Ubuntu上SQL Server安全设置指南
安装SQL Server
首先导入Microsoft GPG密钥并注册Ubuntu存储库，然后安装SQL Server：
wget -qO- https://packages.microsoft.com/keys/microsoft.asc | sudo tee /etc/apt/trusted.gpg.d/microsoft.asc
sudo add-apt-repository "deb [arch=amd64,arm64] https://packages.microsoft.com/ubuntu/$(lsb_release -rs)/mssql-server-2022 main"
sudo apt-get update
sudo apt-get install -y mssql-server
初始化配置
运行mssql-conf setup设置SA账户密码（需符合复杂度要求，如包含大小写字母、数字和特殊字符）及版本（Developer/Enterprise/Standard），并启用SQL Server代理：
sudo /opt/mssql/bin/mssql-conf set sqlagent.enabled true
sudo systemctl restart mssql-server
更改数据/日志目录
将默认数据、日志目录迁移至非系统分区（如/home/d/mssql/data），提升数据隔离性与安全性：
sudo mkdir -p /home/d/mssql/data
sudo chown -R mssql:mssql /home/d/mssql/data
sudo /opt/mssql/bin/mssql-conf set filelocation.defaultdatadir /home/d/mssql/data
sudo /opt/mssql/bin/mssql-conf set filelocation.defaultlogdir /home/d/mssql/data
配置防火墙
使用UFW开放SQL Server默认端口（1433），限制仅允许可信IP访问：
sudo apt-get install ufw
sudo ufw allow from <trusted_ip> to any port 1433/tcp
sudo ufw enable
sudo ufw status # 验证规则是否生效
修改默认端口
通过mssql-conf修改TCP端口（如27777），降低端口扫描攻击风险：
sudo /opt/mssql/bin/mssql-conf set network.tcpport 27777
sudo systemctl restart mssql-server
限制远程连接
在SQL Server配置管理器中（需通过SSH隧道访问），禁用不必要的网络协议（如Named Pipes、VIA），仅保留TCP/IP；在“TCP/IP属性”→“IP地址”选项卡中，将非必需IP的“活动”设为“No”。
禁用SA默认登录（可选）
若无需SQL Server身份验证，可通过以下命令禁用SA账户：
ALTER LOGIN sa DISABLE;
创建专用数据库用户
使用sqlcmd工具创建登录名、数据库用户，并分配最小必要权限（如db_datareader、db_datawriter）：
sqlcmd -S localhost -U SA -P 'YourPassword' -Q "
CREATE LOGIN AppUser WITH PASSWORD = 'ComplexPassword123!';
USE YourDatabase;
CREATE USER AppUser FOR LOGIN AppUser;
ALTER ROLE db_datareader ADD MEMBER AppUser;
ALTER ROLE db_datawriter ADD MEMBER AppUser;"
实施最小权限原则
避免为用户分配sysadmin等高权限角色；若需特定操作（如备份），仅授予对应权限：
GRANT BACKUP DATABASE TO BackupOperator;
REVOKE EXECUTE ON sp_configure FROM PUBLIC; -- 禁止普通用户修改服务器配置
启用密码策略
强制SA及其他登录名使用复杂密码，并设置密码过期时间：
EXEC sp_configure 'password policy', 1; -- 启用密码策略
EXEC sp_configure 'password expiration', 1; -- 启用密码过期
RECONFIGURE;
透明数据加密（TDE）
TDE加密整个数据库文件（包括数据、日志、备份），防止磁盘窃取导致的数据泄露：
-- 创建主密钥
CREATE MASTER KEY ENCRYPTION BY PASSWORD = 'MasterKeyPassword123!';
-- 创建证书
CREATE CERTIFICATE TDECert WITH SUBJECT = 'TDE Certificate';
-- 创建数据库加密密钥
USE YourDatabase;
CREATE DATABASE ENCRYPTION KEY WITH ALGORITHM = AES_256 ENCRYPTION BY SERVER CERTIFICATE TDECert;
-- 启用TDE
ALTER DATABASE YourDatabase SET ENCRYPTION ON;
列级加密
对敏感字段（如身份证号、银行卡号）进行列级加密，确保数据在存储和传输中的机密性：
-- 创建对称密钥
CREATE SYMMETRIC KEY CreditCardKey WITH ALGORITHM = AES_256 ENCRYPTION BY CERTIFICATE TDECert;
-- 加密数据
OPEN SYMMETRIC KEY CreditCardKey DECRYPTION BY CERTIFICATE TDECert;
UPDATE Customers SET CreditCardNumber = EncryptByKey(Key_GUID('CreditCardKey'), CreditCardNumber);
-- 解密数据（查询时使用）
SELECT CreditCardNumber, CONVERT(varchar, DecryptByKey(CreditCardNumber)) AS DecryptedCard
FROM Customers;
启用登录审核
记录所有登录尝试（成功/失败），便于追踪异常行为：
EXEC sp_configure 'show advanced options', 1;
RECONFIGURE;
EXEC sp_configure 'login auditing', 3; -- 0=无审核，1=失败，2=成功，3=全部
RECONFIGURE;
定期审查权限
定期检查数据库用户权限，删除未使用的账户：
-- 查看所有数据库用户及其角色
SELECT dp.name AS UserName, rp.name AS RoleName
FROM sys.database_role_members drm
JOIN sys.database_principals dp ON drm.member_principal_id = dp.principal_id
JOIN sys.database_principals rp ON drm.role_principal_id = rp.principal_id
WHERE dp.type = 'S'; -- 仅显示SQL用户
-- 删除未使用的用户
DROP USER UnusedUser;
定期更新
及时更新SQL Server及Ubuntu系统，修复已知安全漏洞：
sudo apt-get update
sudo apt-get upgrade -y
sudo /opt/mssql/bin/mssql-conf update # 更新SQL Server
备份策略
使用sqlcmd或自动化工具（如cron）定期备份数据库，并测试恢复流程：
sqlcmd -S localhost -U SA -P 'YourPassword' -Q "
BACKUP DATABASE YourDatabase TO DISK = '/home/d/mssql/backups/YourDatabase_$(date +%F).bak' WITH INIT;"
通过以上步骤，可全面提升Ubuntu上SQL Server的安全性，覆盖从基础环境到数据保护的全流程。需根据实际业务需求调整配置，如调整TDE加密算法、细化列级加密范围等。
