例:証明書を使用したデータベースミラーリングの設定 (Transact-SQL)

[アーティクル]
06/13/2017

この例では、証明書ベースの認証を使用してデータベースミラーリングセッションを作成するために必要なすべての段階について説明します。このトピックの例では、Transact-SQL を使用します。ネットワークがセキュリティで保護されていることを保証できる場合を除いて、データベースミラーリング接続に対して暗号化を使用することをお勧めします。

証明書を別のシステムにコピーする場合は、セキュリティで保護されたコピー方法を使用してください。すべての証明書をセキュリティで保護された状態で保管するよう十分に注意してください。

例

以下の例は、HOST_A に存在するパートナーで実行する必要のある処理を示しています。この例では、2 つのパートナーが、3 つのコンピューターシステムの既定のサーバーインスタンスです。 2 つのサーバーインスタンスは、信頼されていない Windows ドメインで実行されているため、証明書ベースの認証が必要です。

初期プリンシパルロールは HOST_A によって取得され、ミラーロールは HOST_B によって取得されます。

証明書を使用したデータベースミラーリングの設定には、一般的な段階が 4 つあり、そのうちの 3 つの段階 (1、2、および 4) をこの例に示します。これらの段階は次のとおりです。

発信接続の構成

この例では次の手順を示します。
1. 発信接続用の Host_A の構成。
2. 発信接続用の Host_B の構成。
データベースミラーリングの設定のこの段階の詳細については、「データベースミラーリングエンドポイントで発信接続に証明書を使用できるようにする (Transact-SQL)」を使用します。
着信接続の構成

この例では次の手順を示します。
1. 着信接続用の Host_A の構成。
2. 着信接続用の Host_B の構成。
データベースミラーリングの設定のこの段階の詳細については、「データベースミラーリングエンドポイントで着信接続に証明書を使用できるようにする (Transact-SQL)」を使用します。
ミラーデータベースの作成

ミラーデータベースを作成する方法の詳細については、「ミラーリングのためのミラーデータベースの準備 (SQL Server)」を参照してください。
ミラーリングパートナーの構成

発信接続の構成

発信接続用に Host_A を構成するには

master データベースで、必要な場合はデータベースマスターキーを作成します。
```
USE master;  
CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<1_Strong_Password!>';  
GO  
```

このサーバーインスタンスに対する証明書を作成します。

USE master;  
CREATE CERTIFICATE HOST_A_cert   
   WITH SUBJECT = 'HOST_A certificate';  
GO

作成した証明書を使用して、サーバーインスタンスのミラーリングエンドポイントを作成します。

CREATE ENDPOINT Endpoint_Mirroring  
   STATE = STARTED  
   AS TCP (  
      LISTENER_PORT=7024  
      , LISTENER_IP = ALL  
   )   
   FOR DATABASE_MIRRORING (   
      AUTHENTICATION = CERTIFICATE HOST_A_cert  
      , ENCRYPTION = REQUIRED ALGORITHM AES  
      , ROLE = ALL  
   );  
GO

HOST_A の証明書をバックアップし、他のシステム HOST_B にコピーします。
```
BACKUP CERTIFICATE HOST_A_cert TO FILE = 'C:\HOST_A_cert.cer';  
GO  
```
安全なコピー方法を使用して、C:\HOST_A_cert.cer を HOST_B にコピーします。

発信接続用に Host_B を構成するには

master データベースで、必要な場合はデータベースマスターキーを作成します。
```
USE master;  
CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<Strong_Password_#2>';  
GO  
```

HOST_B サーバーインスタンスで証明書を作成します。

CREATE CERTIFICATE HOST_B_cert   
   WITH SUBJECT = 'HOST_B certificate for database mirroring';  
GO

HOST_B のサーバーインスタンスに対するミラーリングエンドポイントを作成します。

CREATE ENDPOINT Endpoint_Mirroring  
   STATE = STARTED  
   AS TCP (  
      LISTENER_PORT=7024  
      , LISTENER_IP = ALL  
   )   
   FOR DATABASE_MIRRORING (   
      AUTHENTICATION = CERTIFICATE HOST_B_cert  
      , ENCRYPTION = REQUIRED ALGORITHM AES  
      , ROLE = ALL  
   );  
GO

HOST_B の証明書をバックアップします。

BACKUP CERTIFICATE HOST_B_cert TO FILE = 'C:\HOST_B_cert.cer';  
GO

安全なコピー方法を使用して、C:\HOST_B_cert.cer を HOST_A にコピーします。

詳細については、「データベースミラーリングエンドポイントで発信接続に証明書を使用できるようにする (Transact-SQL)」を参照します。

着信接続の構成

着信接続用に Host_A を構成するには

HOST_B に対するログインを HOST_A に作成します。

USE master;  
CREATE LOGIN HOST_B_login WITH PASSWORD = '1Sample_Strong_Password!@#';  
GO

そのログインのユーザー名を作成します。

CREATE USER HOST_B_user FOR LOGIN HOST_B_login;  
GO

証明書をユーザーと関連付けます。

CREATE CERTIFICATE HOST_B_cert  
   AUTHORIZATION HOST_B_user  
   FROM FILE = 'C:\HOST_B_cert.cer'  
GO

リモートミラーリングエンドポイント用のログインに CONNECT 権限を許可します。
```
GRANT CONNECT ON ENDPOINT::Endpoint_Mirroring TO [HOST_B_login];  
GO  
```

着信接続用に Host_B を構成するには

HOST_A に対するログインを HOST_B に作成します。

USE master;  
CREATE LOGIN HOST_A_login WITH PASSWORD = '=Sample#2_Strong_Password2';  
GO

そのログインのユーザー名を作成します。

CREATE USER HOST_A_user FOR LOGIN HOST_A_login;  
GO

証明書をユーザーと関連付けます。

CREATE CERTIFICATE HOST_A_cert  
   AUTHORIZATION HOST_A_user  
   FROM FILE = 'C:\HOST_A_cert.cer'  
GO

リモートミラーリングエンドポイント用のログインに CONNECT 権限を許可します。
```
GRANT CONNECT ON ENDPOINT::Endpoint_Mirroring TO [HOST_A_login];  
GO  
```

重要

自動フェールオーバーを伴う高い安全性モードで実行する場合、発信接続と着信接続の両方で、ミラーリング監視サーバーを構成する同じ手順を繰り返す必要があります。ミラーリング監視サーバーを利用する着信接続を設定する場合は、両方のパートナーでミラーリング監視サーバー用にログインとユーザーを設定し、ミラーリング監視サーバーで両方のパートナー用にログインとユーザーを設定する必要があります。

詳細については、「データベースミラーリングエンドポイントで着信接続に証明書を使用できるようにする (Transact-SQL)」を参照してください。

ミラーデータベースの作成

ミラーデータベースを作成する方法の詳細については、「ミラーリングのためのミラーデータベースの準備 (SQL Server)」を参照してください。

ミラーリングパートナーの構成

HOST_B のミラーサーバーインスタンスで、HOST_A のサーバーインスタンスをパートナー (最初のプリンシパルサーバーインスタンス) として設定します。 TCP://HOST_A.Mydomain.Corp.Adventure-Works``.com:7024の部分を有効なネットワークアドレスに置き換えます。詳細については、「サーバーネットワークアドレスの指定 (データベースミラーリング)」を参照してください。
```
--At HOST_B, set server instance on HOST_A as partner (principal server):  
ALTER DATABASE AdventureWorks   
    SET PARTNER = 'TCP://HOST_A.Mydomain.Corp.Adventure-Works.com:7024';  
GO  
```
HOST_A のプリンシパルサーバーインスタンスで、HOST_B のサーバーインスタンスをパートナー (最初のミラーサーバーインスタンス) として設定します。 TCP://HOST_B.Mydomain.Corp.Adventure-Works.com:7024の部分を有効なネットワークアドレスに置き換えます。
```
--At HOST_A, set server instance on HOST_B as partner (mirror server).  
ALTER DATABASE AdventureWorks   
    SET PARTNER = 'TCP://HOST_B.Mydomain.Corp.Adventure-Works.com:7024';  
GO  
```
この例では、セッションが高パフォーマンスモードで実行されると仮定します。このセッションの実行モードを高パフォーマンスモードに構成するには、HOST_A のプリンシパルサーバーインスタンスでトランザクションの安全性を OFF に設定します。
```
--Change to high-performance mode by turning off transacton safety.  
ALTER DATABASE AdventureWorks   
    SET PARTNER SAFETY OFF  
GO  
```
注意

自動フェールオーバーを使用して高い安全性モードで実行する場合は、トランザクションの安全性を FULL (既定の設定) に設定したままにし、2 番目の SET PARTNER 'partner_server' ステートメントを実行した後、できるだけ早くミラーリング監視サーバーを追加します。ただし、まずミラーリング監視サーバーが発信接続と着信接続用に構成されている必要があります。

Related Tasks

参照

データベースミラーリングと AlwaysOn 可用性グループのトランスポートセキュリティ (SQL Server)
サーバーネットワークアドレスの指定 (データベースミラーリング)
データベースミラーリングエンドポイント (SQL Server)
データベースミラーリングエンドポイントでの証明書の使用 (Transact-SQL)
ALTER DATABASE (Transact-SQL)
SQL Server データベースエンジンと Azure SQL Database のセキュリティセンター

次の方法で共有

例:証明書を使用したデータベースミラーリングの設定 (Transact-SQL)

例

発信接続の構成

着信接続の構成

ミラーデータベースの作成

ミラーリングパートナーの構成

Related Tasks

参照

その他のリソース

次の方法で共有

例:証明書を使用したデータベース ミラーリングの設定 (Transact-SQL)

例

発信接続の構成

着信接続の構成

ミラー データベースの作成

ミラーリング パートナーの構成

Related Tasks

参照

その他のリソース

例:証明書を使用したデータベースミラーリングの設定 (Transact-SQL)

ミラーデータベースの作成

ミラーリングパートナーの構成