Een verificatiemodus kiezen

van toepassing op:SQL Server-

Tijdens de installatie moet u een verificatiemodus voor de database-engine selecteren. Er zijn twee mogelijke modi: windows-verificatiemodus en gemengde modus. Windows-verificatiemodus schakelt Windows-verificatie in en schakelt SQL Server-verificatie uit. In de gemengde modus worden zowel Windows-verificatie als SQL Server-verificatie ingeschakeld. Windows-verificatie is altijd beschikbaar en kan niet worden uitgeschakeld.

De verificatiemodus configureren

Als u verificatie in gemengde modus (SQL Server en Windows-verificatiemodus) selecteert tijdens de installatie, moet u een sterk wachtwoord opgeven en vervolgens bevestigen voor het ingebouwde SQL Server-systeembeheerdersaccount met de naam sa. Het sa-account maakt verbinding met behulp van SQL Server-verificatie.

Als u Windows-verificatie selecteert tijdens de installatie, maakt de installatie het sa-account voor SQL Server-verificatie aan, maar wordt het uitgeschakeld. Als u later overschakelen naar verificatie in de gemengde modus en u het sa-account wilt gebruiken, moet u het account inschakelen. Elk Windows- of SQL Server-account kan worden geconfigureerd als systeembeheerder. Omdat het sa-account bekend is en vaak wordt gericht op kwaadwillende gebruikers, schakelt u het sa account niet in, tenzij uw toepassing dit vereist. Stel nooit een leeg of zwak wachtwoord in voor het sa-account. Zie Serververificatiemodus wijzigenals u wilt overschakelen van windows-verificatiemodus naar verificatie in gemengde modus en SQL Server-verificatie wilt gebruiken.

Verbinding maken via Windows-verificatie

Wanneer een gebruiker verbinding maakt via een Windows-gebruikersaccount, valideert SQL Server de accountnaam en het wachtwoord met behulp van het Windows Principal-token in het besturingssysteem. Dit betekent dat de gebruikersidentiteit wordt bevestigd door Windows. SQL Server vraagt niet om het wachtwoord en voert de identiteitsvalidatie niet uit. Windows-verificatie is de standaardverificatiemodus en is veel veiliger dan SQL Server-verificatie. Windows-verificatie maakt gebruik van New Technology LAN Manager (NTLM) of Kerberos-beveiligingsprotocol, biedt afdwinging van wachtwoordbeleid met betrekking tot complexiteitsvalidatie voor sterke wachtwoorden, biedt ondersteuning voor accountvergrendeling en ondersteunt het verlopen van wachtwoorden. Een verbinding die is gemaakt met Behulp van Windows-verificatie wordt ook wel een vertrouwde verbinding genoemd, omdat SQL Server de referenties vertrouwt die door Windows worden verstrekt.

Zie Een service-principalnaam registreren voor Kerberos-verbindingenvoor meer informatie over het configureren van Kerberos.

Met behulp van Windows-verificatie kunnen Windows-groepen worden gemaakt op domeinniveau en kan er een aanmelding worden gemaakt op SQL Server voor de hele groep. Door de toegang op domeinniveau te beheren, kan accountbeheer worden vereenvoudigd.

Belangrijk

Gebruik waar mogelijk Windows-verificatie.

Verbinding maken via SQL Server-verificatie

Wanneer u SQL Server-verificatie gebruikt, worden aanmeldingen gemaakt in SQL Server die niet zijn gebaseerd op Windows-gebruikersaccounts. Zowel de gebruikersnaam als het wachtwoord worden gemaakt met behulp van SQL Server en opgeslagen in SQL Server. Gebruikers die verbinding maken met behulp van SQL Server-verificatie, moeten hun referenties (aanmelding en wachtwoord) opgeven telkens wanneer ze verbinding maken. Wanneer u SQL Server-verificatie gebruikt, moet u sterke wachtwoorden instellen voor alle SQL Server-accounts. Zie Sterke wachtwoordenvoor richtlijnen voor sterke wachtwoorden.

Er zijn drie optionele wachtwoordbeleidsregels beschikbaar voor SQL Server-aanmeldingen.

• De gebruiker moet het wachtwoord wijzigen bij de volgende aanmelding

  Vereist dat de gebruiker het wachtwoord wijzigt wanneer de gebruiker de volgende keer verbinding maakt. De mogelijkheid om het wachtwoord te wijzigen, wordt geleverd door SQL Server Management Studio. Andere softwareontwikkelaars van het bedrijf moeten deze functie bieden als deze optie wordt gebruikt.

• Wachtwoordverloop afdwingen

  Het maximale wachtwoordduurbeleid van de computer wordt afgedwongen voor SQL Server-aanmeldingen.

• Wachtwoordbeleid afdwingen

  Het Windows-wachtwoordbeleid van de computer wordt afgedwongen voor SQL Server-aanmeldingen. Dit omvat de lengte en complexiteit van het wachtwoord. Deze functionaliteit is afhankelijk van de NetValidatePasswordPolicy-API, die alleen beschikbaar is in Windows Server 2003 en latere versies.

Het wachtwoordbeleid van de lokale computer bepalen

1. Selecteer uitvoeren in het menu Start.

2. Typ in het dialoogvenster Uitvoeren secpol.msc, en selecteer OK.

3. Vouw in de lokale beveiligingsinstellingen toepassing beveiligingsinstellingenuit, vouw accountbeleiduit en selecteer wachtwoordbeleid.

   Het wachtwoordbeleid wordt beschreven in het resultatenvenster.

Nadelen van SQL Server-verificatie

• Als een gebruiker een Windows-domeingebruiker is die een aanmelding en wachtwoord voor Windows heeft, moeten ze nog steeds een andere (SQL Server)-aanmelding en -wachtwoord opgeven om verbinding te maken. Het bijhouden van meerdere namen en wachtwoorden is moeilijk voor veel gebruikers. Het kan vervelend zijn om sql Server-referenties op te geven telkens wanneer de gebruiker verbinding maakt met de database.

• SQL Server-verificatie kan geen Kerberos-beveiligingsprotocol gebruiken.

• Windows biedt aanvullende wachtwoordbeleidsregels die niet beschikbaar zijn voor SQL Server-aanmeldingen.

• Het versleutelde aanmeldingswachtwoord voor SQL Server-verificatie moet worden doorgegeven via het netwerk op het moment van de verbinding. In sommige toepassingen die automatisch verbinding maken, wordt het wachtwoord op de client opgeslagen. Dit zijn extra aanvalspunten.

Voordelen van SQL Server-verificatie

• Hiermee kan SQL Server ondersteuning bieden voor oudere toepassingen en toepassingen die door derden worden geleverd waarvoor SQL Server-verificatie is vereist.

• Hiermee kan SQL Server omgevingen ondersteunen met gemengde besturingssystemen, waarbij alle gebruikers niet worden geverifieerd door een Windows-domein.

• Hiermee kunnen gebruikers verbinding maken vanuit onbekende of niet-vertrouwde domeinen. Een toepassing waar gevestigde klanten bijvoorbeeld verbinding maken met toegewezen SQL Server-aanmeldingen om de status van hun orders te ontvangen.

• Hiermee kan SQL Server webtoepassingen ondersteunen waarbij gebruikers hun eigen identiteiten maken.

• Hiermee kunnen softwareontwikkelaars hun toepassingen distribueren met behulp van een complexe machtigingshiërarchie op basis van bekende, vooraf ingestelde SQL Server-aanmeldingen.

  Notitie

  Het gebruik van SQL Server-verificatie beperkt niet de machtigingen van lokale beheerders op de computer waarop SQL Server is geïnstalleerd.

Verwante inhoud

• beveiligingsoverwegingen voor een SQL Server-installatie