Authentifizierung
Für Microsoft SQL Server stehen im OPC Router zwei Authentifizierungsmethoden zur Verfügung: SQL Server-Authentifizierung und Windows-Authentifizierung. Beide Verfahren unterstützen den Zugriff auf dieselbe Datenbank, unterscheiden sich aber in Administration, Sicherheitsmodell und Betriebsumgebung.
SQL Server-Authentifizierung
Die SQL Server-Authentifizierung ist ein alternativer Authentifizierungsmodus, der verwendet wird, wenn die Windows-Authentifizierung nicht verfügbar oder nicht gewünscht ist. Dabei authentifizieren Sie sich mit einem SQL-Server-Anmeldenamen und einem Passwort. Das verwendete Konto muss über die Berechtigungen verfügen, die für die gewünschten Aktionen im Microsoft SQL Server erforderlich sind.
Aus Sicherheitssicht ist die SQL Server-Authentifizierung vor allem dann sinnvoll, wenn kein Windows-Konto verwendet werden kann, etwa in nicht Windows-basierten Umgebungen oder bei klar getrennten Datenbankzugängen. Sie erfordert jedoch eine saubere Verwaltung von Benutzername und Passwort, regelmäßige Passwortwechsel und eine sichere Ablage der Zugangsdaten.
Windows-Authentifizierung
Bei der Windows-Authentifizierung wird die Identität über das Windows-Benutzerkonto geprüft. Ein separates SQL-Server-Konto ist dann nicht erforderlich. Diese Authentifizierungsart ist nur für Windows-Systeme geeignet und wird unter Docker oder Linux nicht unterstützt.
Aus Sicherheitssicht bietet die Windows-Authentifizierung in typischen Windows- oder Domänenumgebungen Vorteile, weil Kennwortrichtlinien, Kontosperrungen und Benutzerverwaltung zentral über Windows beziehungsweise Active Directory gesteuert werden können. Zusätzlich lassen sich Berechtigungen gezielt an den Dienstbenutzer des OPC Router vergeben, ohne separate SQL-Logins pflegen zu müssen.
Vergleich der Authentifizierungsmethoden und Best Practice
Für produktive Windows-Umgebungen ist die Windows-Authentifizierung in der Regel Best Practice. Sie reduziert den Verwaltungsaufwand, vermeidet zusätzliche SQL-Zugangsdaten und integriert sich besser in bestehende Sicherheitsrichtlinien. Verwenden Sie dafür nach Möglichkeit ein dediziertes Dienstkonto mit minimal erforderlichen Rechten auf Datenbank- und Systemebene.
Die SQL Server-Authentifizierung ist Best Practice, wenn der OPC Router nicht unter Windows betrieben wird, wenn keine Vertrauensstellung zur Windows-Umgebung besteht oder wenn organisatorisch bewusst mit getrennten SQL-Zugängen gearbeitet werden soll. Auch in diesem Fall sollten Sie ein eigenes Konto für den OPC Router verwenden und die Berechtigungen strikt auf die tatsächlich benötigten Datenbankaktionen begrenzen.
Seit OPC Router Version 5.0 wird für die Windows-Authentifizierung der Dienstbenutzer des OPC Router Laufzeitdienstes verwendet. Dieses Konto muss über die erforderlichen Rechte für die Authentifizierung und den Datenbankzugriff verfügen.
Hinweise zur Konfiguration von Windows-Benutzerkonten für den OPC Router.
Benötigte Rollen und Rechte für Datenbank-Transferobjekte
Die folgende Übersicht zeigt, welche Datenbankrollen und Berechtigungen für die einzelnen Transferobjekte und deren Optionen im Microsoft SQL Server benötigt werden.
| Aktion im Transferobjekt | Beschreibung | Rollen | Rechte |
|---|---|---|---|
| Update | - | db_datawriter | UPDATE |
| Select | ohne Veränderung der Datensätze | db_datareader | SELECT |
| Select | mit Option „Datensätze nach durchgeführtem Transfer markieren“ | db_datareader, db_datawriter | SELECT, UPDATE |
| Select | mit Option „Datensätze nach erfolgreichem Transfer löschen“ | db_datareader, db_datawriter | SELECT, DELETE |
| Gespeicherte Prozeduren | - | Rolle oder Benutzer mit EXECUTE-Recht | EXECUTE |
| Delete | - | db_datawriter | DELETE |
| Insert | - | db_datawriter | INSERT |
Diese Rechte gelten zusätzlich zu den Anforderungen der gewählten Authentifizierungsmethode. Entscheidend ist also nicht nur, wie sich der OPC Router anmeldet, sondern auch, welche Aktionen das verwendete Konto in der Datenbank tatsächlich ausführen darf.