Sicherheitsmodell und Vertrauensgrenzen des Datendienstes

graph TD
    C["Client (Access über den Treiber, Excel, Programm)"] -->|"HTTPS: Anmeldung, Anfrage"| P["vorgeschalteter Proxy (optional, IIS oder anderer)"]
    P -->|"nur aus TrustedProxies: X-Forwarded-For, -Proto"| G["Datendienst: Anmeldung, Richtlinie, Regeln je Objekt und Methode"]
    C -->|"HTTPS direkt"| G
    G -->|"liest; Änderungen nur über die Verwaltung"| S[("Verwaltungsspeicher (Datei, versiegelte Geheimnisse)")]
    K["Hauptschlüssel (Umgebung oder Datei, getrennt)"] -->|"entsiegelt"| G
    G -->|"SQL unter der Anmeldung des Alias, der Person oder einer Sammelanmeldung"| D[("SQL Server")]

Abbildung: Vertrauensgrenzen liegen zwischen Client und Dienst (Netz), zwischen Proxy und Dienst (wessen Herkunftsangabe zählt), zwischen Dienst und Verwaltungsspeicher (Datei und Schlüssel getrennt) und zwischen Dienst und Datenbank (unter welcher Anmeldung SQL ausgeführt wird).

Der Datendienst ist für die Anwendungen der einzige Weg zur Datenbank. Er entscheidet, wer anfragt, was dieser Aufrufer erreicht und unter welcher Anmeldung SQL Server die Anweisung ausführt. Diese Seite fasst zusammen, welche Schutzgüter es gibt, welche Maßnahme sie an welcher Grenze schützt, was der Betreiber beitragen muss und welche Risiken bleiben. Die Einzelheiten stehen auf den verlinkten Seiten; hier steht der Zusammenhang.

• Zwei Fragen, getrennt beantwortet: wer anfragt (Anmeldung) und als wen die Anweisung läuft (Weitergabe je Alias), siehe Anmeldung und Weitergabe der Identität.
• Was ein Aufrufer nicht lesen darf, gibt es für ihn nicht: Regeln je Alias, Objekt und Methode; verborgene Objekte antworten wie unbekannte, siehe Rechte.
• SQL entsteht aus Namen, die der Dienst im Katalog nachgeschlagen hat, und gebundenen Werten, nie aus Text des Aufrufers – mit zwei ausdrücklichen Ausnahmen (unten).
• Geheimnisse im Verwaltungsspeicher versiegelt oder nur als Hash, der Hauptschlüssel getrennt davon, siehe Verwaltungsspeicher und Hauptschlüssel.

1. Eigene Anweisungen mit dem Recht sql. Der Dienst führt den Text unverändert aus und beurteilt ihn nicht. Die Grenze ist allein die Anmeldung, unter der er läuft – unter Service die des Alias. Ein Aufrufer mit sql erreicht damit alles, was diese Anmeldung erreicht, auch Objekte außerhalb seiner Regeln. Das Recht ist für vertraute Programme gedacht.
2. Geprüfte Anweisungen ohne sql. Der Dienst zerlegt den Text, lässt nur eine abschließende Liste von Formen zu, prüft jedes Objekt gegen Katalog und Regeln je Methode und führt eine neu erzeugte Fassung aus, siehe Aliasse, Katalog und die zentrale Regel. Die Sicherheit hängt hier an der Vollständigkeit dieser Prüfung; begrenzt bleibt sie zusätzlich durch die Berechtigungen der Anmeldung.
3. Ungeprüfte Anweisungen unter eigener Anmeldung, ohne sql. Läuft die Anfrage unter einer Anmeldung, die nicht die des Alias ist – SQL-Anmeldung per HTTP Basic, Identitätswechsel der Person (Persons: Impersonate) oder eine Datenbank-Identität der Art Login oder Own –, führt der Dienst den Text unverändert aus, sobald der Alias eigene Anweisungen annimmt (AllowPassThrough) und eine nicht nur lesende Regel des Aufrufers den Alias nennt. Die Grenze sind die Berechtigungen dieser Anmeldung in SQL Server, nicht die Objektlisten der Regel; siehe Die eine Ausnahme.

Diese Seite beschreibt die Schutzmaßnahmen des Dienstes. Eine Sicherheitsbewertung des Gesamtsystems, in dem er betrieben wird, ersetzt sie nicht.

• Anmeldung und Weitergabe der Identität
• Rechte: Regeln und Reichweite
• Verwaltungsspeicher und Hauptschlüssel
• HTTP: Anmeldung (Referenz)
• Normen und Spezifikationen des Datendienstes (Referenz)