Configurer SQL Server pour les utilisateurs protégés avec la sécurité intégrée

Voici les étapes pour configurer votre SQL Server afin de permettre à vos Protected Users de se connecter à la base de données à l'aide de la méthode d'authentification par sécurité intégrée.

Selon Microsoft, Protected Users bloque l'utilisation des hachages NTLM. Il est toutefois possible de configurer SQL Server pour qu'il utilise également Kerberos pour la sécurité intégrée. Ceci est pris en charge d'emblée par Remote Desktop Manager.

Pour que SQL Server prenne en charge l'authentification Kerberos, des SPN doivent être créés. Par défaut, le service s'exécute sous des comptes qui n'ont pas les permissions requises. Vous pourriez obtenir les messages suivants au démarrage de SQL Server (vous pouvez consulter les journaux dans SSMS sous Management SQL Server Logs) : "The SQL Server Network Interface library could not register the Service Principal Name (SPN) for the SQL Server service."

Vous devrez configurer le service SQL Server pour qu'il s'exécute sous Network Service, car celui-ci possède les permissions nécessaires. Selon cet article, il est aussi possible d'accorder les permissions de créer des SPN à un compte de service. Vous devrez également changer le compte dans SQL Server Configuration Manager.

Cependant, SQL Server pourrait encore signaler qu'il n'a pas pu enregistrer les SPN. Microsoft Kerberos Configuration Manager for SQL Server peut être utilisé pour corriger les SPN. Il affiche des boutons cliquables dans les colonnes Action.

Après le redémarrage du service SQL Server, vous devriez voir « The SQL Server Network Interface library successfully registered the Service Principal Name (SPN) [ MSSQLSvc/vdownsrv-sql3.downhill.loc:1433 ] for the SQL Server service. » dans les journaux.

À ce stade, la connexion devrait fonctionner de nouveau dans Remote Desktop Manager.