Comment gérer les mots de passe pour l'accès à la base de données à partir d'un site web asp.net

Question

Juste curieux quant aux meilleures pratiques pour gérer l'accès db à partir d'une application web asp.net. Nous étions en train de mettre le nom d'utilisateur et le mot de passe dans le web.config, mais la sécurité interne n'était pas suffisante (évidemment), donc j'ai décidé d'utiliser un utilisateur de domaine Windows en modifiant le web.config pour utiliser le domaine windows, puis ajouter l'utilisateur à l'identité du pool d'applications. Tout fonctionne correctement, mais que se passe-t-il lorsque le mot de passe de l'utilisateur du domaine change? Cela signifie-t-il que toutes les applications Web qui utilisent l'identité de cet utilisateur dans le pool d'applications nécessiteront également le changement de mot de passe? Ce serait un cauchemar informatique. Quelqu'un at-il des suggestions sur la meilleure approche pour permettre webapp accéder à la base de données sans exposer le mot de passe et sans avoir à mettre à jour les mots de passe dans toutes les applications web si le mot de passe change? Merci

Answer 1

Une meilleure solution serait de mettre en place un pool d'application séparée qui est mis en place avec un compte de service qui a accès à la base de données redémarrer l'application Web après avoir sélectionné le nouveau pool d'applications et utiliser la sécurité intégrée .

Utilisez un mot de passe très fort (et long) et réglez le compte sur le mot de passe n'expire pas et l'utilisateur ne peut pas changer de mot de passe. Cela empêche l'utilisation de texte en clair dans les fichiers web.config.

Answer 2

Je recommanderais d'utiliser l'authentification SQL en mode mixte et d'utiliser un compte SQL pour votre application. Le nom d'utilisateur et mot de passe dans le web.config et crypter cette section du fichier de configuration.

Voici quelques informations sur le chiffrement de la configuration.

http://msdn.microsoft.com/en-us/library/zhhddkxy(v=vs.100).aspx