Sqlserver安全篇之_启用TLS即配置SQL Server 数据库引擎以加密连接

news2025/3/4 1:22:19

官方文档
https://learn.microsoft.com/zh-cn/sql/database-engine/configure-windows/configure-sql-server-encryption?view=sql-server-ver16
https://learn.microsoft.com/zh-cn/sql/database-engine/configure-windows/manage-certificates?view=sql-server-ver15&preserve-view=true

TLS加密连接与TDE(Transparent data encryption)透明数据加密完全不一样，虽然TDE也要证书，但是TDE是针对数据库层面的也就是针对数据和日志文件，比如影响整个数据库的备份恢复、快照、删除、脱机、分离、转换READ ONLY 状态等，主要是DBA这种管理人员使用的。

TDE加密数据库步骤
1、创建证书certSSRSTEST

create certificate certSSRSTEST with subject ='SSRSTEST database certificate data encription';

2、使用证书certSSRSTEST加密数据库SSRSTEST

use SSRSTEST;
go
create database encryption key with algorithm = AES_128 encryption by server certificate certSSRSTEST
go
alter database SSRSTEST set encryption on
go

Sqlserver启用TLS加密连接的步骤
1、SQL Server配置为使用证书
每个版本的Sqlserver启动的时候都会生成一份self-signed certificate自签名证书，也可以使用powershell脚本建立一个自签名证书，也可以导入一个证书。再配置Sqlserver使用这些证书

在SQL Server 2019及更高版本中，证书管理已集成到SQL Server配置管理器中。这句话的理解是，从SQL Server 2019开始因为Sql Server Configuration Manager有了Import选项(Sql Server Configuration Manager–>SQL Server Network Configuration–>Right-click Protocols for MSSQLSERVER–>Properties–>Certificate–>Import)，可以一次性导入证书并配置Sqlserver使用这些证书，而之前的版本没有这个Import选项，所以从SQL Server 2019开始我们不再需要像之前的sqlserver版本一样先通过certlm.msc或MMC把证书导入到操作系统再通过Sql Server Configuration Manager配置Sqlserver使用这些证书

SQL Server 2019之前的版本，需要2步，第一步导入证书，第二步配置Sqlserver使用这些证书

certlm.msc-->Certificates-Local Computer-->Personal-->Certificates-->All Tasks-->Import
Sql Server Configuration Manager-->SQL Server Network Configuration-->Right-click Protocols for MSSQLSERVER-->Properties-->Certificate-->Certificate：-->dropdown list-->choose Certificate-->Apply

SQL Server 2019版本开始，一次性导入证书并配置Sqlserver使用这些证书

Sql Server Configuration Manager-->SQL Server Network Configuration-->Right-click Protocols for MSSQLSERVER-->Properties-->Certificate-->Import

在这里插入图片描述
在这里插入图片描述

2、SQL Server配置强制加密

Sql Server Configuration Manager-->SQL Server Network Configuration-->Right-click Protocols for MSSQLSERVER-->Properties-->Flags-->Force Encryption-->Yes

Sqlserver配置了强制加密后，客户端或在实例本机上使用SSMS连接该实例如果不勾选Trust server certificat这个选项的话会有报错：A connection was successfully established with the server, but then an error occurred during the login process. (provider: SSL Provider, error: 0 - The certificate chain was issued by an authority that is not trusted.)

视图sys.dm_exec_connections的encrypt_option字段的值可以看到会话是否已经加密了

select session_id,encrypt_option,connect_time,client_net_address,local_net_address,net_transport,protocol_type,endpoint_id,auth_scheme from sys.dm_exec_connections

Sqlserver启用TLS加密后，证书信息并没有在sys.certificates表中找到

因为每个版本的Sqlserver启动的时候都会生成一份self-signed certificate自签名证书，Sqlserver服务器启动后在错误日志里面会记录一条信息A self-generated certificate was successfully loaded for encryption，这样的话就算该Sqlserver没有使用其他证书只要该Sqlserver配置了强制加密，客户端比如SSMS连接到该Sqlserver时如果选择了Encrypt connection和Trust server certificate，那么连接的会话就会被加密。

SQL Server uses a certificate from a trusted certification authority if available for encrypting login packets. If a trusted certificate isn’t installed, SQL Server generates a self-signed certificate (fallback certificate) during startup and use that self-signed certificate to encrypt the credentials. This self-signed certificate helps increase security, but it doesn’t protect against identity spoofing by the server. If the self-signed certificate is used, and the value of the ForceEncryption option is set to Yes, all data transmitted across a network between SQL Server and the client application is encrypted using the self-signed certificate.
SQL Server 使用来自受信任的证书颁发机构（如果可用）的证书来加密登录数据包。 如果未安装受信任的证书，SQL Server 将在启动期间生成自签名证书（回退证书），并使用该自签名证书来加密凭据。 此自签名证书有助于提高安全性，但它不会防范通过服务器进行的身份欺骗。 如果使用了自签名证书，并且“ForceEncryption”选项的值设置为“是”，将使用自签名证书对通过网络在 SQL Server 和客户端应用程序之间传输的所有数据进行加密。
–备注：以上那句话"但它不会防范通过服务器进行的身份欺骗"，不是说在实例的本机上使用SSMS可以直接连接该实例，因为如果实例启用强制加密连接后，就算在该实例的本机上使用SSMS连接该实例如果不勾选Trust server certificate这个选项的话一样会有报错：A connection was successfully established with the server, but then an error occurred during the login process. (provider: SSL Provider, error: 0 - The certificate chain was issued by an authority that is not trusted.)

创建self-signed certificate自签名证书的powershell脚本，以下脚本执行后，在certlm.msc或MMC或Sql Server Configuration Manager里面都能直接查看到，说明证书创建好了的话就代表导入到了操作系统中

# Define parameters
$certificateParams = @{
    Type = "SSLServerAuthentication"
    Subject = "CN=$env:COMPUTERNAME"
    DnsName = @("$($env:COMPUTERNAME)", $([System.Net.Dns]::GetHostEntry('').HostName), 'localhost')
    KeyAlgorithm = "RSA"
    KeyLength = 2048
    HashAlgorithm = "SHA256"
    TextExtension = "2.5.29.37={text}1.3.6.1.5.5.7.3.1"
    NotAfter = (Get-Date).AddMonths(36)
    KeySpec = "KeyExchange"
    Provider = "Microsoft RSA SChannel Cryptographic Provider"
    CertStoreLocation = "cert:\LocalMachine\My"
}

# Call the cmdlet
New-SelfSignedCertificate @certificateParams

查看证书
certlm.msc–>Certificates-Local Computer–>Personal–>Certificates
或
Sql Server Configuration Manager–>SQL Server Network Configuration–>Right-click Protocols for MSSQLSERVER–>Properties–>Certificate–>Certificate:–>dropdown list

导出证书
certlm.msc–>Certificates-Local Computer–>Personal–>Certificates–>Right-click Certificatename–>All Tasks–>Export

导入证书
Sql Server Configuration Manager–SQL Server Network Configuration–Right-click Protocols for MSSQLSERVER–Properties–Certificate–>Import
或
certlm.msc–>Certificates-Local Computer–>Personal–>Certificates–>All Tasks–>Import

certlm.msc等同于MMC–>File–>Add/Remove Snap-in–>Certificates–>Add–>Computer account–>Next–>Finish–>OK

Sqlserver导入self-signed certificate自签名证书报错
Sql Server Configuration Manager–>SQL Server Network Configuration–>Right-click Protocols for MSSQLSERVER–>Properties–>Certificate–>Import

Errors or Warnings for certificate:C:\Users\lukes\Desktop\privatekey.pfx
The selected certificate is a self signed certificate. Proceeding with this certificate isn't advised
Error:
	The selected certificate name does not match FQDN of this hostname. This property is required by SQL Server 
	Certificate name: DBTEST1 
	Computer name: DBTEST1.lukes.com

Sqlserver导入一个外部的域名的证书
Sql Server Configuration Manager–>SQL Server Network Configuration–>Right-click Protocols for MSSQLSERVER–>Properties–>Certificate–>Import，导入一个证书G:\Share\TLS\star.pan.com.pem的时候出现问题，本机的域名是daidbrestore1.dai.com，导入的的证书的dns是*.pan.com

Errors or Warnings for certificate:G:\Share\TLS\star.pan.com.pem
-----------------------
Error:
	The selected certificate name does not match FQDN of this hostname. This property is required by SQL Server 
	Certificate name: *.pan.com 
	Computer name: daidb1.dai.com 
Error:
	The selected certificate  does not have the KeySpec Exchange property. This property is required by SQL Server to import a certificate. 
Import error: 0x2, Windows Native Error: 0x80092004

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/2309256.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

创建一个MCP服务器，并在Cline中使用，增强自定义功能。

创建一个MCP服务器，并在Cline中使用，增强自定义功能。

MCP介绍 MCP 是一个开放协议，它标准化了应用程序如何向LLMs提供上下文。可以将 MCP 视为 AI 应用程序的 USB-C 端口。正如 USB-C 提供了一种标准化的方法来将您的设备连接到各种外围设备和配件一样，MCP 提供了一种标准化的方法来将 AI 模型连接到不同的…
阅读更多...
游戏引擎学习第131天

游戏引擎学习第131天

仓库:https://gitee.com/mrxiao_com/2d_game_3 运行游戏并识别我们的小问题 今天的工作重点是对游戏引擎进行架构优化，特别是针对渲染和多线程的部分。目前，我们的目标是让地面块在独立线程上进行渲染，以提高性能。在此过程中，我…
阅读更多...
人大金仓国产数据库与PostgreSQL

人大金仓国产数据库与PostgreSQL

一、简介 在前面项目中，我们使用若依前后端分离整合人大金仓，在后续开发过程中，我们经常因为各种”不适配“问题，但可以感觉得到大部分问题，将人大金仓视为postgreSQL就能去解决大部分问题。据了解，Kingba…
阅读更多...
MacBook Pro使用FFmpeg捕获摄像头与麦克风推流音视频

MacBook Pro使用FFmpeg捕获摄像头与麦克风推流音视频

FFmpeg查看macos系统音视频设备列表 ffmpeg -f avfoundation -list_devices true -i "" 使用摄像头及麦克风同时推送音频及视频流: ffmpeg -f avfoundation -pixel_format yuyv422 -framerate 30 -i "0:1" -c:v libx264 -preset ultrafast -b:v 1000k -…
阅读更多...
APISIX Dashboard上的配置操作

APISIX Dashboard上的配置操作

文章目录 登录配置路由配置消费者创建后端服务项目配置上游再创建一个路由测试 登录 http://192.168.10.101:9000/user/login?redirect%2Fdashboard 根据docker 容器里的指定端口： 配置路由 通过apisix 的API管理接口来创建（此路由，直接…
阅读更多...
计算机毕业设计SpringBoot+Vue.js人力资源管理系统(源码+文档+PPT+讲解)

计算机毕业设计SpringBoot+Vue.js人力资源管理系统(源码+文档+PPT+讲解)

温馨提示：文末有 CSDN 平台官方提供的学长联系方式的名片！ 温馨提示：文末有 CSDN 平台官方提供的学长联系方式的名片！ 温馨提示：文末有 CSDN 平台官方提供的学长联系方式的名片！ 作者简介：Java领…
阅读更多...
腾讯云扩容记录

腾讯云扩容记录

腾讯云扩容： sudo yum install -y cloud-utils-growpart 安装扩容工具 sudo file -s /dev/vda1 有数据 sudo LC_ALLen_US.UTF-8 growpart /dev/vda 1 sudo resize2fs /dev/vda1 df -Th 完毕 以下是对执行的命令的详细解释以及背后的原理： 1. 安装 cloud…
阅读更多...
Cherry Studio + 火山引擎 构建个人AI智能知识库

Cherry Studio + 火山引擎 构建个人AI智能知识库

🍉在信息化时代，个人知识库的构建对于提高工作效率、知识管理和信息提取尤为重要。尤其是当这些知识库能结合人工智能来智能化地整理、分类和管理数据时，效果更为显著。我最近尝试通过 Cherry Studio 和 火山引擎 来搭建个人智能知识库&#…
阅读更多...
完美解锁便捷版！

完美解锁便捷版！

视频文件的种类繁多，包括常见的格式如MP4、AVI、MOV、MKV等。随着视频技术的发展，新的编码格式如HEVC（H.265）和AV1也逐渐被广泛应用；视频文件通常会经过压缩，并且每种格式都有其独特的编码方式和特性&#…
阅读更多...
JAVA SE 包装类和泛型

JAVA SE 包装类和泛型

文章目录 📕1. 包装类✏️1.1 基本数据类型和对应的包装类✏️1.2 装箱和拆箱✏️1.3 自动装箱和自动拆箱 📕2. 泛型✏️2.1 泛型的语法✏️2.2 泛型类的使用✏️2.3 裸类型(Raw Type)✏️2.4 擦除机制✏️2.5 泛型的上界✏️2.6 泛型方法✏️2.7 通配符…
阅读更多...
人工智能AI在汽车设计领域的应用探索

人工智能AI在汽车设计领域的应用探索

我是穿拖鞋的汉子，魔都中坚持长期主义的汽车电子工程师。 老规矩，分享一段喜欢的文字，避免自己成为高知识低文化的工程师： 简单，单纯，喜欢独处，独来独往，不易合同频过着接地气的生活…
阅读更多...
Vue3国际化开发实战：i18n-Ally + vue-i18n@next高效配置教程，项目中文显示

Vue3国际化开发实战：i18n-Ally + vue-i18n@next高效配置教程，项目中文显示

本文详解 Vue3 国际化开发全流程：从安装 vue-i18nnext 到配置多语言文件（JSON/YAML），结合 i18n-Ally 插件实现高效翻译管理。重点涵盖： 工程配置：创建 i18n 实例、模块化语言文件结构（支持命名…
阅读更多...
深入理解Spring @Async：异步编程的利器与实战指南

深入理解Spring @Async：异步编程的利器与实战指南

一、为什么需要异步编程？ 在现代高并发系统中，同步阻塞式编程会带来两大核心问题： // 同步处理示例 public void processOrder(Order order) {// 1. 保存订单（耗时50ms）orderRepository.save(order); // 2. 发送短信…
阅读更多...
java后端开发day25--阶段项目（二）

java后端开发day25--阶段项目（二）

（以下内容全部来自上述课程） 1.美化界面 private void initImage() {//路径分两种：//1.绝对路径：从盘符开始写的路径 D:\\aaa\\bbb\\ccc.jpg//2.相对路径：从当前项目开始写的路径 aaa\\bbb\\ccc.jpg//添加图片的时…
阅读更多...
【 开发知识点 一 】 随机数生成器 /dev/urandom 和 /dev/random

【 开发知识点 一 】 随机数生成器 /dev/urandom 和 /dev/random

文章目录 一、随机数生成器 是什么 ？二、为什么 需要 随机数生成器 ？三、随机数生成器 基本原理四、随机数生成器 三个输出接口五、随机生成器 应用1、简单应用2、项目应用一、随机数生成器 是什么 ？ /dev/random 和 /dev/urandom 是 Linux 上的字符设备文件，它们是随机数…
阅读更多...
(动态规划 最长递增的子序列）leetcode 300

(动态规划 最长递增的子序列）leetcode 300

这道题我第一眼反应就是暴力，但是暴力的话就是n*n-1*n-2*...n-(n-1) 也就是O(n^n)dfs做绝对超时 贪心也不行，这里是子序列，要考虑在ni的范围内考虑多种路线取最优，所以用动态规划 如何用动态规划呢？ 答：…
阅读更多...
小皮网站搭建

小皮网站搭建

前提：小皮的安装下载 1、在www目录下创建一个新的文件夹，用来存放网站源码； 2、安装数据库管理工具phpMyadmin 3、新建数据表 添加字段 4、创建网站 5、前端的登录代码 注册 后端php 网页展示 登录成功跳转welcome.php
阅读更多...
【CSS—前端快速入门】CSS 常用样式

【CSS—前端快速入门】CSS 常用样式

CSS 常用 CSS 样式 1. 前端样式查询网站： MDN Web Docs (mozilla.org) w3school 2. border 2.1 借助 MDN 了解 border 我们借助 MDN 网站来学习 border 样式的使用： 2.2 border 常见属性 保存代码，打开页面： 对于标签不同样式的…
阅读更多...
（七）消息队列-Kafka 序列化avro（传递）

（七）消息队列-Kafka 序列化avro（传递）

（七）消息队列-Kafka 序列化avro（传递） 客从远方来，遗我双鲤鱼。呼儿烹鲤鱼，中有尺素书。 ——佚名《饮马长城窟行》 本文已同步CSDN、掘金平台、知乎等多个平台，图片依然保持最初发布的水印&…
阅读更多...
springboot使用redis

springboot使用redis

springboot使用redis redis-service.exe : 服务端,启动后不要关闭 redis-cli.exe : 客户端,访问redis中的数据 redisclient-win32.x86_64.2.0.jar : redis的图形界面客户端,执行方式是在这个文件的目录执行 java -jar redisclient-win32.x86_64.2.0.jar或者在这个jar包的目录…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023