Fout 'De certificaatketen is uitgegeven door een instantie die niet wordt vertrouwd' na het upgraden van SNAC-toepassingen

Nadat u een upgrade hebt uitgevoerd van SQL Server Native Client 11.0 (Provider=SQLNCLI11) naar Microsoft OLE DB Driver 19 voor SQL Server, kunnen verbindingspogingen mislukken met het volgende foutbericht:

[Microsoft OLE DB-stuurprogramma 19 voor SQL Server]: Client kan geen verbinding tot stand brengen

[Microsoft OLE DB-stuurprogramma 19 voor SQL Server]: SSL-provider: de certificaatketen is uitgegeven door een instantie die niet wordt vertrouwd.

Oorzaak van vertrouwensfout in certificaatketen bij het upgraden naar Microsoft OLE DB-stuurprogramma 19

Deze fout geeft aan dat de clientcomputer de echtheid van het SQL Server-certificaat niet kan verifiëren omdat het is uitgegeven door een certificeringsinstantie (CA) die de client niet vertrouwt.

Deze fouten treden op als aan beide van de volgende voorwaarden wordt voldaan:

• De instelling Versleuteling afdwingen voor het SQL Server-exemplaar is ingesteld op Nee.

• De clientverbindingsreeks geeft niet expliciet een waarde op voor de versleutelingseigenschap of de optie Versleuteling is niet expliciet ingesteld of bijgewerkt in de DSN.

De fout treedt op vanwege een wijziging in het standaardgedrag van de clientstuurprogramma's. Bij oudere versies van clientstuurprogramma's wordt ervan uitgegaan dat gegevensversleuteling standaard is uitgeschakeld . Bij de nieuwe stuurprogramma's wordt ervan uitgegaan dat deze instelling standaard is ingeschakeld . Omdat gegevensversleuteling is ingeschakeld, probeert het stuurprogramma het certificaat van de server te valideren en mislukt het.

Oplossingen voor vertrouwensfout in certificaatketen bij het upgraden naar Microsoft OLE DB-stuurprogramma 19

Een certificaat installeren dat de client vertrouwt (aanbevolen)

Richt een TLS-certificaat in op het SQL Server exemplaar van een certificeringsinstantie die de client vertrouwt. Zorg ervoor dat de server eventuele vereiste tussencertificaten levert, zodat de client de keten kan bouwen aan een vertrouwde basis-CA. Met deze methode wordt de fout opgelost terwijl versleuteling en certificaatvalidatie is ingeschakeld. Zie SQL Server Database Engine configureren voor het versleutelen van verbindingenvoor meer informatie.

Vertrouw het servercertificaat zonder validatie

Als u niet meteen een verifieerbaar certificaat kunt installeren, geef het stuurprogramma dan op de certificaatvalidatie over te slaan. Het trefwoord dat u gebruikt, is afhankelijk van de wijze waarop uw toepassing de verbindingsreeks bouwt:

• Voeg in een providertekenreeks toe TrustServerCertificate=yes.
• Voeg in een ADO- of initialisatietekenreeks toe Trust Server Certificate=true.

Met deze instelling wordt versleuteling niet zelf ingeschakeld. Het geeft aan dat het stuurprogramma certificaatvalidatie overslaat wanneer de verbinding is versleuteld, waardoor de verbinding kwetsbaar blijft voor kwaadwillende aanvallen in het midden. Gebruik deze alleen als tijdelijke meting. In Strict de versleutelingsmodus negeert het stuurprogramma deze instelling en valideert het certificaat altijd.

Het versleutelingswoord instellen op Optioneel

Wijzig de versleutelingsinstelling zodat het stuurprogramma geen gevalideerd certificaat nodig heeft. Het trefwoord dat u gebruikt, is afhankelijk van de wijze waarop uw toepassing de verbindingsreeks bouwt:

• Stel Encrypt=Optionalin een providertekenreeks in.
• Stel Use Encryption for Data=Optionalin een ADO- of initialisatietekenreeks in.

De standaardwaarde in OLE DB-stuurprogramma 19 is Mandatory. Als de verbindingsreeks al opgeeft Mandatory, yesof true, wijzigt u de waarde in Optional. Als de verbindingsreeks geen waarde opgeeft, voegt u het trefwoord toe. Deze wijziging herstelt het versleutelingsgedrag van versie 18 en vermindert de beveiliging van de verbinding.

Zie Versleuteling en certificaatvalidatie in OLE DB voor meer informatie.

OLE DB-stuurprogramma 18.x gebruiken als tijdelijke meting

Microsoft OLE DB Driver for SQL Server 18.x schakelt versleuteling niet standaard in, dus dit wordt niet beïnvloed door deze wijziging. Behandel deze optie als tijdelijk en plan uw overstap naar OLE DB-stuurprogramma 19. U kunt het stuurprogramma downloaden uit releaseopmerkingen voor het Microsoft OLE DB-stuurprogramma voor SQL Server.

Nadat u een upgrade hebt uitgevoerd van SQL Server Native Client 11.0 (Driver={SQL Server Native Client 11.0}) naar Microsoft ODBC Driver 18 voor SQL Server (Driver={ODBC Driver 18 for SQL Server}), kunnen verbindingspogingen mislukken met het volgende foutbericht:

[Microsoft][ODBC-stuurprogramma 18 voor SQL Server]SSL-provider: de certificaatketen is uitgegeven door een instantie die niet wordt vertrouwd.

[Microsoft][ODBC-stuurprogramma 18 voor SQL Server]Client kan geen verbinding tot stand brengen

Oorzaak van vertrouwensfout in certificaatketen bij het upgraden naar Microsoft ODBC-stuurprogramma 18

Deze fout geeft aan dat de clientcomputer de echtheid van het SQL Server-certificaat niet kan verifiëren omdat het is uitgegeven door een certificeringsinstantie (CA) die de client niet vertrouwt.

Deze fouten treden op als aan beide van de volgende voorwaarden wordt voldaan:

• De instelling Versleuteling afdwingen voor het SQL Server-exemplaar is ingesteld op Nee.

• De clientverbindingsreeks geeft niet expliciet een waarde op voor de versleutelingseigenschap of de optie Versleuteling is niet expliciet ingesteld of bijgewerkt in de DSN.

De fout treedt op vanwege een wijziging in het standaardgedrag van de clientstuurprogramma's. Bij oudere versies van clientstuurprogramma's wordt ervan uitgegaan dat gegevensversleuteling standaard is uitgeschakeld . Bij de nieuwe stuurprogramma's wordt ervan uitgegaan dat deze instelling standaard is ingeschakeld . Omdat gegevensversleuteling is ingeschakeld, probeert het stuurprogramma het certificaat van de server te valideren en mislukt het.

Oplossingen voor vertrouwensfouten in certificaatketens bij het upgraden naar Microsoft ODBC-stuurprogramma 18

Een certificaat installeren dat de ODBC-client vertrouwt (aanbevolen)

Richt een TLS-certificaat in op het SQL Server exemplaar van een certificeringsinstantie die de client vertrouwt. Zorg ervoor dat de server eventuele vereiste tussencertificaten levert, zodat de client de keten kan bouwen aan een vertrouwde basis-CA. Met deze methode wordt de fout opgelost terwijl versleuteling en certificaatvalidatie is ingeschakeld. Zie SQL Server Database Engine configureren voor het versleutelen van verbindingenvoor meer informatie.

Het servercertificaat vertrouwen zonder validatie in ODBC

Als u een verifieerbaar certificaat niet meteen kunt inrichten, kunt u validatie op een van de volgende manieren omzeilen:

• Voeg TrustServerCertificate=yes toe aan een verbindingsreeks.
• Selecteer in een DSN de optie Vertrouwensservercertificaat .

Met deze instelling wordt versleuteling niet zelf ingeschakeld. Het geeft aan dat het stuurprogramma certificaatvalidatie overslaat wanneer de verbinding is versleuteld, waardoor de verbinding kwetsbaar blijft voor kwaadwillende aanvallen in het midden. Gebruik deze alleen als tijdelijke meting. De optie Voor het vertrouwensservercertificaat is alleen van toepassing wanneer verbindingsversleuteling is ingesteld op Optioneel of Verplicht. Het stuurprogramma negeert het en valideert altijd het certificaat wanneer u Strikt gebruikt.

Versleutelen instellen op optioneel in de verbindingsreeks of DSN

Wijzig de versleutelingsinstellingen in uw verbindingsreeks of DSN:

• Als de verbindingsreeks opgeeft Encrypt=yes ofEncrypt=mandatory, wijzigt u de waarde in Encrypt=no of Encrypt=optional.
• Als de verbindingsreeks geen waarde opgeeft, voegt u dit toeEncrypt=optional;. De standaardwaarde bevindt zich yes in ODBC-stuurprogramma 18 en hoger en no in eerdere versies.
• Als u een DSN gebruikt, opent u ODBC-gegevensbronbeheerder, selecteert u uw gegevensbron en selecteert u Configureren. Ga door met de wizard naar het scherm met verbindingsversleuteling, stel deze in op Optioneel en selecteer Voltooien om de DSN op te slaan.

Zie DSN en verbindingsreeks trefwoorden en kenmerken enDSN-opties van ODBC-gegevensbronbeheerder voor meer informatie.

Gebruik ODBC-stuurprogramma 17 als tijdelijke oplossing

Microsoft ODBC-stuurprogramma 17 voor SQL Server versleuteling niet standaard inschakelt, dus dit wordt niet beïnvloed door deze wijziging. Behandel deze optie als tijdelijk en plan uw overstap naar ODBC-stuurprogramma 18. U kunt het stuurprogramma downloaden van het ODBC-stuurprogramma voor SQL Server downloaden.