インターネット インフォメーション サービス (IIS) 8.0 で Analysis Services への HTTP アクセスを構成する

この記事では、Analysis Services インスタンスにアクセスするための HTTP エンドポイントを設定する方法について説明します。 HTTP アクセスを有効にするには、MSMDPUMP.dll、インターネット インフォメーション サービス (IIS) で実行され、クライアント アプリケーションと Analysis Services サーバーとの間でデータをポンプする ISAPI 拡張機能を構成します。 この方法では、BI ソリューションが次の機能を呼び出すときに Analysis Services に接続するための代替手段が提供されます。

• クライアント アクセスはインターネットまたはエクストラネット接続経由であり、有効にできるポートには制限があります。

• クライアント接続は、同じネットワーク内の信頼されていないドメインからの接続です。

• クライアント アプリケーションは、HTTP は許可するが TCP/IP 接続は許可しないネットワーク環境で実行されます。

• クライアント アプリケーションでは、Analysis Services クライアント ライブラリ (UNIX サーバーで実行されている Java アプリケーションなど) を使用できません。 Analysis Services クライアント ライブラリをデータ アクセスに使用できない場合は、Analysis Services インスタンスへの直接 HTTP 接続経由で SOAP と XML/A を使用できます。

• Windows 統合セキュリティ以外の認証方法が必要です。 具体的には、HTTP アクセス用に Analysis Services を構成するときに、匿名接続と基本認証を使用できます。 ダイジェスト、フォーム、および ASP.NET 認証はサポートされていません。 基本認証の要件は、HTTP アクセスを有効にする主な理由の 1 つです。 詳細については、「 Microsoft BI 認証と ID 委任」を参照してください。

表形式モードまたは多次元モードを実行して、Analysis Services のサポートされているバージョンまたはエディションに対して HTTP アクセスを構成できます。 ローカル キューブは例外です。 HTTP エンドポイントを介してローカル キューブに接続することはできません。

HTTP アクセスの設定は、インストール後のタスクです。 ANALYSIS Services は、HTTP アクセス用に構成する前にインストールする必要があります。 Analysis Services 管理者は、HTTP アクセスを可能にする前に、Windows アカウントにアクセス許可を付与する必要があります。 さらに、インストールを最初に検証し、サーバーをさらに構成する前に完全に動作していることを確認することをお勧めします。 HTTP アクセスが構成されたら、HTTP エンドポイントとサーバーの通常のネットワーク名の両方を TCP/IP 経由で使用できます。 HTTP アクセスを設定しても、データ アクセスの他の方法は無効になりません。

MSMDPUMP の構成を進める際には、クライアントから IIS、IIS から SSAS の 2 つの接続を考慮する必要があることに注意してください。 この記事の手順は、IIS から SSAS に関する説明です。 クライアント アプリケーションが IIS に接続する前に、追加の構成が必要になる場合があります。 SSL を使用するかどうか、またはバインドを構成する方法などの決定は、この記事では範囲外です。 IIS の詳細については、 Web サーバー (IIS) を参照してください。

このトピックのセクションは次のとおりです。

• 概要

• 前提条件

• MSMDPUMP.dll を Web サーバー上のフォルダーにコピーする

• IIS でアプリケーション プールと仮想ディレクトリを作成する

• IIS 認証を構成し、拡張機能を追加する

• MSMDPUMP を編集します。ターゲット サーバーを設定する INI ファイル

• 構成をテストする

概要

MSMDPUMP は、IIS に読み込み、ローカルまたはリモートの Analysis Services インスタンスへのリダイレクトを提供する ISAPI 拡張機能です。 この ISAPI 拡張機能を構成することで、Analysis Services インスタンスへの HTTP エンドポイントを作成します。

HTTP エンドポイントごとに 1 つの仮想ディレクトリを作成して構成する必要があります。 各エンドポイントには、接続先の Analysis Services インスタンスごとに、MSMDPUMP ファイルの独自のセットが必要です。 このファイル セット内の構成ファイルは、各 HTTP エンドポイントに使用される Analysis Services インスタンスの名前を指定します。

IIS では、MSMDPUMP は ANALYSIS Services OLE DB プロバイダーを使用して TCP/IP 経由で Analysis Services に接続します。 クライアント要求はドメイン信頼の外部から送信される場合がありますが、ネイティブ接続を成功させるには、Analysis Services と IIS の両方が同じドメインまたは信頼されたドメインに存在する必要があります。

MSMDPUMP が Analysis Services に接続すると、Windows ユーザー ID で接続されます。 このアカウントは、匿名接続用に仮想ディレクトリを構成した場合は匿名アカウントか、Windows ユーザー アカウントになります。 アカウントには、Analysis Services サーバーとデータベースに対する適切なデータ アクセス権が必要です。

次の表に、さまざまなシナリオで HTTP アクセスを有効にする場合のその他の考慮事項を示します。

[前提条件]

この記事の手順では、IIS が既に構成されており、Analysis Services が既にインストールされていることを前提としています。 Windows Server 2012 には、システムで有効にできるサーバーの役割として IIS 8.x が付属しています。

IIS 8.0 の追加構成

IIS 8.0 の既定の構成には、Analysis Services への HTTP アクセスに必要なコンポーネントがありません。 これらのコンポーネントは、Web サーバー (IIS) ロールのセキュリティおよびアプリケーション開発機能領域に含まれており、次のコンポーネントが含まれます。

• セキュリティ | Windows 認証、 基本認証、およびデータ アクセス シナリオに必要なその他のセキュリティ機能。

• アプリケーション開発 | CGI

• アプリケーション開発 | ISAPI 拡張機能

これらのコンポーネントを確認または追加するには、 サーバー マネージャー | Manage | 役割と機能の追加を使用します。 サーバーの役割に移動するまで、ウィザードをステップ実行します。 下にスクロールして Web サーバー (IIS) を見つけます。

1. Web Server | Security を開き、認証方法を選択します。

2. Web サーバー | アプリケーション開発を開き、CGI と ISAPI 拡張機能を選択します。

   ]

IIS がリモート サーバー上にある場合

IIS と Analysis Services の間のリモート接続では、IIS を実行している Windows サーバーに Analysis Services OLE DB プロバイダー (MSOLAP) をインストールする必要があります。

1. SQL Server 2014 Feature Pack のダウンロード ページに移動する

2. 赤いダウンロード ボタンをクリックします。

3. 下にスクロールして ENU\x64\SQL_AS_OLEDB.msi を見つける

4. ウィザードの指示に従ってインストールを完了します。

手順 1: MSMDPUMP ファイルを Web サーバー上のフォルダーにコピーする

作成する各 HTTP エンドポイントには、MSMDPUMP ファイルの独自のセットが必要です。 この手順では、MSMDPUMP 実行可能ファイル、構成ファイル、およびリソース フォルダーを Analysis Services プログラム フォルダーから、IIS を実行しているコンピューターのファイル システム上に作成する新しい仮想ディレクトリ フォルダーにコピーします。

ドライブは NTFS ファイル システム用にフォーマットする必要があります。 作成するフォルダーへのパスにスペースを含めることはできません。

1. <drive>:\Program Files\Microsoft SQL Server\<instance>\OLAP\bin\isapi: MSMDPUMP.DLL、MSMDPUMP にあるファイルをコピーします。INI と Resources フォルダー。

   

2. Web サーバーで、<drive>:\inetpub\wwwroot\OLAP という新しいフォルダーを作成します。

3. 以前にコピーしたファイルをこの新しいフォルダーに貼り付けます。

4. Web サーバー上の \inetpub\wwwroot\OLAP フォルダーに、MSMDPUMP.DLL MSMDPUMP が含まれていることを確認します。INI と Resources フォルダー。 フォルダー構造は次のようになります。

   • <drive>:\inetpub\wwwroot\OLAP\MSMDPUMP.dll

   • <drive>:\inetpub\wwwroot\OLAP\MSMDPUMP.ini

   • <drive>:\inetpub\wwwroot\OLAP\Resources

手順 2: IIS でアプリケーション プールと仮想ディレクトリを作成する

次に、アプリケーション プールと、ポンプへのエンドポイントを作成します。

アプリケーション プールを作成する

1. IIS マネージャーを起動します。

2. サーバー フォルダーを開き、[ アプリケーション プール ] を右クリックし、[ アプリケーション プールの追加] をクリックします。 .NET Framework を使用して OLAP という名前のアプリケーション プールを作成し、マネージド パイプライン モードを クラシックに設定します。

   [

3. 既定では、IIS はセキュリティ ID として ApplicationPoolIdentity を使用してアプリケーション プールを作成します。これは、Analysis Services への HTTP アクセスに有効な選択肢です。 ID を変更する特定の理由がある場合は、 OLAP を右クリックし、[ 詳細設定] を選択します。 ApplicationPoolIdentity を選択します。 組み込みアカウントを使用するカスタム アカウントに置き換えるには、このプロパティの [変更 ] ボタンをクリックします。

   スクリーンショット

4. 既定では、64 ビット オペレーティング システムでは、IIS は 32 ビット アプリケーションの有効化 プロパティを false に設定 します。 Analysis Services の 64 ビット インストールから msmdpump.dll をコピーした場合、これは 64 ビット IIS サーバー上の MSMDPUMP 拡張機能の正しい設定です。 MSMDPUMP バイナリを 32 ビット インストールからコピーした場合は、true に設定 します。 [詳細設定] でこのプロパティを確認し、正しく設定されていることを確認します。

アプリケーションを作成する

1. IIS マネージャーで、[ サイト] を開き、[ 既定の Web サイト] を開きます。 Olap という名前のフォルダーが表示されます。 これは、\inetpub\wwwroot の下に作成した OLAP フォルダーへの参照です。

   

2. フォルダーを右クリックし、[ アプリケーションに変換] を選択します。

3. [アプリケーションの追加] に、エイリアスとして OLAP を入力します。 [ 選択 ] をクリックして OLAP アプリケーション プールを選択します。 物理パスは C:\inetpub\wwwroot\OLAP に設定する必要があります

   

4. OK をクリックします。 Web サイトを更新し、OLAP フォルダーが既定の Web サイトの下のアプリケーションになったことを確認します。 MSMDPUMP ファイルへの仮想パスが確立されました。

   )

手順 3: IIS 認証を構成し、拡張機能を追加する

この手順では、先ほど作成した SSAS 仮想ディレクトリをさらに構成します。 認証方法を指定し、スクリプト マップを追加します。 HTTP 経由の Analysis Services でサポートされている認証方法は次のとおりです。

• Windows 認証 (Kerberos または NTLM)

• 基本認証

• 匿名認証

Windows 認証 は最も安全であると見なされ、Active Directory を使用するネットワークに既存のインフラストラクチャを活用します。 Windows 認証を効果的に使用するには、すべてのブラウザー、クライアント アプリケーション、およびサーバー アプリケーションでサポートされている必要があります。 これは最も安全で推奨されるモードですが、接続を要求するユーザーの ID を認証できる Windows ドメイン コントローラーに IIS がアクセスできる必要があります。

Analysis Services と IIS を異なるコンピューターに配置するトポロジでは、リモート コンピューター上の 2 つ目のサービスにユーザー ID を委任する必要があるときに発生するダブルホップの問題に対処する必要があります。通常は、Kerberos 制約付き委任に対して Analysis Services を有効にします。 詳細については、「 Kerberos の制約付き委任用に Analysis Services を構成する」を参照してください。

基本認証 は、Windows ID があるが、ユーザー接続が信頼されていないドメインからの場合に使用され、委任された接続または偽装された接続の使用が禁止されます。 基本認証を使用すると、接続文字列にユーザー ID とパスワードを指定できます。 現在のユーザーのセキュリティ コンテキストを使用する代わりに、接続文字列の資格情報を使用して Analysis Services に接続します。 Analysis Services では Windows 認証のみがサポートされるため、渡される資格情報は、Analysis Services がホストされているドメインのメンバーである Windows ユーザーまたはグループである必要があります。

匿名認証 は、構成の容易さが Analysis Services への HTTP 接続を迅速に検証するのに役立つので、初期テスト時によく使用されます。 いくつかの手順で、ID として一意のユーザー アカウントを割り当て、Analysis Services でそのアカウントのアクセス許可を付与し、そのアカウントを使用してクライアント アプリケーションのデータ アクセスを確認し、テストが完了したときに匿名認証を無効にすることができます。

また、ユーザーが Windows ユーザー アカウントを持っていない場合は、運用環境で匿名認証を使用することもできますが、「 匿名認証を有効にする (IIS 7)」で説明されているように、ホスト システムのアクセス許可をロックダウンしてベスト プラクティスに従ってください。 アカウント アクセスのレベルをさらに下げるために、認証が親 Web サイトではなく仮想ディレクトリに設定されていることを確認します。

匿名が有効になっている場合、HTTP エンドポイントへのユーザー接続は、匿名ユーザーとして接続できます。 個々のユーザー接続を監査したり、ユーザー ID を使用してモデルからデータを選択したりすることはできません。 ご覧のように、匿名を使用すると、モデルの設計からデータの更新やアクセスまで、あらゆるものが影響を受けます。 ただし、ユーザーが最初に Windows ユーザー ログインを持っていない場合は、匿名アカウントを使用することが唯一のオプションである可能性があります。

認証の種類を設定し、スクリプト マップを追加する

1. IIS マネージャーでサイト を開き、 既定の Web サイトを開き、 OLAP 仮想ディレクトリを選択します。

2. メイン ページの IIS セクションで [ 認証 ] をダブルクリックします。

   

3. Windows 統合セキュリティを使用している場合は、Windows 認証 を有効にします。

   

4. または、クライアント アプリケーションとサーバー アプリケーションが異なるドメインにある場合は、 基本認証 を有効にします。 このモードでは、ユーザーはユーザー名とパスワードを入力する必要があります。 ユーザー名とパスワードは、IIS への HTTP 接続を介して送信されます。 IIS は、MSMDPUMP に接続するときに、指定された資格情報を使用してユーザーを偽装しようとしますが、資格情報は Analysis Services に委任されません。 代わりに、このドキュメントの手順 6 で説明されているように、接続で有効なユーザー名とパスワードを渡す必要があります。

   重要

   パスワードが送信されるシステムを構築するユーザーには、通信チャネルをセキュリティで保護する方法が不可欠であることに注意してください。 IIS には、チャネルのセキュリティ保護に役立つ一連のツールが用意されています。 詳細については、「 IIS 7 で SSL を設定する方法」を参照してください。

5. Windows 認証または基本認証を使用している場合は、 匿名 認証を無効にします。 匿名認証が有効になっている場合、他の認証方法が有効になっている場合でも、IIS は常に最初にそれを使用します。

   匿名認証では、ポンプ (msmdpump.dll) は匿名ユーザー用に確立したユーザー アカウントとして実行されます。 IIS に接続するユーザーと Analysis Services に接続しているユーザーの違いはありません。 既定では、IIS は IUSR アカウントを使用しますが、ネットワークアクセス許可を持つドメイン ユーザー アカウントに変更できます。 IIS と Analysis Services が異なるコンピューター上にある場合は、この機能が必要になります。

   匿名認証の資格情報を構成する方法については、「 匿名認証」を参照してください。

   重要

   匿名認証は、ユーザーがファイル システムのアクセス制御リストを使用してアクセスを許可または拒否される、非常に制御された環境で見つかる可能性が最も高いです。 ベスト プラクティスについては、「 匿名認証を有効にする (IIS 7)」を参照してください。

6. OLAP 仮想ディレクトリをクリックしてメイン ページを開きます。 [ ハンドラー マッピング] をダブルクリックします。

   

7. ページ上の任意の場所を右クリックし、[ スクリプト マップの追加] を選択します。 [スクリプト マップの追加] ダイアログ ボックスで、要求パスとして *.dll を指定し、実行可能ファイルとして c:\inetpub\wwwroot\OLAP\msmdpump.dll を指定し、名前として OLAP を入力します。 このスクリプト マップに関連付けられているすべての既定の制限を保持します。

   

8. ISAPI 拡張機能を許可するように求められたら、[ はい] をクリックします。

   

手順 4: MSMDPUMP を編集します。ターゲット サーバーを設定する INI ファイル

MSMDPUMP.INI ファイルは、MSMDPUMP.DLLが接続する分析サービスのインスタンスを指定します。 このインスタンスは、ローカルまたはリモートで、既定または名前付きインスタンスとしてインストールできます。

フォルダー C:\inetpub\wwwroot\OLAP にある msmdpump.ini ファイルを開き、このファイルの内容を確認します。 つまり、次のようになります。

<ConfigurationSettings>  
<ServerName>localhost</ServerName>  
<SessionTimeout>3600</SessionTimeout>  
<ConnectionPoolSize>100</ConnectionPoolSize>  
</ConfigurationSettings>  
  

HTTP アクセスを構成する Analysis Services インスタンスがローカル コンピューター上にあり、既定のインスタンスとしてインストールされている場合、この設定を変更する理由はありません。 それ以外の場合は、サーバー名 (例: <ServerName>ADWRKS-SRV01</ServerName>) を指定する必要があります。 名前付きインスタンスとしてインストールされているサーバーの場合は、インスタンス名 (例: <ServerName>ADWRKS-SRV01\Tabular</ServerName>) を追加してください。

既定では、Analysis Services は TCP/IP ポート 2383 でリッスンします。 Analysis Services を既定のインスタンスとしてインストールした場合、Analysis Services はポート 2383 を自動的にリッスンする方法を認識しているため><ServerName でポートを指定する必要はありません。 ただし、Windows ファイアウォールでそのポートへの受信接続を許可する必要があります。 詳細については、「 Analysis Services アクセスを許可するように Windows ファイアウォールを構成する」を参照してください。

固定ポートでリッスンするように Analysis Services の名前付きインスタンスまたは既定のインスタンスを構成した場合は、サーバー名 (たとえば、 <ServerName>AW-SRV01:55555</ServerName>) にポート番号を追加し、そのポートへの Windows ファイアウォールの受信接続を許可する必要があります。

手順 5: データ アクセス許可を付与する

前述のように、Analysis Services インスタンスに対するアクセス許可を付与する必要があります。 各データベース オブジェクトには、特定のレベルのアクセス許可 (読み取りまたは読み取り/書き込み) を提供するロールがあり、各ロールには Windows ユーザー ID で構成されるメンバーが含まれます。

アクセス許可を設定するには、SQL Server Management Studio を使用できます。 Database | Roles フォルダーでは、ロールの作成、データベースのアクセス許可の指定、Windows ユーザーまたはグループ アカウントへのメンバーシップの割り当て、特定のオブジェクトに対する読み取りまたは書き込みアクセス許可の付与を行うことができます。 通常、モデル データを使用するが更新しないクライアント接続には、キューブに対する 読み取り アクセス許可で十分です。

ロールの割り当ては、認証の構成方法によって異なります。

アノニマス	IIS の [匿名認証資格情報の編集] で指定したアカウントをメンバーシップ リストに追加します。 詳細については、「 匿名認証」を参照してください。
Windows 認証	権限借用または委任を介して Analysis Services データを要求する Windows ユーザーまたはグループ アカウントをメンバーシップ リストに追加します。 Kerberos の制約付き委任が使用されていると仮定すると、アクセス許可を必要とするアカウントは、アクセスを要求する Windows ユーザーアカウントとグループ アカウントだけです。 アプリケーション プール ID にアクセス許可は必要ありません。
基本認証	[メンバーシップ] リストに、接続文字列で渡される Windows ユーザーまたはグループ アカウントを追加します。 さらに、接続文字列の EffectiveUserName を介して資格情報を渡す場合、アプリケーション プール ID には Analysis Services インスタンスに対する管理者権限が必要です。 SSMS で、インスタンスを右クリックします 。 プロパティ | セキュリティ | 追加します。 アプリケーション プール ID を入力します。 組み込みの既定の ID を使用した場合、アカウントは IIS AppPool\DefaultAppPool として指定されます。

権限の設定の詳細については、「 オブジェクトと操作へのアクセスの承認 (Analysis Services)」を参照してください。

手順 6: 構成をテストする

MSMDPUMP の接続文字列構文は、MSMDPUMP.dll ファイルの URL です。

Web アプリケーションが固定ポートでリッスンしている場合は、 http://my-web-srv01:8080/OLAP/msmdpump.dll や http://123.456.789.012:8080/OLAP/msmdpump.dllなど、サーバー名または IP アドレスにポート番号を追加します。

接続をすばやくテストするには、Microsoft Excel または SQL Server Management Studio を使用して接続を開くことができます。

SQL Server Management Studio を使用して接続をテストする

1. Management Studio の [サーバーへの接続] ダイアログ ボックスで、サーバーの種類として [Analysis Services ] を選択します。 [サーバー名] に、msmdpump 拡張機能の HTTP アドレスを入力します: http://my-web-srv01/OLAP/msmdpump.dll。

   オブジェクト エクスプローラーに HTTP 接続が表示されます。

   

2. 認証は Windows 認証である必要があり、Management Studio を使用するユーザーは Analysis Services 管理者である必要があります。 管理者は、他のユーザーによるアクセスを有効にするアクセス許可をさらに付与できます。

Excel を使用して接続をテストする

1. Excel の [データ] タブの [外部データの取得] で、[ 他のソースから] をクリックし、[ Analysis Services から ] を選択してデータ接続ウィザードを開始します。

2. [サーバー名] に、msmdpump 拡張機能の HTTP アドレスを入力します: http://my-web-srv01/OLAP/msmdpump.dll。

3. [ログオン資格情報] で、Windows 統合セキュリティまたは NTLM または匿名ユーザーを使用している場合は、[Windows 認証の使用 ] を選択します。

   [基本認証] で、[ 次のユーザー名とパスワードを使用する] を選択し、サインオンに使用する資格情報を指定します。 指定した資格情報は、接続文字列で Analysis Services に渡されます。

AMO を使用して接続をテストする

エンドポイントの URL をサーバー名として置き換え、AMO を使用してプログラムで HTTP アクセスをテストできます。 詳細については、 フォーラムの投稿 (ドメイン/フォレストとファイアウォールの境界を越えて HTTPS 経由で SSAS 2008 R2 データベースを同期する方法) を参照してください。

基本認証を使用した HTTP(S) アクセスの構文を示す接続文字列の例:

Data Source=https://<servername>/olap/msmdpump.dll; Initial Catalog=AdventureWorksDW2012; Integrated Security=Basic; User ID=XXXX; Password=XXXXX;

プログラムによる接続の設定の詳細については、「 ADOMD.NET でのセキュリティで保護された接続の確立」を参照してください。

最後の手順として、接続の発信元となるネットワーク環境で実行されるクライアント コンピューターを使用して、より厳密なテストを行う必要があります。

こちらもご覧ください

フォーラムの投稿 (msmdpump と基本認証を使用した http アクセス)
Analysis Services のアクセスを許可するための Windows ファイアウォールの構成
オブジェクトと操作へのアクセスの承認 (Analysis Services)
IIS 認証方法
IIS 7 で SSL をセットアップする方法