Поделиться через

Защита соединений для групп доступности AlwaysOn и зеркального копирования баз данных (SQL Server)

Безопасность транспорта включает проверку подлинности и, при необходимости, шифрование сообщений, передаваемых между базами данных. Для зеркального отображения базы данных и групп доступности AlwaysOn проверка подлинности и шифрование настраиваются в конечной точке зеркального отображения базы данных. Общие сведения о конечных точках зеркального отображения базы данных см. в разделе "Конечная точка зеркального отображения базы данных" (SQL Server).

Аутентификация

Проверка подлинности — это процесс, который удостоверяет, что пользователь действительно является тем, за кого себя выдаёт. Для подключений между конечными точками зеркального отображения базы данных требуется проверка подлинности. Запросы на подключение от партнера или свидетеля, если таковые есть, должны проходить проверку подлинности.

Тип проверки подлинности, используемый экземпляром сервера для зеркального отображения базы данных или групп доступности AlwaysOn, является свойством конечной точки зеркального отображения базы данных. Для конечных точек зеркального отображения базы данных доступны два типа безопасности: проверка подлинности Windows (интерфейс поставщика поддержки безопасности (SSPI)) и проверка подлинности на основе сертификатов.

Проверка подлинности Windows

В рамках аутентификации Windows каждый экземпляр сервера входит на другую сторону, используя учетные данные учетной записи пользователя Windows, под которой выполняется процесс. Для проверки подлинности Windows может потребоваться определенная конфигурация учетных записей входа вручную, как показано ниже.

  • Если экземпляры SQL Server выполняются как службы в той же учетной записи домена, дополнительная конфигурация не требуется.

  • Если экземпляры SQL Server работают как службы под различными доменными учетными записями (в тех же или доверенных доменах), учетная запись каждой надо создать в master на каждом из других экземпляров сервера, и этой учетной записи должны быть предоставлены разрешения CONNECT для подключения к конечной точке.

  • Если экземпляры SQL Server выполняются в качестве учетной записи Network Service, имя входа каждой учетной записи компьютера узла (DomainName**\**ComputerName$) должно быть создано в master на каждом из остальных серверов, и этому имени входа должны быть предоставлены разрешения CONNECT на конечной точке. Это связано с тем, что экземпляр сервера, работающий под учетной записью сетевой службы, проходит проверку подлинности с помощью учетной записи домена хост-компьютера.

Замечание

Пример настройки сеанса зеркального отображения базы данных с помощью проверки подлинности Windows см. в примере: настройка зеркального отображения базы данных с помощью проверки подлинности Windows (Transact-SQL).

Сертификаты

В некоторых ситуациях, например, если экземпляры сервера не находятся в доверенных доменах или когда SQL Server работает в качестве локальной службы, проверка подлинности Windows недоступна. В таких случаях вместо учетных данных пользователя сертификаты требуются для проверки подлинности запросов на подключение. Конечная точка зеркального отображения каждого экземпляра сервера должна быть настроена с собственным локально созданным сертификатом.

Метод шифрования устанавливается при создании сертификата. Дополнительные сведения см. в разделе Включение использования сертификатов для исходящих соединений в конечной точке зеркального отображения базы данных (Transact-SQL). Тщательно управляйте используемыми сертификатами.

Экземпляр сервера использует закрытый ключ собственного сертификата для подтверждения своей личности при установлении подключения. Экземпляр сервера, получающий запрос на подключение, использует открытый ключ сертификата отправителя для проверки подлинности удостоверения отправителя. Например, рассмотрим два экземпляра сервера, Server_A и Server_B. Server_A использует закрытый ключ для шифрования заголовка подключения перед отправкой запроса на подключение в Server_B. Server_B использует открытый ключ сертификата Server_A для расшифровки заголовка подключения. Если расшифрованный заголовок правильно, Server_B знает, что заголовок был зашифрован Server_A, и подключение проходит проверку подлинности. Если расшифрованный заголовок неверный, Server_B знает, что запрос на подключение не выполняет проверку подлинности и отказывается от подключения.

Шифрование данных

По умолчанию для конечной точки зеркального отображения базы данных требуется шифрование данных, отправленных через подключения зеркального отображения. В этом случае конечная точка может подключаться только к конечным точкам, которые также используют шифрование. Если вы не можете гарантировать безопасность вашей сети, мы рекомендуем использовать шифрование для подключений зеркального отображения базы данных. Однако можно отключить шифрование или сделать его поддерживаемым, но не обязательным. Если шифрование отключено, данные никогда не шифруются, а конечная точка не может подключаться к конечной точке, требующей шифрования. Если шифрование поддерживается, данные шифруются только если противоположная конечная точка поддерживает или требует шифрование.

Замечание

Конечные точки зеркального отображения, созданные SQL Server Management Studio, создаются либо с обязательным шифрованием, либо с отключённым. Чтобы изменить параметр шифрования на SUPPORTED, используйте инструкцию ALTER ENDPOINT Transact-SQL. Дополнительные сведения см. в разделе ALTER ENDPOINT (Transact-SQL).

При необходимости можно управлять алгоритмами шифрования, которые можно использовать конечной точкой, указав одно из следующих значений для параметра ALGORITHM в инструкции CREATE ENDPOINT или инструкции ALTER ENDPOINT:

Значение АЛГОРИТМА Описание
RC4; Указывает, что конечная точка должна использовать алгоритм RC4. Это значение по умолчанию.

Примечание. Алгоритм RC4 устарел. Эта функция будет удалена в будущей версии Microsoft SQL Server. Не используйте эту функцию в новых работах разработки и не изменяйте приложения, которые в настоящее время используют эту функцию как можно скорее. Вместо этого рекомендуется использовать алгоритм AES.
AES Указывает, что конечная точка должна использовать алгоритм AES.
AES RC4 Указывает, что две конечные точки будут согласовывать алгоритм шифрования с этой конечной точкой, предоставляя предпочтение алгоритму AES.
RC4 AES Указывает, что две конечные точки будут согласовывать алгоритм шифрования с этой конечной точкой, предпочитая алгоритм RC4.

Если подключение конечных точек указывает оба алгоритма, но в разных порядках, конечная точка, принимающая подключение, выигрывает.

Замечание

Алгоритм RC4 поддерживается только в целях обратной совместимости. Когда база данных имеет уровень совместимости 90 или 100, новые материалы могут шифроваться только с помощью алгоритмов RC4 или RC4_128. (Не рекомендуется.) Используйте вместо этого более новые алгоритмы, например AES. В SQL Server 2012and более поздних версий материал, зашифрованный с помощью RC4 или RC4_128, можно расшифровать на любом уровне совместимости.

Хотя значительно быстрее, чем AES, RC4 является относительно слабым алгоритмом, в то время как AES является относительно сильным алгоритмом. Поэтому рекомендуется использовать алгоритм AES.

Сведения о синтаксисе Transact-SQL для указания шифрования см. в статье CREATE ENDPOINT (Transact-SQL).

Связанные задачи

Настройка транспортной безопасности для конечной точки зеркалирования базы данных

См. также

Выбор алгоритма шифрования
ALTER ENDPOINT (Transact-SQL)
DROP ENDPOINT (Transact-SQL)
Центр безопасности для ядра СУБД SQL Server и Базы данных Azure SQL
Управление метаданными при создании базы данных в другом экземпляре сервера (SQL Server)
Конечная точка зеркального отображения базы данных (SQL Server)
sys.database_mirroring_endpoints (Transact-SQL)
sys.dm_db_mirroring_connections (Transact-SQL)
Диагностика конфигурации зеркального отображения базы данных (SQL Server)
Устранение неполадок с конфигурацией групп доступности AlwaysOn (SQL Server)deleted