Bewährte Methoden für die Replikationssicherheit

  • Artikel

Gilt für:SQL Server

Bei der Replikation werden Daten in verteilten Umgebungen verschoben, diese reichen von Intranets auf einer einzelnen Domäne bis hin zu Anwendungen, die auf Daten zwischen nicht vertrauenswürdigen Domänen und über das Internet zugreifen. Es ist wichtig, die beste Methode für die Sicherung der Replikationsverbindungen unter diesen verschiedenen Voraussetzungen zu kennen und zu verstehen.

Folgende Informationen sind für die Replikation in sämtlichen Umgebungen relevant:

  • Verschlüsseln Sie die Verbindungen zwischen Computern in einer Replikationstopologie mithilfe einer Industriestandardmethode wie Virtual Private Networks (VPN), Transport Layer Security (TLS), früher als Secure Sockets Layer (SSL) bezeichnet, oder IP Security (IPSEC). Weitere Informationen finden Sie unter Aktivieren von verschlüsselten Verbindungen zur Datenbank-Engine (SQL Server-Konfigurations-Manager). Informationen zum Verwenden von VPN und TLS für die Replikation von Daten über das Internet finden Sie unter Absichern der Replikation über das Internet.

    Wenn Sie TLS zum Sichern der Verbindungen zwischen Computern in einer Replikationstopologie verwenden, geben Sie den Wert 1 oder 2 für den Parameter -EncryptionLevel der einzelnen Replikations-Agents an (der Wert 2 wird empfohlen). Mit dem Wert 1 wird angegeben, dass eine Verschlüsselung verwendet wird. Der Agent überprüft aber nicht, ob das TLS/SSL-Serverzertifikat von einem vertrauenswürdigen Aussteller signiert wurde. Mit dem Wert 2 wird angegeben, dass das Zertifikat überprüft wurde. Agentparameter können in den Agentprofilen und in der Befehlszeile angegeben werden. Weitere Informationen finden Sie unter:

  • Führen Sie jeden Replikations-Agent unter einem anderen Windows-Konto aus, und verwenden Sie die Windows-Authentifizierung für sämtliche Verbindungen des Replikations-Agents. Weitere Informationen zum Angeben von Konten finden Sie unter Identität und Zugriffssteuerung (Replikation).

  • Erteilen Sie jedem Agent nur die erforderlichen Berechtigungen. Weitere Informationen finden Sie im Abschnitt zu den für die Agents erforderlichen Berechtigungen unter Replication Agent Security Model.

  • Stellen Sie sicher, dass sich alle Konten für Merge-Agents und Verteilungs-Agents in der Veröffentlichungszugriffsliste (PAL, Publication Access List) befinden. Weitere Informationen finden Sie unter Schützen des Verteilers.

  • Befolgen Sie das Prinzip der geringsten Rechte, indem Sie den Konten in der PAL nur die Berechtigungen erteilen, die sie zur Ausführung von Replikationstasks benötigen. Fügen Sie keine Anmeldungen zu festen Serverrollen hinzu, die nicht für die Replikation erforderlich sind.

  • Konfigurieren Sie die Momentaufnahmefreigabe, um den Lesezugriff für alle Merge-Agents und Verteilungs-Agents zuzulassen. Im Fall von Momentaufnahmen für Veröffentlichungen mit parametrisierten Filtern sollten Sie sicherstellen, dass jeder Ordner so konfiguriert wird, dass der Zugriff nur für die geeigneten Merge-Agent-Konten gewährt wird.

  • Konfigurieren sie die Momentaufnahmefreigabe so, dass der Schreibzugriff für den Momentaufnahme-Agent gewährt wird.

  • Falls Sie Pullabonnements verwenden, sollten Sie anstelle eines lokalen Pfads für den Momentaufnahmeordner eine Netzwerkfreigabe verwenden.

Wenn Ihre Replikationstopologie Computer enthält, die sich nicht in der gleichen Do befinden Standard oder in denen sie sich befinden Standard die keine Vertrauensbeziehungen miteinander haben, können Sie die Windows-Authentifizierung oder die SQL Server-Authentifizierung für die Verbindungen von Agents verwenden (Weitere Informationen zu do Standard s finden Sie in der Windows-Dokumentation). Es empfiehlt sich, als bewährte Sicherheitsmethode die Windows-Authentifizierung zu verwenden.

  • So verwenden Sie die Windows-Authentifizierung

    • Fügen Sie ein lokales Windows-Konto (kein Domänenkonto) für jeden Agent an den passenden Knoten hinzu (verwenden Sie an jedem Knoten denselben Namen und dasselbe Kennwort). Beispielsweise wird der Verteilungs-Agent für ein Pushabonnement auf dem Verteiler ausgeführt und stellt Verbindungen mit dem Verteiler und mit dem Abonnenten her. Das Windows-Konto für den Verteilungs-Agent sollte dem Verteiler und dem Abonnenten hinzugefügt werden.

    • Stellen Sie sicher, dass ein bestimmter Agent (z. B. ein Verteilungs-Agent für ein Abonnement) auf jedem Computer unter demselben Konto ausgeführt wird.

  • So verwenden Sie die SQL Server-Authentifizierung:

    • Fügen Sie ein SQL Server-Konto für jeden Agent an den entsprechenden Knoten hinzu (verwenden Sie denselben Kontonamen und dasselbe Kennwort für jeden Knoten). Beispielsweise wird der Verteilungs-Agent für ein Pushabonnement auf dem Verteiler ausgeführt und stellt Verbindungen mit dem Verteiler und mit dem Abonnenten her. Das SQL Server-Konto für die Verteilungs-Agent sollte dem Distributor und Abonnenten hinzugefügt werden.

    • Stellen Sie sicher, dass ein bestimmter Agent (z. B. ein Verteilungs-Agent für ein Abonnement) auf jedem Computer unter demselben Konto Verbindungen herstellt.

    • In Situationen, in denen sql Server-Authentifizierung erforderlich ist, ist der Zugriff auf UNC-Momentaufnahme Freigaben häufig nicht verfügbar (z. B. der Zugriff kann durch eine Firewall blockiert werden). In diesem Fall können Sie die Momentaufnahme über das Dateiübertragungsprotokoll (FTP, File Transfer Protokoll) auf Abonnenten übertragen. Weitere Informationen finden Sie unter Übertragen von Momentaufnahmen über FTP.

Weitere Informationen

Aktivieren von verschlüsselten Verbindungen zur Datenbank-Engine (SQL Server-Konfigurations-Manager)
Replikation über das Internet
Sichern des Abonnenten
Schützen des Verteilers
Sichern des Verlegers
Anzeigen und Ändern von Replikationssicherheitseinstellungen