Arsitektur Keamanan untuk Sinkronisasi Web

Berlaku untuk:SQL Server

Microsoft SQL Server memungkinkan kontrol terperinci atas konfigurasi keamanan sinkronisasi Web. Topik ini menyediakan daftar komprehensif semua komponen yang dapat disertakan dalam konfigurasi sinkronisasi Web dan informasi tentang koneksi yang dibuat di antara komponen. Jika memungkinkan, gunakan autentikasi Windows.

Ilustrasi berikut menunjukkan semua kemungkinan koneksi, tetapi beberapa koneksi mungkin tidak diperlukan dalam topologi tertentu. Misalnya, koneksi ke server FTP diperlukan hanya jika rekam jepret dikirimkan dengan menggunakan FTP.

Tabel berikut ini menjelaskan komponen dan koneksi yang diperlihatkan dalam ilustrasi.

J. Pengguna Windows tempat Agen Penggabungan Berjalan

Selama sinkronisasi, Merge Agent (A) dimulai di Pelanggan. Agen Penggabungan dapat dimulai dari langkah pekerjaan SQL Server Agent atau dari aplikasi kustom yang berdiri sendiri. Jika Agen Penggabungan dimulai dari langkah pekerjaan SQL Server Agent, Agen Penggabungan berjalan di bawah konteks pengguna Windows yang Anda tentukan. Jika Anda tidak menentukan pengguna Windows, Agen Penggabungan berjalan di bawah konteks akun layanan Windows untuk SQL Server Agent.

Jenis akun	Di mana akun ditentukan
Pengguna Windows	T-SQL: @job_login parameter dan @job_password sp_addmergepullsubscription_agent. RMO (Objek Manajemen Replikasi): Login properti dan Password untuk SynchronizationAgentProcessSecurity.
Akun layanan Windows untuk SQL Server Agent	Pengelola Konfigurasi SQL Server
Aplikasi mandiri	Agen Penggabungan berjalan di bawah konteks pengguna Windows yang menjalankan aplikasi.

B. Koneksi kepada Pelanggan

Agen Penggabungan tersambung ke Pelanggan dengan menggunakan Autentikasi Windows atau Autentikasi SQL Server. Login pengguna Windows atau SQL Server yang Anda tentukan harus dikaitkan dengan pengguna database yang merupakan anggota peran database tetap dbowner dalam database langganan.

Catatan

Autentikasi Windows selalu digunakan ketika Agen Penggabungan dimulai dari pekerjaan SQL Server Agent. Autentikasi Windows juga digunakan ketika Agen Penggabungan dimulai secara terprogram kecuali Autentikasi SQL Server ditentukan secara eksplisit.

Jenis autentikasi	Tempat autentikasi ditentukan
- Autentikasi Windows.	Agen Penggabungan membuat koneksi di bawah konteks pengguna Windows yang ditentukan untuk Agen Penggabungan (A).
Autentikasi SQL Server hanya digunakan jika berikut ini ditentukan: - RMO: nilai Standard untuk SubscriberSecurityMode. - Baris perintah Merge Agent: nilai 0 untuk SubscriberSecurityMode.	RMO: SubscriberLogin dan SubscriberPassword. Baris perintah Gabungkan Agen: -SubscriberLogin dan -SubscriberLogin.

C. Koneksi ke Server Proksi Keluar

Tentukan pengguna Windows untuk koneksi ini hanya jika ada server proksi keluar yang membatasi akses ke jaringan internal Pelanggan.

Jenis autentikasi	Tempat autentikasi ditentukan
Otentikasi Windows	RMO: InternetProxyLogin dan InternetProxyPassword dengan InternetProxyServer. Baris perintah Gabungkan Agen: -InternetProxyLogin dan -InternetProxyPassword dengan -InternetProxyServer.

D. Koneksi ke IIS

Setelah menyambungkan ke Pelanggan dan mengekstrak perubahan apa pun dari database langganan, Agen Penggabungan membuat permintaan HTTPS ke Microsoft Layanan Informasi Internet (IIS) dan mengunggah perubahan data sebagai pesan XML. Agen Penggabungan harus memiliki izin masuk ke IIS.

Jenis autentikasi	Tempat autentikasi ditentukan
Autentikasi Dasar digunakan jika salah satu hal berikut ini ditentukan: - T-SQL: nilai 0 untuk @internet_security_mode parameter sp_addmergepullsubscription_agent. - RMO: nilai Standard untuk InternetSecurityMode. - Gabungkan baris perintah Agen: nilai 0 untuk -InternetSecurityMode.	T-SQL: @internet_login parameter dan @internet_password sp_addmergepullsubscription_agent. RMO: InternetLogin dan InternetPassword. Gabungkan baris perintah Agen: -InternetLogin dan -InternetPassword.
AutentikasiTerintegrasi 1 digunakan jika salah satu hal berikut ini ditentukan: - Transact-SQL: nilai 1 untuk @internet_security_mode parameter sp_addmergepullsubscription_agent. - RMO: nilai Integrated untuk InternetSecurityMode. - Gabungkan baris perintah Agen: nilai 1 untuk -InternetSecurityMode.	Agen Penggabungan membuat koneksi di bawah konteks pengguna Windows yang ditentukan untuk Agen Penggabungan (A).

¹ Autentikasi terintegrasi hanya dapat digunakan jika semua komputer berada di domain yang sama atau berada di beberapa domain yang memiliki hubungan kepercayaan satu sama lain.

Catatan

Delegasi diperlukan jika Anda menggunakan Autentikasi Terintegrasi. Kami menyarankan agar Anda menggunakan Autentikasi Dasar dan TLS untuk koneksi dari Pelanggan ke IIS.

E. Koneksi ke Publisher

Komponen SQL Server Replication Listener dan Merge Replication Reconciler dihosting di komputer yang menjalankan IIS. Komponen-komponen ini melakukan tindakan berikut:

• Ambil permintaan HTTPS yang dijelaskan di bagian "D. Koneksi ke IIS".

• Buat koneksi SQL ke database publikasi dan terapkan perubahan yang diunggah ke database publikasi.

• Ekstrak perubahan yang diunduh dan kirim respons HTTPS kembali ke Agen Penggabungan.

Merge Replication Reconciler tersambung ke Publisher dengan menggunakan Autentikasi Windows atau Autentikasi SQL Server. Login pengguna Windows atau SQL Server yang Anda tentukan harus mematuhi hal berikut:

• Berada di daftar akses publikasi (PAL). Untuk informasi selengkapnya, lihat Mengamankan Penerbit.

• Dikaitkan dengan pengguna dalam database publikasi.

Jenis autentikasi	Tempat autentikasi ditentukan
Autentikasi Windows digunakan jika salah satu hal berikut ini ditentukan: - Transact-SQL: nilai 1 untuk @publisher_security_mode parameter sp_addmergepullsubscription_agent. - RMO: nilai Integrated untuk PublisherSecurityMode. - Gabungkan baris perintah Agen: nilai 1 untuk -PublisherSecurityMode.	Agen Penggabungan membuat koneksi ke Publisher di bawah konteks pengguna Windows yang ditentukan untuk koneksi ke IIS (D). Jika Publisher dan IIS berada di komputer yang berbeda dan Autentikasi Terintegrasi digunakan untuk koneksi (D), Anda harus mengaktifkan delegasi Kerberos di komputer yang menjalankan IIS. Untuk informasi selengkapnya, lihat dokumentasi Windows.
Autentikasi SQL Server digunakan jika salah satu hal berikut ini ditentukan: - T-SQL: nilai 0 untuk @publisher_security_mode parameter sp_addmergepullsubscription_agent. - RMO: nilai Standard untuk PublisherSecurityMode. - Gabungkan baris perintah Agen: nilai 0 untuk -PublisherSecurityMode.	T-SQL: @publisher_login parameter dan @publisher_password sp_addmergepullsubscription_agent. RMO: PublisherLogin dan PublisherPassword. Baris perintah Gabungkan Agen: -PublisherLogin dan -PublisherPassword.

F. Koneksi ke Distributor

Merge Replication Reconciler yang dihosting di komputer yang menjalankan IIS juga membuat koneksi ke Distributor. Merge Replication Reconciler tersambung ke Distributor dengan menggunakan Autentikasi Windows atau Autentikasi SQL Server. Login pengguna Windows atau SQL Server yang Anda tentukan harus mematuhi hal berikut:

• Berada di akses publikasi (PAL). Untuk informasi selengkapnya, lihat Mengamankan Penerbit.

• Dikaitkan dengan pengguna database dalam database distribusi. Pengguna dapat menjadi pengguna Tamu .

Berbagi rekam jepret biasanya ada di Distributor. Untuk informasi selengkapnya tentang berbagi rekam jepret, lihat bagian "H. Akses ke berbagi rekam jepret" nanti dalam topik ini.

- Jenis autentikasi	Tempat autentikasi ditentukan
Autentikasi Windows digunakan jika salah satu hal berikut ini ditentukan: - Transact-SQL: nilai 1 untuk @distributor_security_mode parameter sp_addmergepullsubscription_agent. - RMO: nilai Integrated untuk DistributorSecurityMode. - Gabungkan baris perintah Agen: nilai 1 untuk -DistributorSecurityMode.	Agen Penggabungan membuat koneksi ke Distributor di bawah konteks pengguna Windows yang ditentukan untuk koneksi ke IIS (D). Jika Distributor dan IIS berada di komputer yang berbeda dan Autentikasi Terintegrasi digunakan untuk koneksi (D), Anda harus mengaktifkan delegasi Kerberos di komputer yang menjalankan IIS. Untuk informasi selengkapnya, lihat dokumentasi Windows.
Autentikasi SQL Server digunakan jika salah satu hal berikut ini ditentukan: - T-SQL: nilai 0 untuk @distributor_security_mode parameter sp_addmergepullsubscription_agent. - RMO: nilai Standard untuk DistributorSecurityMode. - Gabungkan baris perintah Agen: nilai 0 untuk -DistributorSecurityMode.	T-SQL: @distributor_login parameter dan @distributor_password sp_addmergepullsubscription_agent. RMO: DistributorLogin dan DistributorPassword Baris perintah Merge Agent: -DistributorLogin dan -DistributorPassword.

G. Koneksi ke Server FTP

Tentukan pengguna Windows untuk koneksi ini hanya jika Anda akan mengunduh file rekam jepret dari server FTP, alih-alih dari lokasi UNC, ke komputer yang menjalankan IIS sebelum Anda menerapkan rekam jepret ke Pelanggan. Untuk informasi selengkapnya, lihat Mentransfer Rekam Jepret Melalui FTP.

Jenis autentikasi	Tempat autentikasi ditentukan
Otentikasi Windows	T-SQL: @ftp_login parameter dan @ftp_password sp_addmergepublication. RMO: FtpLogin dan FtpPassword.

H. Akses ke Berbagi Rekam Jepret

Berbagi rekam jepret diakses oleh Merge Replication Reconciler yang dihosting di komputer yang menjalankan IIS.

Jenis autentikasi	Tempat autentikasi ditentukan
Otentikasi Windows	Agen Penggabungan mengakses berbagi rekam jepret di bawah konteks pengguna Windows yang ditentukan untuk koneksi ke IIS (D). Jika berbagi rekam jepret dan IIS berada di komputer yang berbeda dan Autentikasi Terintegrasi digunakan untuk koneksi (D), Anda harus mengaktifkan delegasi Kerberos di komputer yang menjalankan IIS. Untuk informasi selengkapnya, lihat dokumentasi Windows.

I. Akun Kumpulan Aplikasi untuk IIS

Akun ini digunakan untuk memulai proses W3wp.exe pada komputer yang menjalankan IIS untuk Windows Server 2003 atau proses Dllhost.exe pada Windows 2000. Proses ini menghosting aplikasi di komputer yang menjalankan IIS, seperti SQL Server Replication Listener dan Merge Replication Reconciler. Akun ini harus memiliki izin baca dan jalankan pada DLL replikasi berikut di komputer yang menjalankan IIS:

• Replisapi

• Replrek

• Replprov

• Msgprox

• Xmlsub

Akun juga harus menjadi bagian dari grup IIS_WPG. Untuk informasi selengkapnya, lihat bagian "Mengatur Izin untuk Pendengar Replikasi SQL Server" di Mengonfigurasi IIS untuk Sinkronisasi Web.

Jenis akun	Di mana akun ditentukan
Setiap pengguna Windows yang memiliki izin yang diperlukan.	Layanan Informasi Internet (IIS) Manager.

Lihat Juga

Mengonfigurasi Sinkronisasi Web
Agen Penggabungan Replikasi