Безопасность SQL Server: запретить авторизованным пользователям Active Directory считывать данные

Question

У меня есть приложение для веб-интрасети, которое использует встроенную аутентификацию AD. Это приложение подключается к базе данных SQL, к которой осуществляется доступ через токен пользователя. Проблема в том, что любой пользователь, имеющий разрешение на доступ к приложению, также может напрямую запрашивать сервер, минуя приложение. Единственный способ, которым я могу думать о защите этого сервера, - использовать брандмауэр, который блокирует все хосты, отличные от приложения. Может ли кто-нибудь рекомендовать технику, которая позволила бы приложению подключаться/аутентифицироваться в БД без использования FW?

Answer 1

Если это опция для вашей среды, и если приложение и сервер sql находятся на одном компьютере, вы можете попробовать отключить все внешние подключения к серверу sql. Таким образом, только приложение сможет подключаться, но не внешние пользователи.

Answer 2

См. Первый ответ в этом сообщении StackOverflow. Как говорит автор, нет никакого общего решения, у вас всегда будет компромисс.

На мой взгляд, олицетворение пользователя - это путь.