接続の権限借用と資格情報

[アーティクル]
05/07/2013

SQL Server CLR (共通言語ランタイム) 統合では、複雑な Windows 認証を使用する方が、SQL Server 認証を使用するよりもセキュリティが向上します。 Windows 認証を使用する場合には、次の点を考慮してください。

Windows に接続する SQL Server プロセスは、SQL Server Windows サービスアカウントのセキュリティコンテキストを既定で取得します。ただし、CLR 関数をプロキシ ID にマッピングすることにより、その発信接続に対し、Windows サービスアカウントとは異なるセキュリティコンテキストを設定することができます。

場合によっては、サービスアカウントで実行する代わりに、SqlContext.WindowsIdentity プロパティを使用して呼び出し元の権限を借用することもあります。 WindowsIdentity インスタンスは、呼び出し元のコードを実行するクライアントの ID を表し、クライアントで Windows 認証を使用する場合のみ入手できます。 WindowsIdentity インスタンスを取得すると、Impersonate を呼び出してスレッドのセキュリティトークンを変更し、その後でクライアントの代わりに ADO.NET 接続を開くことができます。

SQLContext.WindowsIdentity.Impersonate を呼び出した後は、ローカルデータにはアクセスできず、システムデータにもアクセスできません。データに再度アクセスするには、WindowsImpersonationContext.Undo を呼び出す必要があります。

次の例では、SqlContext.WindowsIdentity プロパティを使用して呼び出し元の権限を借用します。

Visual C#

WindowsIdentity clientId = null;
WindowsImpersonationContext impersonatedUser = null;

clientId = SqlContext.WindowsIdentity;

// This outer try block is used to protect from 
// exception filter attacks which would prevent
// the inner finally block from executing and 
// resetting the impersonation.
try
{
   try
   {
      impersonatedUser = clientId.Impersonate();
      if (impersonatedUser != null)
         return GetFileDetails(directoryPath);
         else return null;
   }
   finally
   {
      if (impersonatedUser != null)
         impersonatedUser.Undo();
   }
}
catch
{
   throw;
}

注
権限借用の動作変更の詳細については、「SQL Server 2012 におけるデータベースエンジン機能の重大な変更」を参照してください。

Microsoft Windows ID インスタンスを取得した場合、既定では、そのインスタンスを別のコンピューターに反映できません。既定では、Windows セキュリティインフラストラクチャによりこの操作が制限されます。ただし、"委任" というメカニズムを使用すると、信頼関係のある複数のコンピューターに Windows ID を反映できるようになります。委任の詳細については、TechNet の資料「Kerberos のプロトコル遷移と制約付き委任」を参照してください。

次の方法で共有

接続の権限借用と資格情報

関連項目

概念

その他のリソース