Можете ли вы защитить связанные серверы от SA
-
14-10-2019 - |
Вопрос
У нас есть сторонний поставщик, настраивающий программное обеспечение на сервере. Они имеют полный доступ к этому серверу и SQL-сервер на нем с учетной записью SA. Мы хотели бы настроить связанный сервер, чтобы триггер мог обновить данные на удаленной машине. Обязательно ли доступ к учетной записи SA, что у них есть полный доступ к связанному серверу или есть способ защитить себя от SA?
РЕДАКТИРОВАТЬ: Мы хотели дать им полный контроль над сервером, потому что мы хотим, чтобы у них была полная ответственность. Это снимает вину у нас, когда перестает работать. «Эй, мы не трогали это, ты исправляешь, у тебя есть полные разрешения». Таким образом, они могут делать все, что им нужно, чтобы заработать свое программное обеспечение, но оно находится в песчаной среде. Нам просто нужен триггер, чтобы вывести окончательные записи из их базы данных и вставить в нашу производственную базу данных. Это требует разрешений, которые мы не хотим давать им. Вопрос был предназначен для того, чтобы задать, есть ли способ сохранить пароль в этой песчаной среде под носом. так сказать.
Решение
Вы можете настроить связанный сервер для использования именованного пользователя - ваш сторонний подрядчик по -прежнему сможет увидеть «другой конец» ссылки, но только с правами, предоставленными тем названным пользователям.
Другие советы
Никогда не дайте никому доступ к учетной записи SA.
Вместо этого дайте им именованную учетную запись пользователя, даже если она все еще имеет полные привилегии уровня системного уровня.
Во -вторых, связанный сервер будет настроен с именованным пользователем, которому разрешено выдать себя за именованного пользователя на другом конце. Если у них есть учетная запись с полными привилегиями на первом сервере, они смогут добраться до другого. Это так же просто, как изменение пароля учетной записи пользователя, которая предоставляется доступ к удаленному серверу.
Что подводит нас к другому пункту: никогда не дайте внешней организации полные права на что -либо, если они не владеют коробкой. Если, по какой -то странной причине, у вас нет другого выбора, то вы должны найти альтернативный способ передачи данных с этого сервера на ваш производственный сервер.
Одним из способов будет настроить пакеты SSIS, которые отбрасывают данные в каталоге, который удаленный сервер будет контролировать для получения. Конечно, это добавляет немного сложнее, но в конце концов это будет означать, что ваши вещи все еще будут безопасными.
Наконец, связанные серверы печально известны тем, что они в целом требовать. Вам намного лучше найти другой способ передачи данных ... например, использование метода SSIS.