第3回 データベースアプリケーションのセキュリティ　

星野 真理
株式会社システム・テクノロジー・アイ
2005/4/5

---

アプリケーション使用における認証の仕組み

　アプリケーションでの認証は、通常LDAPサーバを使うことになります。この連載の趣旨とは外れますが、簡単に確認しておきましょう。

●認証情報の取得先

　パフォーマンス面や安全性で考えても、データベース認証を使うべきではありません。データベース認証は、LDAPでの認証を通った後に使用すべきものです。

●認証の取得時期

　当然、個人に依存した処理をするところで認証チェックを発動します。今回の設定でいえば、勉強開始と購買開始の部分です。

●認証ユーザーの対応付け

　今回の設定であれば、1つの認証ユーザーを1つの法人にマッピングしても、勉強をするという面ではサービスを提供できます。しかし、これではユーザー名とパスワードを社員で共有することになり、情報漏えいにつながります。

　また、個人ごとの学習情報をDBに格納するのであれば、個人ごとに認証し、認証ユーザー名を学習履歴データの列の値として格納する必要があります。

●認証情報管理

　これは、「管理者を誰にするか」だけではありません。契約顧客からの問い合わせに、どのように回答するのかということも含みます。今回の設定では、質問担当者はパスワードを忘れたユーザーが電話で問い合わせてきた場合に、「口頭で答えていいのか」といったことを決めなくてはなりません。

　セキュリティの実装には、インフラやコーディングなどのコンピュータ内の仕組みだけではなく、人間の行動範囲を決めるマニュアルも必要です。

DBユーザーの分類とその権限設定

　さて、ここからがDB側でのお話です。データベースでは、データの目的やシステムごとに、データの所有者ユーザーを作成します。例えば、以下のようになります。

受注データの所有者→DBでのAユーザー（スキーマ）
経理データの所有者→DBでのBユーザー（スキーマ）
学習データの所有者→DBでのCユーザー（スキーマ）

　次にすることは、これらのデータを使う側のDBユーザーをどう分けるかです。この分類は、アプリケーションの性質によって異なります。クライアント／サーバ型アプリケーションにおけるユーザーの分類の考え方は前回「データベースの認証を総点検」の内容に含まれますのでそちらを参考にしてください。今回は以下の3つのアプリケーションで考えます。

• インターネットアプリケーション
• イントラネットアプリケーション
• EUCアプリケーション

2/4

Index
データベースアプリケーションのセキュリティ
	Page1 今回の設定 アプリケーション構築の着目点
	Page2 アプリケーション使用における認証の仕組み DBユーザーの分類とその権限設定
	Page3 インターネットアプリケーションで使うDBユーザー イントラネットシステムで使うDBユーザー
	Page4 EUCアプリケーションで使うDBユーザー

関連記事

データベースセキュリティの基礎のキソ

Database Expertフォーラム

Security&Trust記事一覧

＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）