.NET 6在Windows Server IIS上连接SQL Server的安全方案咨询

1. 启用SQL Server本地连接协议 #

• 打开SQL Server配置管理器，进入SQL Server网络配置 -> MSSQLSERVER的协议
• 确保共享内存和命名管道处于启用状态（这两个是本地进程连接SQL Server的安全协议，无需开放1433端口）
• 重启SQL Server服务使配置生效

2. 给IIS应用程序池身份分配SQL权限 #

• 打开IIS管理器，找到API对应的应用程序池，查看其标识（默认多为ApplicationPoolIdentity或Network Service）
• 打开SQL Server Management Studio（SSMS）登录本地数据库：
  • 若应用程序池用ApplicationPoolIdentity，在安全性->登录名中创建Windows身份验证登录，格式为IIS APPPOOL\[你的应用程序池名称]（例如IIS APPPOOL\MyApiPool）
  • 若用Network Service，直接添加NT AUTHORITY\NETWORK SERVICE作为登录名
• 切换到目标数据库myDataBase，在安全性->用户中关联上述登录名，并分配db_datawriter角色（满足数据填充需求），或按需设置更精细的权限

3. 修正本地连接字符串 #

推荐使用本地优先的连接字符串写法，避免触发TCP/IP连接：

Server=(local);Database=myDataBase;Trusted_Connection=True;

如果是SQL Server命名实例，可明确指定命名管道协议：

Server=np:\\.\pipe\MSSQL$[你的实例名]\sql\query;Database=myDataBase;Trusted_Connection=True;

4. 验证权限有效性 #

• 用以下命令模拟应用程序池身份执行测试：

  runas /user:"IIS APPPOOL\[你的应用程序池名称]" cmd.exe
  

• 在弹出的命令行中运行sqlcmd -S (local) -d myDataBase -E，能成功连接则说明权限配置正确

5. 彻底关闭安全隐患 #

确认SQL Server的TCP/IP协议已禁用（无需远程连接时），或限制其仅监听127.0.0.1，同时关闭防火墙1433端口的对外开放

内容的提问来源于stack exchange，提问作者cryspijohnny