レポートとリソースの保護

[アーティクル]
12/15/2008

更新 : 2006 年 4 月 14 日

各レポートおよびリソースのセキュリティを設定して、これらのアイテムへのユーザーのアクセスのレベルを制御できます。既定では、組み込みの Administrators グループのメンバであるユーザーのみ、レポートの実行、リソースの表示、プロパティの変更、およびアイテムの削除を行うことができます。他のすべてのユーザーについては、レポートまたはリソースへのアクセスを許可するロール割り当てを作成する必要があります。

レポートおよびリソースへのロールベースのアクセス

レポートおよびリソースへのアクセスを許可するために、既存のロール割り当てを親フォルダからユーザーに継承させることも、アイテム自体に新しいロール割り当てを作成することもできます。

多くの場合は、親フォルダから継承した権限を使用します。個々のレポートやリソースにセキュリティを設定する必要が生じるのは、レポートまたはリソースの存在を知る必要がないユーザーからそのレポートまたはリソースを隠す場合や、レポートまたはアイテムへのアクセスレベルを上げる場合のみです。これらの目的は、共存することができます。レポートへのアクセスを少数のユーザーに制限し、そのユーザーのすべてまたは一部に、レポートを管理する追加の権限を与えることができます。

目的を達成するには、複数のロールの割り当てを作成する必要がある場合があります。たとえば、2 人のユーザー Ann と Fernando、および Human Resource Managers グループがアクセス権を持つレポートを作成するとします。Ann と Fernando はレポートを管理できる必要がありますが、Human Resource Managers のメンバはレポートの実行だけが必要です。これらすべてのユーザーの要件を満たすには、Ann と Fernando をそれぞれレポートのコンテンツマネージャに設定し、Human Resource Managers グループに対して表示専用のタスクをサポートする、個別のロールの割り当てを 3 つ作成します。

レポートまたはリソースにセキュリティを設定すると、そのアイテムを新しい場所に移動しても、その設定は持続します。たとえば、少数のユーザーのみがアクセス権を与えられているレポートを移動する場合、比較的制限の少ないセキュリティポリシーを持つフォルダに移動しても、引き続きその少数のユーザーのみがレポートにアクセスできます。

パブリッシュしたレポートまたはドキュメント内の HTML インジェクション攻撃の緩和

Reporting Services では、レポートとリソースは、レポートを実行しているユーザーのセキュリティ ID で処理されます。式、スクリプト、カスタムレポートアイテム、またはカスタムアセンブリがレポートに含まれる場合、ユーザーの資格情報でコードが実行されます。リソースがスクリプトを含む HTML ドキュメントである場合、ユーザーがレポートサーバーでドキュメントを開く際にスクリプトが実行されます。レポート内のスクリプトまたはコードの実行は、ある程度のリスクを伴う強力な機能です。悪意のあるコードの場合、レポートサーバーおよびレポートを実行しているユーザーは、攻撃に対して脆弱な状態になります。

HTML として処理されるレポートおよびリソースにアクセスする場合、レポートが完全信頼で処理され、悪意のあるスクリプトがクライアントに送信される可能性があることに注意してください。ブラウザ設定に応じて、ブラウザで指定されている信頼のレベルで、クライアントは HTML を実行します。

次の予防策で、悪意のあるスクリプトを実行するリスクを緩和できます。

コンテンツをレポートサーバーにパブリッシュできるユーザーは、慎重に選択して決定します。悪意のあるコンテンツがパブリッシュされる可能性があるので、コンテンツをパブリッシュできるユーザーは、少数の信頼されたユーザーに限定する必要があります。
すべてのパブリッシャは、不明なソースや信頼されていないソースのレポートおよびリソースのパブリッシュを避ける必要があります。必要に応じて、テキストエディタでファイルを開き、疑わしいスクリプトや URL を探してください。

パラメータ化されたレポート内の SQL インジェクション攻撃の緩和

String 型のパラメータが含まれるレポートでは、使用可能な値の一覧 (有効な値の一覧とも呼ばれています) を必ず使用してください。また、レポートを実行するすべてのユーザーに対して、レポート表示に必要な権限のみを与えてください。String 型のパラメータを定義する際には、任意の値が許容されるテキストボックスが表示されます。使用可能な値の一覧を使用すると、入力できる値が制限されます。クエリパラメータにレポートパラメータが関連付けられている場合に、使用可能な値の一覧を使用しなければ、レポートユーザーはテキストボックスに SQL 構文を入力できるので、レポートとサーバーが SQL インジェクション攻撃を受ける危険性が生じます。さらに、ユーザーが新しい SQL ステートメントを実行するための十分な権限を持っている場合は、サーバーで予想外の結果が生じる可能性もあります。

クエリパラメータと関連付けられていないレポートパラメータがあり、このパラメータ値がレポートに含まれていると、レポートユーザーが、式の構文または URL をパラメータ値に入力して、このレポートを Excel または HTML に変換することも可能になります。別のユーザーがこのレポートを表示して、表示されたパラメータコンテンツをクリックすると、悪意のあるスクリプトまたはリンクが意図せず実行されてしまう可能性があります。

悪意のあるスクリプトを誤って実行するリスクを軽減するためには、信頼されたソースのレポートしか開かないようにする必要があります。

SQL インジェクション攻撃とその緩和方法の詳細については、「統合セキュリティと高度な権限」を参照してください。

メモ :
前のリリースのドキュメントでは、式として動的クエリを作成する例が記載されていました。この種類のクエリは、SQL インジェクション攻撃への脆弱性が生じるので、推奨されていません。

機密レポートの保護

機密情報を含むレポートは、重要なデータにアクセスするための資格情報の入力をユーザーに要求することによって、データアクセスレベルのセキュリティで保護する必要があります。詳細については、「資格情報と接続情報の指定」を参照してください。また、未承認のユーザーがアクセスできないように、フォルダをセキュリティで保護することもできます。詳細については、「フォルダのセキュリティ保護」を参照してください。

参照

変更履歴

リリース	履歴
2006 年 4 月 14 日	新しい内容 : SQL インジェクション攻撃の緩和 HTML インジェクション攻撃の緩和

次の方法で共有

レポートとリソースの保護

レポートおよびリソースへのロールベースのアクセス

パブリッシュしたレポートまたはドキュメント内の HTML インジェクション攻撃の緩和

パラメータ化されたレポート内の SQL インジェクション攻撃の緩和

機密レポートの保護

参照

処理手順

概念

その他の技術情報

ヘルプおよび情報

変更履歴

その他のリソース