Business Connectivity Services のセキュリティの概要 (SharePoint Server 2010)

適用先: SharePoint Server 2010

トピックの最終更新日: 2016-11-30

この記事では、Microsoft Business Connectivity Services のサーバーおよびクライアントのセキュリティ アーキテクチャ、サポートされるセキュリティ環境、外部コンテンツ タイプを外部システムに接続するために使用できる認証モード、格納されたオブジェクトに対して使用できる承認オプション、および、Microsoft Business Connectivity Services のセキュリティを構成するための一般的な手法について説明します。

この記事の内容

• この記事について

• Business Connectivity Services のセキュリティ アーキテクチャ

• Business Connectivity Services の認証の概要

• Business Connectivity Service のアクセス許可の概要

• Business Connectivity Services のセキュリティ保護

この記事について

Microsoft Business Connectivity Services には、外部システムにアクセスするユーザーを認証したり、外部システムからのデータに対する権限を構成したりするためのセキュリティ機能が用意されています。Microsoft Business Connectivity Services は柔軟性が高く、サポートされている Microsoft Office 2010 アプリケーションの内部および Web ブラウザーから広範なセキュリティ方式を利用できます。

Business Connectivity Services のセキュリティ アーキテクチャ

ここでは、Web ブラウザーおよびサポートされている Office 2010 クライアント アプリケーション (Microsoft Outlook 2010 など) からの認証を行う際の、Microsoft Business Connectivity Services のセキュリティ アーキテクチャについて説明します。

Security Note
クライアント コンピューターとフロントエンド サーバー間のすべてのチャネルでは Secure Sockets Layer (SSL) を使用することをお勧めします。また、Microsoft SharePoint Server 2010 を実行するサーバーと外部システムとの間では SSL または Internet Protocol Security (IPSec) を使用することもお勧めします。例外として、SOAP 1.1 プロトコルを使用してメッセージを外部システムに転送するときや、SQL Server データベースに接続するときは、SSL を使用できません。ただしこのような場合は、IPSec を使用してデータ交換を保護できます。

Web ブラウザーからの外部データへのアクセス

ユーザーが Web ブラウザーから外部データにアクセスするとき、関係するシステムはログオンしたユーザーのクライアント コンピューター、Web サーバー ファーム、および外部システムの 3 種類です。

1. ユーザーが Web ブラウザーから外部データを対話的に操作するとき、通常は外部リスト内で、または Web パーツを使用して操作を行います。

2. フロントエンド サーバー上の BDC サーバー ランタイムは、Business Data Connectivity Service から提供されたデータを使用して外部システムに接続し、外部システム上で操作を実行します。

3. Secure Store Service が、外部システムの資格情報セットを安全に保管し、資格情報セットを個人またはグループの ID に関連付けます。

4. Security Token Service は、認証要求に応答し、ユーザー アカウント情報に基づく ID 要求で構成されたセキュリティ トークンを発行する Web サービスです。

5. Microsoft Business Connectivity Services は、要求ベースの認証を使用するように構成されたデータベースおよび Web サービスに資格情報を渡すことができます。Secure Store Service の概要については、「Secure Store Service を計画する (SharePoint Server 2010)」を参照してください。要求ベースの認証の概要については、「認証方法を計画する (SharePoint Server 2010)」を参照してください。

Office クライアント アプリケーションからの外部データへのアクセス

サポートされている Office クライアント アプリケーションから外部データにアクセスするときに関係するシステムは、ログオンしているユーザーのクライアント コンピューターと外部システムの 2 種類です。このモデルは、ユーザーが Outlook 2013、Microsoft SharePoint Workspace、または Microsoft Word 2010 を使用して外部データを対話的に操作するときにサポートされます。

1. Outlook 2013 のユーザーは、通常、連絡先、タスクなどの Outlook アイテム内の外部データを使用します。SharePoint Workspace 2013 のユーザーは、外部リストをオフラインにしてリストを対話的に操作できます。Word 2010 のユーザーは、外部データを Word 文書に挿入できます。

2. Office Integration Client Runtime は、クライアント上で動作するMicrosoft Business Connectivity Services と、サポートされている Office アプリケーションの間のコネクタとして機能します。

3. 要求ベースの認証を使用するように外部データが構成されている場合、クライアントは SharePoint ファーム上の Security Token Service と通信して要求トークンを取得します (詳細については、「クレーム認証を構成する (SharePoint Server 2010)」を参照してください)。

4. クライアント コンピューター上の BDC クライアント ランタイムは、Business Data Connectivity Service から提供されたデータを使用して外部システムに接続し、外部システム上で操作を実行することによってリッチ クライアント アクセスを実現します。

5. クライアント キャッシュには、Business Data Connectivity Service および Secure Store Service からの情報が保存されます。これらは外部データに安全に接続するために必要な情報です。キャッシュは SharePoint ファームから更新され、最新の情報が反映されます。

6. クライアント側の Secure Store Service を使用して、エンド ユーザーは自分のセキュリティ資格情報を構成できます。

7. Microsoft Business Connectivity Services は、データベース、および要求に対応するサービスに資格情報を渡すことができます。

Business Connectivity Services の認証の概要

Microsoft Business Connectivity Services は、以下の種類の方式を使用して外部システムに認証要求を渡すように構成できます。

• 資格情報 これらは一般に、名前/パスワードの形式です。一部の外部システムでは、暗証番号 (PIN) の値など、追加の資格情報が要求される場合もあります。

• 要求 外部データを供給する、要求に対応したサービスに Security Assertion Markup Language (SAML) チケットを渡すことができます。

資格情報による認証のための Business Connectivity Services の構成

Microsoft Business Connectivity Services では、ユーザーが提供する資格情報を使用して、外部データに対する要求を認証できます。外部データにアクセスするための資格情報を提供する際にユーザーが使用できる方式として、以下のものがサポートされています。

• Windows 認証:

  • Windows チャレンジ/レスポンス (NTLM)

  • Microsoft ネゴシエート

• Windows 以外の認証

  • フォームベース

  • ダイジェスト

  • 基本

資格情報を渡すようにMicrosoft Business Connectivity Services を構成するとき、ソリューションの設計者は、認証モード情報を外部コンテンツ タイプに追加します。認証モードは、ユーザーから受信した認証要求を処理し、外部コンテンツ システムに渡すことができる資格情報セットにその要求をマッピングする方法についての情報をMicrosoft Business Connectivity Services に与えます。たとえば、ユーザーの資格情報を外部データ システムに直接、そのまま渡すことを認証モードで指定できます。または、Secure Store Service に格納されたアカウントにユーザーの資格情報をマッピングしてから、外部システムに渡すことを指定できます。

認証モードを外部コンテンツ タイプに関連付ける方法には、以下のものがあります。

• Microsoft SharePoint Designer または Microsoft Visual Studio 2010 で外部コンテンツ タイプを作成するとき。

• 外部システムが Web サービスの場合、Microsoft Business Connectivity Services の管理ページを使用して認証モードを指定できます。

• 外部コンテンツ タイプを定義する .XML ファイルを直接編集することによって認証モードを指定できます。

次の表は、Microsoft Business Connectivity Services の認証モードについての説明です。

次の図に、資格情報を使用するときのMicrosoft Business Connectivity Services の認証モードを示します。

• PassThrough (ユーザー ID) モード (A) では、ログオンしたユーザーの資格情報が外部システムに直接渡されます。

• RevertToSelf (BDC ID) モード (B) では、ユーザーのログオン資格情報が Microsoft Business Connectivity Services を実行している処理アカウントの資格情報で置き換えられて、外部システムに渡されます。

• WindowsCredentials (偽装した Windows ID)、RdbCredentials (偽装したカスタム ID)、および Credentials の 3 つのモードでは、Secure Store Service を使用します。これらのモードでは、ユーザーの資格情報は外部システムに対する資格情報のセットにマッピングされ、Microsoft Business Connectivity Services はマッピングされた資格情報を外部システムに渡します。ソリューションの管理者は、各ユーザーの資格情報を外部システム上の一意のアカウントにマッピングできます。または、認証されたユーザーの集合を単一のグループ アカウントにマッピングできます。

要求ベースの認証のための Business Connectivity Services の構成

Microsoft Business Connectivity Services では、受信したセキュリティ トークンに基づいて外部データへのアクセスを提供できます。また、セキュリティ トークンを外部システムに渡すことができます。セキュリティ トークンはユーザーについての ID 要求のセットで構成され、セキュリティ トークンを使用した認証のことを "要求ベースの認証" と呼びます。SharePoint Server には、セキュリティ トークンを発行する Security Token Service が含まれています。

要求ベースの認証で、Security Token Service と Secure Store Service が連携するしくみを次の図に示します。

1. 要求ベースの認証を使用するように構成された外部リストに対する操作をユーザーが試みます。

2. クライアント アプリケーションは、Security Token Service からのセキュリティ トークンを要求します。

3. Security Token Service は、要求元ユーザーの ID に基づいて、要求のセットとターゲット アプリケーション ID を含むセキュリティ トークンを発行します。Security Token Service はクライアント アプリケーションにセキュリティ トークンを返します。

4. クライアントは、Secure Store Service にセキュリティ トークンを渡します。

5. Secure Store Service は、セキュリティ トークンを評価し、ターゲット アプリケーション ID を使用して、外部システムに適用される資格情報のセットを返します。

6. クライアントは資格情報を受信し、外部データの取得、更新などの操作を実行できるように、受信した資格情報を外部システムに渡します。

Business Connectivity Services の権限の概要

Microsoft Business Connectivity Services のアクセス許可により、個々のアカウント、グループ アカウント、または要求には、メタデータ ストア内のオブジェクトに対する 1 つ以上アクセス許可レベルが関連付けられます。Microsoft Business Connectivity Services でオブジェクトに対するアクセス許可を正しく設定することで、ソリューションに外部データを安全に統合できます。アクセス許可の戦略を計画するときには、必須タスクの実行に必要となる最小限の権限が資格情報によって与えられるように、ユーザーまたはグループごとに必要となる特定のアクセス許可を与えることをお勧めします。

アクセス許可として設定できるもの

Business Data Connectivity Service の各インスタンス (ホスティングの場合は各パーティション) には、そのストアの目的のために定義されたすべてのモデル、外部システム、外部コンテンツ タイプ、メソッド、およびメソッド インスタンスを含むメタデータ ストアが含まれています。これらのオブジェクトは、次の図に示すような階層構造になります。

メタデータ ストア内でのオブジェクトの階層によって、どのオブジェクトが権限を他のオブジェクトに伝達できるかが決まります。図では、権限を設定 (および、必要に応じて伝達) できるオブジェクトを実線で、親のオブジェクトから権限を継承するオブジェクトを破線で示しています。たとえば、外部システム (LobSystem) は権限を割り当てることによってセキュリティで保護できますが、アクションに直接権限を割り当てることはできません。権限を割り当てることのできないオブジェクトは、その親のオブジェクトから権限を継承します。たとえば、アクションはその親である外部コンテンツ タイプ (Entity) の権限を継承します。

Security Note
メタデータ ストア内のオブジェクトに対する権限が伝達されるとき、そのアイテムのすべての子に対する権限設定が、伝達元オブジェクトの権限によって置き換えられます。たとえば、外部コンテンツ タイプから権限が伝達される場合、その外部コンテンツ タイプのすべてのメソッドおよびメソッド インスタンスに新しい権限が適用されます。

メタデータ ストアとそのストアに含まれるオブジェクトには、4 種類の権限レベルを設定できます。

• 編集

  Security Note
  編集アクセス許可は高い特権であることを考慮するようにしてください。編集アクセス許可が付与された悪意のあるユーザーは資格情報を盗んだりサーバー ファームを破壊したりすることがあります。運用システムでは、管理者レベルのアクセス許可を持つことができると信じられるユーザーのみに編集アクセス許可を付与することをお勧めします。

• 実行

• クライアントで選択可能

• 権限の設定

これらの権限レベルを設定できる各種のオブジェクトに対して、各レベルがどのような意味を持つかの定義を次の表に示します。

Business Data Connectivity Service に対する特殊な権限

これまでに説明した権限設定の一般的な機能に加えて、Business Data Connectivity Service に対する特殊な権限のセットが存在します。

• ファーム管理者は Business Data Connectivity Service に対する完全な権限を持ちます。この権限は、サービス インスタンスの保守または修復を行うために必要です。ただし、ファーム管理者はメタデータ ストア内のどのオブジェクトに対しても実行権限を持たないことに注意してください。この権限が必要な場合は、Business Data Connectivity Service のインスタンスの管理者から明示的に権限の付与を受ける必要があります。

• Windows PowerShell のユーザーはファーム管理者であり、Business Data Connectivity Service に対してコマンドを実行できます。

• フロントエンド サーバー上のアプリケーション プール アカウントは、Business Data Connectivity Service に対してファーム管理者と同じ権限を持ちます。この権限は、Microsoft Business Connectivity Services に基づいた展開パッケージを生成するために必要です。

• SharePoint Designer ユーザーには、メタデータ ストア全体に対する編集、実行、クライアントで選択可能の各権限を付与することをほとんどの場合にお勧めします。SharePoint Designer ユーザーには、権限の設定権限を付与しないことをお勧めします。必要に応じて、SharePoint Designer ユーザーの権限の範囲をメタデータ ストアの一部分に限定できます。

  警告

  ソリューションのセキュリティを確保するためには、SharePoint Designer を使用して、編集権限を自由に割り当てることのできるテスト環境内で外部コンテンツ タイプを作成することをお勧めします。テストしたソリューションを運用環境に展開するときに編集権限を除去すると、外部データの整合性の保護に役立ちます。

一般的なタスクと関連する権限

ここでは、Business Data Connectivity Service の一般的なタスクと、各タスクを実行するために必要な権限について説明します。

Business Connectivity Services のセキュリティ保護

このセクションでは、Business Connectivity Services のセキュリティ保護に使用できるその他の方法について説明します。

サービス アカウント

セキュリティの分離のために、Business Data Connectivity Service アプリケーションとフロントエンド サーバーが同じサービス アカウントを使用しないようにします。

サーバー間の通信

Business Data Connectivity Service アプリケーションと外部システム間の通信のセキュリティを保護することにより、機密データの侵害を防ぐことができます。暗号化されたコミュニケーション チャネルを使用して、SharePoint Server 2010 を実行しているサーバーと外部システム間で送信されるデータを保護する必要があります。インターネット プロトコル セキュリティ (IPsec) は、通信の保護に使用できる 1 つの方法です。どの方法を使用するかは、セキュリティを保護する特定の通信チャネルと、組織に最も適した利点とトレードオフによって異なります。

FileBackedMetadataCatalog を使用するアプリケーション

セキュリティ上の理由から、RevertToSelf 認証モードは SharePoint Server 2010 で既定で無効になっています。しかし、FileBackedMetadataCatalog クラスを使用するアプリケーションは、引き続き RevertToSelf 認証を使用するモデルをインポートし、RevertToSelf 認証を使用する呼び出しを実行することができます。そのため、アプリケーション プール アカウントに特権を付与することにより、ユーザーの特権が昇格される可能性があります。アプリケーションを運用システムにインストールする前に、すべてのアプリケーションで FileBackedMetadataCatalog クラスと RevertToSelf 認証が使用されていないことを確認する必要があります。