Sqlserver安全篇之_启用TLS即配置SQL Server 数据库引擎以加密连接

官方文档
https://learn.microsoft.com/zh-cn/sql/database-engine/configure-windows/configure-sql-server-encryption?view=sql-server-ver16
https://learn.microsoft.com/zh-cn/sql/database-engine/configure-windows/manage-certificates?view=sql-server-ver15&preserve-view=true

TLS加密连接与TDE(Transparent data encryption)透明数据加密完全不一样，虽然TDE也要证书，但是TDE是针对数据库层面的也就是针对数据和日志文件，比如影响整个数据库的备份恢复、快照、删除、脱机、分离、转换READ ONLY 状态等，主要是DBA这种管理人员使用的。

TDE加密数据库步骤
1、创建证书certSSRSTEST

create certificate certSSRSTEST with subject ='SSRSTEST database certificate data encription';

2、使用证书certSSRSTEST加密数据库SSRSTEST

use SSRSTEST;
go
create database encryption key with algorithm = AES_128 encryption by server certificate certSSRSTEST
go
alter database SSRSTEST set encryption on
go

Sqlserver启用TLS加密连接的步骤
1、SQL Server配置为使用证书
每个版本的Sqlserver启动的时候都会生成一份self-signed certificate自签名证书，也可以使用powershell脚本建立一个自签名证书，也可以导入一个证书。再配置Sqlserver使用这些证书

在SQL Server 2019及更高版本中，证书管理已集成到SQL Server配置管理器中。这句话的理解是，从SQL Server 2019开始因为Sql Server Configuration Manager有了Import选项(Sql Server Configuration Manager–>SQL Server Network Configuration–>Right-click Protocols for MSSQLSERVER–>Properties–>Certificate–>Import)，可以一次性导入证书并配置Sqlserver使用这些证书，而之前的版本没有这个Import选项，所以从SQL Server 2019开始我们不再需要像之前的sqlserver版本一样先通过certlm.msc或MMC把证书导入到操作系统再通过Sql Server Configuration Manager配置Sqlserver使用这些证书

SQL Server 2019之前的版本，需要2步，第一步导入证书，第二步配置Sqlserver使用这些证书

certlm.msc-->Certificates-Local Computer-->Personal-->Certificates-->All Tasks-->Import
Sql Server Configuration Manager-->SQL Server Network Configuration-->Right-click Protocols for MSSQLSERVER-->Properties-->Certificate-->Certificate：-->dropdown list-->choose Certificate-->Apply

SQL Server 2019版本开始，一次性导入证书并配置Sqlserver使用这些证书

Sql Server Configuration Manager-->SQL Server Network Configuration-->Right-click Protocols for MSSQLSERVER-->Properties-->Certificate-->Import

在这里插入图片描述
在这里插入图片描述

2、SQL Server配置强制加密

Sql Server Configuration Manager-->SQL Server Network Configuration-->Right-click Protocols for MSSQLSERVER-->Properties-->Flags-->Force Encryption-->Yes

Sqlserver配置了强制加密后，客户端或在实例本机上使用SSMS连接该实例如果不勾选Trust server certificat这个选项的话会有报错：A connection was successfully established with the server, but then an error occurred during the login process. (provider: SSL Provider, error: 0 - The certificate chain was issued by an authority that is not trusted.)

视图sys.dm_exec_connections的encrypt_option字段的值可以看到会话是否已经加密了

select session_id,encrypt_option,connect_time,client_net_address,local_net_address,net_transport,protocol_type,endpoint_id,auth_scheme from sys.dm_exec_connections

Sqlserver启用TLS加密后，证书信息并没有在sys.certificates表中找到

因为每个版本的Sqlserver启动的时候都会生成一份self-signed certificate自签名证书，Sqlserver服务器启动后在错误日志里面会记录一条信息A self-generated certificate was successfully loaded for encryption，这样的话就算该Sqlserver没有使用其他证书只要该Sqlserver配置了强制加密，客户端比如SSMS连接到该Sqlserver时如果选择了Encrypt connection和Trust server certificate，那么连接的会话就会被加密。

SQL Server uses a certificate from a trusted certification authority if available for encrypting login packets. If a trusted certificate isn’t installed, SQL Server generates a self-signed certificate (fallback certificate) during startup and use that self-signed certificate to encrypt the credentials. This self-signed certificate helps increase security, but it doesn’t protect against identity spoofing by the server. If the self-signed certificate is used, and the value of the ForceEncryption option is set to Yes, all data transmitted across a network between SQL Server and the client application is encrypted using the self-signed certificate.
SQL Server 使用来自受信任的证书颁发机构（如果可用）的证书来加密登录数据包。 如果未安装受信任的证书，SQL Server 将在启动期间生成自签名证书（回退证书），并使用该自签名证书来加密凭据。 此自签名证书有助于提高安全性，但它不会防范通过服务器进行的身份欺骗。 如果使用了自签名证书，并且“ForceEncryption”选项的值设置为“是”，将使用自签名证书对通过网络在 SQL Server 和客户端应用程序之间传输的所有数据进行加密。
–备注：以上那句话"但它不会防范通过服务器进行的身份欺骗"，不是说在实例的本机上使用SSMS可以直接连接该实例，因为如果实例启用强制加密连接后，就算在该实例的本机上使用SSMS连接该实例如果不勾选Trust server certificate这个选项的话一样会有报错：A connection was successfully established with the server, but then an error occurred during the login process. (provider: SSL Provider, error: 0 - The certificate chain was issued by an authority that is not trusted.)

创建self-signed certificate自签名证书的powershell脚本，以下脚本执行后，在certlm.msc或MMC或Sql Server Configuration Manager里面都能直接查看到，说明证书创建好了的话就代表导入到了操作系统中

# Define parameters
$certificateParams = @{
    Type = "SSLServerAuthentication"
    Subject = "CN=$env:COMPUTERNAME"
    DnsName = @("$($env:COMPUTERNAME)", $([System.Net.Dns]::GetHostEntry('').HostName), 'localhost')
    KeyAlgorithm = "RSA"
    KeyLength = 2048
    HashAlgorithm = "SHA256"
    TextExtension = "2.5.29.37={text}1.3.6.1.5.5.7.3.1"
    NotAfter = (Get-Date).AddMonths(36)
    KeySpec = "KeyExchange"
    Provider = "Microsoft RSA SChannel Cryptographic Provider"
    CertStoreLocation = "cert:\LocalMachine\My"
}

# Call the cmdlet
New-SelfSignedCertificate @certificateParams

查看证书
certlm.msc–>Certificates-Local Computer–>Personal–>Certificates
或
Sql Server Configuration Manager–>SQL Server Network Configuration–>Right-click Protocols for MSSQLSERVER–>Properties–>Certificate–>Certificate:–>dropdown list

导出证书
certlm.msc–>Certificates-Local Computer–>Personal–>Certificates–>Right-click Certificatename–>All Tasks–>Export

导入证书
Sql Server Configuration Manager–SQL Server Network Configuration–Right-click Protocols for MSSQLSERVER–Properties–Certificate–>Import
或
certlm.msc–>Certificates-Local Computer–>Personal–>Certificates–>All Tasks–>Import

certlm.msc等同于MMC–>File–>Add/Remove Snap-in–>Certificates–>Add–>Computer account–>Next–>Finish–>OK

Sqlserver导入self-signed certificate自签名证书报错
Sql Server Configuration Manager–>SQL Server Network Configuration–>Right-click Protocols for MSSQLSERVER–>Properties–>Certificate–>Import

Errors or Warnings for certificate:C:\Users\lukes\Desktop\privatekey.pfx
The selected certificate is a self signed certificate. Proceeding with this certificate isn't advised
Error:
	The selected certificate name does not match FQDN of this hostname. This property is required by SQL Server 
	Certificate name: DBTEST1 
	Computer name: DBTEST1.lukes.com

Sqlserver导入一个外部的域名的证书
Sql Server Configuration Manager–>SQL Server Network Configuration–>Right-click Protocols for MSSQLSERVER–>Properties–>Certificate–>Import，导入一个证书G:\Share\TLS\star.pan.com.pem的时候出现问题，本机的域名是daidbrestore1.dai.com，导入的的证书的dns是*.pan.com

Errors or Warnings for certificate:G:\Share\TLS\star.pan.com.pem
-----------------------
Error:
	The selected certificate name does not match FQDN of this hostname. This property is required by SQL Server 
	Certificate name: *.pan.com 
	Computer name: daidb1.dai.com 
Error:
	The selected certificate  does not have the KeySpec Exchange property. This property is required by SQL Server to import a certificate. 
Import error: 0x2, Windows Native Error: 0x80092004

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：/a/978799.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

Win10环境借助DockerDesktop部署单节点Redis6

Win10环境借助DockerDesktop部署单节点Redis6

Win10环境借助DockerDesktop部署单节点Redis6 前言 在后端和大数据开发中，Redis是非常常见的一个组件，常用作KV键值对存储及分布式锁或缓存加速。 之前笔者使用Win版Redis实现了本地部署： https://lizhiyong.blog.csdn.net/article/detai…
阅读更多...
【AIGC系列】3：Stable Diffusion模型原理介绍

【AIGC系列】3：Stable Diffusion模型原理介绍

目录 1 前言2 基础概念2.1 Latent space2.2 AutoEncoder2.3 VAE2.4 扩散模型2.5 多模态交叉注意力 3 Stable Diffusion原理4 整体框架4.1 文生图4.2 图生图4.3 修复 1 前言 Stable diffusion是一个基于 Latent Diffusion Models（潜在扩散模型，LDMs&…
阅读更多...
七、Three.jsPBR材质与纹理贴图

七、Three.jsPBR材质与纹理贴图

1、PBR材质金属度和粗糙度 1、金属度metalness 金属度属性.metalness表示材质像金属的程度, 非金属材料,如木材或石材,使用0.0,金属使用1.0。 threejs的PBR材质，.metalness默认是0.5,0.0到1.0之间的值可用于生锈的金属外观 new THREE.MeshStandardMaterial({met…
阅读更多...
解决npm run dev报错

解决npm run dev报错

解决：Node.js 版本更新后与 OpenSSL 不兼容导致的npm报错“Error: error:0308010C:digital envelope routines::unsupported” 方法一：更改系统环境变量方法二：更改项目环境变量方法三：更换 Node.js 版本方法四：升级依…
阅读更多...
MySQL零基础教程10—正则表达式搜索（下）

MySQL零基础教程10—正则表达式搜索（下）

前边已经初步认识了正则表达式，今天继续来看在mysql中使用正则表达式搜索的其他用法 mysql正则表达式的“或” 使用正则表达式可以帮助我们更加灵活地进行“或”条件的数据检索，直接上例子： 场景一：查询教师表中，院…
阅读更多...
Hadoop第一课（配置linux系统）

Hadoop第一课（配置linux系统）

1、让hadoop用户，有root权限，如果可以不输密码更好： (1)先登入root用户 (2)visudo命令进入配置文件 (3)找到 root ALL(ALL) ALL这一行，在该行下面增加:hadoop ALL(ALL) ALL （：set nu可以显示行号&#xff…
阅读更多...
量子计算的数学基础：复数、矩阵和线性代数

量子计算的数学基础：复数、矩阵和线性代数

量子计算是基于量子力学原理的一种新型计算模式，它与经典计算机在信息处理的方式上有着根本性的区别。在量子计算中，信息的最小单位是量子比特（qubit），而不是传统计算中的比特。量子比特的状态是通过量子力学中的数学工具来描述的，因此，理解量子计算的数学基础对于深入学…
阅读更多...
大湾区经济网报道：拉美电商交易额连续三年增速超35%

大湾区经济网报道：拉美电商交易额连续三年增速超35%

2025全球时尚产业发展论坛发布预测，2025年拉美服装市场规模将达1016.9亿美元 大湾区经济网广州2月27日电（王峰） 26日，由广东省网商协会、树籽全球主办，广州市商务局指导的“2025全球时尚产业发展论坛暨拉美时尚趋势发…
阅读更多...
java面试场景问题

java面试场景问题

还在补充，这几天工作忙，闲了会把答案附上去，也欢迎各位大佬评论区讨论 1.不用分布式锁如何防重复提交 方法 1：基于唯一请求 ID（幂等 Token） 思路：前端生成 一个唯一的 requestId（…
阅读更多...
游戏引擎学习第124天

游戏引擎学习第124天

仓库:https://gitee.com/mrxiao_com/2d_game_3 回顾/复习 今天是继续完善和调试多线程的任务队列。之前的几天，我们已经介绍了多线程的一些基础知识，包括如何创建工作队列以及如何在线程中处理任务。今天，重点是解决那些我们之前没有注意到…
阅读更多...
Elasticsearch：使用阿里云 AI 服务进行嵌入和重新排名

Elasticsearch：使用阿里云 AI 服务进行嵌入和重新排名

作者：来自 Elastic Toms Mura 将阿里云 AI 服务功能与 Elastic 结合使用。 更多阅读，请参阅 “Elasticsearch：使用阿里 infererence API 及 semantic text 进行向量搜索”。 在本文中，我们将介绍如何将阿里云 AI 功能与 Elastics…
阅读更多...
面试问题——如何解决移动端1px 边框问题？

面试问题——如何解决移动端1px 边框问题？

面试问题——如何解决移动端1px 边框问题？ 最近，不少小伙伴向我反映，他们在面试中频繁被问到关于1px边框的问题。这个看似老生常谈的话题，没想到在面试中的出现率依然这么高，着实让我有些意外。对于那些对这个问题感到…
阅读更多...
Redis的介绍、安装和配置

Redis的介绍、安装和配置

文章目录 一、redis官网二、redis是什么三、能干嘛 总体功能一图概述优势小总结 三、Redis的下载与安装 Redis的安装Redis迭代演化和Redis7新特性新特性部分说明Redis的安装 安装步骤总结 Redis的卸载 一、redis官网 https://redis.io/ 中文官网：http://www.red…
阅读更多...
首次使用WordPress建站的经验分享（一）

首次使用WordPress建站的经验分享（一）

之前用过几种内容管理系统（CMS），如：dedeCMS、phpCMS、aspCMS，主要是为了前端独立建站，达到预期的效果，还是需要一定的代码基础的，至少要有HTML、Css、Jquery基础。 据说WordPress 是全球最流行的内容管理系统CMS，从现在开始记录一下使用WordPress 独立建站的步骤 选购…
阅读更多...
spring结合mybatis多租户实现单库分表

spring结合mybatis多租户实现单库分表

实现单库分表 思路：student表数据量大，所以将其进行分表处理。一共有三个分表，分别是student0，student1，student2，在新增数据的时候，根据请求头中的meta-tenant参数决定数据存在哪张表表。 数…
阅读更多...
Spring Boot集成Spring Security之HTTP请求授权

Spring Boot集成Spring Security之HTTP请求授权

一、HTTP请求授权工作原理 ​ 基于Spring Security最新的Http请求授权讲解，不再使用旧版的请求授权 授权过滤器AuthorizationFilter获取认证信息 调用RequestMatcherDelegatingAuthorizationManager的check方法验证该用户是否具有该请求的授权 RequestMatcherDele…
阅读更多...
Docker搭建基于Rust语言的云原生可观测平台OpenObserve

Docker搭建基于Rust语言的云原生可观测平台OpenObserve

文章目录 前言1. 安装Docker2. 创建并启动OpenObserve容器3. 本地访问测试4. 公网访问本地部署的OpenObserve4.1 内网穿透工具安装4.2 创建公网地址 5. 配置固定公网地址 前言 嘿，朋友们，今天我们要聊聊一个能让你在云原生世界里大展身手的秘密武器——…
阅读更多...
批量给 Word 添加或设置页眉页脚/页码

批量给 Word 添加或设置页眉页脚/页码

在 Word 文档中我们可以设置各种各样的页眉页脚信息，比如设置页码信息、在页眉页脚中插入公司的 logo 信息、联系方式信息等等。当我们有大量的文档需要设置或者修改页眉页脚的时候，今天介绍的方法就可以帮我们快速的完成。 使用场景 批量给 Word 文档设…
阅读更多...
安卓 SpannableString的使用 给文字末尾几个小尾巴

安卓 SpannableString的使用 给文字末尾几个小尾巴

效果一： 效果二： 其实我们知道如果想实现效果一很简单，两个textview横向布局一下就可以了，但是如果想要是实现效果二怎么办呢。据我所知对于前端开发来说其实效果二也很简单，前端甚至可以轻松实现富文本，但…
阅读更多...
opencv：距离变换 cv2.distanceTransform

opencv：距离变换 cv2.distanceTransform

函数 cv2.distanceTransform() 用于计算图像中每一个非零点像素与其最近的零点像素之间的距离（Distance Transform， DT算法）,输出的是保存每一个非零点与最近零点的距离信息；图像上越亮的点，代表了离零点的距离越远。 …
阅读更多...
最新文章

Copyright @ 2022~2023