Можете ли вы защитить связанные серверы от

Question

У нас есть сторонний поставщик, устанавливающий программное обеспечение на сервере.У них есть полный доступ к этому серверу и sql-серверу на нем с учетной записью sa.Мы хотели бы настроить связанный сервер, чтобы триггер мог обновлять данные на удаленном компьютере.Обязательно ли доступ к учетной записи sa означает, что они имеют полный доступ к связанному серверу или есть способ защитить себя от sa?иметь полную ответственность.Он снимает с нас вину, когда перестает работать.«Эй, мы не трогали это, вы исправили это, у вас есть полные разрешения».Таким образом, они могут делать все, что им нужно, чтобы их программное обеспечение работало, но оно находится в изолированной среде.Нам просто нужен триггер, чтобы получить окончательные записи из их базы данных и вставить в нашу производственную базу данных.Это требует разрешений, которые мы не хотим давать им.Задача состояла в том, чтобы спросить, есть ли способ сохранить пароль в этой песочнице под этими носами.так сказать.

Answer 1

Никогда и никому не предоставляйте доступ к учетной записи SA.

Вместо этого дайте им именованную учетную запись пользователя, даже если она все еще имеет полные привилегии системного уровня.

Во-вторых, связанный сервер будет настроен с именованным пользователем, которому разрешено олицетворять именованного пользователя на другом конце. Если у них есть учетная запись с полными привилегиями на первом сервере, они смогут получить доступ к другому. Это так же просто, как изменить пароль учетной записи пользователя, которому предоставлен доступ к удаленному серверу.

Что приводит нас к другому пункту: никогда не предоставляйте внешнему субъекту полные права на что-либо, если они НЕ СОБСТВЕННЫ. Если по какой-то странной причине у вас нет другого выбора, вы должны найти альтернативный способ передачи данных с этого сервера на рабочий сервер.

Один из способов - установить пакеты служб SSIS, которые сбрасывают данные в каталог, который удаленный сервер будет отслеживать для получения. Конечно, это добавляет немного больше сложности, но в конце концов это будет означать, что ваши вещи все еще в безопасности.

Наконец, связанные серверы печально известны своей нестабильностью. Вам гораздо лучше найти другой способ передачи данных ... Например, использовать метод SSIS.

Answer 2

Вы можете настроить связанный сервер для использования именованного пользователя - ваш сторонний подрядчик по-прежнему сможет видеть «другой конец» ссылки, но только с правами, предоставленными этому именованному пользователю.