以下是CentOS上配置SQL Server安全策略的关键步骤：

一、系统及服务安全

1. 最小权限原则
   • 禁用非必要的系统服务，仅保留SQL Server核心服务。
   • 删除冗余用户和组，避免使用默认账户（如guest）。
2. SELinux配置
   • 若启用SELinux，需设置为Permissive模式或添加自定义策略允许SQL Server网络通信。

二、网络与端口管理

1. 防火墙规则
   • 开放SQL Server默认端口（TCP 1433）及SQL Server Browser服务端口（TCP 1434）：

     sudo firewall-cmd --permanent --zone=public --add-port=1433/tcp  
     sudo firewall-cmd --permanent --zone=public --add-port=1434/tcp  
     sudo firewall-cmd --reload  
     

2. 协议与监听配置
   • 编辑/var/opt/mssql/mssql.conf，确保[network]中tcpip=true，并指定监听端口。
   • 禁用不必要的协议（如命名管道），仅保留TCP/IP。

三、身份认证与权限控制

1. 强密码策略
   • 为sa账户及所有用户设置复杂密码，启用密码过期和复杂性检查。
2. 最小权限分配
   • 按需创建角色，仅授予用户完成工作所需的最小权限，避免滥用sysadmin角色。
3. 禁用匿名登录
   • 执行命令移除匿名账户：

     sudo sqlcmd -S localhost -U sa -Q "DROP LOGIN [ANONYMOUS]"  
     

四、数据加密与审计

1. 传输层加密
   • 启用SSL/TLS加密数据库连接，需配置证书并修改mssql.conf中[network]的encrypt=true。
2. 数据存储加密
   • 使用透明数据加密（TDE）保护敏感数据，通过SQL命令启用：

     ALTER DATABASE [数据库名] SET ENCRYPTION ON;  
     

3. 日志与监控
   • 启用SQL Server错误日志和审计功能，定期分析异常登录或操作记录。

五、系统级安全增强

1. 定期更新与补丁管理
   • 使用yum update定期升级SQL Server及系统组件，安装官方安全补丁。
2. 备份与恢复策略
   • 制定周期性备份计划，验证备份可恢复性，存储至安全位置。

参考来源：