Melhoria
Essa alteração implementa o protocolo S4U2Self/S4U2Proxy que usa a API GSS (Serviço de Segurança Genérica) na parte superior da biblioteca Kerberos do MIT para permitir a delegação restrita de Kerberos (mas *não* a delegação restrita baseada em recursos). Essa funcionalidade requer a configuração de uma conta privilegiada do Active Directory (AD) por meio de mssql-conf, executando o seguinte no host SQL Server Linux:
sudo /opt/mssql/bin/mssql-conf set network.privilegedadaccount mssql
e configurar a delegação restrita nos SPNs do SQL Server para qualquer protocolo de autenticação no controlador AD, ou seja, se estiver usando comandos do Powershell:
Set-ADAccountControl -Identity mssql -TrustedToAuthForDelegation $true
Set-ADUser -Identity mssql -Add @{'msDS-AllowedToDelegateTo'=@('MSSQLSvc/netbiosname:1433', 'MSSQLSvc/machine_fqdn:1433')}
Também é necessário alterar as configurações do Kerberos no host SQL Server Linux para gerar tíquetes encaminháveis por padrão, ou seja, em /etc/krb5.conf deve-se ver:
[libdefaults]
encaminhável = verdadeiro
Resolução
Essa melhoria está incluída na seguinte atualização cumulativa para o SQL Server:
Sobre atualizações cumulativas para o SQL Server:
Cada nova atualização cumulativa do SQL Server contém todos os hotfixes e todas as correções de segurança incluídas na atualização cumulativa anterior. Confira as atualizações cumulativas mais recentes para o SQL Server:
Referências
Saiba mais sobre a terminologia que a Microsoft usa para descrever atualizações de software.
Aviso de isenção de responsabilidade para informações de terceiros
Os produtos de terceiros mencionados neste artigo são produzidos por empresas independentes da Microsoft. A Microsoft não oferece nenhuma garantia, implícita ou não, do desempenho ou da confiabilidade desses produtos.