SQL Serverの前提条件

No

条件

対象機能

ID

ログ

1

SQL Serverの接続はSQL Server認証で接続可能な事。

〇

-

2

iDoperationでは、ログインユーザー、包含ユーザーいずれかの管理を行う事が出来ます。

〇ログインユーザー
指定したインスタンスに所属するログインユーザーを管理します。
・パスワード変更/アクセス監査
〇包含ユーザー
指定した包含データベースに所属する包含ユーザーを管理します。
・パスワード変更/アクセス監査

〇

-

3

iDoperation Cloudに対象データベースのサービスポートが開放されリモートからアクセス出来る事。

〇

-

4

ID管理用のアカウントとして、接続可能なsaアカウント、もしくはSQL Server認証で接続出来る以下の権限(*1)を保有しているアカウントを用意する事。
(*1)以下の権限を持っている事。
〇ログインユーザー
・接続先インスタンスに対してALTER ANY LOGINの権限
〇包含ユーザー
・接続先データベースに対してALTER ANY USERの権限

〇

-

5

SQL Serverが動作しているOSがターゲットとして登録されている事。
また、そのターゲットでID管理、ログ収集のどちらかを実施している事。
※アクセスログの収集は、SQL Serverが動作しているOSに接続して実施します。

-

〇

6

SQL Serverが動作しているOSが、Windowsサーバの前提条件『Windows系ターゲットの前提条件』のログ収集の条件を満たしている事。

-

〇

7

ログ収集対象のログの設定は、以下の監査アクションを設定し、Windowsイベントログ（アプリケーション）に出力されている事。

〇ログインユーザーを管理する場合の監査アクション
SUCCESSFUL_LOGIN_GROUP
LOGOUT_GROUP
FAILED_LOGIN_GROUP

〇包含ユーザーを管理する場合の監査アクション
SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP
DATABASE_LOGOUT_GROUP
FAILED_DATABASE_AUTHENTICATION_GROUP
※上記、監査アクションがWindows イベントログ（セキュリティ）へ出力されている場合は、Windows イベントログ（アプリケーション）へ出力するよう設定を変更する必要があります。
詳細は『管理対象のログ出力設定』を参照してください。

-

〇

8

Windowsイベントログ（アプリケーション）のローテート設定が下記どちらかの条件を満たしている事。

• 必要に応じてイベントを上書きする(最も古いイベントから)
• イベントを上書きしないでログをアーカイブする

※Windows Server 2019 / Windows 10で「イベントを上書きしないでログをアーカイブする」の設定をした場合に、イベントログが「最大ログサイズ」になってもアーカイブされず、新たなイベントログが記録されないという事象が確認されています。該当のOSで「イベントを上書きしないでログをアーカイブする」の設定をした場合は、正常にイベントログがアーカイブされる事を確認してください。

-

〇

9

Windowsイベントログ（アプリケーション）のローテート設定が「必要に応じてイベントを上書きする(最も古いイベントから)」になっている場合は、下記の設定になっている事。

• メンテナンスなどのサーバ停止で、ログの収集が出来ない期間を考慮して、最低2日分のログが上書きされずに蓄積出来る「最大ログサイズ」が設定されている事。

-

〇

10

Windows イベントログ（アプリケーション）のローテート設定が「イベントを上書きしないでログをアーカイブする」になっている場合は、下記の設定になっている事。

• アーカイブの頻度は2日以上になる「最大ログサイズ」が設定されている事。
• イベントログのプロパティにある「ログのパス」で指定されているファイルのフォルダが、共有フォルダになっている事。
• 共有フォルダにSQL Serverが動作しているOSのログ収集用アカウントのアクセス権（読み込み）を設定している事。
• 冗長構成のSQL Serverの各ノードから、アーカイブされたイベントログを収集する場合は、各ノード間の共有フォルダのログファイルパスがIPアドレス・ホスト名部分を除いて同一になっている事。

-

〇

11

冗長構成されたSQL Serverを管理対象とする場合は下記を満たしている事。

• ノード間のアカウントの同期は、SQL Server AlwaysOnの機能で行う事。
• 全ノードで時刻、タイムゾーンが同一である事。
• SQL Serverの前提条件(本表)が満たされ、全ノードで同一になっている事。

〇

〇

12

冗長化されたActive Directory環境にSQL ServerをAlwaysOn環境で構築している場合は、Active Directoryの全ノードにSQL Serverの全ノードが構築されている事。

-

〇

No

条件

1

メニューやボタンです。

2

クエリを入力する画面です。

3

クエリの実行結果を表示します。
列が多い場合、結果が非表示エリアに隠れるため、横スクロールして結果表示を確認してください。

select * from sys.server_audits;

APPLICATION LOGのname

［ 　　　　　　　　　　　］

APPLICATION LOGのaudit_guid

［ 　　　　　　　　　　　］

SECURITY LOGのname

［ 　　　　　　　　　　　］

SECURITY LOGのaudit_guid

［　　　　　　　　　　　 ］

No

APPLICATION LOG

設定の有無

SECURITY LOG

設定の有無

必要となる事前設定

1

〇

〇

Windowsイベントログ（アプリケーション）への監査ログ追加
Windowsイベントログ（セキュリティ）の監査ログ削除

2

〇

×

Windowsイベントログ（アプリケーション）への監査ログ追加

3

×

〇

Windowsイベントログ（アプリケーション）への監査ログ出力設定

Windowsイベントログ（セキュリティ）の監査ログ削除

4

×

×

Windowsイベントログ（アプリケーション）への監査ログ出力設定

CREATE SERVER AUDIT ＜監査名＞
TO APPLICATION_LOG
GO
ALTER SERVER AUDIT ＜監査名＞
WITH (STATE = ON);

CREATE SERVER AUDIT Audit_iDoperation
TO APPLICATION_LOG
GO
ALTER SERVER AUDIT Audit_iDoperation
WITH (STATE = ON);

select * from sys.server_audits where name='＜監査名＞';

select * from sys.server_audits where name='Audit_iDoperation';

〇ログインユーザーを管理する場合
CREATE SERVER AUDIT SPECIFICATION ＜監査仕様名＞
FOR SERVER AUDIT ＜監査名＞
　　ADD (SUCCESSFUL_LOGIN_GROUP),
　　ADD (LOGOUT_GROUP),
　　ADD (FAILED_LOGIN_GROUP);
GO
ALTER SERVER AUDIT SPECIFICATION ＜監査仕様名＞
WITH (STATE = ON);

〇包含ユーザーを管理する場合
CREATE SERVER AUDIT SPECIFICATION ＜監査仕様名＞
FOR SERVER AUDIT ＜監査名＞
　　ADD (SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP),
　　ADD (DATABASE_LOGOUT_GROUP),
　　ADD (FAILED_DATABASE_AUTHENTICATION_GROUP);
GO
ALTER SERVER AUDIT SPECIFICATION ＜監査仕様名＞
WITH (STATE = ON);

〇ログインユーザーを管理する場合
CREATE SERVER AUDIT SPECIFICATION Audit_Specification_iDoperation
FOR SERVER AUDIT Audit_iDoperation
　　ADD (SUCCESSFUL_LOGIN_GROUP),
　　ADD (LOGOUT_GROUP),
　　ADD (FAILED_LOGIN_GROUP);
GO
ALTER SERVER AUDIT SPECIFICATION Audit_Specification_iDoperation
WITH (STATE = ON);

〇包含ユーザーを管理する場合
CREATE SERVER AUDIT SPECIFICATION Audit_Specification_iDoperation
FOR SERVER AUDIT Audit_iDoperation
　　ADD (SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP),
　　ADD (DATABASE_LOGOUT_GROUP),
　　ADD (FAILED_DATABASE_AUTHENTICATION_GROUP);
GO
ALTER SERVER AUDIT SPECIFICATION Audit_Specification_iDoperation
WITH (STATE = ON);

select * from sys.server_audit_specifications where name='＜監査仕様名＞';

select * from sys.server_audit_specifications where name='Audit_Specification_iDoperation';

server_specification_id

［ 　　　　　　　　　　］

select * from sys.server_audit_specification_details where server_specification_id='＜server_specification_id＞';

No

設定対象

監査アクション

1

ログインユーザー

SUCCESSFUL_LOGIN_GROUP
LOGOUT_GROUP
FAILED_LOGIN_GROUP

2

包含ユーザー

SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP
DATABASE_LOGOUT_GROUP
FAILED_DATABASE_AUTHENTICATION_GROUP

No

設定対象

監査アクション

1

ログインユーザー

SUCCESSFUL_LOGIN_GROUP
LOGOUT_GROUP
FAILED_LOGIN_GROUP

2

包含ユーザー

SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP
DATABASE_LOGOUT_GROUP
FAILED_DATABASE_AUTHENTICATION_GROUP

select * from sys.server_audit_specifications where audit_guid='＜audit_guid＞';

server_specification_id

［ 　　　　　　　　　　］

name

［ 　　　　　　　　　　］

select * from sys.server_audit_specification_details where server_specification_id='＜server_specification_id＞';

No

設定対象

監査アクション

1

ログインユーザー

SUCCESSFUL_LOGIN_GROUP
LOGOUT_GROUP
FAILED_LOGIN_GROUP

2

包含ユーザー

SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP
DATABASE_LOGOUT_GROUP
FAILED_DATABASE_AUTHENTICATION_GROUP

〇ログインユーザーを管理する場合
ALTER SERVER AUDIT SPECIFICATION ＜name 1＞
WITH (STATE = OFF);
ALTER SERVER AUDIT SPECIFICATION ＜name 1＞
FOR SERVER AUDIT ＜name 2＞
　　ADD (SUCCESSFUL_LOGIN_GROUP),
　　ADD (LOGOUT_GROUP),
　　ADD (FAILED_LOGIN_GROUP);
GO
ALTER SERVER AUDIT SPECIFICATION ＜name 1＞
WITH (STATE = ON);

〇包含ユーザーを管理する場合
ALTER SERVER AUDIT SPECIFICATION ＜name 1＞
WITH (STATE = OFF);
ALTER SERVER AUDIT SPECIFICATION ＜name 1＞
FOR SERVER AUDIT ＜name 2＞
　　ADD (SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP),
　　ADD (DATABASE_LOGOUT_GROUP),
　　ADD (FAILED_DATABASE_AUTHENTICATION_GROUP);
GO
ALTER SERVER AUDIT SPECIFICATION ＜name 1＞
WITH (STATE = ON);

No

設定対象

監査アクション

1

ログインユーザー

SUCCESSFUL_LOGIN_GROUP
LOGOUT_GROUP
FAILED_LOGIN_GROUP

2

包含ユーザー

SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP
DATABASE_LOGOUT_GROUP
FAILED_DATABASE_AUTHENTICATION_GROUP

select * from sys.server_audit_specifications where audit_guid='＜audit_guid＞';

server_specification_id

［ 　　　　　　　　　　］

name

［ 　　　　　　　　　　］

select * from sys.server_audit_specification_details where server_specification_id='＜server_specification_id＞';

No

設定対象

監査アクション

1

ログインユーザー

SUCCESSFUL_LOGIN_GROUP
LOGOUT_GROUP
FAILED_LOGIN_GROUP

2

包含ユーザー

SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP
DATABASE_LOGOUT_GROUP
FAILED_DATABASE_AUTHENTICATION_GROUP

〇ログインユーザーを管理する場合
ALTER SERVER AUDIT SPECIFICATION ＜name 1＞
WITH (STATE = OFF);
ALTER SERVER AUDIT SPECIFICATION ＜name 1＞
FOR SERVER AUDIT ＜name 2＞
　　DROP (SUCCESSFUL_LOGIN_GROUP),
　　DROP (LOGOUT_GROUP),
　　DROP (FAILED_LOGIN_GROUP);
GO
ALTER SERVER AUDIT SPECIFICATION ＜name 1＞
WITH (STATE = ON);

〇包含ユーザーを管理する場合
ALTER SERVER AUDIT SPECIFICATION ＜name 1＞
WITH (STATE = OFF);
ALTER SERVER AUDIT SPECIFICATION ＜name 1＞
FOR SERVER AUDIT ＜name 2＞
　　DROP (SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP),
　　DROP (DATABASE_LOGOUT_GROUP),
　　DROP (FAILED_DATABASE_AUTHENTICATION_GROUP);
GO
ALTER SERVER AUDIT SPECIFICATION ＜name 1＞
WITH (STATE = ON);

[server_principal_name]='＜出力するユーザ名＞'

[server_principal_name]='sa' OR [server_principal_name]='admin'

NOT([server_principal_name]='NT AUTHORITY\SYSTEM' OR [server_principal_name]='NT SERVICE\MSSQL$インスタンス名')

ALTER SERVER AUDIT ＜監査名＞ WITH (STATE = OFF)
GO
ALTER SERVER AUDIT ＜監査名＞
WHERE ([server_principal_name]='＜出力するユーザ名＞');
GO
ALTER SERVER AUDIT ＜監査名＞ WITH (STATE = ON);
GO

ALTER SERVER AUDIT Audit_iDoperation WITH (STATE = OFF)
GO
ALTER SERVER AUDIT Audit_iDoperation
WHERE ([server_principal_name]='sa' OR [server_principal_name]='admin');
GO
ALTER SERVER AUDIT Audit_iDoperation WITH (STATE = ON);
GO