Uwierzytelnianie Windows

Uwierzytelnianie Windows wykorzystuje tożsamość zalogowanego użytkownika systemu do nawiązania połączenia z bazą.

Na czym polega uwierzytelnianie Windows

Uwierzytelnianie Windows to mechanizm potwierdzania tożsamości użytkownika na podstawie konta używanego do logowania do systemu Windows. Przy połączeniu z zasobem sieciowym, aplikacją albo bazą danych system może przekazać informację o zalogowanej osobie bez ponownego wpisywania osobnego loginu i hasła. Tożsamość jest rozpoznawana na podstawie konta lokalnego albo konta domenowego, zależnie od konfiguracji komputera i środowiska.

W praktyce aplikacja nie musi przechowywać hasła użytkownika w swoim pliku konfiguracyjnym. System Windows wykorzystuje własne mechanizmy bezpieczeństwa do potwierdzenia, że bieżący użytkownik ma prawo uzyskać dostęp do wskazanego zasobu. Samo uwierzytelnienie nie oznacza jednak automatycznie pełnego dostępu. Po rozpoznaniu konta następuje jeszcze autoryzacja, czyli sprawdzenie przypisanych uprawnień.

Konto, domena i mechanizmy protokołu

W komputerze niepodłączonym do domeny uwierzytelnianie może opierać się na lokalnym koncie Windows. Taki użytkownik jest znany tylko danemu komputerowi, dlatego dostęp do zasobu znajdującego się na innym urządzeniu wymaga zgodnej konfiguracji kont lub dodatkowego mechanizmu pośredniczącego. W środowisku domenowym konto jest zarządzane centralnie, a jego tożsamość może być rozpoznawana przez kontroler domeny.

Windows korzysta z kilku mechanizmów uwierzytelniania, których wybór zależy od środowiska i usługi. Kerberos jest używany przede wszystkim w prawidłowo działającej domenie Active Directory, natomiast NTLM może być stosowany w określonych sytuacjach, między innymi przy braku możliwości użycia Kerberosa. Działanie Kerberosa zależy między innymi od poprawnej synchronizacji czasu, rozpoznawania nazw oraz dostępności właściwych usług domenowych. Problem z którymkolwiek z tych elementów może spowodować, że połączenie nie zostanie nawiązane mimo poprawnego hasła.

Uwierzytelnianie przy połączeniu z bazą danych

W przypadku aplikacji korzystającej z bazy danych uwierzytelnianie Windows pozwala użyć tożsamości procesu albo użytkownika uruchamiającego aplikację. Sterownik lub biblioteka kliencka przekazuje żądanie połączenia do systemu Windows, a serwer bazy danych otrzymuje informację o rozpoznanym koncie. Następnie serwer sprawdza, czy to konto zostało utworzone lub zmapowane po jego stronie i jakie ma uprawnienia do baz, schematów, tabel albo procedur.

Istotne jest rozróżnienie między kontem osoby uruchamiającej program a kontem usługi systemowej. Jeżeli aplikacja działa jako usługa Windows, połączenie może być wykonywane z użyciem konta przypisanego do tej usługi, a nie konta administratora zalogowanego na pulpicie. Podobnie zadanie uruchamiane przez harmonogram może działać w innym kontekście bezpieczeństwa niż program uruchomiony ręcznie. Błędne rozpoznanie tego kontekstu często prowadzi do komunikatu o odmowie dostępu, chociaż ten sam użytkownik może poprawnie połączyć się z bazą z poziomu narzędzia administracyjnego.

Rozpoznawanie problemów z dostępem

Diagnostykę należy rozpocząć od ustalenia, jakie konto faktycznie wykonuje próbę połączenia, do jakiego komputera lub serwera kierowane jest żądanie oraz czy komputer działa w oczekiwanej domenie lub grupie roboczej. Warto również sprawdzić nazwę używanego zasobu, dostępność sieci, rozwiązywanie nazwy hosta i stan usług Windows związanych z logowaniem. Sama możliwość zalogowania do pulpitu nie potwierdza jeszcze prawa do korzystania z konkretnej bazy danych.

Jeżeli problem występuje tylko w jednym programie, należy porównać jego ustawienia połączenia z konfiguracją działającego klienta. Znaczenie mogą mieć między innymi wybrany tryb uwierzytelniania, nazwa instancji, konto usługi, zapisane poświadczenia oraz sposób uruchomienia aplikacji. Przy diagnozie trzeba także odróżnić błąd uwierzytelnienia od błędu autoryzacji, niedostępności sieci i nieprawidłowego adresu serwera. Analiza konfiguracji systemu może pomóc ustalić, na którym etapie połączenie przestaje działać.