次の方法で共有

  • [アーティクル]

SQL Server 2008 セキュリティの変更点

SQL Server 2005 以降では、SQL Server のセキュリティが以前のバージョンよりも向上するように大幅な変更が実装されています。この変更内容には、セキュリティへの攻撃からサーバー インスタンスとそのデータベースを保護するために策定された "Secure by Design (設計段階でのセキュリティの確保)、Secure by Default (出荷時のセキュリティの確保)、および Secure in Deployment (展開時のセキュリティの確保)" というストラテジが含まれています。

SQL Server 2008 では、セキュリティをさらに強化しています。SQL Server 2008 では、Windows Vista および Windows Server 2008 のユーザー アカウント制御 (UAC) など、Microsoft の最新のオペレーティング システムにおける変更点も利用しています。次に示す SQL Server 2008 のセキュリティ強化では、"最小特権" というポリシーを設けることで、SQL Server とそのデータベースが外部から攻撃される危険を軽減すると共に、Windows 管理者と SQL Server 管理者の分離を促進します。

  • SQL Server 2008 の新規インストール時に、既定でローカル Windows グループ BUILTIN\Administrator が SQL Server sysadmin 固定サーバー ロールに含まれないようになりました。

    重要な注意事項重要

    プロセスまたはコードが Windows の BUILTIN\Administrator ローカル グループへのアクセスに依存している場合は、SQL Server へのログオン権限を明示的に許可する必要があります。Windows Administrator グループのメンバーであるからといって、SQL Server へのアクセス権がアカウントに自動的に付与されることはなくなります。sysadmin ロールに少なくとも 1 人のユーザーを含めないと、SQL Server インスタンスからロックアウトされます。詳細については、「データベース エンジンの構成 - アカウントの準備」および「Analysis Services の構成 - アカウントの準備」を参照してください。

  • SQLServerMSSQLUser$ COMPUTERNAME $ INSTANCENAMEや SQLServerSQLAgentUser$ COMPUTERNAME $ INSTANCENAME など、SQL Server サービス用に作成された Windows グループが sysadmin 固定サーバー ロールに含まれなくなりました。代わりに、SQL Server サービスおよび SQL Server エージェント サービスの起動に使用したサービス アカウントに対し、SQL Server で個別に sysadmin 権限が付与されます。Windows Server 2008 または Windows Vista オペレーティング システムに SQL Server をインストールすると、サービス SID が sysadmin 固定サーバー ロールのメンバーとして準備されます。詳細については、「Windows サービス アカウントの設定」を参照してください。

  • セキュリティ構成 (SAC) ツールが削除されました。代わりにポリシー ベースの管理機能が導入され、SQL Server 構成マネージャー ツールに変更が加えられました。

  • Kerberos 認証のサポートが拡張され、TCP/IP に加えて、名前付きパイプおよび共有メモリでも使用できるようになりました。

これらの変更は SQL Server のセキュリティ計画に影響し、システムのより包括的なセキュリティ プロファイルの作成を可能にします。

Windows ローカル グループの変更点

SQL Server のセットアップ プロセス時に、複数の Windows ローカル グループが作成されます。SQL Server サービスの起動に使用されたサービス アカウント (使用可能な場合はサービス SID) は、これらのローカル グループに配置されます。これらのサービス グループは、SQL Server が所有するリソースへのアクセスを制御するためのメカニズムとして使用されます。これらのサービス グループには、適切な特権または権限がセットアップ時に付与されます。sysadmin 固定サーバー ロールのメンバーシップが付与されるのは、SQL Server サービス アカウントと SQL Server エージェント サービス アカウントのみです。詳細については、「Windows サービス アカウントの設定」を参照してください。

セキュリティ制御ツールの変更点

SQL Server 2005 で導入されたセキュリティ構成を使用すると、SQL Server のコンポーネントと構成オプションにアクセス権を付与する機能の有効化や無効化を行うことができました。

SQL Server 2008 以降では、セキュリティ構成ツールが削除されました。SQL Server の動作を制御するセキュリティ構成ツールの機能は、ポリシー ベースの管理機能に置き換えられ、大幅に強化されました。この機能を使用すると、SQL Server コンポーネント向けのポリシーを作成し、SQL Server 内のプリンシパルやロールにきめ細かく適用できます。ポリシー ベースの管理機能の詳細については、「ポリシー ベースの管理を使用したサーバーの管理」を参照してください。

セキュリティ構成ツールの接続管理機能は、構成マネージャー ツールで使用できます。このツールの詳細については、「SQL Server 構成マネージャー」を参照してください。

Kerberos 認証

SQL Server 2008 以降では Kerberos 認証のサポートが拡張され、名前付きパイプと共有メモリのプロトコルでも使用できるようになりました。また、Kerberos を使用するために Windows Active Directory は必要ありません。詳細については、「Kerberos 認証と SQL Server」を参照してください。

認証の拡張保護

SQL Server 2008 R2 以降では、チャネル バインドとサービス バインドを使用した認証の拡張保護のサポートを、拡張保護をサポートしているオペレーティング システムで使用できます。詳細については、「拡張保護を使用したデータベース エンジンへの接続」を参照してください。