IIS - Управление доступом к базам данных

Существует ряд приемов эффективного ограничения доступа к файлам баз данных. К таким приемам относятся настройка возможностей защиты программного обеспечения баз данных и задание разрешений файловой системы NTFS для файлов баз данных. В настоящем разделе перечислены основные правила эффективного ограничения доступа к файлам баз данных веб-сервера.

1. При создании файлов баз данных выполните настройку средств безопасности программного обеспечения. В зависимости от возможностей, поддерживаемых программным обеспечением баз данных, можно в широком диапазоне контролировать доступ пользователей к файлам баз данных. Например, средства безопасности Microsoft SQL Server позволяют контролировать доступ пользователей к конкретным файлам базы данных, в том числе доступ к определенным таблицам, записям и полям. Дополнительные сведения см. в документации программного обеспечения базы данных.
2. Защитите файлы и каталоги баз данных, сохраненные на веб-сервере, с помощью соответствующих разрешений NTFS. Проверьте, что предоставлены необходимые разрешения доверенным пользователям, которым требуется обновлять файлы баз данных. Дополнительные сведения см. в разделе Задание разрешений NTFS для каталога или файла.
3. Защитите с помощью соответствующих разрешений NTFS файлы имен источников данных (DSN), в которых могут содержаться коды пользователей и пароли.
4. Защитите с помощью соответствующих разрешений NTFS файлы .asp, содержащие сценарии, в которых передаются в базы данных сведения об именах пользователей и паролях.

Совет.   Рассмотрите возможность преобразования сценариев ASP для баз данных, в особенности содержащих имя пользователя и пароль, в защищенные компоненты COM на сервере. Дополнительные сведения содержатся в пакете Internet Information Services SDK, поставляемом с пакетом SDK операционной системы.

5. Выберите подходящий способ проверки подлинности на веб-сервере, позволяющий определить личность пользователя, пытающегося получить доступ к базе данных. Способ проверки подлинности пользователя базы данных может в значительной степени определяться протоколом, который используется для подключения к базе данных. Например, если решено использовать по умолчанию для подключения к SQL Server протокол Named Pipes, то проверка подлинности учетной записи Windows может иметь место дополнительно к проверке подлинности, выполняемой SQL Server. Внимательно изучите по документации программного обеспечения базы данных правила объединения различных способов проверки подлинности.