SQL Server 2012 自習書 「No.18 セキュリティ」（HTML 版）

3.12　ビューを利用したセキュリティ強化

◆ ビューを利用したセキュリティ強化

ビューを利用すると、次のようにテーブルに対するアクセスを拒否して、ビューのみへアクセスさせることができます（ビューについては、本自習書シリーズの「SQL 基礎の基礎」で説明しています）。

テーブルに対する「選択」権限を「拒否」（DENY）へ設定し、ビューに対する「選択」権限を「許可」（GRANT）へ設定すれば、ユーザーがテーブルへ直接アクセスすることを禁止して、見せても良い列だけを見せられるようになります（この例では、給与と入社日を UserX から隠すことができています）。

◆ Let's Try

それでは、これを試してみましょう。ここでは、社員テーブルをもとにしたビューを作成して、上の図と同じように権限を設定し、ビューのみへアクセスできることを確認しましょう。

1．まずは、ツールバーの［データベース エンジン クエリ］ボタンをクリックして、「Windows 認証」を使用して、Administrator（管理者アカウント）でクエリ エディターを起動します。

2．クエリ エディターが開いたら、次のように入力して、「社員」テーブルから「社員番号」と「氏名」のみを取得したビューを作成します。

ここでは、スキーマ名を省略していますが、管理者アカウントでオブジェクトを作成した場合は、「dbo スキーマ」内へ格納されます。

3．［ビュー］フォルダーに作成した「dbo.社員view」ビューが追加されていることを確認できます（表示されない場合は、［ビュー］フォルダーを右クリックして、［最新の情報に更新］をクリックします）。

4．次に、新しくログイン アカウントを作成します。［セキュリティ］フォルダーの［ログイン］を右クリックして、［新しいログイン］をクリックします。

［ログイン - 新規作成］ダイアログでは、［SQL Server 認証］をチェックして、［ログイン名］へ「sqlUser05」など任意の名前を入力します。［パスワード］と［パスワードの確認入力］へは、「P@ssword」など任意のパスワードを入力して、［ユーザーは次回ログイン時にパスワードを変更する］のチェックを外します。

5．続いて、データベース ユーザーとして登録するために［ユーザー マッピング］ページを開きます。

「sampleDB」データベースをチェックして、［OK］ボタンをクリックします。

6．次に、作成した sqlUser05 ユーザーに対して「dbo.社員view」ビューへの「選択」権限を「許可」します。次のように、［ビュー］フォルダーの「dbo.社員view」ビューを右クリックして、［プロパティ］をクリックします。

［ビューのプロパティ］ダイアログでは、［権限］ページを開き、［検索］ボタンをクリックします。

7．［ユーザーまたはロールの選択］ダイアログが表示されたら、［参照］ボタンをクリックします。

［オブジェクトの参照］ダイアログでは、［sqlUser05］ユーザーのチェックをして、［OK］ボタンをクリックします。

［ユーザーまたはロールの選択］ダイアログへ戻ったら、［OK］ボタンをクリックしてダイアログを閉じます。

8．［ビューのプロパティ］ダイアログへ戻ったら、［ユーザーまたはロール］へ「sqlUser05」ユーザーが追加されていることを確認して、「選択」権限の［許可］をチェックし、［OK］ボタンをクリックします。

これで sqlUser05 ユーザーに対して、「社員view」ビューへの選択権限を付与することができました。

9．次に、sqlUser05 ユーザーに対して、「社員」テーブルへの選択権限を「拒否」します。選択権限を拒否するには、［テーブル］フォルダーの「dbo.社員」テーブルを右クリックして、［プロパティ］をクリックします。

［テーブルのプロパティ］ダイアログでは、［権限］ページを開き、［検索］ボタンをクリックします。

10．［ユーザーまたはロールの選択］ダイアログが表示されたら、［参照］ボタンをクリックします。

［オブジェクトの参照］ダイアログでは、［sqlUser05］ユーザーをチェックして、［OK］ボタンをクリックします。

［ユーザーまたはロールの選択］ダイアログへ戻ったら、［OK］ボタンをクリックしてダイアログを閉じます。

11．次のように、［ユーザーまたはロール］へ「sqlUser05」ユーザーが追加されていることを確認して、「選択」権限の［拒否］をチェックして、［OK］ボタンをクリックします。

これで sqlUser05 ユーザーに対して、「社員」テーブルへの選択権限を拒否することができました。

12．設定後、sqlUser05 でログインして、テーブルやビューを参照できるかどうかを試してみましょう。ツールバーの［データベース エンジン クエリ］ボタンをクリックして、sqlUser05 ログイン アカウントでログインします。

［データベース エンジンへの接続］ダイアログでは、［認証］で「SQL Server 認証」を選択して、［ログイン］へ「sqlUser05」、［パスワード］へ「P@ssword」と入力し、［接続］ボタンをクリックします。

13．クエリ エディターが開いたら、次のように入力して、「社員」テーブルを SELECT します。

結果は、エラーとなり、選択権限が「拒否」されていることを確認できます。

14．次に、「社員view」ビューに対して SELECT してみましょう。

今度は、成功して「社員番号」と「氏名」を取得できていることを確認できます。

このように、ビューを利用すると、テーブルの見せたい列のみを見せられるようになり、一般ユーザーに対しては、機密情報などを隠すことができるようになります（セキュリティを強化できます）。