Důležité informace o zabezpečení SQL Serveru v Linuxu

Platí pro:SQL Server na Linuxu

Zabezpečení SQL Serveru v Linuxu je průběžný proces, protože Linux je heterogenní a neustále se vyvíjí operační systém. Naším cílem je pomáhat našim zákazníkům postupně vylepšovat zabezpečení, stavět na tom, co již mají, a tuto ochranu v průběhu času zdokonalovat. Tato stránka slouží jako index klíčových postupů a prostředků pro zabezpečení SQL Serveru v Linuxu.

Začínáme se zabezpečeným systémem Linux

Tento článek předpokládá, že jste SQL Server nasadili na posílený a zabezpečený linuxový systém. Bezpečnostní opatření se liší podle distribuce Linuxu. Další informace najdete v tématu Začínáme s SQL Serverem na serveru SELinux.

Postupy zabezpečení se liší v závislosti na linuxové distribuci, kterou používáte. Pokud potřebujete podrobné pokyny, obraťte se na svého poskytovatele distribuce a projděte si doporučené osvědčené postupy. Můžete se také podívat na dokumentaci, například:

• Posílení zabezpečení zabezpečení Red Hat Enterprise Linuxu
• Ubuntu: Návrhy zabezpečení

Před nasazením do produkčního prostředí vždy ověřte zvolenou platformu a konfiguraci v řízeném testovacím prostředí.

Použití pokynů k zabezpečení SQL Serveru

SQL Server on Linux poskytuje více vrstev zabezpečení.

• Vytvářejte účty a uživatele databáze v zásadě nejnižších oprávnění.

• Použijte funkce jako bezpečnost na úrovni řádků a dynamické maskování dat pro detailní řízení přístupu.

• Zabezpečení systému souborů se vynucuje prostřednictvím striktního vlastnictví a oprávnění v rámci /var/opt/mssql, čímž se zajistí, že k němu mají odpovídající přístup pouze mssql uživatelé a skupina.

• Ověřování služby služba Active Directory umožňuje jednotné přihlášení (SSO) založené na protokolu Kerberos, centralizované zásady hesel a správu přístupu založenou na skupinách.

• Šifrovaná připojení chrání přenášená data pomocí protokolu TLS, s možnostmi šifrování iniciovaného serverem nebo klientem a podporou certifikátů, které splňují oborové standardy.

Projděte si a implementujte doporučení z těchto klíčových prostředků:

• Návod k funkcím zabezpečení SQL Serveru v Linuxu
• Průvodce bezpečností a oprávněními pro SQL Server on Linux
• Ověřování služba Active Directory pro SQL Server v Linuxu
• Kurz: Použití nástroje adutil pro konfiguraci ověřování služba Active Directory na SQL Serveru v Linuxu
• Šifrování připojení k SQL Serveru v Linuxu

Auditování SQL Serveru v Linuxu

SQL Server v Linuxu podporuje integrovanou funkci auditování SQL Serveru, která umožňuje sledovat a protokolovat události na úrovni serveru a databáze pro dodržování předpisů a monitorování zabezpečení.

• Vytvořit audit serveru a specifikaci auditování serveru

Běžné osvědčené postupy

• Pravidelně aktualizujte operační systém Linux a SQL Server.
• Vyhradit produkční servery výhradně úlohám SQL Serveru.
• Použijte zásadu nejnižší úrovně oprávnění pro účty a služby.
• Deaktivujte sa účet jako nejlepší postup.

Pro běžné osvědčené postupy v oblasti bezpečnosti na Windows a Linuxu se podívejte na osvědčené postupy pro bezpečnost SQL Server.

Deaktivujte sa účet jako osvědčenou praxi

Když se poprvé po instalaci připojíte k instanci SQL Serveru pomocí účtu správce systému (sa), je důležité postupovat podle těchto kroků a okamžitě zakázat účet sa jako osvědčený postup zabezpečení.

1. Vytvořte nové přihlášení a nastavte ho jako člena role serveru správce systému.

   • V závislosti na tom, jestli máte kontejner nebo nasazení bez kontejneru, povolte ověřování systému Windows a vytvořte nové přihlášení založené na Systému Windows a přidejte ho do role serveru správce systému.

     • Kurz: Použití nástroje adutil pro konfiguraci ověřování služba Active Directory na SQL Serveru v Linuxu

     • Tutorial: Konfigurace ověřování služba Active Directory pomocí kontejnerů SQL Server on Linux

   • V opačném případě vytvořte přihlášení pomocí ověřování SQL Serveru a přidejte ho do role serveru správce systému.

2. Připojte se k instanci SQL Serveru pomocí nového přihlášení, které jste vytvořili.

3. Podle doporučení k osvědčeným postupům zabezpečení zakažte sa účet.

Omezení zabezpečení pro SQL Server v Linuxu

SQL Server v Linuxu má aktuálně následující omezení:

• Počínaje SQL Serverem 2025 (17.x) v Linuxu můžete vynutit vlastní zásady hesel. Další informace najdete v tématu Nastavení vlastních zásad hesel pro přihlášení SQL v SQL Serveru v Linuxu.

  V SYSTÉMU SQL Server 2022 (16.x) v Linuxu a starších verzích poskytujeme standardní zásady hesel:

  • MUST_CHANGE je jedinou možností, kterou můžete nakonfigurovat.

  • Pokud je tato CHECK_POLICY možnost povolená, vynucuje se jenom výchozí zásada poskytovaná SQL Serverem a nepoužije zásady hesel systému Windows definované v zásadách skupiny služby služba Active Directory.

  • Pokud používáte ověřování SQL Serveru, je vypršení platnosti hesla pevně zakódováno na 90 dnů. Chcete-li tento problém obejít, zvažte použití ALTER LOGIN.

• Rozšiřitelná správa klíčů (EKM) je podporována pouze prostřednictvím služby Azure Key Vault (AKV) v SQL Serveru 2022 (16.x) CU12 a není k dispozici ve starších verzích. Poskytovatelé EKM třetích stran nejsou podporováni pro SQL Server on Linux operační systémy.

• Režim ověřování SQL Serveru nejde zakázat.

• SQL Server generuje vlastní certifikát podepsaný svým držitelem pro šifrování připojení. SQL Server můžete nakonfigurovat tak, aby pro protokol TLS používal uživatelský certifikát.

• SQL Server v linuxových nasazeních nevyhovuje standardu FIPS.

Zabezpečení nasazení SQL Serveru v kontejnerech Linuxu

Informace o zabezpečení kontejnerů SQL Serveru naleznete v tématu Zabezpečení kontejnerů SQL Server Linux.

Související obsah

• Návod k funkcím zabezpečení SQL Serveru v Linuxu
• Průvodce bezpečností a oprávněními pro SQL Server on Linux
• Konfigurace SQL Serveru v Linuxu pomocí nástroje mssql-conf
• Edice a podporované funkce SQL Server 2022 pro Linux
• Zabezpečení databázového stroje SQL Serveru a Azure SQL Database