Microsoft SQL Server 2016 bietet Administratoren zwei Möglichkeiten, um zu implementieren, wie das System Benutzer authentifiziert: Windows-Authentifizierungsmodus oder gemischter Authentifizierungsmodus.
Windows-Authentifizierung bedeutet, dass SQL Server die Identität eines Benutzers nur mit seinem Windows-Benutzernamen und seinem Kennwort überprüft. Wenn der Benutzer bereits vom Windows-System authentifiziert wurde, fordert SQL Server kein Kennwort an.
Mischform bedeutet, dass SQL Server sowohl die Windows-Authentifizierung als auch die SQL Server-Authentifizierung aktiviert. Die SQL Server-Authentifizierung erstellt Benutzeranmeldungen, die nicht mit Windows zusammenhängen.
Authentifizierungsgrundlagen
Bei der Authentifizierung wird die Identität eines Benutzers oder Computers bestätigt. Der Prozess besteht normalerweise aus vier Schritten:
-
Der Benutzer erhebt einen Identitätsanspruch, in der Regel durch Angabe eines Benutzernamens.
-
Das System fordert den Benutzer auf, seine Identität nachzuweisen. Die häufigste Herausforderung ist die Anforderung eines Passworts.
-
Der Benutzer antwortet auf die Herausforderung, indem er den angeforderten Nachweis, in der Regel ein Passwort, zur Verfügung stellt.
-
Das System überprüft, ob der Benutzer einen akzeptablen Nachweis erbracht hat, indem es beispielsweise das Kennwort anhand einer lokalen Kennwortdatenbank überprüft oder einen zentralen Authentifizierungsserver verwendet.
Für unsere Diskussion der Authentifizierungsmodi von SQL Server ist der kritische Punkt der vierte Schritt oben: Der Punkt, an dem das System den Identitätsnachweis des Benutzers überprüft. Die Wahl eines Authentifizierungsmodus bestimmt woher SQL Server überprüft das Kennwort des Benutzers.
Informationen zu SQL Server-Authentifizierungsmodi
Lassen Sie uns diese beiden Modi etwas näher untersuchen:
Windows-Authentifizierungsmodus Benutzer müssen einen gültigen Windows-Benutzernamen und ein Kennwort angeben, um auf den Datenbankserver zuzugreifen. Wenn dieser Modus ausgewählt ist, deaktiviert SQL Server die SQL Server-spezifische Anmeldefunktion, und die Identität des Benutzers wird ausschließlich über sein Windows-Konto bestätigt. Dieser Modus wird manchmal als bezeichnet Integrierte Sicherheit wegen der Abhängigkeit von SQL Server von Windows für die Authentifizierung.
Gemischter Authentifizierungsmodus Erlaubt die Verwendung von Windows-Anmeldeinformationen, ergänzt sie jedoch um lokale SQL Server-Benutzerkonten, die der Administrator in SQL Server erstellt und verwaltet. Der Benutzername und das Kennwort des Benutzers werden in SQL Server gespeichert, und die Benutzer müssen bei jeder Verbindung erneut authentifiziert werden.
Authentifizierungsmodus auswählen
Die empfohlene Vorgehensweise von Microsoft ist, wann immer möglich den Windows-Authentifizierungsmodus zu verwenden. Der Hauptvorteil besteht darin, dass Sie mit diesem Modus die Kontenverwaltung für Ihr gesamtes Unternehmen an einem zentralen Ort zentralisieren können: Active Directory. Dadurch werden die Fehler- und Versagenswahrscheinlichkeit drastisch reduziert. Da die Identität des Benutzers von Windows bestätigt wird, können bestimmte Windows-Benutzer- und Gruppenkonten für die Anmeldung bei SQL Server konfiguriert werden. Außerdem verwendet die Windows-Authentifizierung die Verschlüsselung, um SQL Server-Benutzer zu authentifizieren.
Die SQL Server-Authentifizierung hingegen ermöglicht die Weitergabe von Benutzernamen und Kennwörtern im gesamten Netzwerk, wodurch sie weniger sicher sind. Dieser Modus kann jedoch eine gute Wahl sein, wenn Benutzer eine Verbindung mit verschiedenen nicht vertrauenswürdigen Domänen herstellen oder wenn möglicherweise weniger sichere Internetanwendungen verwendet werden, z. B. ASP.NET.Betrachten Sie beispielsweise das Szenario, in dem ein vertrauenswürdiger Datenbankadministrator Ihre Organisation zu unfreundlichen Bedingungen belässt. Wenn Sie den Windows-Authentifizierungsmodus verwenden, wird der Zugriff dieses Benutzers automatisch widerrufen, wenn Sie das Active Directory-Konto des DBA deaktivieren oder entfernen. Wenn Sie den gemischten Authentifizierungsmodus verwenden, müssen Sie nicht nur das Windows-Konto des DBA deaktivieren, sondern auch die lokalen Benutzerlisten durchgehen auf jedem Datenbankserver um sicherzustellen, dass keine lokalen Konten vorhanden sind, in denen der DBA das Kennwort möglicherweise kennt. Das ist viel Arbeit! Zusammenfassend wirkt sich der von Ihnen gewählte Modus sowohl auf die Sicherheitsstufe als auch auf die einfache Wartung der Datenbanken Ihrer Organisation aus.
