SQL Server でのストアドプロシージャを使用したアクセス許可の管理 (ADO.NET)

[アーティクル]
09/17/2008

更新 : November 2007

データベースを多層的に防御する 1 つの方法として、あらゆるデータアクセスをストアドプロシージャまたはユーザー定義関数を使って実装することが考えられます。テーブルなど、基になるオブジェクトに対する権限をすべて取り消すか拒否し、ストアドプロシージャに対して EXECUTE 権限を付与するようにします。こうすることで、データやデータベースオブジェクトの周囲にセキュリティの境界を設けることができます。

ストアドプロシージャの利点

ストアドプロシージャには、次の利点があります。

データロジックとビジネスルールがカプセル化されるため、ユーザーが、開発者およびデータベース管理者の想定外の方法でデータやオブジェクトにアクセスするのを防ぐことができます。
すべてのユーザー入力を検証するパラメータ化されたストアドプロシージャを使用することで、SQL インジェクション攻撃を阻止できます。動的 SQL を使用する場合は、必ずコマンドをパラメータ化するようにし、パラメータ値を直接クエリ文字列に追加することは避けてください。
アドホッククエリおよびデータ変更を禁止できます。悪意からまたは不注意によってデータが破壊されたり、サーバーやネットワークのパフォーマンスを損ねるようなクエリが実行されるのを防ぐことができます。
エラーをクライアントアプリケーションに直接渡すことなく、プロシージャコード内で処理できます。これにより、返されたエラーメッセージがプローブ攻撃に利用されるのを防ぐことができます。エラーはログに記録しサーバー上で処理するようにします。
ストアドプロシージャは 1 度作成すれば、さまざまなアプリケーションからアクセスできます。
クライアントアプリケーションは基になるデータの構造を意識する必要がありません。パラメータリストや返されるデータ型に影響が及ばない限り、ストアドプロシージャのコードを変更しても、クライアントアプリケーション側に変更を加える必要はありません。
ストアドプロシージャによって、複数の操作を 1 回のプロシージャ呼び出しにまとめることができるため、ネットワークトラフィックを削減できます。

ストアドプロシージャの実行

ストアドプロシージャを使用すると、所有権の継承によるデータアクセスを利用できるため、データベースオブジェクトにアクセスするための権限をユーザーに明示的に付与する必要がありません。所有権の継承は、連鎖的にアクセスされる複数のオブジェクトが同じユーザーによって所有されている場合に適用されます。たとえば、あるストアドプロシージャが別のストアドプロシージャを呼び出したり、特定のストアドプロシージャが複数のテーブルにアクセスしたりすることができます。実行の連鎖に含まれるすべてのオブジェクトが同じ所有者を共有していた場合、SQL Server は呼び出し元の EXECUTE 権限だけをチェックします。つまり、他のオブジェクトの呼び出し元の権限はチェックされません。したがって、EXECUTE 権限はストアドプロシージャにのみ付与すればよく、基になるテーブルの権限はすべて取り消すか拒否できます。

ベストプラクティス

単にストアドプロシージャを作成するだけでは、アプリケーションを適切に保護することはできません。同時に、次の点を考慮してセキュリティホールを防ぐ必要があります。

データアクセスを許可するデータベースロールに、ストアドプロシージャの EXECUTE 権限を付与する。
基になるテーブルのすべての権限を取り消すか拒否する。public ロールを含め、データベース内のすべてのロールおよびユーザーが対象になります。すべてのユーザーは public から権限を継承します。したがって、public の権限を拒否することは、所有者と sysadmin メンバだけがアクセス権を持つことを意味します。それ以外のすべてのユーザーは、他のロールのメンバになっても権限を継承することはできなくなります。
sysadmin ロールまたは db_owner ロールに対してユーザーまたはロールを追加することは避ける。システム管理者およびデータベース所有者は、すべてのデータベースオブジェクトにアクセスできます。
guest アカウントを無効にする。こうすることで、匿名ユーザーがデータベースに接続することはできなくなります。新しいデータベースの guest アカウントは既定で無効化されています。
エラー処理を実装し、エラーのログを記録する。
すべてのユーザー入力を検証するパラメータ化されたストアドプロシージャを作成する。どのようなユーザー入力も "信頼できないもの" として扱うようにします。
どうしても必要な場合を除き、動的 SQL は使用しない。文字列値を Transact-SQL の QUOTENAME() 関数に渡すことで、入力文字列に含まれている可能性のある区切り記号をエスケープできます。

外部リソース

詳細については、次のリソースを参照してください。

リソース	説明
ストアドプロシージャおよび SQL インジェクション (SQL Server 2008 オンラインブック)	ストアドプロシージャの作成方法と SQL インジェクションのしくみについて説明します。
ストアドプロシージャおよび SQL インジェクション (SQL Server 2005 オンラインブック)	ストアドプロシージャの作成方法と SQL インジェクションのしくみについて説明します。
ストアドプロシージャおよび所有権の継承の使用 (SQL Server 2000 オンラインブック)	ストアドプロシージャの作成方法、および、SQL Server 2000 における所有権の継承の活用方法について説明します。