【はじめに】
SQL Serverには、 SQL Serverの利用者をあらわすものとして、「ログイン」と「ユーザー」があります。さらに、これらをグループ化するものとして、「サーバーロール」と「ロール」があります。ここでは、それぞれの考え方を整理していきます。
あわせて、セキュリティ上の注意点や、すでに発生したワームも見ていきましょう。

【ログインを作成する】
SQL Server には、利用者をあらわすものとして、次の二つがあります。

ログインは、SQL Server へ接続するときに利用します。ログインには、Windows のユーザーやグループ、SQL Server 認証用のログインがあります。
ユーザーは、データベース毎のユーザーをあらわします。SQL Serverでは、データベース毎に利用出来るユーザーを設定し、各ユーザーには、それぞれ特定のログインを割り当てます。

では、 Enterprise Manager でのログイン管理画面を見ていきましょう



Transact-SQLでログインの一覧を得るには次のようにします。

sp_helplogins

ログインは、セキュリティグループの中に定義されており、インストール直後は、次の三つのログインが定義されています。

Windows認証の場合は、Windowsのユーザーやグループ作成時に、Windowsが割り当てたSIDになります。Windows上でユーザー名を変更しても、SIDは同じままになります。
逆に、Windows上でユーザーを削除して、再度同じ名前でユーザーを作成した場合は、SIDは違う値になります。
SQL Server認証の場合は、ログイン作成時、自動的にSIDが割り振られます。Transact-SQL を使うと、特定のSIDを指定してログインを作成することもできます。
では、いよいよログインを作成してみましょう。
Enterprise Manger では、ログインのところで右クリックをして「新規ログイン(L)...」を選択します。



新規ログイン用ダイアログが表示されます。まず、名前を指定します。
Windows 認証の場合は、<ドメイン名>\<名前> または、<コンピュータ名>\<名前>という形で指定します。名前入力欄の右にある「...」ボタンをクリックすると、Windows のユーザーの一覧の中から選択することができます。名前には、ユーザーだけでなく、グループを指定することができます。
Windows 認証では、「セキュリティアクセス」の欄にて、「アクセス許可」「アクセス拒否」を選択することができます。
通常は、｢アクセス許可｣を選択します。
「アクセス拒否」を選択すると、特定のユーザーまたは、グループからのアクセスを拒否することができます。
SQL Server 認証の場合は、任意の名前を指定します。あわせてパスワードも指定します。
名前、パスワードとも、任意の文字を 128文字まで指定することができます。パスワードは少なくとも、10文字以上指定されることをお勧めします。

Transact-SQLを利用してログインを追加する場合は次のようになります。

Windows 認証ログインは、アクセス許可する場合と、拒否する場合とで別のコマンドを利用します。
アクセス許可する場合: sp_grantlogin N'MyDomain\UserA'
アクセス拒否する場合: sp_denylogin N'MyDomain\UserA'

SQL Server 認証のログインは、次のように作成します。
sp_addlogin N'UserA', N'Password'

SID を指定してログインを作成する場合は、次のようにします。
sp_addlogin @loginname=N'UserA', @passwd=N'pwd', @sid= 0x0123

新規作成したログインの既定のデータベースを指定するには、次のようにします。
sp_defaultdb N'MyDomain\UserA', N'Pubs'
  
新規作成したログインの既定の言語を指定するには次のようにします。
sp_defaultlanguage N' MyDomain\UserA', N'日本語'
システムの既定値に設定する場合は、sp_defaultlanguage N'UserA' とします。

ログインを特定のサーバーロールに割り当てるには、次のようにします。
sp_addsrvrolemember N'MyDomain\UserA, 'sysadmin'

以上で、ログインが作成できました。
ただし、この状態では、ログインはデータベースに対してアクセス権がありません。
このため、SQL Server に接続してもエラーになります。
ログインが利用できるようにするためには、つづいてユーザーを作成する必要があります。

【ユーザーを作成する】
つづいて、データベース毎にユーザーを作成します。

Enterprise Manager にてデータベースを選択し、その下の「ユーザー」を選択すると、図のようにユーザーの一覧が表示されます。



Transact-SQL を使って、ユーザーの一覧を表示するには、次のようにします。

　　use [pubs]
　　exec sp_helpuser

ユーザーには、次の特殊なユーザーがあります。

【sa アカウントを狙うワーム】
2002年5月にSQL Serverに感染するワームが発生しました。
ワーム名は、「SQLSPIDA」です。
別名にJS_SQLSPIDA.B, BAT_SQLSPIDA.B. Digispid.B.Worm, JS_SQLSpida.B,Hacktool.IPStealer, JS.Spida.B, SQLSnake, SQLSpida, MS SQL Wormがあります。
詳しくは、マイクロソフトのサイトを参照してください。

 ＜ SQL Serverを標的とした SQLSPIDA ワームに関する情報 ＞
http://www.microsoft.com/japan/technet/security/virus/sqlspida.asp 公開日:2002/5/22

このワームは、SQL Serverにログイン「sa」パスワード「なし」で接続し、感染します。
sa にパスワードをつけない人なんて、いるはずがない ! と思われがちですが、実際にワームは感染をしつづけました。
原因としては、いくつも考えられます。まず、SQL Serverインストール時にsaにパスワードをつけなくても、インストール出来ていたこと。Windows認証でセットアップしたあと、混合認証に変更した人が、saのパスワードを付け忘れたことなどです。
特に、SQL Server認証のログインのパスワードが、パスワードなしでも許可されてしまうことに問題があります。最初は気をつけていても、開発中やテスト中にパスワードなしでアカウントをつくって、そのままになっているケースもあります。

そこで、パスワードなしのログインがあるかどうかを調べる方法を紹介します。

  SELECT
    name, password
  FROM
    master..syslogins
  WHERE
    password IS null
    and isntuser = 0
    and isntgroup =0

このTransact-SQL を実行すると、パスワードなしのログインの一覧を表示します。
master..syslogins は、ログインを管理するシステムテーブルです。このテーブルのパスワードがnull の行を選択しています。isntuser = 0 と isntgroup = 0 は、Windows認証のログインを省いています。
手軽に検査できますので、ぜひ納品時やシステム保守の時に、検査することをお勧めします。インターネット上には、パスワードのあらゆる可能性を順番にテストするツールもあります。市販されているものもあります。出来る限りWindows認証のログインを利用すること、SQL Server認証を利用する場合は、最低10文字以上のパスワードを設定することをお勧めします。

【おわりに】
SQL Server には、ログイン、ユーザー、サーバーロール、ロールという考え方があります。Windowsのグループをログインに割り当てることもできます。
どのように使い分けるのか、十分に検討して管理漏れのないシステム構築をしましょう。
    

	「SQL Serverセキュリティのキ・ホ・ン」 目次
	第1回　認証モード
	第3回　権限の設定
	第4回　暗号化設定
	第5回　開発上の注意点