SQL Server 2012 自習書 「No.18 セキュリティ」（HTML 版）

3.2　パスワードの管理（セキュリティ ポリシー）

◆ パスワードの管理

パスワード管理は、悪意のある攻撃からの不正アクセスへの対策、およびセキュリティ強化のために非常に重要です。管理者アカウントのパスワードが推測または盗難された場合は、管理者として SQL Server へ侵入されてしまい、機密情報が盗まれたり、データが破壊されたりする可能性があるからです。パスワードを推測されないようにするためには、最低限、次のことを実践しておくことが重要です。

• パスワードを定期的に変更する
• パスワードの変更時は、前回とは異なるものへ設定する
• 大文字と小文字、数字、記号を交えて、推測し難く、かつ長いパスワードにする
• パスワードを何回か間違えたら、そのアカウントをロックアウトする（使用不能する）

これらのパスワード管理には、Windows のパスワード管理機能の「セキュリティ ポリシー」（Acrive Directory ドメイン環境の場合は、グループ ポリシー機能）を利用することができます。セキュリティ ポリシーは、［スタート］メニューの「管理ツール」にある「ローカル セキュリティ ポリシー」ツールを使用して、設定することができます。

このツールでは、「アカウント ポリシー」内の「パスワードのポリシー」でパスワードの有効期限や最小パスワードの長さ、パスワードの履歴の記録による同じパスワードへの変更防止などを設定できます。

また、「アカウント ロックアウトのポリシー」では、何回パスワードを間違えるとアカウントをロックアウトするのかを設定できます。

◆ Let's Try

それでは、これを試してみましょう。ここでは、アカウントのロックアウトのポリシーを設定してみましょう。

1．まずは、［スタート］ニューの［管理ツール］から［ローカル セキュリティ ポリシー］をクリックして、「ローカル セキュリティ ポリシー」ツールを起動します。

2．ツールが起動したら、［アカウント ポリシー］フォルダーを展開し、［アカウント ロックアウトのポリシー］をクリックして、右ペインに表示される一覧の中から、［アカウントのロックアウトのしきい値］をダブル クリックします。

3．［アカウントのロックアウトのしきい値のプロパティ］ダイアログが表示されたら、［アカウントのロックアウト］へ「3」と入力します。

これで、ログオン時にパスワードを 3回以上間違えた場合に、そのアカウントをロックアウト（使用不能）にすることができます。

［OK］ボタンをクリックすると、次のように［提案された値は変更します］ダイアログが表示されます。

これは、ロックアウトされている時間（ロックアウト期間）が 30分間で、30分後には、ロックアウトがリセット（解除）されるということを示しています。

確認後、［OK］ボタンをクリックしてダイアログを閉じます。