SQL Server のサーバーロールとデータベースロール (ADO.NET)

2008-09-17

更新 : November 2007

SQL Server では、すべてのバージョンで、個々のユーザーではなくロール (つまり、ユーザーのグループ) に対して権限を割り当てることのできるロールベースのセキュリティが使用されています。固定サーバーロールおよび固定データベースロールには、固定された一連の権限が割り当てられています。

固定サーバーロール

固定サーバーロールは、固定された一連の権限とサーバー規模のスコープを持ちます。SQL Server の管理を目的としており、このロールに割り当てられた権限を変更することはできません。固定サーバーロールには、データベースにユーザーアカウントがなくても、ログインを割り当てることができます。

セキュリティに関するメモ :
sysadmin 固定サーバーロールは他のすべてのロールを内包し、無制限のスコープを持ちます。本当に信頼できる場合以外、このロールにプリンシパルを追加することは避けてください。sysadmin ロールのメンバには、サーバーのすべてのデータベースおよびリソースに対する取り消し不可能な管理特権が与えられます。

sysadmin 固定サーバーロールは他のすべてのロールを内包し、無制限のスコープを持ちます。本当に信頼できる場合以外、このロールにプリンシパルを追加することは避けてください。sysadmin ロールのメンバには、サーバーのすべてのデータベースおよびリソースに対する取り消し不可能な管理特権が与えられます。

固定サーバーロールに追加するユーザーは慎重に選ぶ必要があります。たとえば、bulkadmin ロールでは、ユーザーがローカルファイルの内容をテーブルに挿入できるため、データの整合性が損なわれる可能性があります。固定サーバーロールと権限を網羅した一覧については、SQL Server 2005 オンラインブックを参照してください。SQL Server 2000 の固定サーバーロールには、同じロール名および SQL Server 2000 に適した権限セットが割り当てられています。

固定データベースロール

固定データベースロールには、権限のグループを簡単に管理できるように、あらかじめ定義された一連の権限が割り当てられています。db_owner ロールのメンバは、データベースに対するすべての構成作業とメンテナンス作業を実行できます。

SQL Server の定義済みロールの詳細については、次のリソースを参照してください。

リソース	説明
サーバーレベルのロール/固定サーバーロールの権限 (SQL Server 2005 オンラインブック)	SQL Server 2005 の固定サーバーロールおよびそれに関連付けられている権限について説明します。
データベースレベルのロール/固定データベースロールの権限 (SQL Server 2005 オンラインブック)	固定データベースロールおよびそれに関連付けられている権限について説明します。
定義済みロールへのメンバの追加 (SQL Server 2000 オンラインブック)	固定サーバーロールと固定データベースロールに関連付けられている権限、およびロールにメンバを追加する方法について説明します。

データベースロールおよびユーザー

データベースユーザーアカウントはデータベースオブジェクトを扱う関係上、ログインにマップされている必要があります。データベースユーザーをデータベースロールに追加すると、そのロールに関連付けられたすべての権限セットが継承されます。SQL Server 2005 以降では、すべての権限を付与できます。

アプリケーションのセキュリティを計画する際は、public ロール、dbo ユーザーアカウント、および guest アカウントも考慮する必要があります。

public ロール

public ロールは、システムデータベースを含め、すべてのデータベースに存在します。このロールは削除できません。また、ユーザーを追加したり削除したりすることもできません。他のすべてのユーザーおよびロールは既定で public ロールに所属するため、public ロールに付与された権限を継承します。public には、すべてのユーザーに割り当てる必要のある権限だけを付与してください。

dbo ユーザーアカウント

dbo (データベース所有者) は、データベースのすべてのアクティビティを実行する暗黙権限を持ったユーザーアカウントです。sysadmin 固定サーバーロールのメンバは、自動的に dbo にマップされます。

メモ :
SQL Server 2005 以降では、dbo が、スキーマの名前としても使用されています。詳細については、「SQL Server における所有権とユーザーとスキーマの分離 (ADO.NET)」を参照してください。

dbo ユーザーアカウントは、よく db_owner 固定データベースロールと混同されます。sysadmin のスコープがサーバー全体であるのに対し、db_owner のスコープはデータベースです。db_owner ロールのメンバであるからといって、dbo のユーザー権限があるとは限りません。

guest ユーザーアカウント

認証されて SQL Server のインスタンスへのログインが許可されたユーザーが、その後、データベースにアクセスするためには各データベースに別個のユーザーアカウントが存在している必要があります。データベースごとにユーザーアカウントが要求されるため、SQL Server のインスタンスに接続したとしても、ユーザーは、サーバー上のすべてのデータベースにアクセスできるわけではありません。この要件を回避するには、データベースに guest ユーザーアカウントを設定します。guest ユーザーは、データベースにユーザーアカウントがなくてもデータベースにログインしてアクセスできます。

guest アカウントは、SQL Server のすべてのバージョンが備えている組み込みのアカウントです。新しいデータベースでは、既定で無効化されています。このアカウントを有効にした場合でも、Transact-SQL の REVOKE CONNECT FROM GUEST ステートメントを実行して、CONNECT 権限を取り消すことによって無効にできます。SQL Server 2000 では、Transact-SQL の sp_dropuser または sp_revokedbaccess システムストアドプロシージャを実行することによって無効にできます。

セキュリティに関するメモ :
guest アカウントはできるだけ使用しないようにしてください。ユーザーごとに割り当てられたデータベース権限がなくても、すべてのログインユーザーが、このアカウントに付与されているデータベース権限を取得できるようになります。guest アカウントを使用する必要がある場合は、最小限の権限を付与するようにしてください。

guest アカウントはできるだけ使用しないようにしてください。ユーザーごとに割り当てられたデータベース権限がなくても、すべてのログインユーザーが、このアカウントに付与されているデータベース権限を取得できるようになります。guest アカウントを使用する必要がある場合は、最小限の権限を付与するようにしてください。

SQL Server のログイン、ユーザー、およびロールの詳細については、次のリソースを参照してください。

リソース	説明
ID とアクセス制御 (SQL Server 2008 オンラインブック)	プリンシパル、ロール、資格情報、セキュリティ保護可能なリソース、および権限について説明したトピックへのリンクが含まれています。
プリンシパル (SQL Server 2005 オンラインブック)	プリンシパルの説明のほか、サーバーロールとデータベースロールについて説明したトピックへのリンクが含まれています。
セキュリティアカウントの作成/セキュリティアカウントの管理 (SQL Server 2000 オンラインブック)	ログイン、ユーザー、およびロールの作成方法と管理方法について説明します。