Проверка подлинности Windows

Если установлен режим проверки подлинности Windows (Windows Authentication Mode), пользователь может подключиться к SQL Server 2000 только с помощью средств проверки подлинности Windows (такое соединение называется доверенным). Windows NT 4.0/2000 обеспечивает различные методы для защиты среды Windows, которые невозможно перечислить в этой книге, но которые очень важны для защиты вашего экземпляра SQL Server 2000. К ним относятся политики учетных записей и групп, прокси-серверы, брандмауэры, маршрутизаторы и протокол IPSec (Internet Protocol Security). Благодаря этим механизмам использование режима проверки подлинности Windows (доверенного соединения) обеспечивает лучшую защиту, чем проверка подлинности средствами SQL Server 2000.

Смешанный режим проверки подлинности

При смешанном режиме проверки подлинности (Mixed Authentication Mode) пользователь может подключиться к SQL Server 2000 с помощью средств проверки подлинности Windows или SQL Server 2000. Этот режим необходим для прямого подключения к SQL Server 2000 клиентов Novell NetWare, Apple Macintosh, Banyan Vines, UNIX и Linux. Однако при использовании этого режима данные защищены меньше, чем при режиме проверки подлинности Windows, и поэтому его следует использовать только в случае крайней необходимости.

Делегирование учетной записи пользователя

Служба SQL Server может заимствовать регистрационные реквизиты пользователя, чтобы предоставить ему доступ к ресурсам, не относящимся к данному экземпляру SQL Server (например к файловой системе или к другому серверу). Благодаря этому доступ к ресурсам предоставляется по имени и паролю прошедшего проверку подлинности пользователя, а не доменной учетной записи, используемой службой SQL Server. Чтобы служба SQL Server могла передать другому серверу имя и пароль пользователя, прошедшего проверку подлинности Windows, следует разрешить делегирова­ние учетной записи Windows 2000 на обоих серверах.

При делегировании учетной записи пользователя требуется, чтобы на всех уча­ствующих серверах была установлена ОС Windows 2000, поддерживался протокол Kerberos и использовалась служба Active Directory. При использовании Active Directory для передачи соответствующих разрешений пользователь должен иметь право деле­гирования. Чтобы предоставить пользователю эти разрешения, пометьте соответствующий флажок в диалоговом окне свойств учетной записи, доступном из оснастки Active Directory Users And Computers

Кроме того, на компьютере, где работает система SQL Server 2000, должно быть разрешено делегирование. Для выполнения распределенных запросов на двух SQL Server 2000 на различных компьютерах оба компьютера должны использовать делеги­рование. Это свойство учетной записи устанавливается в диалоговом окне Properties, доступном из Active Directory Users And Computers.

И наконец, чтобы использовать делегирование учетной записи пользователя, у системы SQL Server 2000 должно быть основное имя службы (Service Principal Name, SPN). SPN определяется с помощью утилиты Setspn из состава Windows 2000 Resource Kit. Чтобы задать постоянное имя SPN, назначаемое администратором домена Windows учетной записи, используемой службой SQL Server, необходимо воспользоваться утилитой Setspn. Постоянное имя SPN назначается на основании номера используемого порта. Разным экземплярам SQL Server и разным портам присваиваются разные SPN. Чтобы разрешить делегирование, используется сетевая библиотека TCP/IP, а не Named Pipes, поскольку SPN соответствует определенному сокету TCP/IP (TCP/IP socket).

В следующем примере SPN назначается для экземпляра SQL Server 2000 с именем SelfPacedCPU.SelfPacedSQL.MSFT, использующего порт 1433 и учетную запись пользователя домена SelfPacedSQL\ SQLService:

Setspn -a MSSQLSvc/SelfPacedCPU.SelfPacedSQL.msft:1433 sqlservice

Также можно задать временное SPN-имя, назначаемое службой SQL Server 2000, работающей под учетной записью локальной системы. При этом SQL Server автоматически регистрирует SPN при запуске системы. Срок действия временного SPN-имени заканчивается при остановке службы SQL Server. Если необходимо изменить постоянное имя на временное, удалите зарегистрированное ранее SPN-имя.

В следующем примере удаляется SPN для экземпляра SQL Server 2000 с именем SelfPacedCPU.SelfPacedSQL.MSFT, использующего порт 1433 и учетную запись поль­зователя домена SelfPacedSQL\ SQLService:

Setspn -d MSSQLSvc/SelfPacedCPU.SelfPacedSQL.msft:1433 sqlservice