如何签署我正在使用的不安全的C＃CLR和程序集，而不是让数据库值得信任

Question

我在我的C＃CLR代码中使用.NET DirectoryServices和DirectoryServices.AccountManagement。 我想作为不安全的CLR存储过程发布到我的SQL Server数据库。 在Visual Studio中，我签署了我的CLR项目。 我想避免转向值得信赖。 我如何签署组件？ 我知道这听起来很简单，但我在google上搜索了4个小时而没有得到答案。 当我将Stairway下载到CLR时，我认为我非常接近，但在那里找不到答案。

Answer 1

第一：感谢您不使用简单的路线并启用TRUSTWORTHY 。 认真。 正确地做这件事并不是那么多工作，所以我（和你的雇主）感谢你做更多的研究，当你无法得到更多的东西时，伸出援手😺。

如果您指的是SQL Server Central上的“ Stoway to SQLCLR ”系列，那么我就是这些文章的作者。 如果不容易理解这些信息，我很抱歉。 我将概述这里的步骤：

1. 在Visual Studio中，使用强名称密钥对程序集进行签名，并使用密码保护它（根据问题，您已经完成了此操作）

2. 根据您的工作和总体要求，您可以在此处选择一些选项：

   1. 如果您的程序集在通过CREATE ASSEMBLY创建时使用的代码在验证步骤中标记了违规，那么您可以在技术上将程序集加载到标记为SAFE [master] ，以便从中创建非对称密钥（您不会在这里执行代码，所以不需要在这里标记为UNSAFE ）。
   2. 如果你的代码没有通过验证（意思是：它只能在标记为UNSAFE时创建），那么我发现最好创建一个单独的空程序集，也使用相同的强名称密钥文件（即.pfx文件）进行签名用于主要大会。 然后我将那个空的但已签名的装配加载到[master] ，标记为SAFE
   3. 如果您需要处理SQL Server 2017，那么这需要一个额外的步骤，我将在稍后提及。

3. 一旦在[master]中创建了使用用于签署主要UNSAFE程序集的相同.pfx文件签名的程序集，那么您可以在[master]从该程序集中创建一个非对称密钥。

4. 从该非对称密钥创建登录

5. 授予基于密钥的登录UNSAFE ASSEMBLY权限

这些步骤适用于SQL Server 2005 - 2016，我提供了有关如何在SQLCLR Level 7：开发和安全性文章的Stairway中的Visual Studio中自动执行此操作（上面的选项2 - 使用单独的，空的，已签名的程序集）的说明。 （顺便说一下，我确实认识到第7级中描述的步骤确实有点多，但是它们确实提供了使用Visual Studio的自动化方法，并且可以通过使用T4模板来简化它们 - 它随VS一起提供 - 但是我的避风港还没有时间写出简化的方法 - 尽管很快就会这么做。

但是，如果您需要考虑SQL Server 2017（或者更新，可能），那么上述步骤将无法工作，因为即使是SAFE也不SAFE创建，而无需签名并拥有相应的基于签名的登录，其中包含UNSAFE ASSEMBLY权限。 而且，不幸的是， CREATE ASYMMETRIC KEY不允许从十六进制字节字符串/ VARBINARY文字创建，因此您需要使用允许以这种方式创建的证书。 在这些方面，我有两个博客文章详细，一步一步，如何实现这一点，通过Visual Studio完全自动化（甚至不使用Visual Studio）：

• SQLCLR与SQL Server 2017，第2部分：“CLR严格安全性” - 解决方案1 - 此方法使用Stoway中描述的方法将SQLCLR级别7：开发和安全性作为基础，并将其更新为在新约束下工作。
• SQLCLR与SQL Server 2017，第3部分：“CLR严格安全性” - 解决方案2 - 这是一种极为简化的方法，仅使用证书

无论你做什么，都不要愚弄使用SQL Server 2017的新“可信组件”功能，因为它有很多问题，如下所述： SQLCLR与SQL Server 2017，第4部分：“可信组件” - 失望还有一个我正在研究的帖子。

为了帮助改善这个不必要的痛苦过程，请支持我的增强请求以改进CREATE ASYMMETRIC KEY和SSDT：

• 允许从二进制十六进制字节字符串创建非对称密钥，就像CREATE CERTIFICATE（SQLCLR）一样 - 仅此一个就可以减少上述每种方法中的大多数步骤，甚至可以减少使用基于证书的选项的需要。 Asymmetric Key选项适用于所有内容，即使在SQL Server 2017中开始的新“clr严格安全性”约束中也是如此。
• 添加功能以提取非对称密钥，类似于证书的CERTENCODED（SQLCLR / SSDT）
• 将“BeforeSqlBuild”和“BeforePublish”的MSBuild预定义目标添加到SSDT SQL Server数据库项目

Answer 2

我们有几个需要它的旧项目。 直到本周，当我花时间去解决这个问题时，我们一直在使用可怕的可信赖旗帜。

经过一系列研究后，我能够通过在Visual Studio项目中使用预部署sql脚本和一些一次性设置来将其设置为相当轻松。 这篇文章对我帮助最大。

我测试并确认了这项工作：

• SQL Server 2008 R2
• SQL Server 2012
• SQL Server 2014
• SQL Server 2016

脚步：

1. 使用Visual Studio的Developer命令提示符创建一个新的强名称密钥，然后键入：

    sn -k ".\\CLRKey.snk" 

2. 在Visual Studio项目设置中，在SQLCLR区域中，单击“签名”按钮，然后选择通过浏览到刚刚创建的密钥文件来签署程序集：

3. 将CLRKey.snk复制到每个目标SQL Server的C:\\ ，或服务器可以读取的其他路径。

4. 将此预部署脚本添加到Visual Studio项目，调整密钥路径和密码以适合您的环境：

    DECLARE @sp nvarchar(255) = '$(DatabaseName)..sp_executesql'; DECLARE @create_user nvarchar(4000) = N'CREATE USER [CLRExtensionLogin] FOR LOGIN [CLRExtensionLogin]' DECLARE @MSG varchar(8000) use master; BEGIN TRY BEGIN TRAN IF NOT EXISTS (select 1 from sys.asymmetric_keys where name=N'CLRExtensionKey') BEGIN create asymmetric key CLRExtensionKey from file = 'c:\\CLRKey.snk' encryption by password = '<invent a password>' RAISERROR( 'Key created.', 0, 1 ) WITH NOWAIT END ELSE BEGIN RAISERROR( 'Key exists.', 0, 1 ) WITH NOWAIT END IF NOT EXISTS (SELECT * FROM sys.syslogins WHERE name=N'CLRExtensionLogin') BEGIN CREATE LOGIN CLRExtensionLogin FROM ASYMMETRIC KEY CLRExtensionKey; EXEC @sp @create_user RAISERROR( 'User created.', 0, 1 ) WITH NOWAIT END ELSE BEGIN RAISERROR( 'User exists.', 0, 1 ) WITH NOWAIT END GRANT EXTERNAL ACCESS ASSEMBLY, UNSAFE ASSEMBLY TO [CLRExtensionLogin]; COMMIT TRAN SET @MSG = 'Assembly access granted.' + CHAR(10) + 'Done.' RAISERROR( @MSG, 0, 1 ) WITH NOWAIT END TRY BEGIN CATCH SET @MSG = ERROR_MESSAGE() + CHAR(10) + 'Aborted.' RAISERROR( @MSG, 16, 1 ) IF @@TRANCOUNT > 0 ROLLBACK END CATCH USE [$(DatabaseName)]; 

只要SQL Server可以在脚本第一次运行时读入该密钥文件，您就可以自由发布到同一服务器，而无需再担心所有这些问题。

如果您有其他项目发布到同一服务器，您所要做的就是使用与步骤2中相同的密钥对其进行签名，但最佳做法是链接到所有您的相同预部署脚本项目，以防您希望在某个时刻将一个服务器发布到另一个服务器。 希望这可以帮助！