【文章內容簡介】 賬戶 比工作需要更多的權限時，憑據也可以用于減少特定任務的權限。代理可用于： ? ActiveX 腳本 ? 操作系統(tǒng)（ CmdExec） ? 復制代理 ? 分析和查詢服務命令 ? 執(zhí)行 SSIS 包（包括維護計劃） SQL SERVER 2020 安全性的最佳實踐 9 、 SQL Server 服務的最佳實踐 ? 為 SQL Server 服務使用指定 賬戶或域賬戶 ，不使用共享賬戶。 ? 每個服務使用一個單獨 賬戶 。 ? 不要授予 SQL Server 服務 賬戶 任何 特別權限，他們將被分配給組成員。 ? 通過提供給 SQL Server 的組 賬戶 來管理權限，而不是通過單個 服務的用戶 賬戶 。 ? 始終使用 SQL Server 配置管理器更改服務 賬戶 。 ? 定期更改服務 賬戶 密碼。 ? 用憑據來執(zhí)行需要特殊 權限的作業(yè)步驟，而不用 調整 SQL Server 代理服務 賬戶 的權限。 ? 如果代理用戶 需 執(zhí)行一個需要不同 Windows 憑據 的作業(yè)，只需 分配一個 完成這個任務權限的 代理 賬戶 即可 。 驗證 模式 SQL Server 有兩種身份驗證模式： Windows 身份驗證和混合模式身份驗證。 Windows 身份驗證模式，指定 的 Windows 用戶和組 賬戶 可以 被 信賴地登錄到 SQL Server。 當用戶通過 Windows 用戶 賬戶 連接時， SQL Server 使用操作系統(tǒng)中的 Windows 主體標記驗證 賬戶 名和密碼。也就是說，用戶身份 由 Windows 進行確認 （ 在這個過程中 ， 使用 的 Windows 憑據是 NTLM 或 Kerberos 憑據 ） 。 SQL Server 不要求提供密碼，也不執(zhí)行身份驗證。 Windows 身份驗證是默認身份驗證模式，并且比 SQL Server 身份驗證更為安全。 Windows 身份驗證使用 Kerberos 安全協(xié)議，提供有關強密碼復雜性驗證的密碼策略 機制 ，還提供 賬戶 鎖定支持，并且支持密碼過期。通過 Windows 身份驗證完成的連接有時也稱為可信連接，這是因為 SQL Server 信任由 Windows 提供的憑 據?；旌夏Ｊ缴矸蒡炞C，允許 Windows 賬戶 和 SQL Server 特定 賬戶 （稱為 SQL 登錄）登陸。當使用SQL 登錄， SQL 登錄密碼通過網絡來進行身份驗證，這就使得 SQL 登錄沒有 Windows 登錄安全。 最好的做法是盡可能使用 Windows 登錄。使用 SQL Server 的 Windows 登錄實現(xiàn)單點登錄 ，并 簡化登錄管理。 用普通的 Windows 密碼策略和密碼更改的 API 進行密碼管理。 系統(tǒng)管理員管理用戶、組和密碼， SQL Server 數(shù)據庫管理員只關心那 些允許訪問 SQL Server 的用戶和組，并做相應的授權管理。 SQL 登錄應僅限于舊版 應用 程序 ，因為大多數(shù)情況下，軟件是從第三方供應商購買的，驗證不能更改。 SQL 登錄的另一個用途是， 客戶 端不是 Windows 并且不具備 Windows 登錄的跨平臺的客戶端 服務器應用程序 。雖然不鼓勵使用 SQL 登錄，但在 SQL Server 2020 中， SQL 登錄進行了一些安全方面的改進。這些改進主要包括： SQL 登陸 使用底層操作系統(tǒng)加密的改進，當 SQL密碼在網絡上傳輸時 有 更好的加密的能力。 我們將在后面章節(jié)中做進一步討論。 SQL Server 2020 使用標準的 DDL 語句創(chuàng)建 Windows 登錄名 和 SQL 登錄 名 。 首選是 使用CREATE LOGIN 語句； sp_addlogin 和 sp_grantlogin 系統(tǒng)存儲程序僅支持向后兼容。 SQL Server 2020 使用 ALTER DDL 語句禁用登錄 名 或更改 登錄名。例如，如果您安裝 SQL Server 2020 用的是 Windows 身份驗證模式，而不是混合模式，那么 sa 登錄 將 被禁用。這時，用 ALTER LOGINSQL SERVER 2020 安全性的最佳實踐 10 而不用 sp_denylogin 或 sp_revokelogin 來更改登錄，因為他們只支持向后兼容。 如果你 安裝 SQL Server 時，使用的是 Windows 身份驗證模式 ， 那么 sa 登錄帳戶 將 被禁用，系統(tǒng)并為它生成一個隨機密碼。如果您以后想更改為混合模式身份驗證 并并重新啟用 sa 登錄帳戶， 這時你將不知道 sa 的密碼。如果你認為 以后也許會 使用 sa 登錄賬號， 在 安裝后把 sa 密碼更改為已知值 即可 。 驗證 模式的最佳實踐 ? 如果可能的話，盡可能使用 Windows 身份驗證模式。 ? 只為 舊版 的應用程序和非 Windows 用戶使用混合模式身份驗證。 ? 使用標準的 login DDL 語句，不要使用兼容性的系統(tǒng)存儲過程。 ? 如果以后 需用使用 sa 賬號，最好是將 sa 賬戶 的 密碼更改為已知值，設置一個強密碼并定期更改。 ? 不要使用 sa 賬戶 來管理 SQL 服務器，用一個具有系統(tǒng)管理員權限的用戶或組來管理。 ? 為了防止同名的 sa 賬戶 的攻擊，需把 sa 賬戶 重新命名為不同的 賬戶 名稱。 網絡連接 連接 SQL Server 數(shù)據庫需要一個標準的網絡協(xié)議 ，沒有繞過網絡 的 內部 連接。端點 存在下列網絡客戶端連接協(xié)議： ? 共享內存 ? 命名管道 ? TCP / IP 協(xié)議 ? VIA ? 專用管理員連接 此外， 下列端點 可以 定義允許訪問 QL Server 實例 ： ? 服務代理 ? HTTP Web 服務 ? 數(shù)據庫 鏡像 以下是建立一個 Service Broker 端點 的例子： CREATE ENDPOINT BrokerEndpoint_SQLDEV01 AS TCP ( LISTENER_PORT = 4022 ) FOR SERVICE_BROKER ( AUTHENTICATION = WINDOWS ) SQL Server 2020 中斷一些網絡協(xié)議的支持，這些網絡協(xié)議在 SQL Server 的早期版本是有效的，包括 IX / SPX、 Appletalk 和 Banyon Vines。 SQL SERVER 2020 安全性的最佳實踐 11 為了與“默認為關 閉，僅在需要時啟用“的一般策略相符合，安裝 SQL Server 2020 時，沒有創(chuàng)建服務代理、 HTTP 或數(shù)據庫鏡像端點，默認 VIA 端點 也是 不可用。此外，在 SQL Server 2020 Express 版、 開發(fā)版和評估版，命名管道和 TCP / IP 協(xié)議默認 是 禁用。在這些版本中，只有共享內存 默認 是有效的。專用管理員連接（ DAC） 是 SQL Server 2020 新增加的，在默認情況下僅提供本地有效，盡管它在遠程也是有效的。注意： 在 SQL Server Express 版， DAC 默認是不可用的，需要 在服務器運行一個特 殊的跟蹤標志，才能啟用。訪問數(shù)據庫端點 需要有 CONNECT 權限的登錄原則。默認情況下，沒有登錄的帳戶具有連接服務代理或 HTTP Web 服務端點的權限。只啟用有需要的協(xié)議 是一個最佳實踐 。例如，如果 TCP / IP 協(xié)議就足夠了，沒有必要啟用命名管道協(xié)議。 雖然端點 的管理可以通過 DDL 完成， 但是 通過 SQL Server 外圍應用配置工具和 SQL Server配置管理器，可以使管理過程變得更容易， 策略變得更統(tǒng)一。 SQL Server 外圍應用配置提供一個簡單的用戶界面來 啟用或禁用 SQL Server 實例的客戶端協(xié)議， 如圖 1 和圖 2 所示。知識庫文章KB914277，以及 SQL Server 2020 聯(lián)機叢書，描述了相應配置，即怎樣配置 SQL Server 2020 以允許遠程連接。遠程連接配置對話框的屏幕截圖，如圖 1 所示： Figure 1 Configuring remote connections 在外圍應用配置服務和連接的對話框，可以看到在實例中定義的任何 HTTP 或 Service Broker端點。新的端點 必須使用 DDL 語句定義，不能用 SQL Server 外圍應用配置定義。您可以使用外圍應用配置工具，啟用遠程訪問專用管理員連接。 SQL Server 配置管理器提供了更詳細的服務器協(xié)議。在配置管理器，您可以： ? 選擇一個 SSL 加密證書。 ? 只允許加密的客戶端連接。 ? 隱藏來自于服務器的 API 枚舉的 SQL Server 實例。 SQL SERVER 2020 安全性的最佳實踐 12 ? 啟用和禁用 TCP / IP、共享內存、命名管道和 VIA 協(xié)議。 ? 為即將 使用的每個 SQL Server 實例配置管道名稱。 ? 配置每個實例監(jiān)聽 TCP / IP 連接的 TCP / IP 端口號。 ? 選擇是否為命名實例分配 TCP / IP 動態(tài)端口 。 配置 TCP/IP 屬性對話框，如端口號和動態(tài)端口分配，如圖 2 所示。 Figure 2 TCP/IP Addresses configuration page in SQL Server Configuration Manager SQL Server 2020 可以因如下兩個理由使用加密通道：加密 SQL 登錄憑據，提供整個會話點到點的加密。使用加密的會話，需要使用支持它的一個客戶端 API。 OLE DB， ODBC 和 客戶端都支持加密會話；目前， 不支持 微軟的 JDBC 客戶端。使用 SSL 的另一原因是， SQL 登錄期間， 密碼通過網絡傳輸時 加密憑據 。如果 SSL 證書被安裝在 SQL Server 實例，該證書用于加密憑據。如果 SSL 證書尚未安裝， SQL Server 2020 可以生成一個自簽名的證書，并使用此證書代替。使用自簽名證書防止不積極的 maninthemiddle 攻擊，其中 maninthemiddle 攔截網絡流量，但不提供相互驗證。使用受信任的認證授權的 SSL 證書預防積極的 maninthemiddle 攻擊，并提供相互驗證。 在 SQL Server 2020，您可以授予、撤銷或拒絕連接到基于每個登錄的特定端點權限。默認情況下所有 登錄都被賦予共享內存、命名管道、 TCP / IP 協(xié)議和 VIA 端點的權限。你必須明確地授予用戶到其他端點 的 CONNECT 權限，默認情況下，是不授予用戶此權限。一個授予此權限的例子如下： SQL SERVER 2020 安全性的最佳實踐 13 GRANT CONNECT ON MyHTTPEndpoint TO MyDomain\Accounting 、 網絡連接的最佳實踐 ? 限制支持的網絡協(xié)議。 ? 除非必要，否則不要啟用網絡協(xié)議。 ? 不要把一個正運行 SQL Server 的服務器公開給 互聯(lián)網。 ? 使用一個特定的 TCP / IP 端口分配，而不是動態(tài)端口，配置命名的 SQL Server 實例 。 ? 如果您必須支持 SQL 登錄，請從受信任的認證機構安裝 SSL 證書，不要使用 SQL Server 2020 自簽名證書。 ? 如果需要對端到端的 敏感的 session 加密，使用“只允許加密連接”。 ? 只給需要使用 端點 的賬戶授予 CONNECT 權限。 對不需要 端點 的用戶或組明確地拒絕CONNECT 權限。 Lockdown of System Stored Procedures SQL Server 使用系統(tǒng)存儲過程來完成一些管理任務。這些存儲過程幾乎總是以前綴 xp_或sp_開頭。即使為某些任務引進標準的 DDL（例如， creating logins and users），但系統(tǒng)存儲過程仍然是完成某些任務的唯一 方式，如發(fā)送電子郵件或調用 COM 組件。特別是系統(tǒng)擴展存儲過程過去常用來獲取 SQL Server 實 例的外部資源。大多數(shù)系統(tǒng)存儲過程包含相關的安全檢查， 并 把 它作為程序的一部分 進行模擬，以便他們作為調用該程序 的 Windows 登錄運行。一個例子是sp_reserve__namespace， 它 模擬當前登陸，然后通過使用底層操作系統(tǒng)函數(shù)保存 HTTP 命名空間（ ） 。 由于某些系統(tǒng)程序與操作系統(tǒng)相互交互 或執(zhí)行屬于 SQL Server 正常權限范圍外的代碼，他們可能構成安全風險。系統(tǒng)存儲過程，如 xp_cmdshell 或 sp_send_dbmail，默認關閉，并應保持禁用，除非有使用它們的理由。在 SQL Server 2020，您不再需要使用存儲過程訪問底層操作系統(tǒng)或SQL Server 權限空間外的網絡。 以 EXTERNAL_ACCESS 模式執(zhí)行的 SQLCLR程序受 SQL Server權限 影響 ，以 UNSAFE 模式執(zhí)行的 SQLCLR 程序受到一些但不是全部的安全檢查。將來， SQLCLR程序應取代用戶編寫的擴展存儲過程。 某些 類別的系