הגדרת MS SQL כשרת ה Database

הגדרת MS SQL כשרת ה Database

Info
הקדמה: PAM360 משתמשת ב-PostgreSQL כברירת מחדל כמסד הנתונים של המערכת.
עם זאת, ניתן להגדיר את המוצר כך שיעבוד גם עם DB אחרים, כמו MS SQL standalone, MS SQL cluster, Azure SQL, Azure Postgres ועוד.
במסמך זה תלמדו בפירוט את השלבים להגדרת MS SQL  כמסד הנתונים עבור PAM360.

Notes
המלצת היצרן להשתמש ב-service account ייעודי להרצת PAM360, יש לוודא ש-service account זה הוא חלק מקבוצת ה-local admin בשרת של PAM360.
על ה -service account שבו משתמשים עבור שירות PAM360 ותהליך שינוי בסיס הנתונים (change DB process) להכיל את ההרשאות הבאות:
 - בשרת ה-SQL, בחרו את החשבון הנדרש. תחת Server roles, יש להעניק הרשאות 'dbcreator'.
 - לאחר יצירת ה DB, בחרו את המשתמש והעניקו לו הרשאות 'dbowner'.

1. יצירת תעודת SSL והתקנה ב-Windows Certificate Store

לפני חיבור PAM360 לשרת ה-SQL, יש להפעיל SSL encryption בשרת ה-SQL.
לשם כך, יש ליצור SSL Certificate ולחתום עליו באמצעות Certificate Authority (CA) חיצוני או באמצעות חתימה עצמית (self-signed) (ראה מידע נוסף).

א. יצירת התעודה והחתמה ע"י CA חיצוני:
ניתן ליצור את התעודה באמצעות openssl, התהליך כולל שני שלבים – יצירת private key ויצירת certificate request (CSR).

1) יצירת Private Key
באמצעות הפקודה הבאה:

  1. openssl genrsa -des3 -out server.key 2048

2) יצירת Certificate Request (CSR)
א. נשתמש ב-Private Key של השרת ליצירת בקשת תעודה, נזין סיסמה (Passphrase) לקובץ, Common Name, Hostname, IP Address וכו'.
תחת Common Name, יש לציין את ה-FQDN של שרת ה-SQL.
  1. openssl req -new -key server.key -out server.csr

ב. לאחר יצירת ה CSR יש להחתים אותו באמצעות ה CA הארגוני או על ידי ספק חיצוני כמו VeriSign, Thawte, RapidSSL, את התעודה נקבלך בפורמט cer.

ג. יש להתקין את ה server certificate  שיצרנו במכונה שבה רץ שרת ה-SQL.
ד. יש להתקין את ה CA root certificate בשרת PAM360.

3) התקנת תעודת השרת במכונה שבה רץ SQL Server
א. בשרת ה SQL, ללחוץ על Start >> Run והקלידו MMC.
ב. מתוך ה Console, לחצו על Add/Remove Snap-in, בחרו ב Certificates. ולחצו על Add, בחלון הבא נבחר ב Computer Account. 
ג. לאחר מכן נגש ל Certificates (Local Computer) >> Personal >> Certificates.
ד. לחצו קליק ימני על Certificates ובחרו All Tasks >> Import.
ה. לחצו על Browse ובחרו את התעודה.



4) התקנת ה CA's root certificate בשרת PAM360
א. נעתיק את התעודה של ה-CA ונשים בתיקייה  <PAM360 Installation Folder>/bin
ב.מתוך תיקיית <PAM360 Installation Folder>/bin, נריץ את הפקודה הבאה:
''ImportCert.bat ''certificate name
ג. פעולה זו תוסיף את התעודה ל-PAM360 certificate store.

ב. יצירת תעודת self-signed באמצעות Powershell
כדי ליצור תעודת self-signed ולהשתמש בה, בצעו את השלבים הבאים במכונה שבה מותקן שרת ה-SQL:
גשו ל-SQL Server ופתחו Powershell (הריצו כ-Administrator).
הריצו את הפקודה הבאה:
  1. New-SelfSignedCertificate -DnsName FQDN of the SQL server -CertStoreLocation cert:\LocalMachine\My
הפקודה הנ"ל תיצור ותאחסן תעודת self-signed ב-local store המקומי שלכם.

2. יבוא תעודת ה SSL לשרת PAM360

א. נעתיק את התעודה לשרת PAM360 למיקום הבא <PAM360 Installation Folder\bin>
ב. נריץ את הפקודה הבאה:
  1. <importCert.bat <name of the server certificate
ג. פעולה זו תוסיף את התעודה ל-PAM360 certificate store.

3. הפעלת SSL Encryption בשרת ה SQL

א. בשרת ה SQL , נפתח את ה SQL Server Configuration Manager.
לחצו על Start במכונה שבה רץ שרת ה-SQL. מתוך תפריט התוכניות של Microsoft SQL Server, לחצו על Configuration Tools, ולאחר מכן על SQL Server Configuration Manager.
ב. תחת לשונית SQL Server Network Configuration, נלחץ מקש ימני על Protocols של השרת הרצוי, ולאחר מכן לחצו על Properties.
ג. בלשונית Certificate, נבחר את התעודה
ד. יש להגדיר את האפשרות Force Encryption כ-Yes.
ה. יש לאתחל את שרת ה SQL.

4. הרצת ChangeDB.bat בשרת PAM360

ספקו את פרטי שרת ה-SQL ל-PAM360 על ידי עריכת הקובץ ChangeDB.bat (Windows) או ChangeDB.sh (Linux). בצעו את השלבים הבאים:
א. נגש לנתיב <PAM360 Installation Folder>/bin ונריץ את הקובץ ChangeDB.bat (Windows) או sh ChangeDB.sh (Linux).
ב. בחלון שנפתח נוכל להוריד את מדריך היצרן תחת  'Open the best practices document', נבחר ב 'Continue with setup' כדי להמשיך בהגדרת ה DB.
ג. בחלון שנפתח  נזין את הפרטים הבאים:
1) נבחר את ה Server Type כ-SQL Server.
2) Host Name: שם או כתובת ה-IP של המכונה בה מותקן שרת ה-MS SQL.
3) Instance Name: נציין את שם ה-SQL Server instance שישמש את PAM360. אם לא נזין instance name, המערכת תנסה להתחבר ל-instance ברירת המחדל ב-port 1433.
ניתן לציין פורט שונה מ-1433, נזין אותו בפרמטר Host Name כך: <hostname>:<port>.
4) Database Name: שם ה DB של PAM360 כברירת המחדל הוא PassTrix,  ניתן לבחור כאן שם אחר, המערכת תיצור את ה Master Key, Symmetric Key וכו'.
5) Authentication: שיטת האימות לשרת ה-SQL
כדי לבצע Windows Authentication נוודא שה  PAM360 Service רץ עם service account בעל הרשאות גישה ל-SQL.

Info
מומלץ לבחור באופציית Windows, כיוון ששם המשתמש והסיסמה לא נשמרים בשום מקום.
SQL Authentication: אם בחרתם באופציית SQL בשלב הקודם, ציינו כאן את שם המשתמש והסיסמה איתם PAM360 תתחבר ל-database.
Info
שם המשתמש והסיסמה שצוינו יישמרו בקובץ database_params.conf של PAM360. יש להקפיד על אבטחת הקובץ.
ניתן גם להשתמש בפרטי ההתחברות של Windows. במקרה זה, הזן את שם המשתמש כך: <domain-name>\<username>.

6) Encryption Key: מפתח להצפנת המידע ואחסון ב SQL. בחירה ב Default תתיר למערכת ליצור מפתח, ניתן ליצור מפתח הצפנה מותאם אישית ולהזין תחת Custom. 
Instance Type (7: תומכת גם ב-Local Instance (on-premise) וגם ב-Azure SQL כבסיסי נתונים אחוריים. כאן, בחר Local Instance כדי להמשיך עם שינוי הגדרת בסיס הנתונים.
8)  לבסוף, נלחץ על Test כדי לוודא שההגדרות תקינות, ולאחר מכן Save.




    • Related Articles

    • רשימת מחשבים ותוכנות - סקריפט SQL

      SELECT systeminfo.workstationname "Workstation", ( softwarelist.softwarename ) "Software_Name", Max(swmfg.NAME) "Manufacturer", Max(softwareinfo.fileversion) "Version" FROM softwareinfo LEFT JOIN softwarelist ON softwareinfo.softwareid = ...

    • הגדרת סנכרון עם ה Active directory

      הקדמה: במדריך זה נלמד לבצע סנכרון ראשוני עם ה-AD (כדי לייבא את המחשבים למערכת לראשונה לאחר חיבור הדומיין), וכן להגדיר מועד סנכרון קבוע, כדי להבטיח עדכניות של המערכת, וסנכרון אוטומטי של המחשבים בה. נלחץ על הנתיב הבא: Agent - >domain-> sync now: בסיום ...

    • הגדרת חיבור Microsoft Graph עבור תיבת המייל במערכת ServiceDesk

      מערכת ServiceDesk Plus משתמשת בתיבת המייל לצורך פתיחת קריאות עבור המשתמשים. יש צורך בחיבור תיבת המייל על מנת למשוך את המיילים ממשתמשי הקצה למערכת שם היא נותנת להם מזהה ייחודי ואפשרויות לביצוע פעולות נוספות כמו מעקב אחר התקלה, שיוך לפרויקטים, מעקב אחר ...

    • הגדרת גיבוי אוטומטי ServiceDesk

      ניתן להגדיר גיבוי אוטומטי במערכת ServiceDesk, שיתבצע מחוץ לשעות הפעילות ויאוחסן בתיקייה בשרת. כדי להגדיר זאת, יש לגשת להגדרות הכלליות של המערכת דרך תפריט האדמין (סמל ה- gear) ושם לבחור ב'תזמון גיבוי'. במסך זה ניתן לקבוע את תאריך ההתחלה של הגיבוי, את ...

    • הגדרת משתמש Super Administrator

      הקדמה: מערכת PAM360 מגיעה עם 6 תפקידים מובנים, נוכל למנות אחד או יותר ממשתמשי האדמין ל Super Administrator. בשונה מהתפקידים המתייחסים ליכולות במערכת, מינוי ל Super Admin יתן למשתמש גישה לכלל המשאבים בארגון ללא קשר ל Resource Owner. Privileged ...