Архитектура безопасности для веб-синхронизации

Microsoft SQL Server обеспечивает точное управление конфигурацией безопасности веб-синхронизации. В этом разделе представлен полный список всех компонентов, которые могут быть включены в конфигурацию веб-синхронизации и сведения о соединениях между компонентами. По возможности используйте проверку подлинности Windows.

На следующем рисунке показаны все возможные подключения, но некоторые подключения могут не потребоваться в определенной топологии. Например, подключение к FTP-серверу требуется только в том случае, если моментальный снимок поставляется с помощью FTP.

В следующих таблицах описываются компоненты и подключения, отображаемые на рисунке.

А. Пользователь Windows, под которым запускается агент слияния

Во время синхронизации агент слияния (A) запускается на подписчике. Агент слияния можно запустить с шага задания агента SQL Server или из автономного пользовательского приложения. Если агент слияния запускается из шага задачи агента SQL Server, он работает в контексте указанного вами пользователя Windows. Если пользователь Windows не указан, агент слияния запускается в контексте учетной записи службы Windows для агента SQL Server.

Тип учетной записи	Где указана учетная запись
Пользователь Windows	Transact-SQL: параметры @job_login и @job_passwordsp_addmergepullsubscription_agent. RMO (объекты управления репликацией): Login и Password свойства для SynchronizationAgentProcessSecurity.
Учетная запись службы Windows для агента SQL Server	Диспетчер конфигурации SQL Server
Автономное приложение	Агент слияния выполняется в контексте пользователя Windows, выполняющего приложение.

В. Подключение к подписчику

Агент слияния подключается к подписчику с помощью проверки подлинности Windows или проверки подлинности SQL Server. Указанный пользователь Windows или имя входа SQL Server должно быть связано с пользователем базы данных, который является членом предопределенной роли базы данных dbowner в базе данных подписки.

Замечание

Аутентификация Windows всегда используется при запуске агента слияния из задания агента SQL Server. Проверка подлинности Windows также используется при запуске агента слияния программным способом, если только проверка подлинности SQL Server не указана явным образом.

Тип проверки подлинности.	Где указана проверка подлинности
Проверка подлинности Windows.	Агент слияния выполняет подключения в контексте пользователя Windows, указанного для агента слияния (A).
Проверка подлинности SQL Server используется только в том случае, если указано следующее: RMO: значение Standard для SubscriberSecurityMode. Командная строка агента слияния: значение 0 для SubscriberSecurityMode.	RMO: SubscriberLogin и SubscriberPassword. Командная строка агента слияния: -SubscriberLogin и -SubscriberLogin.

С. Подключение к исходящему прокси-серверу

Укажите пользователя Windows для этого подключения, только если есть исходящий прокси-сервер, который ограничивает доступ к внутренней сети подписчика.

Тип проверки подлинности.	Где указана проверка подлинности
Проверка подлинности Windows	RMO: InternetProxyLogin и InternetProxyPassword с InternetProxyServer. Командная строка для Merge Agent: -InternetProxyLogin и -InternetProxyPassword с -InternetProxyServer.

Д. Подключение к IIS

После подключения к подписчику и извлечения изменений из базы данных подписки агент слияния выполняет HTTPS-запрос к службам MICROSOFT Internet Information Services (IIS) и отправляет изменения данных в виде XML-сообщения. Агент слияния должен иметь разрешения на вход в IIS.

Тип проверки подлинности.	Где указана проверка подлинности
Обычная проверка подлинности используется, если указан один из следующих вариантов: Transact-SQL: значение 0 для параметра @internet_security_mode в sp_addmergepullsubscription_agent. RMO: значение Standard для InternetSecurityMode. Командная строка агента слияния: для параметра -InternetSecurityMode значение 0.	Transact-SQL: параметры @internet_login и @internet_password в sp_addmergepullsubscription_agent. RMO: InternetLogin и InternetPassword. Командная строка агента слияния: -InternetLogin и -InternetPassword.
Встроенная проверка подлинности* используется, если указан один из следующих вариантов: Transact-SQL: значение 1 для параметра @internet_security_mode процедуры sp_addmergepullsubscription_agent. RMO: значение Integrated для InternetSecurityMode. В командной строке агента слияния указано значение 1 для -InternetSecurityMode.	Агент слияния выполняет подключения в контексте пользователя Windows, указанного для агента слияния (A).

*Встроенная проверка подлинности может использоваться только в том случае, если все компьютеры находятся в одном домене или находятся в нескольких доменах с отношениями доверия друг с другом.

Замечание

При использовании встроенной проверки подлинности требуется делегирование. Рекомендуется использовать обычную проверку подлинности и SSL для подключений от подписчика к IIS.

Е. Подключение к издателю

Компоненты прослушивателя репликации SQL Server и средства согласования слияния репликации размещены на компьютере, на котором работает IIS. Эти компоненты выполняют следующие действия:

• Выберите HTTPS-запрос, описанный в разделе "D". Подключение к IIS

• Установите соединение SQL с базой данных публикации и внесите изменения в базу данных публикации.

• Извлеките скачанные изменения и отправьте ответ HTTPS обратно агенту слияния.

Средство согласования репликации слиянием подключается к публикатору с помощью аутентификации Windows или SQL Server. Указанный пользователь Windows или имя входа SQL Server должны соответствовать следующим требованиям:

• Находиться в списке доступа к публикации (PAL). Дополнительные сведения см. в статье Организация безопасности издателя.

• Будьте связаны с пользователем в базе данных публикации.

Тип проверки подлинности.	Где указана проверка подлинности
Проверка подлинности Windows используется, если указан один из следующих вариантов: Transact-SQL: значение 1 для параметра @publisher_security_mode функции sp_addmergepullsubscription_agent. RMO: значение Integrated для PublisherSecurityMode. Командная строка агента слияния: значение 1 для -PublisherSecurityMode.	Агент слияния выполняет подключения к издателю в контексте пользователя Windows, указанного для подключения к IIS (D). Если издатель и IIS находятся на разных компьютерах, а для подключения используется встроенная проверка подлинности (D), необходимо включить делегирование Kerberos на компьютере, на котором запущены службы IIS. Дополнительные сведения см. в документации по Windows.
Проверка подлинности SQL Server используется, если указан один из следующих вариантов: Transact-SQL: значение 0 для параметра @publisher_security_modesp_addmergepullsubscription_agent. RMO: значение Standard для PublisherSecurityMode. Командная строка агента слияния: для -PublisherSecurityMode значение 0.	Transact-SQL: параметры @publisher_login и @publisher_password для sp_addmergepullsubscription_agent. RMO: PublisherLogin и PublisherPassword. Командная строка агента слияния: -PublisherLogin и -PublisherPassword.

F. Подключение к распространителю

Согласователь репликации слияния, размещенный на компьютере под управлением IIS, также осуществляет подключения к распространителю. Согласователь репликации слиянием подключается к распространителю с помощью аутентификации Windows или аутентификации SQL Server. Указанный пользователь Windows или имя входа SQL Server должны соответствовать следующим требованиям:

• Будьте в числе имеющих доступ к публикации (PAL). Дополнительные сведения см. в статье Организация безопасности издателя.

• Будьте связаны с пользователем базы данных в базе данных распространителя. Пользователь может иметь учетную запись Guest.

Общий доступ к моментальным снимкам обычно осуществляется через распределитель. Дополнительные сведения о общих папках моментальных снимков см. в разделе "H". Доступ к общей папке моментальных снимков" далее в этом разделе.

Тип проверки подлинности.	Где указана проверка подлинности
Проверка подлинности Windows используется, если указан один из следующих вариантов: Transact-SQL: значение 1 для параметра @distributor_security_mode в sp_addmergepullsubscription_agent. RMO: значение Integrated для DistributorSecurityMode. Командная строка агента слияния: значение 1 для -DistributorSecurityMode.	Агент слияния выполняет подключения к распространителю в контексте пользователя Windows, указанного для подключения к IIS (D). Если Distributor и IIS находятся на разных компьютерах и для подключения используется встроенная аутентификация, необходимо включить делегирование Kerberos на компьютере, где работает IIS. Дополнительные сведения см. в документации по Windows.
Проверка подлинности SQL Server используется, если указан один из следующих вариантов: Transact-SQL: значение 0 для параметра @distributor_security_mode процедуры sp_addmergepullsubscription_agent. RMO: значение Standard для DistributorSecurityMode. Командная строка агента слияния: значение 0 для -DistributorSecurityMode.	Transact-SQL: параметры @distributor_login и @distributor_password для sp_addmergepullsubscription_agent. RMO: DistributorLogin и DistributorPassword Командная строка агента слияния: -DistributorLogin и -DistributorPassword.

G. Подключение к FTP-серверу

Укажите пользователя Windows для этого подключения, только если вы скачиваете файлы моментальных снимков с FTP-сервера, а не из расположения UNC, на компьютер под управлением IIS, прежде чем применить моментальный снимок к подписчику. Дополнительные сведения см. в статье Передача моментальных снимков через FTP.

Тип проверки подлинности.	Где указана проверка подлинности
Проверка подлинности Windows	Transact-SQL: параметры @ftp_login и @ftp_password для sp_addmergepublication. RMO: FtpLogin и FtpPassword.

H. Доступ к общей папке моментальных снимков

Доступ к общей папке моментальных снимков осуществляется с помощью средства согласования репликации слиянием, размещенного на компьютере под управлением IIS.

Тип проверки подлинности.

Где указана проверка подлинности

Проверка подлинности Windows

Агент слияния обращается к общей папке моментальных снимков в контексте пользователя Windows, указанного для подключения к IIS (D). Если общий ресурс моментальных снимков и службы IIS находятся на разных компьютерах, а интегрированная проверка подлинности используется для подключения (D), необходимо включить делегирование Kerberos на компьютере, на котором работает IIS. Дополнительные сведения см. в документации по Windows.

И. Учетная запись пула приложений для IIS

Эта учетная запись используется для запуска процесса W3wp.exe на компьютере под управлением IIS для Windows Server 2003 или процесса Dllhost.exe в Windows 2000. Эти процессы запускают приложения на компьютере с работающей IIS, например, прослушиватель репликации SQL Server и модуль согласования репликации при слиянии. Эта учетная запись должна иметь разрешения на чтение и выполнение следующих библиотек DLL репликации на компьютере под управлением IIS:

• Replisapi

• Replrec

• Replprov

• Msgprox

• Xmlsub

Учетная запись также должна быть частью группы IIS_WPG. Дополнительные сведения см. в разделе "Настройка разрешений для прослушивателя репликации SQL Server" в разделе "Настройка IIS для веб-синхронизации".

Тип учетной записи	Где указана учетная запись
Любой пользователь Windows, имеющий необходимые разрешения.	Диспетчер служб IIS.

См. также

Настройка веб-синхронизации
Агент слияния репликации