Можете ли вы защитить связанные серверы от SA

Question

У нас есть сторонний поставщик, настраивающий программное обеспечение на сервере. Они имеют полный доступ к этому серверу и SQL-сервер на нем с учетной записью SA. Мы хотели бы настроить связанный сервер, чтобы триггер мог обновить данные на удаленной машине. Обязательно ли доступ к учетной записи SA, что у них есть полный доступ к связанному серверу или есть способ защитить себя от SA?

РЕДАКТИРОВАТЬ: Мы хотели дать им полный контроль над сервером, потому что мы хотим, чтобы у них была полная ответственность. Это снимает вину у нас, когда перестает работать. «Эй, мы не трогали это, ты исправляешь, у тебя есть полные разрешения». Таким образом, они могут делать все, что им нужно, чтобы заработать свое программное обеспечение, но оно находится в песчаной среде. Нам просто нужен триггер, чтобы вывести окончательные записи из их базы данных и вставить в нашу производственную базу данных. Это требует разрешений, которые мы не хотим давать им. Вопрос был предназначен для того, чтобы задать, есть ли способ сохранить пароль в этой песчаной среде под носом. так сказать.

Answer 1

Вы можете настроить связанный сервер для использования именованного пользователя - ваш сторонний подрядчик по -прежнему сможет увидеть «другой конец» ссылки, но только с правами, предоставленными тем названным пользователям.

Answer 2

Никогда не дайте никому доступ к учетной записи SA.

Вместо этого дайте им именованную учетную запись пользователя, даже если она все еще имеет полные привилегии уровня системного уровня.

Во -вторых, связанный сервер будет настроен с именованным пользователем, которому разрешено выдать себя за именованного пользователя на другом конце. Если у них есть учетная запись с полными привилегиями на первом сервере, они смогут добраться до другого. Это так же просто, как изменение пароля учетной записи пользователя, которая предоставляется доступ к удаленному серверу.

Что подводит нас к другому пункту: никогда не дайте внешней организации полные права на что -либо, если они не владеют коробкой. Если, по какой -то странной причине, у вас нет другого выбора, то вы должны найти альтернативный способ передачи данных с этого сервера на ваш производственный сервер.

Одним из способов будет настроить пакеты SSIS, которые отбрасывают данные в каталоге, который удаленный сервер будет контролировать для получения. Конечно, это добавляет немного сложнее, но в конце концов это будет означать, что ваши вещи все еще будут безопасными.

Наконец, связанные серверы печально известны тем, что они в целом требовать. Вам намного лучше найти другой способ передачи данных ... например, использование метода SSIS.