Zagadnienia dotyczące zabezpieczeń programu SQL Server w systemie Linux

Dotyczy:Program SQL Server w systemie Linux

Zabezpieczanie programu SQL Server w systemie Linux jest ciągłym procesem, ponieważ system Linux jest heterogeniczny i stale ewoluujący system operacyjny. Naszym celem jest pomoc naszym klientom w przyrostowym ulepszaniu zabezpieczeń, opierając się na tym, co już mają i udoskonalać w czasie. Ta strona służy jako indeks kluczowych rozwiązań i zasobów dotyczących zabezpieczania programu SQL Server w systemie Linux.

Rozpoczynanie od bezpiecznego systemu Linux

W tym artykule założono, że wdrożono program SQL Server w systemie Linux z wzmocnionymi i zabezpieczonymi zabezpieczeniami. Środki zabezpieczeń różnią się w zależności od dystrybucji systemu Linux. Aby uzyskać więcej informacji, zobacz Wprowadzenie do programu SQL Server w programie SELinux.

Praktyki zabezpieczeń różnią się w zależności od używanej dystrybucji systemu Linux. Aby uzyskać szczegółowe wskazówki, skontaktuj się z dostawcą dystrybucji i zapoznaj się z zalecanymi najlepszymi rozwiązaniami. Możesz również zapoznać się z dokumentacją, taką jak:

Przed wdrożeniem w środowisku produkcyjnym należy zawsze weryfikować wybraną platformę i konfigurację w kontrolowanym środowisku testowym.

Stosowanie wskazówek dotyczących zabezpieczeń programu SQL Server

SQL Server on Linux zapewnia wiele warstw zabezpieczeń.

  • Tworzenie kont i użytkowników bazy danych w ramach zasady najniższych uprawnień.

  • Wykorzystaj funkcje takie jak bezpieczeństwo na poziomie wiersza oraz dynamiczne maskowanie danych do szczegółowej kontroli dostępu.

  • Zabezpieczenia systemu plików są egzekwowane poprzez ścisłe posiadanie i uprawnienia pod /var/opt/mssql, zapewniając, że tylko mssql użytkownik i grupa mają odpowiedni dostęp.

  • Uwierzytelnianie Active Directory umożliwia jednorazowe logowanie (SSO) oparte na Kerberos, scentralizowane polityki haseł oraz zarządzanie dostępem oparte na grupach.

  • Szyfrowane połączenia chronią dane podczas przesyłania przy użyciu protokołu TLS, z opcjami szyfrowania inicjowanego przez serwer lub klienta oraz obsługą certyfikatów spełniających standardy branżowe.

Przejrzyj i zaimplementuj zalecenia z tych kluczowych zasobów:

Inspekcja programu SQL Server w systemie Linux

Program SQL Server w systemie Linux obsługuje wbudowaną funkcję inspekcji programu SQL Server, umożliwiając śledzenie i rejestrowanie zdarzeń na poziomie serwera i bazy danych w celu zapewnienia zgodności i monitorowania zabezpieczeń.

Typowe najlepsze rozwiązania

Typowe najlepsze praktyki bezpieczeństwa na Windows i Linux znajdziesz w najlepszych praktykach bezpieczeństwa SQL Server.

Wyłącz sa konto jako najlepszą praktykę

Podczas nawiązywania połączenia z wystąpieniem programu SQL Server przy użyciu konta administratora systemu (sa) po raz pierwszy po instalacji, należy wykonać te kroki, a następnie natychmiast wyłączyć konto sa jako najlepszą praktykę w zakresie zabezpieczeń.

  1. Utwórz nowe dane logowania i przypisz go do roli serwera sysadmin .

  2. Połącz się z wystąpieniem programu SQL Server przy użyciu nowo utworzonego loginu.

  3. Wyłącz konto sa zgodnie z zaleceniami dotyczącymi najlepszych rozwiązań w zakresie zabezpieczeń.

Ograniczenia zabezpieczeń programu SQL Server w systemie Linux

Program SQL Server w systemie Linux ma obecnie następujące ograniczenia:

  • Począwszy od programu SQL Server 2025 (17.x) w systemie Linux, można wymusić niestandardowe zasady haseł. Aby uzyskać więcej informacji, zobacz Ustawianie niestandardowej polityki haseł dla logowań SQL w programie SQL Server w systemie Linux.

    W programie SQL Server 2022 (16.x) w systemie Linux i starszych wersjach udostępniamy standardowe zasady haseł:

    • MUST_CHANGE jest jedyną opcją, którą można skonfigurować.

    • Po włączeniu CHECK_POLICY opcji wymuszane są tylko domyślne zasady udostępniane przez program SQL Server i nie są stosowane zasady haseł systemu Windows zdefiniowane w zasadach grupy usługi Active Directory.

    • Wygaśnięcie hasła jest trwale zakodowane do 90 dni, jeśli używasz uwierzytelniania programu SQL Server. Aby obejść ten problem, rozważ użycie ALTER LOGIN.

  • Rozszerzone zarządzanie kluczami (EKM) jest obsługiwane tylko za pośrednictwem usługi Azure Key Vault (AKV) w programie SQL Server 2022 (16.x) CU12 i nie jest dostępny we wcześniejszych wersjach. Dostawcy EKM innych firm nie są obsługiwani w programie SQL Server w systemach operacyjnych Linux.

  • Nie można wyłączyć trybu uwierzytelniania programu SQL Server.

  • Program SQL Server generuje własny certyfikat z podpisem własnym na potrzeby szyfrowania połączeń. Program SQL Server można skonfigurować tak, aby używał certyfikatu dostarczonego przez użytkownika dla protokołu TLS.

  • Wdrożenia programu SQL Server w systemie Linux nie są zgodne ze standardem FIPS.

Zabezpiecz wdrożenia kontenerowe programu SQL Server w systemie Linux

Aby uzyskać informacje na temat zabezpieczania kontenerów programu SQL Server, zobacz Secure SQL Server Linux containers (Zabezpieczanie kontenerów systemu Linux programu SQL Server).

Treści powiązane

  • Ostatnia aktualizacja o