[アーティクル]
01/24/2011

SQL Server インストールのセキュリティに関する注意点

セキュリティは、あらゆる製品、あらゆる企業にとって重要です。単純なベストプラクティスに従うことで、多くのセキュリティの脆弱性を避けることができます。このトピックでは、SQL Server をインストールする前とインストールした後の両方で考慮する必要があるセキュリティのベストプラクティスについて説明します。特定の機能のセキュリティについては、その機能の参照トピックで説明しています。

SQL Server をインストールする前

サーバー環境をセットアップする場合、次のベストプラクティスに従ってください。

物理的なセキュリティの強化
ファイアウォールの使用
サービスの分離
安全なファイルシステムの構成
NetBIOS とサーバーメッセージブロックの無効化

物理的なセキュリティの強化

SQL Server のセキュリティは、物理的な分離と論理的な分離に基づいています。 SQL Server インストールの物理的なセキュリティを強化するには、次のタスクを実行します。

無許可の人が入れない部屋にサーバーを配置します。
データベースをホストするコンピューターを物理的に保護された場所に配置します。水位報知器および火災報知器や消火システムによって監視された、鍵がかかるコンピュータールームが理想的です。
データベースは、企業イントラネットの安全なゾーンにインストールします。SQL Server をインターネットに直接接続しないでください。
すべてのデータを定期的にバックアップし、バックアップを安全な場所に保存します。

ファイアウォールの使用

ファイアウォールは、SQL Server インストールのセキュリティを確保するために重要です。次のガイドラインに従った場合、ファイアウォールが最も効果的になります。

ファイアウォールをサーバーとインターネットの間に配置します。ファイアウォールを有効にします。ファイアウォールがオフになっている場合はオンにします。ファイアウォールがオンになっている場合は、オフにしないでください。
ファイアウォールでネットワークをセキュリティゾーンに分割します。すべてのトラフィックをブロックした後、必要なトラフィックのみを選択的に許可します。
多層環境では、複数のファイアウォールを使用してスクリーンサブネットを作成します。
Windows ドメイン内にサーバーをインストールする場合は、Windows 認証を可能にする内部ファイアウォールを構成します。
アプリケーションで分散トランザクションを使用する場合は、別々の MS DTC インスタンスの間で Microsoft 分散トランザクションコーディネーター (MS DTC) トラフィックが許可されるように、ファイアウォールの構成が必要になる場合があります。また、SQL Server などのリソースマネージャーと MS DTC の間でトラフィックが許可されるようにファイアウォールを構成する必要もあります。

Windows ファイアウォールの既定の設定の詳細と、データベースエンジン、Analysis Services、Reporting Services、および Integration Services に影響する TCP ポートの説明については、「SQL Server のアクセスを許可するための Windows ファイアウォールの構成」を参照してください。

サービスの分離

サービスを分離すると、いずれかのサービスが停止した場合でも、その他のサービスに影響が及ぶのを防ぐことができます。サービスを分離する場合は、次のガイドラインを考慮してください。

各 SQL Server サービスを個別の Windows アカウントで実行します。可能な場合は、SQL Server サービスごとに権限の低い個別の Windows またはローカルユーザーアカウントを使用します。詳細については、「Windows サービスアカウントの設定」を参照してください。

安全なファイルシステムの構成

正しいファイルシステムを使用することで、セキュリティは向上します。 SQL Server のインストールには、次の作業を行う必要があります。

NTFS ファイルシステム (NTFS) を使用します。 NTFS は、FAT ファイルシステムに比べて安定性と復旧性が高いことから、SQL Server のインストールのファイルシステムとして推奨されています。また、NTFS では、ファイルとディレクトリのアクセス制御リスト (ACL) や暗号化ファイルシステム (EFS) によるファイル暗号化などのセキュリティオプションを使用できます。 SQL Server のインストール時に NTFS が検出されると、レジストリキーとファイルに対して適切な ACL が設定されます。これらの権限は変更しないでください。 SQL Server の今後のリリースでは、FAT ファイルシステムを使用するコンピューターへのインストールはサポートされない可能性があります。

注意
EFS を使用すると、SQL Server を実行しているアカウントの ID でデータベースファイルが暗号化されます。ファイルの暗号化を解除できるのはこのアカウントだけです。 SQL Server を実行するアカウントを変更する場合は、まず以前のアカウントでファイルの暗号化を解除してから、新しいアカウントでそれらのファイルを再度暗号化する必要があります。

EFS を使用すると、SQL Server を実行しているアカウントの ID でデータベースファイルが暗号化されます。ファイルの暗号化を解除できるのはこのアカウントだけです。 SQL Server を実行するアカウントを変更する場合は、まず以前のアカウントでファイルの暗号化を解除してから、新しいアカウントでそれらのファイルを再度暗号化する必要があります。

重要なデータファイルには、RAID (Redundant Array of Independent Disks) を使用します。

NetBIOS とサーバーメッセージブロックの無効化

境界領域ネットワーク内のサーバーでは、NetBIOS とサーバーメッセージブロック (SMB) を含め、不要なプロトコルをすべて無効にする必要があります。

NetBIOS には次のポートを使用します。

UDP/137 (NetBIOS ネームサービス)
UDP/138 (NetBIOS データグラムサービス)
TCP/139 (NetBIOS セッションサービス)

SMB には次のポートを使用します。

TCP/139
TCP/445

Web サーバーとドメインネームシステム (DNS) サーバーは NetBIOS と SMB をいずれも必要としません。これらのサーバーでは、両方のプロトコルを無効にしてユーザー列挙の脅威を緩和します。

SQL Server をインストールした後

インストール後にアカウントと認証モードに関する次のベストプラクティスに従うと、SQL Server インストールのセキュリティを強化できます。

サービスアカウント

SQL Server サービスは、可能な限り低い権限で実行します。
SQL Server サービスを、権限の低い Windows ローカルユーザーアカウントまたはドメインユーザーアカウントに関連付けます。
詳細については、「Windows サービスアカウントの設定」を参照してください。

認証モード

SQL Server との接続には Windows 認証が必要です。
Kerberos 認証を使用する。詳細については、「サービスプリンシパル名の登録」を参照してください。

強力なパスワード

sa アカウントには、必ず強力なパスワードを割り当てます。
パスワードの強度と有効期限に関するパスワードポリシーチェックを必ず有効にします。
すべての SQL Server ログインに、必ず強力なパスワードを使用します。詳細については、「データベース管理者向け SQL Server 2008 セキュリティ概要」ホワイトペーパーを参照してください。

最新の SQL Server のインストールおよびアップグレード情報の入手

マイクロソフトが提供する最新のダウンロード、アーティクル、ビデオ、トラブルシューティング情報、およびコミュニティで選択されたソリューションについては、SQL Server のセットアップのページを参照してください。

これらの更新が自動通知されるようにするには、ページの RSS フィードを購読してください。