Transportsicherheit in Verfügbarkeitsgruppen und Datenbankspiegelung

Gilt für:SQL Server

Die Transportsicherheit schließt die Authentifizierung und optional die Verschlüsselung der Nachrichten ein, die zwischen den Datenbanken ausgetauscht werden. Für die Datenbankspiegelung und Always On-Verfügbarkeitsgruppen werden Authentifizierung und Verschlüsselung am Datenbankspiegelungs-Endpunkt konfiguriert. Eine Einführung in Datenbankspiegelungsendpunkte finden Sie unter "Datenbankspiegelungsendpunkt (SQL Server)".

Authentifizierung

Unter Authentifizierung versteht man den Prozess, mit dem überprüft wird, ob es sich bei einem Benutzer wirklich um die Person handelt, die der Benutzer angeblich ist. Verbindungen zwischen Datenbank-Spiegelungsendpunkten erfordern die Authentifizierung. Verbindungsanforderungen von einem Partner oder ggf. einem Zeugen müssen authentifiziert werden.

Der von einer Serverinstanz für Datenbankspiegelung oder für Always On-Verfügbarkeitsgruppen verwendete Authentifizierungstyp ist eine Eigenschaft des Datenbankspiegelungs-Endpunkts. Für Datenbankspiegelungs-Endpunkte sind zwei Arten von Transportsicherheit verfügbar: Windows-Authentifizierung (die Security Support Provider Interface (SSPI)) oder zertifikatbasierte Authentifizierung.

Windows-Authentifizierung

Bei der Windows-Authentifizierung erfolgt die Anmeldung jeder Serverinstanz bei der anderen Seite mithilfe der Windows-Anmeldeinformationen des Windows-Benutzerkontos, unter dem der Prozess ausgeführt wird. Die Windows-Authentifizierung erfordert eventuell eine manuelle Konfiguration von Anmeldekonten, je nach den folgenden Bedingungen:

  • Wenn die SQL Server-Instanzen als Dienste unter dem gleichen Domänenkonto ausgeführt werden, ist keine zusätzliche Konfiguration erforderlich.

  • Wenn die Instanzen von SQL Server als Dienste unter verschiedenen Domänenkonten (in derselben oder vertrauenswürdigen Domänen) ausgeführt werden, muss die Anmeldung jedes Kontos auf jedem der anderen Serverinstanzen erstellt master werden, und diese Anmeldung muss Berechtigungen für den Endpunkt erteilt CONNECT werden.

  • Wenn die Instanzen von SQL Server als Netzwerkdienstkonto ausgeführt werden, muss die Anmeldung jedes Hostcomputerkontos (<domain-name>\<computer-name>$) auf jedem der anderen Server erstellt master werden, und diese Anmeldung muss Berechtigungen für den Endpunkt erteilt CONNECT werden. Das liegt daran, dass eine Serverinstanz, die unter dem Netzwerkdienstkonto ausgeführt wird, mit dem Domänenkonto des Hostcomputers authentifiziert wird.

Hinweis

Ein Beispiel für das Einrichten einer Datenbankspiegelungssitzung mit Windows Authentication finden Sie unter Beispiel: Konfigurieren der Datenbankspiegelung mithilfe von Windows-Authentifizierung.

Zertifikate

In manchen Situationen, z. B. wenn serverinstanzen sich nicht in vertrauenswürdigen Domänen befinden oder SQL Server als lokaler Dienst ausgeführt wird, ist Windows Authentifizierung nicht verfügbar. In solchen Fällen werden zum Authentifizieren der Verbindungsanforderungen anstelle der Benutzeranmeldeinformationen Zertifikate benötigt. Der Spiegelungsendpunkt jeder Serverinstanz muss mit ihrem eigenen lokal erstellten Zertifikat konfiguriert werden.

Die Verschlüsselungsmethode wird beim Erstellen des Zertifikats festgelegt. Weitere Informationen finden Sie unter Datenbankspiegelung – Verwenden von Zertifikaten für ausgehende Verbindungen. Gehen Sie bei der Verwaltung der von Ihnen verwendeten Zertifikate mit großer Vorsicht vor.

Eine Serverinstanz verwendet den privaten Schlüssel ihres eigenen Zertifikats, um bei einem Verbindungsaufbau ihre Identität einzurichten. Die Serverinstanz, die die Verbindungsanforderung empfängt, verwendet den öffentlichen Schlüssel des Absenderzertifikats, um die Identität des Absenders zu authentifizieren. Betrachten Sie beispielsweise zwei Serverinstanzen Server_A und Server_B. Server_A verwendet seinen privaten Schlüssel, um den Verbindungsheader zu verschlüsseln, bevor eine Verbindungsanforderung an Server_B. Server_B verwendet den öffentlichen Schlüssel des Server_AZertifikats, um den Verbindungsheader zu entschlüsseln. Wenn der entschlüsselte Header korrekt ist, weiß, Server_B dass der Header verschlüsselt Server_Awurde und die Verbindung authentifiziert wird. Wenn der entschlüsselte Header falsch ist, weiß, Server_B dass die Verbindungsanforderung inauthentisch ist und die Verbindung verweigert.

Datenverschlüsselung

Standardmäßig setzt ein Datenbank-Spiegelungsendpunkt die Verschlüsselung der über Spiegelungsverbindungen gesendeten Daten voraus. In diesem Fall kann der Endpunkt nur Verbindungen mit Endpunkten herstellen, die ebenfalls mit Verschlüsselung arbeiten. Sofern Sie nicht garantieren können, dass Ihr Netzwerk sicher ist, wird empfohlen, das Verschlüsseln bei Verbindungen zur Datenbankspiegelung vorauszusetzen. Allerdings können Sie die Verschlüsselung auch deaktivieren oder festlegen, dass die Verschlüsselung zwar unterstützt wird, jedoch nicht erforderlich ist. Wenn die Verschlüsselung deaktiviert ist, werden Daten nie verschlüsselt, und der Endpunkt kann keine Verbindung mit einem Endpunkt herstellen, der eine Verschlüsselung erfordert. Wenn die Verschlüsselung unterstützt wird, werden die Daten nur dann verschlüsselt, wenn der gegenüberliegende Endpunkt die Verschlüsselung unterstützt oder erfordert.

Hinweis

Alle durch das SQL Server Management Studio erstellten Spiegelungsendpunkte werden entweder mit erforderlicher oder deaktivierter Verschlüsselung erstellt. Verwenden Sie zum Ändern der Verschlüsselungseinstellung SUPPORTEDdie ALTER ENDPOINT Transact-SQL-Anweisung. Weitere Informationen finden Sie unter ALTER ENDPOINT.

Optional können Sie die Verschlüsselungsalgorithmen steuern, die von einem Endpunkt verwendet werden können, indem Sie einen der folgenden Werte für die ALGORITHM Option in einer CREATE ENDPOINT Anweisung oder ALTER ENDPOINT Anweisung angeben:

ALGORITHM Wert BESCHREIBUNG
RC4 (Standard) Gibt an, dass der Endpunkt den RC4-Algorithmus verwenden muss.

Warnung: Der RC4-Algorithmus ist veraltet. Diese Funktion wird in einer zukünftigen Version von SQL Serverentfernt. Nutzen Sie diese Funktionen bei Neuentwicklungen nicht mehr, und planen Sie die Änderung von Anwendungen, die diese Funktion zurzeit verwenden. Stattdessen wird die Verwendung von AES empfohlen.
AES (empfohlen) Gibt an, dass der Endpunkt den AES-Algorithmus verwenden muss.
AES RC4 Gibt an, dass die beiden Endpunkte für einen Verschlüsselungsalgorithmus mit diesem Endpunkt verhandeln, der den AES-Algorithmus bevorzugt.
RC4 AES Gibt an, dass die beiden Endpunkte für einen Verschlüsselungsalgorithmus mit diesem Endpunkt verhandeln, der den RC4-Algorithmus bevorzugt.

Wenn das Verbinden der Endpunkte beide Algorithmen angibt, jedoch in unterschiedlicher Reihenfolge, wird die Einstellung des Endpunkts verwendet, der die Verbindung annimmt.

Caution

Obwohl deutlich schneller als AES, ist RC4 ein relativ schwacher Algorithmus, während AES ein relativ starker Algorithmus ist. Daher sollten Sie den AES-Algorithmus verwenden.

Der RC4-Algorithmus wird nur aus Gründen der Abwärtskompatibilität unterstützt. Daten können nur mit RC4 oder RC4_128 verschlüsselt werden, wenn sich die Datenbank in kompatibilitätsstufe 90 oder 100 befindet (nicht empfohlen). Verwenden Sie stattdessen einen neueren Algorithmus, z. B. einen der AES-Algorithmen. In SQL Server 2012 (11.x) und höheren Versionen können Daten, die mit RC4 oder RC4_128 verschlüsselt werden, in jeder Kompatibilitätsstufe entschlüsselt werden.

Informationen zur Transact-SQL Syntax zum Angeben der Verschlüsselung finden Sie unter CREATE ENDPOINT.

Konfigurieren der Transportsicherheit für Datenbankspiegelungsendpunkte

Verwandte Inhalte

  • Last updated on