データベース エンジンの構成 - アカウントの準備
SQL Server 2005 以降では、SQL Server のセキュリティが以前のバージョンよりも向上するように大幅な変更が実装されています。この変更内容には、セキュリティへの攻撃からサーバー インスタンスとそのデータベースを保護するために策定された "Secure by Design (設計段階でのセキュリティの確保)、Secure by Default (出荷時のセキュリティの確保)、および Secure in Deployment (展開時のセキュリティの確保)" というストラテジが含まれています。
SQL Server 2008 では引き続きセキュリティの強化が図られ、サーバー コンポーネントとデータベース コンポーネントにこれまで以上に変更が加えられています。SQL Server 2008 で追加された変更により、最小特権のポリシーを策定してサーバーとそのデータベースに対する外部からの攻撃の危険をさらに軽減することができ、Windows 管理と SQL Server 管理の分離も促進されます。これにより、内部アカウントが保護され、オペレーティング システムの機能と SQL Server の機能への振り分けが行われます。その実現は、次のような形で行われています。
SQL Server 2008 の新規インストール時に、ローカル Windows グループ BUILTIN\Administrators が SQL Server sysadmin 固定サーバー ロールに追加されなくなりました。
1 つ以上の Windows プリンシパルを SQL Server 内の sysadmin サーバー ロールに用意する機能。このオプションは、SQL Server 2008 の新規インストールの場合に SQL Server セットアップの実行時に使用できます。
セキュリティ構成 (SAC) ツールが削除されました。代わりにポリシー ベースの管理が導入され、SQL Server 構成マネージャー ツールに変更が加えられました。
これらの変更は SQL Server のセキュリティ計画に影響し、システムのより完全性が高いセキュリティ プロファイルの作成に役立ちます。
Windows Vista および Windows Server 2008 で SQL Server 2008 を実行する場合の考慮事項
Windows Vista および Windows Server 2008 には、管理者が、昇格した権限の使用を管理するのに役立つユーザー アカウント制御 (UAC) という新しい機能があります。Windows Vista および Windows Server 2008 の既定では、管理者は自身の管理権限を使用しません。代わりに、標準ユーザーとしてほとんどの操作を実行し、必要な場合にのみ一時的に管理権限を使用します。ただし、特権は昇格せずに、次のいずれかの方法を使用することをお勧めします。
Windows 認証モードを使用する場合は、必要なすべての管理タスクを実行するための十分な権限を持った Windows ユーザー アカウントを作成します。
混合モード (SQL Server 認証と Windows 認証) を使用する場合は、管理作業専用の SQL Server を作成するようにします。
UAC により、いくつかの既知の問題が発生します。詳細については、次の Web ページを参照してください。
オプション
[セキュリティ モード] : インストール用に Windows 認証または混合モード認証を選択します。
Windows プリンシパルの準備 : 以前のバージョンの SQL Server では、Windows の BUILTIN\Administrators ローカル グループが SQL Server sysadmin サーバー ロールに配置されました。これにより、Windows 管理者に対し、SQL Server インスタンスへのアクセスが実質的に許可されました。SQL Server 2008 では、BUILTIN\Administrators グループは sysadmin サーバー ロールに用意されません。代わりに、セットアップ時に新規インストール用の SQL Server 管理者を明示的に用意する必要があります。
.gif "重要な注意事項") 重要 |
|---|
組織のプロセスまたはコードが Windows の BUILTIN\Administrators ローカル グループへのアクセスに依存している場合は、セットアップ時に新規インストール用の SQL Server 管理者を明示的に用意する必要があります。セットアップは、この手順を完了するまで続行できません。 |
[SQL Server 管理者の指定] : SQL Server のインスタンスの Windows プリンシパルを少なくとも 1 つ指定する必要があります。SQL Server セットアップを実行するアカウントを追加するには、[現在のユーザー] ボタンをクリックします。システム管理者の一覧に対してアカウントを追加または削除するには、[追加] または [削除] をクリックし、SQL Server のインスタンスについて管理者権限を持っているユーザー、グループ、またはコンピューターの一覧を編集します。
一覧の編集が完了したら、[OK] をクリックし、構成ダイアログ ボックスで管理者の一覧を確認します。一覧が完成したら、[次へ] をクリックします。
混合モード認証を選択した場合は、組み込みの SQL Server システム管理者 (sa) アカウントのログオン資格情報を入力する必要があります。
.gif "セキュリティに関する注意") セキュリティに関する注意 |
|---|
空白のパスワードは使用しないでください。 強力なパスワードを使用してください。 |
Windows 認証モード
Windows ユーザー アカウントでユーザーが接続すると、SQL Server はオペレーティング システムの Windows プリンシパル トークンを使用してアカウント名とパスワードを検証します。これは既定の認証モードで、混合モードよりはるかに安全性に優れています。Windows 認証では、Kerberos セキュリティ プロトコルを利用し、強力なパスワードに対して複雑な検証を行うという点で、パスワード ポリシーが強化されています。また、アカウント ロックアウトの機能を提供し、パスワード有効期限にも対応しています。セキュリティに関する注意可能な場合は、Windows 認証を使用します。
重要空白のパスワードは使用しないでください。 強力なパスワードを使用してください。sa パスワードを空白のままにしないでください。また、推測しやすいパスワードを設定しないでください。
混合モード (Windows 認証と SQL Server 認証)
Windows 認証または SQL Server 認証を使用してユーザー接続を許可します。Windows ユーザー アカウントで接続するユーザーは、Windows によって検証される信頼関係接続を使用することができます。混合モード認証を選択する必要があり、レガシ アプリケーションに対応するために SQL ログインを使用する必要もある場合は、必ずすべての SQL Server アカウントに強力なパスワードを設定してください。
.gif "注意")
注意SQL Server 認証は旧バージョンとの互換性を維持するためだけに提供されます。可能な場合は、Windows 認証を使用します。
パスワードの入力
システム管理者 (sa) ログインを入力および確認します。パスワードは侵入者に対する防御の最前線であるため、システムのセキュリティにとって強力なパスワードを設定することは不可欠です。sa パスワードを空白のままにしないでください。また、推測しやすいパスワードを設定しないでください。注意SQL Server パスワードは、文字、記号、数字の組み合わせを含む 1 ～ 128 文字で指定できます。混合モード認証を選択する場合、インストール ウィザードの次のページに進む前に、強力な sa パスワードを入力する必要があります。
強力なパスワードのガイドライン
強力なパスワードとは、他人によってたやすく推測されず、コンピューター プログラムを使用して簡単にはハッキングされないパスワードです。強力なパスワードでは、次のような禁止された条件または用語を使用することはできません。空白または NULL 条件
"Password"
"Admin"
"Administrator"
"sa"
"sysadmin"
強力なパスワードには、インストール コンピューターに関連付けられた次のような用語を指定できません。
現在、マシンにログオンしているユーザーの名前
コンピューター名
強力なパスワードは、長さ 8 文字以上で、以下の 4 つの条件のうち 3 つ以上を満たしている必要があります。
大文字を含んでいる。
小文字を含んでいる。
数字を含んでいる。
#、%、^ など、英数字以外の文字を含んでいる。
このページで入力するパスワードは、強力なパスワード ポリシーの要件を満たす必要があります。SQL Server 認証を使用したオートメーションを使用している場合、必ず強力なパスワード ポリシーの要件を満たすパスワードを指定してください。
変更履歴
変更内容 |
|---|
sysadmin 固定サーバー ロールに Windows の BUILTIN\Administrators グループが含まれなくなったことに関する情報を追加しました。 |
ユーザー アカウント制御 (UAC) に関する情報を明確にしました。 |