データベースミラーリングトランスポートセキュリティ

[アーティクル]
12/16/2008

更新 : 2005 年 12 月 5 日

SQL Server 2005 のトランスポートセキュリティには認証が必要です。状況によっては、複数のデータベース間で交換されるメッセージの暗号化も必要になります。

データベースミラーリングでは、認証と暗号化はエンドポイントで構成します。ミラーリングエンドポイントの概要については、「データベースミラーリングエンドポイント」を参照してください。

認証

認証とは、ユーザーが本人であるかどうかを検査するプロセスです。データベースミラーリングエンドポイント間の接続には、認証が必要になります。パートナーまたはミラーリング監視サーバーから接続を要求された場合は、その接続要求を認証する必要があります。

サーバーインスタンスで使用される認証の種類は、そのサーバーインスタンスのデータベースミラーリングエンドポイントのプロパティの 1 つです。データベースミラーリングに使用できるトランスポートセキュリティには、Windows 認証と証明書ベース認証の 2 種類があります。

Windows 認証では、NT LAN Manager (NTLM) と Kerberos の 2 つの認証プロトコルがサポートされています。データベースミラーリングエンドポイントは、いずれか 1 つのプロトコルのみを使用するように構成することも、両方のプロトコル間でネゴシエートするように構成することもできます。既定では、ネゴシエーションが使用されます。既定値 NEGOTIATE の場合、エンドポイントで Windows ネゴシエーションプロトコルが使用され、NTLM または Kerberos のいずれかが選択されます。エンドポイントで特定の認証方法 (NTLM または Kerberos) が指定されると、そのエンドポイントでは指定された方法しか使用できません。相手側のエンドポイントがもう一方の方法のみを使用するように構成されている場合、2 つのエンドポイントは相互に接続できません。これらの認証方法の詳細については、「エンドポイント認証の種類」を参照してください。

メモ :
このエンドポイントの詳細については、「データベースミラーリングエンドポイント」を参照してください。

データベースミラーリング接続では、Windows 認証 (セキュリティサポートプロバイダインターフェイス (SSPI)) または証明書ベースの認証のいずれかが使用されます。

Windows 認証

Windows 認証では、各サーバーインスタンスが相手側のインスタンスにログインする際には、プロセスを実行している Windows ユーザーアカウントの Windows 資格情報が使用されます。このため Windows 認証では、SQL Server サービスを信頼されたドメインのドメインユーザーとして実行するか、またはネットワークサービスとして実行する必要があります。

Windows 認証では、両側の接続を認証するために、SQL Server のインスタンスを実行している Windows ユーザーアカウントの資格情報が使用されます。したがって、各サーバーインスタンスのユーザーアカウントには、他の各サーバーインスタンスにログインしたり、メッセージを送信したりするために必要なアクセス許可が必要です。

Windows 認証を使用したデータベースミラーリングセッションの設定の例については、「Windows 認証を使用したデータベースミラーリングの設定の例 (Transact-SQL)」を参照してください。

証明書

サーバーインスタンスが信頼されたドメインに存在しない場合や、SQL Server がローカルサービスとして実行されている場合など、一部の状況では Windows 認証を使用できません。そのような場合には、接続要求を認証するときに、ユーザーの資格情報ではなく証明書が必要になります。各サーバーインスタンスのミラーリングエンドポイントは、ローカルで作成された独自の証明書を使用して構成する必要があります。

暗号化方法は、証明書の作成時に設定されます。詳細については、「データベースミラーリングで発信接続に証明書を使用できるようにする方法 (Transact-SQL)」を参照してください。使用する証明書は慎重に管理してください。

接続を設定するときに、サーバーインスタンスにより、独自の証明書の秘密キーを使用して ID が作成されます。接続要求を受け取るサーバーインスタンスでは、送信者の証明書の公開キーを使用して送信者の ID を認証します。たとえば、Server_A と Server_B という 2 つのサーバーインスタンスを考えてみます。Server_A では、Server_B に接続要求を送信する前に、秘密キーを使用して接続ヘッダーを暗号化します。Server_B では、Server_A の証明書の公開キーを使用して接続ヘッダーの暗号化を解除します。暗号化が解除されたヘッダーが正しい場合、Server_B は、そのヘッダーが Server_A によって暗号化されていたので、接続は認証されると認識します。暗号化が解除されたヘッダーが正しくない場合、Server_B は、接続要求が認証されないため、接続が拒否されると認識します。

セキュリティメモ :
証明書は信頼されたソースからのみインストールしてください。

SQL Server 2005 には、証明書を使用してデータベースミラーリングセキュリティを自動的に構成する方法は用意されていません。Transact-SQL を使用する必要があります。データベースミラーリングセッションの設定に証明書ベースの認証を使用する例については、「証明書を使用したデータベースミラーリングの設定の例 (Transact-SQL)」を参照してください。

データの暗号化

既定では、データベースミラーリングエンドポイントは、ミラーリング接続経由で送信されるデータの暗号化を必要とします。このようなエンドポイントの接続対象となるエンドポイントも暗号化を使用している必要があります。ネットワークの安全性を保証できる場合を除いて、データベースミラーリング接続に対して暗号化を使用することをお勧めします。暗号化は、無効にしたり、必須ではない状態でサポートすることもできます。暗号化が無効になっていると、データは暗号化されず、エンドポイントは暗号化を必要とするエンドポイントに接続できません。暗号化がサポートされている場合は、相手側のエンドポイントによって暗号化がサポートまたは必要とされている場合にのみデータが暗号化されます。

メモ :
SQL Server Management Studio で作成されるミラーリングエンドポイントは、暗号化が必須または無効の状態で作成されます。暗号化の設定を SUPPORTED に変更するには、Transact-SQL ステートメントの ALTER ENDPOINT を使用します。詳細については、「ALTER ENDPOINT (Transact-SQL)」を参照してください。

必要に応じて、エンドポイントで使用可能な暗号化アルゴリズムを管理できます。それには、CREATE ENDPOINT ステートメントまたは ALTER ENDPOINT ステートメントの ALGORITHM オプションに、次のいずれかの値を指定します。

ALGORITHM の値	説明
RC4	エンドポイントで RC4 アルゴリズムを使用する必要があることを指定します。これは既定のオプションです。
AES	エンドポイントで AES アルゴリズムを使用する必要があることを指定します。
AES RC4	2 つのエンドポイントが、AES アルゴリズムを優先するこのエンドポイントと暗号化アルゴリズムについてネゴシエートすることを指定します。
RC4 AES	2 つのエンドポイントが、RC4 アルゴリズムを優先するこのエンドポイントと暗号化アルゴリズムについてネゴシエートすることを指定します。

接続するエンドポイントで 2 つのアルゴリズムが異なる順序で指定されている場合、接続を受け入れる側のエンドポイントの指定が優先されます。

メモ :
RC4 は、AES よりもかなり高速ですが、比較的弱いアルゴリズムです。それに対して、AES は比較的強いアルゴリズムです。したがって、AES アルゴリズムを使用することをお勧めします。

暗号化を指定する Transact-SQL 構文の詳細については、「CREATE ENDPOINT (Transact-SQL)」を参照してください。

データベースミラーリングサーバーインスタンスのトランスポートセキュリティを構成するには

参照

変更履歴

リリース	履歴
2005 年 12 月 5 日	新しい内容 : データの暗号化に AES アルゴリズムの使用を推奨しました。

データベース ミラーリング トランスポート セキュリティ

認証

Windows 認証

証明書

データの暗号化

参照

概念

その他の技術情報

ヘルプおよび情報

変更履歴

その他のリソース

データベースミラーリングトランスポートセキュリティ