Auswählen eines Authentifizierungsmodus

Während des Setups müssen Sie einen Authentifizierungsmodus für das Datenbankmodul auswählen. Es gibt zwei mögliche Modi: Den Windows-Authentifizierungsmodus und den gemischten Modus. Der Windows-Authentifizierungsmodus aktiviert die Windows-Authentifizierung und deaktiviert die SQL Server-Authentifizierung. Der gemischte Modus ermöglicht sowohl die Windows-Authentifizierung als auch die SQL Server-Authentifizierung. Die Windows-Authentifizierung ist immer verfügbar und kann nicht deaktiviert werden.

Konfigurieren des Authentifizierungsmodus

Wenn Sie während des Setups die Gemischte Modusauthentifizierung auswählen, müssen Sie ein sicheres Kennwort für das integrierte SQL Server-Systemadministratorkonto "sa" angeben und bestätigen. Das sa-Konto stellt mithilfe der SQL Server-Authentifizierung eine Verbindung her.

Wenn Sie die Windows-Authentifizierung während des Setups auswählen, erstellt Setup das sa-Konto für die SQL Server-Authentifizierung, ist aber deaktiviert. Wenn Sie später zur Authentifizierung im gemischten Modus wechseln und das Sa-Konto verwenden möchten, müssen Sie das Konto aktivieren. Jedes Windows- oder SQL Server-Konto kann als Systemadministrator konfiguriert werden. Da das sa-Konto bekannt ist und häufig von böswilligen Benutzern angegriffen wird, aktivieren Sie das sa-Konto nur, wenn Ihre Anwendung es erfordert. Legen Sie niemals ein leeres oder schwaches Kennwort für das sa-Konto fest. Informationen zum Wechseln vom Windows-Authentifizierungsmodus in die Authentifizierung im gemischten Modus und zur Verwendung der SQL Server-Authentifizierung finden Sie unter Ändern des Serverauthentifizierungsmodus.

Herstellen einer Verbindung über die Windows-Authentifizierung

Wenn ein Benutzer eine Verbindung über ein Windows-Benutzerkonto herstellt, überprüft SQL Server den Kontonamen und das Kennwort mithilfe des Windows-Prinzipaltokens im Betriebssystem. Dies bedeutet, dass die Benutzeridentität von Windows bestätigt wird. SQL Server fragt nicht nach dem Kennwort und führt keine Identitätsüberprüfung durch. Die Windows-Authentifizierung ist der Standardauthentifizierungsmodus und ist viel sicherer als die SQL Server-Authentifizierung. Die Windows-Authentifizierung verwendet das Kerberos-Sicherheitsprotokoll, stellt Maßnahmen zur Durchsetzung von Kennwortrichtlinien, z. B. zur Überprüfung der Komplexität sicherer Kennwörter, bereit und bietet Unterstützung für Kontosperrungen und Ablauf von Kennwörtern. Eine Verbindung, die mit der Windows-Authentifizierung hergestellt wird, wird manchmal als vertrauenswürdige Verbindung bezeichnet, da SQL Server den von Windows bereitgestellten Anmeldeinformationen vertraut.

Mithilfe der Windows-Authentifizierung können Windows-Gruppen auf Domänenebene erstellt werden, und eine Anmeldung kann auf SQL Server für die gesamte Gruppe erstellt werden. Die Verwaltung des Zugriffs auf Domänenebene kann die Kontoverwaltung vereinfachen.

Herstellen einer Verbindung über die SQL Server-Authentifizierung

Bei Verwendung der SQL Server-Authentifizierung werden Anmeldungen in SQL Server erstellt, die nicht auf Windows-Benutzerkonten basieren. Der Benutzername und das Kennwort werden mithilfe von SQL Server erstellt und in SQL Server gespeichert. Benutzer, die eine Verbindung mit SQL Server-Authentifizierung herstellen, müssen ihre Anmeldeinformationen (Anmeldung und Kennwort) jedes Mal angeben, wenn sie eine Verbindung herstellen. Bei Verwendung der SQL Server-Authentifizierung müssen Sie sichere Kennwörter für alle SQL Server-Konten festlegen. Richtlinien für sichere Kennwörter finden Sie unter "Sichere Kennwörter".

Für SQL Server-Anmeldungen stehen drei optionale Kennwortrichtlinien zur Verfügung.

• Der Benutzer muss das Kennwort bei der nächsten Anmeldung ändern.

  Erfordert, dass der Benutzer das Kennwort bei der nächsten Verbindung des Benutzers ändert. Die Möglichkeit zum Ändern des Kennworts wird von SQL Server Management Studio bereitgestellt. Softwareentwickler von Drittanbietern sollten dieses Feature bereitstellen, wenn diese Option verwendet wird.

• Passwortablauf erzwingen

  Die Richtlinie für das maximale Kennwortalter des Computers wird für SQL Server-Anmeldungen erzwungen.

• Kennwortrichtlinie erzwingen

  Die Windows-Kennwortrichtlinien des Computers werden für SQL Server-Anmeldungen erzwungen. Dies schließt die Länge und Komplexität von Kennwörtern ein. Diese Funktionalität hängt von der NetValidatePasswordPolicy API ab, die nur in Windows Server 2003 und höheren Versionen verfügbar ist.

So bestimmen Sie die Kennwortrichtlinien des lokalen Computers

1. Klicken Sie im Menü Start auf Ausführen.

2. Geben Sie im Dialogfeld Ausführensecpol.msc ein, und klicken Sie dann auf OK.

3. Erweitern Sie in der Anwendung "Lokale Sicherheitseinstellungen " die Option "Sicherheitseinstellungen", erweitern Sie "Kontorichtlinien", und klicken Sie dann auf "Kennwortrichtlinie".

   Die Kennwortrichtlinien werden im Ergebnisbereich beschrieben.

Nachteile der SQL Server-Authentifizierung

• Wenn ein Benutzer ein Windows-Domänenbenutzer ist, der über eine Anmeldung und ein Kennwort für Windows verfügt, muss er weiterhin eine andere (SQL Server)-Anmeldung und ein kennwort angeben, um eine Verbindung herzustellen. Das Nachverfolgen mehrerer Namen und Kennwörter ist für viele Benutzer schwierig. Die Angabe von SQL Server-Anmeldeinformationen jedes Mal, wenn eine Verbindung mit der Datenbank hergestellt wird, kann lästig sein.

• Die SQL Server-Authentifizierung kann kein Kerberos-Sicherheitsprotokoll verwenden.

• Windows bietet zusätzliche Kennwortrichtlinien, die für SQL Server-Anmeldungen nicht verfügbar sind.

• Das verschlüsselte Anmeldekennwort für die SQL Server-Authentifizierung muss zum Zeitpunkt der Verbindung über das Netzwerk übergeben werden. Einige Anwendungen, die eine Verbindung herstellen, speichern das Kennwort automatisch auf dem Client. Dies sind zusätzliche Angriffspunkte.

Vorteile der SQL Server-Authentifizierung

• Ermöglicht SQL Server, ältere Anwendungen und Anwendungen zu unterstützen, die von Drittanbietern bereitgestellt werden, die SQL Server-Authentifizierung erfordern.

• Ermöglicht SQL Server die Unterstützung von Umgebungen mit gemischten Betriebssystemen, bei denen alle Benutzer nicht von einer Windows-Domäne authentifiziert werden.

• Ermöglicht Benutzern das Herstellen einer Verbindung von unbekannten oder nicht vertrauenswürdigen Domänen. Beispielsweise eine Anwendung, in der etablierte Kunden eine Verbindung mit zugewiesenen SQL Server-Anmeldungen herstellen, um den Status ihrer Bestellungen zu erhalten.

• Ermöglicht SQL Server die Unterstützung webbasierter Anwendungen, in denen Benutzer eigene Identitäten erstellen.

• Ermöglicht Softwareentwicklern, ihre Anwendungen mithilfe einer komplexen Berechtigungshierarchie basierend auf bekannten, vordefinierten SQL Server-Anmeldungen zu verteilen.

  Hinweis

  Die Verwendung der SQL Server-Authentifizierung beschränkt nicht die Berechtigungen lokaler Administratoren auf dem Computer, auf dem SQL Server installiert ist.

Siehe auch

Überlegungen zur Sicherheit bei SQL Server-Installationen