Microsoft SQL Server 2016 biedt beheerders twee keuzes voor het implementeren van hoe het systeem gebruikers gaat authenticeren: Windows-authenticatiemodus of gemengde authenticatiemodus.
Windows-verificatie betekent dat SQL Server de identiteit van een gebruiker valideert met alleen zijn Windows-gebruikersnaam en -wachtwoord. Als de gebruiker al is geverifieerd door het Windows-systeem, vraagt SQL Server niet om een wachtwoord.
Gemengde modus betekent dat SQL Server zowel Windows-verificatie als SQL Server-verificatie inschakelt. SQL Server-verificatie maakt gebruikersaanmeldingen die niet gerelateerd zijn aan Windows.
Basisprincipes van authenticatie
Verificatie is het proces waarbij de identiteit van een gebruiker of computer wordt bevestigd. Het proces bestaat normaal uit vier stappen:
-
De gebruiker claimt identiteit, meestal door een gebruikersnaam op te geven.
-
Het systeem daagt de gebruiker uit om zijn of haar identiteit te bewijzen. De meest voorkomende uitdaging is een verzoek om een wachtwoord.
-
De gebruiker reageert op de uitdaging door het gevraagde bewijs te leveren, meestal een wachtwoord.
-
Het systeem controleert of de gebruiker acceptabel bewijs heeft geleverd door bijvoorbeeld het wachtwoord te controleren aan de hand van een lokale wachtwoorddatabase of door een gecentraliseerde authenticatieserver te gebruiken.
Voor onze bespreking van SQL Server-verificatiemodi bevindt het kritieke punt zich in de vierde stap hierboven: het punt waarop het systeem het identiteitsbewijs van de gebruiker verifieert. De keuze voor een authenticatiemodus bepaalt waar SQL Server gaat het wachtwoord van de gebruiker verifiëren.
Over de verificatiemodi van SQL Server
Laten we deze twee modi een beetje verder verkennen:
Windows-authenticatiemodus vereist dat gebruikers een geldige Windows-gebruikersnaam en wachtwoord opgeven om toegang te krijgen tot de databaseserver. Als u deze modus kiest, wordt SQL Server-specifieke aanmeldfunctionaliteit door SQL Server uitgeschakeld en wordt de identiteit van de gebruiker uitsluitend via zijn Windows-account bevestigd. Deze modus wordt soms aangeduid als geïntegreerde beveiliging vanwege de afhankelijkheid van SQL Server van Windows voor verificatie.
Gemengde authenticatiemodus staat het gebruik van Windows-inloggegevens toe maar vult deze aan met lokale SQL Server-gebruikersaccounts die de beheerder binnen SQL Server maakt en onderhoudt. De gebruikersnaam en het wachtwoord van de gebruiker zijn beide opgeslagen in SQL Server en gebruikers moeten telkens opnieuw worden geverifieerd als ze verbinding maken.
Een verificatiemodus selecteren
De aanbevolen werkwijze van Microsoft is om Windows-verificatiemodus waar mogelijk te gebruiken. Het grootste voordeel is dat het gebruik van deze modus u toestaat om accountbeheer voor uw hele onderneming op één plaats te centraliseren: Active Directory. Dit verkleint de kans op fouten of overzicht aanzienlijk. Omdat de identiteit van de gebruiker wordt bevestigd door Windows, kunnen specifieke Windows- en groepsaccounts worden geconfigureerd om zich aan te melden bij SQL Server. Verder gebruikt Windows-verificatie codering om gebruikers van SQL Server te verifiëren.
Met SQL Server-verificatie kunnen daarentegen gebruikersnamen en wachtwoorden worden doorgegeven via het netwerk, waardoor ze minder veilig zijn. Deze modus kan echter een goede keuze zijn als gebruikers verbinding maken vanuit verschillende niet-vertrouwde domeinen of als mogelijk minder veilige internettoepassingen in gebruik zijn, zoals ASP.NET.Bekijk bijvoorbeeld het scenario waarin een vertrouwde databasebeheerder uw organisatie verlaat tegen onvriendelijke voorwaarden. Als u de Windows-verificatiemodus gebruikt, vindt het intrekken van de toegang van die gebruiker automatisch plaats wanneer u het Active Directory-account van de DBA uitschakelt of verwijdert. Als u de gemengde verificatiemodus gebruikt, moet u niet alleen het Windows-account van de DBA uitschakelen, maar moet u ook de lokale gebruikersvermeldingen doorzoeken. op elke databaseserver om ervoor te zorgen dat er geen lokale accounts bestaan waarin de DBA het wachtwoord kent. Dat is veel werk! Samengevat, de modus die u kiest, beïnvloedt zowel het beveiligingsniveau als het onderhoudsgemak van de databases van uw organisatie.
