Bagikan melalui

Arsitektur Keamanan untuk Sinkronisasi Web

  • Artikel

Microsoft SQL Server memungkinkan kontrol terperinci atas konfigurasi keamanan sinkronisasi Web. Topik ini menyediakan daftar komprehensif semua komponen yang dapat disertakan dalam konfigurasi sinkronisasi Web dan informasi tentang koneksi yang dibuat di antara komponen. Jika memungkinkan, gunakan Autentikasi Windows.

Ilustrasi berikut menunjukkan semua koneksi yang mungkin, tetapi beberapa koneksi mungkin tidak diperlukan dalam topologi tertentu. Misalnya, koneksi ke server FTP diperlukan hanya jika rekam jepret dikirimkan dengan menggunakan FTP.

Komponen dan koneksi dalam Komponen sinkronisasi Web

Tabel berikut ini menjelaskan komponen dan koneksi yang diperlihatkan dalam ilustrasi.

J. Pengguna Windows tempat Agen Penggabungan Berjalan

Selama sinkronisasi, Agen Penggabungan (A) dimulai di Pelanggan. Agen Penggabungan dapat dimulai dari langkah pekerjaan SQL Server Agent atau dari aplikasi kustom yang berdiri sendiri. Jika Agen Penggabungan dimulai dari langkah pekerjaan SQL Server Agent, Agen Penggabungan berjalan di bawah konteks pengguna Windows yang Anda tentukan. Jika Anda tidak menentukan pengguna Windows, Agen Penggabungan berjalan di bawah konteks akun layanan Windows untuk SQL Server Agent.

Jenis akun Di mana akun ditentukan
Pengguna Windows T-SQL: parameter @job_login dan @job_passwordsp_addmergepullsubscription_agent.

RMO (Objek Manajemen Replikasi): Login properti dan Password untuk SynchronizationAgentProcessSecurity.
Akun layanan Windows untuk SQL Server Agent Pengelola Konfigurasi SQL Server
Aplikasi mandiri Agen Penggabungan berjalan di bawah konteks pengguna Windows yang menjalankan aplikasi.

B. Koneksi ke Pelanggan

Agen Penggabungan tersambung ke Pelanggan dengan menggunakan Autentikasi Windows atau Autentikasi SQL Server. Pengguna Windows atau SQL Server masuk yang Anda tentukan harus dikaitkan dengan pengguna database yang merupakan anggota peran database tetap dbowner dalam database langganan.

Catatan

Autentikasi Windows selalu digunakan ketika Agen Penggabungan dimulai dari pekerjaan SQL Server Agent. Autentikasi Windows juga digunakan ketika Agen Penggabungan dimulai secara terprogram kecuali autentikasi SQL Server ditentukan secara eksplisit.

Jenis autentikasi Di mana autentikasi ditentukan
Autentikasi Windows. Agen Penggabungan membuat koneksi di bawah konteks pengguna Windows yang ditentukan untuk Agen Penggabungan (A).
SQL Server Autentikasi hanya digunakan jika berikut ini ditentukan:

RMO: nilai Standard untuk SubscriberSecurityMode.

Baris perintah Gabung agen: nilai 0 untuk SubscriberSecurityMode.		 RMO: SubscriberLogin dan SubscriberPassword.

Baris perintah Gabung agen: -SubscriberLogin dan -SubscriberLogin.

C. Koneksi ke Server Proksi Keluar

Tentukan pengguna Windows untuk koneksi ini hanya jika ada server proksi keluar yang membatasi akses ke jaringan internal Pelanggan.

Jenis autentikasi Di mana autentikasi ditentukan
Autentikasi Windows RMO: InternetProxyLogin dan InternetProxyPassword dengan InternetProxyServer.

Baris perintah Gabung agen: -InternetProxyLogin dan -InternetProxyPassword dengan -InternetProxyServer.

D. Koneksi ke IIS

Setelah menyambungkan ke Pelanggan dan mengekstrak perubahan apa pun dari database langganan, Agen Penggabungan membuat permintaan HTTPS ke Microsoft Internet Information Services (IIS) dan mengunggah perubahan data sebagai pesan XML. Agen Penggabungan harus memiliki izin masuk ke IIS.

Jenis autentikasi Di mana autentikasi ditentukan
Autentikasi Dasar digunakan jika salah satu hal berikut ini ditentukan:

T-SQL: nilai 0 untuk parameter @internet_security_modesp_addmergepullsubscription_agent.

RMO: nilai Standard untuk InternetSecurityMode.

Baris perintah Gabung agen: nilai 0 untuk -InternetSecurityMode.		 T-SQL: parameter @internet_login dan @internet_passwordsp_addmergepullsubscription_agent.

RMO: InternetLogin dan InternetPassword.

Baris perintah Gabung agen: -InternetLogin dan -InternetPassword.
Autentikasi Terintegrasi* digunakan jika salah satu hal berikut ini ditentukan:

T-SQL: nilai 1 untuk parameter @internet_security_modesp_addmergepullsubscription_agent.

RMO: nilai Integrated untuk InternetSecurityMode.

Baris perintah Gabung agen: nilai 1 untuk -InternetSecurityMode.		 Agen Penggabungan membuat koneksi di bawah konteks pengguna Windows yang ditentukan untuk Agen Penggabungan (A).

*Autentikasi terintegrasi hanya dapat digunakan jika semua komputer berada di domain yang sama atau berada di beberapa domain yang memiliki hubungan kepercayaan satu sama lain.

Catatan

Delegasi diperlukan jika Anda menggunakan Autentikasi Terintegrasi. Kami menyarankan agar Anda menggunakan Autentikasi Dasar dan SSL untuk koneksi dari Pelanggan ke IIS.

E. Koneksi ke Publisher

Komponen SQL Server Replication Listener dan Merge Replication Reconciler dihosting di komputer yang menjalankan IIS. Komponen-komponen ini melakukan tindakan berikut:

  • Ambil permintaan HTTPS yang dijelaskan di bagian "D. Koneksi ke IIS".

  • Buat koneksi SQL ke database publikasi dan terapkan perubahan yang diunggah ke database publikasi.

  • Ekstrak perubahan yang diunduh dan kirim respons HTTPS kembali ke Agen Penggabungan.

Merge Replication Reconciler tersambung ke Publisher dengan menggunakan Autentikasi Windows atau Autentikasi SQL Server. Pengguna Windows atau SQL Server masuk yang Anda tentukan harus mematuhi hal berikut:

  • Berada di daftar akses publikasi (PAL). Untuk informasi selengkapnya, lihat Mengamankan Penerbit.

  • Dikaitkan dengan pengguna dalam database publikasi.

Jenis autentikasi Di mana autentikasi ditentukan
Autentikasi Windows digunakan jika salah satu hal berikut ini ditentukan:

T-SQL: nilai 1 untuk parameter @publisher_security_modesp_addmergepullsubscription_agent.

RMO: nilai Integrated untuk PublisherSecurityMode.

Baris perintah Gabungkan Agen: nilai 1 untuk -PublisherSecurityMode.		 Agen Penggabungan membuat koneksi ke Penerbit di bawah konteks pengguna Windows yang ditentukan untuk koneksi ke IIS (D). Jika Publisher dan IIS berada di komputer yang berbeda dan Autentikasi Terintegrasi digunakan untuk koneksi (D), Anda harus mengaktifkan delegasi Kerberos di komputer yang menjalankan IIS. Untuk informasi selengkapnya, lihat dokumentasi Windows.
autentikasi SQL Server digunakan jika salah satu hal berikut ini ditentukan:

T-SQL: nilai 0 untuk parameter @publisher_security_modesp_addmergepullsubscription_agent.

RMO: nilai Standard untuk PublisherSecurityMode.

Baris perintah Gabungkan Agen: nilai 0 untuk -PublisherSecurityMode.		 T-SQL: parameter @publisher_login dan @publisher_passwordsp_addmergepullsubscription_agent.

RMO: PublisherLogin dan PublisherPassword.

Baris perintah Agen Penggabungan: -PublisherLogin dan -PublisherPassword.

F. Koneksi ke Distributor

Merge Replication Reconciler yang dihosting di komputer yang menjalankan IIS juga membuat koneksi ke Distributor. Merge Replication Reconciler tersambung ke Distributor dengan menggunakan Autentikasi Windows atau Autentikasi SQL Server. Pengguna Windows atau SQL Server masuk yang Anda tentukan harus mematuhi hal berikut:

  • Berada di akses publikasi (PAL). Untuk informasi selengkapnya, lihat Mengamankan Penerbit.

  • Dikaitkan dengan pengguna database dalam database distribusi. Pengguna dapat menjadi Guest pengguna.

Berbagi rekam jepret biasanya ada di Distributor. Untuk informasi selengkapnya tentang berbagi rekam jepret, lihat bagian "H. Akses ke berbagi rekam jepret" nanti dalam topik ini.

Jenis autentikasi Di mana autentikasi ditentukan
Autentikasi Windows digunakan jika salah satu hal berikut ini ditentukan:

T-SQL: nilai 1 untuk parameter @distributor_security_modesp_addmergepullsubscription_agent.

RMO: nilai Integrated untuk DistributorSecurityMode.

Baris perintah Agen Penggabungan: nilai 1 untuk -DistributorSecurityMode.		 Agen Penggabungan membuat koneksi ke Distributor di bawah konteks pengguna Windows yang ditentukan untuk koneksi ke IIS (D). Jika Distributor dan IIS berada di komputer yang berbeda dan Autentikasi Terintegrasi digunakan untuk koneksi (D), Anda harus mengaktifkan delegasi Kerberos di komputer yang menjalankan IIS. Untuk informasi selengkapnya, lihat dokumentasi Windows.
autentikasi SQL Server digunakan jika salah satu hal berikut ini ditentukan:

T-SQL: nilai 0 untuk parameter @distributor_security_modesp_addmergepullsubscription_agent.

RMO: nilai Standard untuk DistributorSecurityMode.

Baris perintah Agen Penggabungan: nilai 0 untuk -DistributorSecurityMode.		 T-SQL: parameter @distributor_login dan @distributor_passwordsp_addmergepullsubscription_agent.

RMO: DistributorLogin dan DistributorPassword

Baris perintah Agen Penggabungan: -DistributorLogin dan -DistributorPassword.

G. Koneksi ke Server FTP

Tentukan pengguna Windows untuk koneksi ini hanya jika Anda akan mengunduh file rekam jepret dari server FTP, bukan dari lokasi UNC, ke komputer yang menjalankan IIS sebelum Anda menerapkan rekam jepret ke Pelanggan. Untuk informasi selengkapnya, lihat Mentransfer Rekam Jepret Melalui FTP.

Jenis autentikasi Di mana autentikasi ditentukan
Autentikasi Windows T-SQL: parameter @ftp_login dan @ftp_passwordsp_addmergepublication.

RMO: FtpLogin dan FtpPassword.

H. Akses ke Berbagi Rekam Jepret

Berbagi rekam jepret diakses oleh Merge Replication Reconciler yang dihosting di komputer yang menjalankan IIS.

Jenis autentikasi Di mana autentikasi ditentukan
Autentikasi Windows Agen Penggabungan mengakses berbagi rekam jepret di bawah konteks pengguna Windows yang ditentukan untuk koneksi ke IIS (D). Jika berbagi rekam jepret dan IIS berada di komputer yang berbeda dan Autentikasi Terintegrasi digunakan untuk koneksi (D), Anda harus mengaktifkan delegasi Kerberos di komputer yang menjalankan IIS. Untuk informasi selengkapnya, lihat dokumentasi Windows.

i. Akun Kumpulan Aplikasi untuk IIS

Akun ini digunakan untuk memulai proses W3wp.exe pada komputer yang menjalankan IIS untuk Windows Server 2003 atau proses Dllhost.exe pada Windows 2000. Proses ini menghosting aplikasi di komputer yang menjalankan IIS, seperti SQL Server Replication Listener dan Merge Replication Reconciler. Akun ini harus memiliki izin baca dan jalankan pada DLL replikasi berikut di komputer yang menjalankan IIS:

  • Replisapi

  • Replrek

  • Replprov

  • Msgprox

  • Xmlsub

Akun juga harus menjadi bagian dari grup IIS_WPG. Untuk informasi selengkapnya, lihat bagian "Mengatur Izin untuk pendengar replikasi SQL Server" di Mengonfigurasi IIS untuk Sinkronisasi Web.

Jenis akun Di mana akun ditentukan
Setiap pengguna Windows yang memiliki izin yang diperlukan. Manajer Layanan Informasi Internet (IIS).

Lihat juga

Mengonfigurasi Sinkronisasi Web
Agen Penggabungan Replikasi