保护

本主题介绍 DB2 保护支持的标准。

DB2 的加密标准

下表介绍的是 DB2 受支持的加密标准。

加密	身份验证	数据
Kerberos	是	否
安全套接字层 (SSL) V3	是	是
传输层安全性 (TLS) V1	是	是
高级加密标准 (AES)	是	否

针对保护的配置

数据提供程序会将针对 DB2 包执行的权限授予 DB2 公共组

在创建 DB2 包时，数据访问工具和数据提供程序针对 DB2 包将执行权限设置为 PUBLIC，这包括所有的 DB2 用户。 若要增强 DB2 服务器上的安全性，建议撤销这些包上的 PUBLIC 执行权限，并且只将执行权限授予选定的 DB2 用户或组。

Data Tools 在通用数据链接 (UDL) 文件中以纯文本形式存储身份验证凭据。

数据源向导和数据链接在通用数据链接 (UDL) 或连接字符串 (TXT) 文件中以纯文本形式存储身份验证凭据（用户名和密码）。 建议将数据提供程序配置为使用企业单一登录 (ESSO)，这样可以安全地存储从 Windows Active Directory 帐户到 IBM DB2 凭据的映射。 数据提供程序在运行时检索这些映射，以便向远程 IBM DB2 数据库服务器安全地验证 Windows 用户的身份。 你应该使用数据使用者和 Data Tools 在进程中运行数据提供程序。

数据提供程序使用未加密的纯文本用户名和密码进行连接

数据提供程序使用基本身份验证通过 TCP/IP 或 SNA 网络连接到远程 DB2 服务器计算机，其中用户名和密码未加密，并且以纯文本形式提交。 建议使用 Kerberos、安全套接字层 (SSL) V3.0 或传输层安全性 (TLS) V1.0 或使用 AES 的身份验证加密，将数据提供程序配置为使用身份验证加密。

数据提供程序发送和接收未加密数据

数据提供程序发送和接收未加密数据。 我们建议使用安全套接字层 (SSL) V3.0 或传输层安全性 (TLS) V1.0 将数据访问接口配置为使用数据加密。

数据使用者和 Data Tools 通过不安全的文件夹读取和写入连接文件

数据使用者和 Data Tools 可以通过不安全的文件夹读取和写入连接文件。 应将通用数据链接 (UDL) 文件存储在 Host Integration Server\数据源或程序目录中，然后使用本地管理员权限保护该文件夹。 应将连接信息保留在数据使用者和 Data Tools 安全存储中，然后使用数据使用者和 Data Tools 在进程中运行数据提供程序。

数据使用者和 Data Tools 可以请求具有无效属性的连接

数据使用者和 Data Tools 可以请求具有无效连接属性值的连接。 应通过以下方式使用可创建连接的数据使用者：使用数据提供程序连接对象，而不是传递未认证的连接字符串参数名称值对。 应设置连接超时值以取消无效的连接尝试。

数据使用者和 Data Tools 可以请求带有无效数据的命令

数据使用者和 Data Tools 可以请求带有无效数据的命令。 应通过以下方式使用可创建命令的数据使用者来验证参数类型：使用具有参数对象的数据提供程序命令，而不是传递未认证的具有内联数据值的命令字符串。 应设置命令超时值以取消无效的命令尝试。 应使用 DRDA 分布式工作单元 (DUW) 而不是远程工作单元 (RUW)，使用两阶段的提交事务保护数据使用者。