Datenintegration · Datendienst und ODBC-Treiber
Datenintegration für bewährte Anwendungen: SQL-Server-Daten hinter einem Datendienst
Der Weg zu Ihren Daten – ohne Datenbankkennwort am Arbeitsplatz. Und ohne die Anwendung neu zu schreiben.
Zwei Produkte: der Database Gateway stellt SQL-Server-Daten kontrolliert bereit, der OData-ODBC-Treiber macht sie für Access und andere ODBC-Anwendungen nutzbar. Excel, Power BI und eigene Programme erreichen den Datendienst ohne Treiber.
- Access mit OData-ODBC-Treiber
- Database Gateway
- SQL Server
Anmeldung, Rechte und Protokoll prüft der Datendienst. Die Datenbank erreicht nur er.
Ausgangslage
Direkt auf SQL Server: bequem im Büro, schwierig überall sonst
Access und Excel direkt mit SQL Server zu verbinden, setzt voraus, dass jeder Arbeitsplatz den Datenbankserver erreicht und jede Person oder Anwendung eine Anmeldung in SQL Server hat. Daraus folgen drei Probleme:
- Von außen nur über VPN oder einen offenen Datenbankport.
- Das Kennwort steht in der Datei. Ist beim Verknüpfen „Kennwort speichern“ gewählt, legt Access das Kennwort laut Microsoft unverschlüsselt ab – lesbar für jeden, der eine Kopie der Anwendung hat.
- Rechte und Protokoll entstehen an vielen Stellen; eine zentrale Sperre, einen zweiten Faktor oder Regeln danach, woher jemand zugreift, gibt es so nicht.
Welches Produkt?
Welches Problem möchten Sie lösen?
- SQL-Server-Daten kontrolliert bereitstellenÜber OData oder HTTP, mit Anmeldung, Rechten je Objekt und Protokoll – ohne dass Anwender und Programme einen Zugang zur Datenbank erhalten. Der Database Gateway.
- Eine bestehende Access-Anwendung umstellenTabellen eines Datendienstes verknüpfen und im Datenblatt bearbeiten; Formulare und Berichte bleiben. Der OData-ODBC-Treiber.
- Daten in Excel oder Power BI auswertenKein eigenes Produkt: der OData-Feed des Datendienstes, geladen über Power Query.
- Aus einem eigenen Programm zugreifenLesen und Prozeduren aufrufen über den HTTP-Vertrag des Datendienstes, wahlweise mit dem .NET-Client.
- Private Geräte und Dienstleister zulassenFür jede Situation eine Regel, durchgesetzt bei jeder Anfrage und hinterher nachweisbar.
- Brauche ich den Treiber?Nur für Access und andere Programme, die über ODBC arbeiten. Excel und Power BI kommen ohne ihn aus.
Wann Sie keines von beiden brauchen: Arbeiten alle im Firmennetz und sollen die Arbeitsplätze die Datenbank weiter direkt erreichen, deckt der direkte Zugang zu SQL Server die Arbeit im Büro vollständig ab.
Zusammenspiel
Aufeinander abgestimmt – und jedes auch allein einsetzbar
Der Datendienst arbeitet ohne Treiber: Excel und Power BI lesen seinen OData-Feed, Programme sprechen ihn über HTTP an. Der Treiber arbeitet auch mit einem anderen OData-v4-Dienst. Zusammen sieht der Weg so aus:
Arbeitsplatz
- Access mit OData-ODBC-Treiber
- Excel oder Power BI
- .NET-Programm
- Verwaltungsanwendung
keine Verbindungszeichenfolge mit Datenbankkennwort
OData v4 über HTTPS · OData-Feed · HTTP
Database Gateway
- Anmeldung
- Rechte je Objekt
- SQL erzeugt oder geprüft
- Protokoll
Anmeldung und Rechte prüft allein der Dienst.
Nur hier wird eine Verbindung zur Datenbank geöffnet
SQL Server
- über einen Namen angesprochen, etwa fachdaten
SQL läuft unter der Anmeldung des Alias, der Person oder einer Sammelanmeldung – festgelegt je Alias.
Was der Treiber zusagt – je nach Dienst
Am Database Gateway nutzt der Treiber dessen Erweiterungen. An einem anderen OData-v4-Dienst hängt jede Zusage davon ab, was der Dienst einhält.
| Zusage des Treibers | anderer OData-v4-Dienst | Database Gateway |
|---|---|---|
| Lesen, Filtern, Sortieren und Zählen auf dem Dienst | ja | ja, gemessen |
| Schreiben mit Erkennung von Schreibkonflikten | mit Core.OptimisticConcurrency | ja, gemessen |
| Wiederholung einer Änderung ohne doppelten Satz | nur, wenn der Dienst Idempotency-Key einhält – vor dem Einsatz beim Anbieter klären | ja, gemessen |
| Transaktionen | nur mit Store.Transactions | ja, gemessen |
| Summen und Gruppen ohne Durchreiche | nur mit Aggregation.ApplySupported | ja, gemessen |
| Anweisungen, die sich nicht übersetzen lassen | nur mit einer Durchreicheadresse | ja, für berechtigte Aufrufer |
| zweiter Faktor, Wahl der Datenbank-Identität | nur mit den beschriebenen Erweiterungen | ja, gemessen |
Die vollständige Tabelle und was ein Dienst dafür einhalten muss
Was der Einsatz mit sich bringt
Ein Datendienst zwischen Anwendung und Datenbank ist eine Entscheidung mit Folgen für Betrieb und Anwendungen. Hier stehen sie, bevor Sie anfangen.
| Gesichtspunkt | Database Gateway | OData-ODBC-Treiber |
|---|---|---|
| läuft | als Windows-Dienst auf einem Server, auch hinter IIS; eine Instanz je Verwaltungsspeicher | an jedem Arbeitsplatz, in der Bitbreite von Office; das Paket installiert 32 und 64 Bit |
| Betrieb | Verwaltungsspeicher mit getrennt aufbewahrtem Hauptschlüssel; Sicherung, Schlüsselwechsel und Notfallzugang gehören dazu | ein Zertifikat des Dienstes, dem die Arbeitsplätze vertrauen; eine Aktualisierung bei jeder neuen Fassung |
| Folgen für Anwendungen | Programme sprechen HTTP oder OData, nicht mehr SQL Server; fällt der Dienst aus, erreicht kein Arbeitsplatz die Daten | Verbindungszeichenfolgen bestehender Access-Anwendungen ändern sich; jede Anfrage kostet einen festen Aufschlag für HTTP; Schleifen, die Zeile für Zeile abrufen, werden langsamer als über eine direkte Verbindung |
| Voraussetzungen | Voraussetzungen des Datendienstes | Voraussetzungen des Treibers, bekannte Lücken unter Grenzen |
Was jede Fassung ändert, steht in den Änderungen: Datendienst · Treiber
Was Ihre IT-Sicherheit wissen will
Wer Datendienst und Treiber freigeben muss, fragt drei Dinge: was die Produkte leisten, was beim Betrieb bleibt und was sie nicht übernehmen.
- Datendienst und Treiber leisten: Die Arbeitsplätze brauchen weder ein Datenbankkennwort noch eine Verbindung zur Datenbank. Anmeldung und Rechte je Objekt prüft allein der Dienst. SQL entsteht erst dort, aus Namen, die er im Katalog nachgeschlagen hat, und gebundenen Werten; eigenen Text eines Aufrufers zerlegt und prüft er oder führt ihn nur auf einem eigens freigeschalteten Weg ungeprüft aus. Ob ein privates Gerät, ein Dienstleister oder ein Zugriff aus dem Ausland zugelassen wird, entscheiden Sie, je Anmeldeverfahren, Herkunft und Land; der Dienst setzt es bei jeder Anfrage durch, und eine Sperre wirkt ab der nächsten. Jede Anfrage wird protokolliert, auch eine abgewiesene. Der Treiber gibt Anmeldedaten nur über HTTPS oder an den eigenen Rechner weiter, und ein Zertifikat, dem Windows nicht vertraut, beendet die Verbindung.
- Beim Betrieb bleibt: unter welcher Anmeldung SQL Server ausführt, je Alias: der des Alias, der angemeldeten Person oder einer Sammelanmeldung. Deren Datenbankrechte begrenzen, was erreichbar ist. Dazu kommen der getrennt aufbewahrte Hauptschlüssel mit Sicherung, Schlüsselwechsel und Notfallzugang, das Zertifikat, dem die Arbeitsplätze vertrauen, und Aufbewahrung und Auswertung der Protokolle.
- Nicht übernommen wird: Der Treiber ist kein Sicherheitsfilter; eine Anwendung, die den Dienst unmittelbar über HTTP anspricht, hat dieselben Rechte. Die Protokolle haben keinen eingebauten Schutz gegen nachträgliche Änderung. Den Zustand eines Geräts kennt der Dienst nicht, und was ein Gerät einmal erhalten hat, liegt dort; Speichern, Kopieren und Drucken steuern Geräteverwaltung und Anwendung. An einem anderen OData-Dienst gilt dessen Sicherheit.
Die Einzelheiten: Sicherheitsmodell des Datendienstes · Sicherheitsmodell des Treibers · Zero Trust und private Geräte
In die Dokumentation einsteigen
| Sie möchten … | Database Gateway | OData-ODBC-Treiber |
|---|---|---|
| zum ersten Ergebnis | Vom leeren Server zur ersten Abfrage | Eine Tabelle in Access verknüpfen |
| verstehen, wie es arbeitet | Konzepte | Konzepte |
| die Sicherheit beurteilen | Sicherheitsmodell | Sicherheitsmodell |
| den Einsatz bewerten | Ausgangslage, Anwendungsfälle und Alternativen | Anforderungen an den Dienst |
| nachschlagen | Referenz | Referenz |
| einen Fehler beheben | Fehlerbehebung | Fehlerbehebung |
Nicht jede bewährte Anwendung braucht eine Neuerfindung. Manchmal braucht sie nur einen vernünftigen Weg zu ihren Daten. Funktionen, Voraussetzungen und Grenzen beider Produkte stehen im Shop.
Zu den Produkten