SQL Server 2008 セキュリティの変更点

SQL Server 2005 以降では、SQL Server のセキュリティが以前のバージョンよりも向上するように大幅な変更が実装されています。この変更内容には、セキュリティへの攻撃からサーバー インスタンスとそのデータベースを保護するために策定された "Secure by Design (設計段階でのセキュリティの確保)、Secure by Default (出荷時のセキュリティの確保)、および Secure in Deployment (展開時のセキュリティの確保)" というストラテジが含まれています。

SQL Server 2008 では、セキュリティをさらに強化しています。SQL Server 2008 では、Windows Vista および Windows Server 2008 のユーザー アカウント制御 (UAC) など、Microsoft の最新のオペレーティング システムにおける変更点も利用しています。次に示す SQL Server 2008 のセキュリティ強化では、"最小特権" というポリシーを設けることで、SQL Server とそのデータベースが外部から攻撃される危険を軽減すると共に、Windows 管理者と SQL Server 管理者の分離を促進します。

• SQL Server 2008 の新規インストール時に、既定でローカル Windows グループ BUILTIN\Administrator が SQL Server sysadmin 固定サーバー ロールに含まれないようになりました。

  重要
  プロセスまたはコードが Windows の BUILTIN\Administrator ローカル グループへのアクセスに依存している場合は、SQL Server へのログオン権限を明示的に許可する必要があります。Windows Administrator グループのメンバーであるからといって、SQL Server へのアクセス権がアカウントに自動的に付与されることはなくなります。sysadmin ロールに少なくとも 1 人のユーザーを含めないと、SQL Server インスタンスからロックアウトされます。詳細については、「データベース エンジンの構成 - アカウントの準備」および「Analysis Services の構成 - アカウントの準備」を参照してください。

• SQLServerMSSQLUser$ COMPUTERNAME $ INSTANCENAMEや SQLServerSQLAgentUser$ COMPUTERNAME $ INSTANCENAME など、SQL Server サービス用に作成された Windows グループが sysadmin 固定サーバー ロールに含まれなくなりました。代わりに、SQL Server サービスおよび SQL Server エージェント サービスの起動に使用したサービス アカウントに対し、SQL Server で個別に sysadmin 権限が付与されます。Windows Server 2008 または Windows Vista オペレーティング システムに SQL Server をインストールすると、サービス SID が sysadmin 固定サーバー ロールのメンバーとして準備されます。詳細については、「Windows サービス アカウントの設定」を参照してください。

• セキュリティ構成 (SAC) ツールが削除されました。代わりにポリシー ベースの管理機能が導入され、SQL Server 構成マネージャー ツールに変更が加えられました。

• Kerberos 認証のサポートが拡張され、TCP/IP に加えて、名前付きパイプおよび共有メモリでも使用できるようになりました。

これらの変更は SQL Server のセキュリティ計画に影響し、システムのより包括的なセキュリティ プロファイルの作成を可能にします。