データベースミラーリングエンドポイントで発信接続に証明書を使用できるようにする (Transact-SQL)

[アーティクル]
06/13/2017

このトピックでは、データベースミラーリングの発信接続を認証する際に証明書を使用するようにサーバーインスタンスを構成する手順について説明します。着信接続を設定する前に、発信接続を構成する必要があります。

注意

1 つのサーバーインスタンス上のすべてのミラーリング接続では、1 つのデータベースミラーリングエンドポイントが使用されます。そのため、エンドポイントを作成する際にサーバーインスタンスの認証方法を指定する必要があります。

発信接続を構成する処理には、次の一般的な手順が含まれます。

master データベースで、データベースマスターキーを作成します。
master データベースで、暗号化された証明書をサーバーインスタンスに作成します。
作成した証明書を使用して、サーバーインスタンスのエンドポイントを作成します。
証明書をファイルにバックアップし、そのファイルをセキュリティで保護された状態で他のシステムにコピーします。

パートナーおよびミラーリング監視サーバーがある場合は、それぞれで上記の手順を完了する必要があります。

次の手順では、上記の手順について詳しく説明します。各手順では、HOST_A という名前のシステムでサーバーインスタンスを構成するための例を示します。その後に続く「例」では、HOST_B という名前のシステム上の別のサーバーインスタンスに対する同じ手順について説明します。

手順

ミラーリングの発信接続用に (HOST_A 上で) サーバーインスタンスを構成するには

master データベースで、データベースマスターキーが存在しない場合は作成します。データベースの既存のキーを表示するには、 sys.symmetric_keys カタログビューを使用します。

データベースマスターキーを作成するには、次の Transact-SQL コマンドを使用します。
```
CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<1_Strong_Password!>';  
GO  
```
複雑で一意なパスワードを使用し、作成したキーを安全な場所に記録します。

詳細については、「CREATE MASTER KEY (Transact-SQL)」と「データベースマスターキーの作成」を参照してください。
master データベースで、データベースミラーリングの発信接続に使用する、暗号化された証明書をサーバーインスタンスに作成します。

たとえば、HOST_A システム用の証明書を作成するには、次のステートメントを使用します。

重要

証明書の使用期間が 1 年を超える場合は、CREATE CERTIFICATE ステートメントの EXPIRY_DATE オプションを使用して、有効期限を UTC 時間で指定してください。また、証明書の有効期限が近いことを知らせるポリシーベースの管理ルールを SQL Server Management Studio で作成することをお勧めします。ポリシー管理の [新しい条件の作成] ダイアログボックスを使用し、 [証明書] ファセットの [@ExpirationDate] フィールドでこのルールを作成します。詳細については、「ポリシーベースの管理を使用したサーバーの管理」と「 SQL Server の保護」を参照してください。
```
USE master;  
CREATE CERTIFICATE HOST_A_cert   
   WITH SUBJECT = 'HOST_A certificate for database mirroring',   
   EXPIRY_DATE = '11/30/2013';  
GO  
```
詳細については、「CREATE CERTIFICATE (Transact-SQL)」を参照してください。

master データベースの証明書を表示するには、次の Transact-SQL ステートメントを使用できます。
```
USE master;  
SELECT * FROM sys.certificates;  
```
詳細については、「sys.certificates (Transact-SQL)」を参照してください。
各サーバーインスタンスにデータベースミラーリングエンドポイントがあることを確認します。

サーバーインスタンスにデータベースミラーリングエンドポイントが既に存在する場合、サーバーインスタンス上で確立するその他のセッションにそのエンドポイントを再利用する必要があります。データベースミラーリングエンドポイントがサーバーインスタンスに存在するかどうかを確認し、その構成を表示するには、次のステートメントを使用します。
```
SELECT name, role_desc, state_desc, connection_auth_desc, encryption_algorithm_desc   
   FROM sys.database_mirroring_endpoints;  
```
エンドポイントが存在しない場合、発信接続にこの証明書を使用し、他のシステムでの検証にその証明書の資格情報を使用するエンドポイントを作成します。これは、サーバー全体のエンドポイントであり、サーバーインスタンスが参加するすべてのミラーリングセッションで使用されます。

たとえば、HOST_A 上のサーバーインスタンスの例にミラーリングエンドポイントを作成するには、次のステートメントを使用します。
```
CREATE ENDPOINT Endpoint_Mirroring  
   STATE = STARTED  
   AS TCP (  
      LISTENER_PORT=7024  
      , LISTENER_IP = ALL  
   )   
   FOR DATABASE_MIRRORING (   
      AUTHENTICATION = CERTIFICATE HOST_A_cert  
      , ENCRYPTION = REQUIRED ALGORITHM AES  
      , ROLE = ALL  
   );  
GO  
```
詳細については、「 CREATE ENDPOINT (Transact-SQL)」を参照してください。
証明書をバックアップし、他のシステムにコピーします。この操作は、他のシステムで着信接続を構成するために必要です。
```
BACKUP CERTIFICATE HOST_A_cert TO FILE = 'C:\HOST_A_cert.cer';  
GO  
```
詳細については、「BACKUP CERTIFICATE (Transact-SQL)」を参照してください。

任意の安全な方法を使用し、この証明書をコピーします。すべての証明書をセキュリティで保護された状態で保管するよう十分に注意してください。

上記の手順のコード例では、HOST_A の発信接続を構成します。

ここで、HOST_B の着信接続を構成するために同じ手順を実行する必要があります。この手順については、次の「例」で説明します。

例

次の例では、発信接続用に HOST_B を構成する方法について示します。

USE master;  
--Create the database Master Key, if needed.  
CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<Strong_Password_#2>';  
GO  
-- Make a certifcate on HOST_B server instance.  
CREATE CERTIFICATE HOST_B_cert   
   WITH SUBJECT = 'HOST_B certificate for database mirroring',   
   EXPIRY_DATE = '11/30/2013';  
GO  
--Create a mirroring endpoint for the server instance on HOST_B.  
CREATE ENDPOINT Endpoint_Mirroring  
   STATE = STARTED  
   AS TCP (  
      LISTENER_PORT=7024  
      , LISTENER_IP = ALL  
   )   
   FOR DATABASE_MIRRORING (   
      AUTHENTICATION = CERTIFICATE HOST_B_cert  
      , ENCRYPTION = REQUIRED ALGORITHM AES  
      , ROLE = ALL  
   );  
GO  
--Backup HOST_B certificate.  
BACKUP CERTIFICATE HOST_B_cert TO FILE = 'C:\HOST_B_cert.cer';  
GO   
--Using any secure copy method, copy C:\HOST_B_cert.cer to HOST_A.

任意の安全な方法を使用し、証明書を他のシステムにコピーします。すべての証明書をセキュリティで保護された状態で保管するよう十分に注意してください。

重要

発信接続を設定した後、各サーバーインスタンスの着信接続を他のサーバーインスタンス用に構成する必要があります。詳細については、「データベースミラーリングエンドポイントで着信接続に証明書を使用できるようにする (Transact-SQL)」を参照してください。

Transact-SQL の例を含む、ミラーデータベースを作成する方法の詳細については、「ミラーリングのためのミラーデータベースの準備 (SQL Server)」を参照してください。

高パフォーマンスモードセッションを確立する Transact-SQL 例については、「証明書を使用したデータベースミラーリングの設定の例 (Transact-SQL)」を参照してください。

.NET Framework のセキュリティ

ネットワークがセキュリティで保護されていることを保証できる場合を除いて、データベースミラーリング接続に対して暗号化を使用することをお勧めします。

証明書を別のシステムにコピーする場合は、セキュリティで保護されたコピー方法を使用してください。

参照

暗号化アルゴリズムの選択
 ミラーリングのためのミラーデータベースの準備 (SQL Server)
ALTER ENDPOINT (Transact-SQL)
例:証明書を使用したデータベースミラーリングの設定 (Transact-SQL)
データベースミラーリングエンドポイント (SQL Server)
データベースミラーリング構成のトラブルシューティング (SQL Server)
暗号化されたミラーデータベースの設定

次の方法で共有

データベースミラーリングエンドポイントで発信接続に証明書を使用できるようにする (Transact-SQL)

手順

ミラーリングの発信接続用に (HOST_A 上で) サーバーインスタンスを構成するには

例

.NET Framework のセキュリティ

参照

その他のリソース

次の方法で共有

データベース ミラーリング エンドポイントで発信接続に証明書を使用できるようにする (Transact-SQL)

手順

ミラーリングの発信接続用に (HOST_A 上で) サーバー インスタンスを構成するには

例

.NET Framework のセキュリティ

参照

その他のリソース

データベースミラーリングエンドポイントで発信接続に証明書を使用できるようにする (Transact-SQL)

ミラーリングの発信接続用に (HOST_A 上で) サーバーインスタンスを構成するには