быть любой длины и сложности, его время действия не ограничено
В Windows NT 4.0/2000 действует политика блокировки учетных записей (при нескольких попытках ввода неправильного пароля	SQL Server 2000 не блокирует учетные записи: пароль можно вводить сколько угодно раз