SQL Server Integrated Security

He estado buscando mucho para comprender los problemas relacionados con la seguridad en un servidor SQL. Estamos desarrollando una aplicación .NET dirigida a SQL Server 2008 y queremos usar FileStream.

Ahora me he enterado de que SQL Server solo permite FileStream a través de la API de Win32 si usa Integrated Security. El problema es que tenemos alrededor del 80% de nuestra aplicación finalizada, pero está completamente basada en la autenticación de SQL. Así que estamos haciendo el formulario directo de INSERT de nuestra aplicación y no estamos utilizando procedimientos almacenados para cada operación de CRUD.

Esto es relativamente seguro porque puedo almacenar el nombre de usuario y la contraseña de SQL de forma cifrada. Sé que la contraseña se transporta en texto claro, pero estoy dispuesto a aceptarlo.

Queremos que los usuarios finales puedan conectarse a la base de datos a través de herramientas como Crystal Reports y para eso tenemos un inicio de sesión de SQL adicional que solo tiene derechos SELECT concedidos.

Ahora, si cambiamos a Seguridad Integrada tendríamos que otorgar a los usuarios individuales (a través de grupos de AD, etc.) los derechos para hacer lo que la aplicación puede hacer. De lo contrario la aplicación no podría hacer su trabajo. Pero entonces el usuario final también tendría estos derechos cuando se conecte directamente a la base de datos.

Veo personas que dicen que debería usar los procedimientos almacenados para cada operación de CRUD y otorgar los derechos EXEC solo al grupo AD, pero ¿cómo haría esto? No veo cómo un usuario tendría diferentes autorizaciones cuando se conecte directamente oa través de la aplicación ... ¿Alguien me puede aclarar sobre esto?

Una pregunta adicional para los puntos de bonificación: la seguridad integrada no funcionará en un grupo de trabajo por lo que yo entiendo. ¿Cómo hace la gente para que FileStream funcione en un grupo de trabajo? ¿O es esto considerado una imposibilidad?

Respuestas a la pregunta(1)

Su respuesta a la pregunta