SQL Server 安全性：阻止授权的 Active Directory 用户读取数据答案

【问题标题】：SQL Server Security: prevent authorized Active Directory users from reading dataSQL Server 安全性：阻止授权的 Active Directory 用户读取数据
【发布时间】：2013-06-03 18:59:58
【问题描述】：

我有一个使用集成 AD 身份验证的 Web Intranet 应用程序。此应用程序连接到通过用户令牌访问的 SQL 数据库。问题是任何有权访问应用程序的用户也可以绕过应用程序直接查询服务器。我能想到保护此服务器的唯一方法是使用会阻止除应用程序以外的所有主机的防火墙。任何人都可以推荐一种只让应用程序连接/验证到数据库而不使用 FW 的技术吗？

【问题讨论】：

标签： sql sql-server security windows-authentication

【解决方案1】：

如果这是您的环境的一个选项，并且如果应用程序和 sql server 在同一台机器上，您可以尝试禁用到 sql server 的所有外部连接。这样，只有应用能够连接，而外部用户则不能。

【讨论】：

【解决方案2】：

请参阅此 StackOverflow 帖子中的第一个答案。正如作者所说，没有任何完整的解决方案，你总会有妥协。

在我看来，用户模拟是要走的路。

【讨论】：

看起来前面提到的 FW 是迄今为止最好的选择。因为我不想更改 Auth 架构，也不想调整 SQL 资源的权限。这可能是最佳实践，因为您希望在最远（从 SQL 服务器）入口点限制访问。就我而言，它是操作系统，因为这个盒子在同一个子网上。如果它位于单独的 sub/vlan 或网络 FW 后面，那么最远程的设备将用于限制访问，同样如此。
是的，这样做应该没问题。尤其是现在该应用程序已经设计和实施。