スケーラブルデータベースサーバ

HiRDB Version 8 セキュリティガイド

解説・手引書

3020-6-359-10

目　　次

前書き

変更内容

はじめに

1.　HiRDBのセキュリティ対策の概要

1.1　このマニュアルの使い方

1.2　セキュリティ対策の考え方

1.3　HiRDBのセキュリティ機能

1.3.1　ユーザ認証

1.3.2　権限による操作の制御

1.3.3　データベースのアクセス制御

1.3.4　監査

2.　セキュアなシステムを構築するための条件

2.1　セキュアなシステムに必要な条件

2.2　システム構成の条件

2.2.1　マシンの設置および管理上の条件

2.2.2　アプリケーションサーバを使用した三階層型システムを構築する場合

2.2.3　クライアントサーバ型システムを構築する場合

2.2.4　ISO/IEC 15408の評価を行ったシステム構成

2.3　HiRDBサーバの設置場所の条件

2.3.1　セキュアエリアの確保

2.3.2　リムーバブルメディアの管理

2.4　OSに必要な条件

2.4.1　OSアカウントの管理

2.4.2　リモートログインの設定（UNIX限定）

2.4.3　マシンに設定される時刻の管理

2.5　ネットワークに必要な条件

2.5.1　ローカルエリアネットワークに必要な条件

2.5.2　インターネットに接続する場合に必要な条件

3.　HiRDBのセキュリティ設計

3.1　ユーザの管理

3.1.1　ユーザ管理の重要性

3.1.2　ユーザの役割分担

3.1.3　権限を与えるときの方針

3.2　パスワードの管理

3.2.1　パスワードの管理ルールの設定

3.2.2　パスワードの例

3.2.3　パスワードの禁止条件の設定

3.2.4　アカウントの不正使用対策

3.3　データベースのアクセス管理

3.3.1　表のアクセス権限の管理方針

3.3.2　ディクショナリ表の参照権限の設定

3.4　データを格納したリムーバブルメディアの管理

4.　監査による利用状況の確認

4.1　監査で確認する項目

4.1.1　HiRDBの不正利用が行われていないかを確認する

4.1.2　権限の不正利用が行われていないかを確認する

4.1.3　表の不正アクセスが行われていないかを確認する

4.1.4　パスワードの定期変更が行われているかを確認する

4.2　監査の手順

4.2.1　監査の流れ

4.2.2　監査情報の取得

4.2.3　監査の実施

5.　HiRDBの環境設定（UNIXの場合）

5.1　環境設定手順

5.2　インストールの前作業を行う

5.2.1　OSアカウントを登録する

5.2.2　オペレーティングシステムパラメタを変更する

5.2.3　HiRDBグループを設定する

5.2.4　インストールディレクトリを作成する

5.2.5　ディレクトリの空き容量を確認する

5.3　HiRDBをインストールする

5.3.1　HiRDBのインストール

5.4　インストールの後作業を行う

5.4.1　HiRDB運用ディレクトリを作成する

5.4.2　HiRDBをOSに登録する

5.4.3　環境変数を設定する

5.4.4　リモートシェル実行環境を設定する

5.5　HiRDBの環境設定を行う

6.　HiRDBの環境設定（Windowsの場合）

6.1　環境設定手順

6.2　インストールの前作業を行う

6.3　HiRDBをインストールする

6.4　簡易セットアップツールを実行する

7.　セキュアな環境を維持するための運用

7.1　HiRDBシステム定義の指定値を確認する

7.2　ディクショナリ表の参照権限を設定する

7.3　監査情報の取得準備をする

7.3.1　システム定義の指定値

7.3.2　監査人のパスワード変更

7.3.3　SQLの指定値

7.4　パスワードのセキュリティ対策を行う

7.4.1　パスワードの禁止条件を設定する

7.4.2　連続認証失敗許容回数とアカウントロック期間を設定する

7.5　ユーザを登録して権限を与える

7.5.1　DBA権限を与える

7.5.2　スキーマ定義権限を与える

7.5.3　CONNECT権限を与える

7.6　ユーザ用RDエリアを作成する

7.7　表を作成してアクセス権限を与える

7.8　運用コマンド実行時の注意事項

7.9　SQL実行時の注意事項

7.9.1　CONNECT権限を取り消す場合

7.9.2　スキーマを削除する場合

8.　HiRDBクライアントの管理

8.1　HiRDBクライアントの環境設定

8.1.1　HiRDBクライアントの設置

8.1.2　HiRDBクライアントのインストール

8.2　出力情報の管理

索引

[他社商品名称に関する表示]

All Rights Reserved. Copyright (C) 2007, 2009, Hitachi, Ltd.

前書き

■ 対象製品

●適用OS：HP-UX 11.0，HP-UX 11i，HP-UX 11i V2(PA-RISC)

P-1B62-1581　 HiRDB/Single Server Version 8(64)　 08-04
P-1B62-1781　 HiRDB/Parallel Server Version 8(64)　 08-04

●適用OS：HP-UX 11i V2(IPF)，HP-UX 11i V3(IPF)

P-1J62-1581　 HiRDB/Single Server Version 8(64)　 08-04
P-1J62-1781　 HiRDB/Parallel Server Version 8(64)　 08-04

●適用OS：Solaris 8，Solaris 9，Solaris 10

P-9D62-1581　 HiRDB/Single Server Version 8(64)　 08-04
P-9D62-1781　 HiRDB/Parallel Server Version 8(64)　 08-04

●適用OS：AIX 5L V5.1，AIX 5L V5.2，AIX 5L V5.3，AIX V6.1

P-1M62-1181　 HiRDB/Single Server Version 8　 08-04
P-1M62-1381　 HiRDB/Parallel Server Version 8　 08-04
P-1M62-1581　 HiRDB/Single Server Version 8(64)　 08-04
P-1M62-1781　 HiRDB/Parallel Server Version 8(64)　 08-04

●適用OS：Red Hat Linux 7.1，Red Hat Linux 7.2，Red Hat Enterprise Linux AS 2.1，Red Hat Enterprise Linux AS 3(x86)，Red Hat Enterprise Linux ES 3(x86)，Red Hat Enterprise Linux AS 4(x86)，Red Hat Enterprise Linux ES 4(x86)，Red Hat Enterprise Linux AS 3(AMD64 & Intel EM64T)※，Red Hat Enterprise Linux AS 4(AMD64 & Intel EM64T)，Red Hat Enterprise Linux ES 4(AMD64 & Intel EM64T)，Red Hat Enterprise Linux 5.1 Advanced Platform (x86)，Red Hat Enterprise Linux 5.1 (x86)，Red Hat Enterprise Linux 5.1 Advanced Platform (AMD/Intel 64)，Red Hat Enterprise Linux 5.1 (AMD/Intel 64)

P-9S62-1183　 HiRDB/Single Server Version 8　 08-04
P-9S62-1383　 HiRDB/Parallel Server Version 8　 08-04

注※　動作環境としては，Intel EM64Tにだけ対応しています。
●適用OS：Red Hat Enterprise Linux AS 3(AMD64 & Intel EM64T)※，Red Hat Enterprise Linux AS 4(AMD64 & Intel EM64T)，Red Hat Enterprise Linux ES 4(AMD64 & Intel EM64T)，Red Hat Enterprise Linux 5.1 Advanced Platform (AMD/Intel 64)，Red Hat Enterprise Linux 5.1 (AMD/Intel 64)

P-9W62-1183　 HiRDB/Single Server Version 8(64)　 08-04
P-9W62-1383　 HiRDB/Parallel Server Version 8(64)　 08-04

注※　動作環境としては，Intel EM64Tにだけ対応しています。
●適用OS：Red Hat Enterprise Linux AS 3(IPF)，Red Hat Enterprise Linux AS 4(IPF)，Red Hat Enterprise Linux 5.1 Advanced Platform (Intel Itanium)，Red Hat Enterprise Linux 5.1 (Intel Itanium)

P-9V62-1183　 HiRDB/Single Server Version 8(64)　 08-04
P-9V62-1383　 HiRDB/Parallel Server Version 8(64)　 08-04

●適用OS：Windows 2000，Windows XP Professional，Windows XP x64 Edition，Windows Server 2003 Standard Edition，Windows Server 2003 Enterprise Edition，Windows Server 2003 Standard x64 Edition，Windows Server 2003 Enterprise x64 Edition，Windows Server 2003 R2，Windows Server 2008，Windows Vista Business，Windows Vista Enterprise，Windows Vista Ultimate

P-2462-7184　 HiRDB/Single Server Version 8　 08-04
P-2462-7384　 HiRDB/Parallel Server Version 8　 08-04

●適用OS：Windows XP x64 Edition，Windows Server 2003 x64 Editions，Windows Server 2008，Windows Vista Business，Windows Vista Enterprise，Windows Vista Ultimate

P-2962-7184　 HiRDB/Single Server Version 8(64)　 08-04
P-2962-7384　 HiRDB/Parallel Server Version 8(64)　 08-04

これらのプログラムプロダクトのほかにもこのマニュアルをご利用になれる場合があります。詳細は「リリースノート」でご確認ください。
これらの製品は，ISO9001およびTickITの認証を受けた品質マネジメントシステムで開発されました。

■ ISO/IEC 15408の認証

次に示す製品は，ISO/IEC 15408に基づきEAL4の認証を取得しました。
・P-1M62-1181 HiRDB/Single Server Version 8 08-04（適用OS：AIX 5L V5.3）
・P-1M62-1381 HiRDB/Parallel Server Version 8 08-04（適用OS：AIX 5L V5.3）
なお，この認証は，製品そのものを保証しているのではなく，ISO/IEC 15408による評価結果がその保証要件を満たしていることを意味するものです。

■ 輸出時の注意

本製品を輸出される場合には，外国為替および外国貿易法ならびに米国の輸出管理関連法規などの規制をご確認の上，必要な手続きをお取りください。
なお，ご不明な場合は，弊社担当営業にお問い合わせください。

■ 商標類

AIXは，米国における米国International Business Machines Corp.の登録商標です。
HP-UXは，米国Hewlett-Packard Companyのオペレーティングシステムの名称です。
Intelは，Intel Corporationの会社名です。
Itaniumは，アメリカ合衆国および他の国におけるインテル コーポレーションまたはその子会社の登録商標です。
Linuxは，Linus Torvalds氏の日本およびその他の国における登録商標または商標です。
Microsoftは，米国およびその他の国における米国Microsoft Corp.の登録商標です。
PA-RISCは，米国Hewlett-Packard Companyの商標です。
Red Hatは，米国およびその他の国でRed Hat, Inc. の登録商標若しくは商標です。
Solarisは，米国Sun Microsystems, Inc. の米国およびその他の国における商標または登録商標です。
Sun，Sun Microsystems，Javaは，米国Sun Microsystems, Inc. の米国およびその他の国における商標または登録商標です。
UNIXは，X/Open Company Limited が独占的にライセンスしている米国ならびに他の国における登録商標です。
Windowsは，米国およびその他の国における米国Microsoft Corp.の登録商標です。
Windows Serverは，米国Microsoft Corporationの米国及びその他の国における登録商標です。
Windows Vistaは，米国Microsoft Corporationの米国及びその他の国における登録商標です。
プログラムプロダクト「P-9D62-1581，P-9D62-1781」には，米国 Sun Microsystems, Inc. が著作権を有している部分が含まれています。
プログラムプロダクト「P-9D62-1581，P-9D62-1781」には，UNIX System Laboratories, Inc. が著作権を有している部分が含まれています。

■ 発行

2007年 6月（第１版）3020-6-359
2009年 8月（第２版）3020-6-359-10

■ 著作権

All Rights Reserved. Copyright (C) 2007, 2009, Hitachi, Ltd.

変更内容

変更内容(3020-6-359-10)　HiRDB Version 8 08-04

追加・変更内容
変更個所

マシンの設置および管理上の条件に，次の内容を追加しました。

UAPの開発や実行についての説明

故障などの理由によって，一部のマシンの電源を切る場合の説明

2.2.1

HiRDB/パラレルサーバのISO/IEC 15408評価構成システムのシステム構成を変更しました（マシン2のディクショナリサーバをマシン1へ移動しました）。
図2-4

SQL実行時の注意事項を追加しました。
3.1.3(4)，7.9

システムジェネレータを使用する場合の注意として，HiRDB/パラレルサーバで接続するホストについての説明を追加しました。
5.5(2)

HiRDBシステム定義の指定値の確認として，pd_node_nameオペランドおよびpd_sql_command_exec_usersオペランドの説明を追加しました。
7.1

連続認証失敗許容回数とアカウントロック期間の設定に，アカウントロック状態解除時の確認についての説明を追加しました。
7.4.2

運用コマンド実行時の注意事項を追加しました。
7.8

HiRDBクライアントの設置場所に，次の内容を追加しました。

ランタイムを経由しない電文についての説明

HiRDBクライアントのOSアカウントについての説明

また，HiRDBクライアントで使用することを禁止しているハードウェアおよびソフトウェアについて，具体的な対策を追加しました。
8.1.1

単なる誤字・脱字などはお断りなく訂正しました。

はじめに

このマニュアルは，HiRDBシステムのセキュリティ対策について説明したものです。

対象読者

HiRDBシステムの管理者，およびHiRDBシステム（データベース）の利用者の方を対象としています。

また，このマニュアルは次に示す知識があることを前提に説明しています。

HiRDBシステムの管理者

UNIX，Linux，またはWindowsのシステム管理の基礎的な知識

HiRDBのシステム管理の基礎的な知識

SQLの基礎的な知識

HiRDBシステム（データベース）の利用者

SQLの基礎的な知識

マニュアルの構成

このマニュアルは，次に示す章から構成されています。

第1章　HiRDBのセキュリティ対策の概要

セキュリティ対策の考え方とHiRDBのセキュリティ機能について説明しています。

第2章　セキュアなシステムを構築するための条件

セキュアなシステムを構築するために必要な条件について説明しています。

第3章　HiRDBのセキュリティ設計

ユーザの管理，パスワードの管理，データベースのアクセス管理，およびリムーバブルメディアの管理について説明しています。

第4章　監査による利用状況の確認

監査で確認する項目と監査の手順について説明しています。

第5章　HiRDBの環境設定（UNIXの場合）

UNIX版のHiRDBの環境設定方法について説明しています。

第6章　HiRDBの環境設定（Windowsの場合）

Windows版のHiRDBの環境設定方法について説明しています。

第7章　セキュアな環境を維持するための運用

セキュアな環境を維持するために必要な操作について説明しています。

第8章　HiRDBクライアントの管理

HiRDBクライアントの管理方法について説明しています。

関連マニュアル

このマニュアルの関連マニュアルを次に示します。必要に応じてお読みください。

HiRDB（Windows用マニュアル）

HiRDB Version 8 解説（Windows(R)用）（3020-6-351）

HiRDB Version 8 システム導入・設計ガイド（Windows(R)用）（3020-6-352）

HiRDB Version 8 システム定義（Windows(R)用）（3020-6-353）

HiRDB Version 8 システム運用ガイド（Windows(R)用）（3020-6-354）

HiRDB Version 8 コマンドリファレンス（Windows(R)用）（3020-6-355）

HiRDB（UNIX用マニュアル）

HiRDB Version 8 解説（UNIX(R)用）（3000-6-351）

HiRDB Version 8 システム導入・設計ガイド（UNIX(R)用）（3000-6-352）

HiRDB Version 8 システム定義（UNIX(R)用）（3000-6-353）

HiRDB Version 8 システム運用ガイド（UNIX(R)用）（3000-6-354）

HiRDB Version 8 コマンドリファレンス（UNIX(R)用）（3000-6-355）

HiRDB（Windows，UNIX共通マニュアル）

HiRDB Version 8 UAP開発ガイド（3020-6-356）

HiRDB Version 8 SQLリファレンス（3020-6-357）

HiRDB Version 8 メッセージ（3020-6-358）

なお，本文中で使用しているHiRDB Version 8のマニュアル名は，（UNIX(R)用）または（Windows(R)用）を省略して表記しています。使用しているプラットフォームに応じてUNIX用またはWindows用のマニュアルを参照してください。

読書手順

このマニュアルは，次の表に従ってお読みいただくことをお勧めします。

章または節タイトル | ユーザの種類
HiRDBシステムの管理者 | HiRDBシステムの利用者
1.　HiRDBのセキュリティ対策の概要 | ○ |
2.　セキュアなシステムを構築するための条件 | ○ |
3.　HiRDBのセキュリティ設計 | 3.1　ユーザの管理 | ○ |
3.2　パスワードの管理 | ○ | ○
3.3　データベースのアクセス管理 | ○ |
3.4　データを格納したリムーバブルメディアの管理 | ○ |
4.　監査による利用状況の確認 | ○ |
5.　HiRDBの環境設定（UNIXの場合） | ○※ |
6.　HiRDBの環境設定（Windowsの場合） | ○※ |
7.　セキュアな環境を維持するための運用 | ○ |
8.　HiRDBクライアントの管理 | ○ | ○

（凡例）

○：必ず読んでいただきたい内容です。

注※　HiRDBの環境設定については，使用しているプラットフォームに応じてUNIXまたはWindowsのどちらかを選択してお読みください。

このマニュアルでの表記

このマニュアルでは製品名称および名称について次のように表記しています。ただし，それぞれのプログラムについての表記が必要な場合はそのまま表記しています。

製品名称または名称 | 表記
HiRDB/Single Server Version 8 | HiRDB/シングルサーバ
HiRDB/Single Server Version 8(64)
HiRDB/Parallel Server Version 8 | HiRDB/パラレルサーバ
HiRDB/Parallel Server Version 8(64)
HiRDB/Developer's Kit Version 8 | HiRDB/Developer's Kit
HiRDB/Run Time Version 8 | HiRDB/Run Time
HiRDB Advanced High Availability Version 8 | HiRDB Advanced High Availability
HiRDB Advanced Partitioning Option Version 8 | HiRDB Advanced Partitioning Option
HiRDB Control Manager | HiRDB CM
HiRDB Control Manager - Agent | HiRDB CM Agent
HiRDB Control Manager - Server | HiRDB CM Server
HiRDB Control Manager - Console | HiRDB CM Console
HP-UX 11i V2 (IPF) | HP-UXまたはHP-UX (IPF)
HP-UX 11i V3 (IPF)
AIX 5L V5.1 | AIX 5L | AIX
AIX 5L V5.2
AIX 5L V5.3
AIX V6.1 | AIX V6.1
Linux(R) | Linux
Red Hat Linux | Red Hat Linux | Linux
Red Hat Enterprise Linux | Red Hat Enterprise Linux
Red Hat Enterprise Linux AS 3 (IPF) | Linux (IPF)
Red Hat Enterprise Linux AS 4 (IPF)
Red Hat Enterprise Linux 5.1 Advanced Platform (Intel Itanium)
Red Hat Enterprise Linux 5.1 (Intel Itanium)
Red Hat Enterprise Linux AS 3(AMD64 & Intel EM64T) | Linux (EM64T)
Red Hat Enterprise Linux AS 4(AMD64 & Intel EM64T)
Red Hat Enterprise Linux ES 4(AMD64 & Intel EM64T)
Red Hat Enterprise Linux 5.1 Advanced Platform (AMD/Intel 64)
Red Hat Enterprise Linux 5.1 (AMD/Intel 64)
Red Hat Enterprise Linux AS 4(AMD64 & Intel EM64T) | Linux AS 4
Red Hat Enterprise Linux AS 4(x86)
Red Hat Enterprise Linux ES 4(AMD64 & Intel EM64T) | Linux ES 4
Red Hat Enterprise Linux ES 4(x86)
Red Hat Enterprise Linux 5.1 Advanced Platform (x86) | Linux 5.1
Red Hat Enterprise Linux 5.1 (x86)
Red Hat Enterprise Linux 5.1 Advanced Platform (AMD/Intel 64)
Red Hat Enterprise Linux 5.1 (AMD/Intel 64)
Red Hat Enterprise Linux 5.1 Advanced Platform (Intel Itanium)
Red Hat Enterprise Linux 5.1 (Intel Itanium)
Microsoft(R) Windows(R) 2000 Professional Operating System | Windows 2000
Microsoft(R) Windows(R) 2000 Server Operating System
Microsoft(R) Windows(R) 2000 Datacenter Server Operating System
Microsoft(R) Windows(R) 2000 Advanced Server Operating System
Microsoft(R) Windows(R) 2000 Advanced Server Operating System | Windows 2000 Advanced Server
Microsoft(R) Windows Server(R) 2003, Standard Edition | Windows Server 2003 Standard Edition | Windows Server 2003
Microsoft(R) Windows Server(R) 2003, Enterprise Edition | Windows Server 2003 Enterprise Edition
Microsoft(R) Windows Server(R) 2003, Standard x64 Edition | Windows Server 2003 Standard x64 Edition
Microsoft(R) Windows Server(R) 2003, Enterprise x64 Edition | Windows Server 2003 Enterprise x64 Edition
Microsoft(R) Windows Server(R) 2003 R2, Standard Edition | Windows Server 2003 R2
Microsoft(R) Windows Server(R) 2003 R2, Enterprise Edition
Microsoft(R) Windows Server(R) 2003 R2, Standard x64 Edition
Microsoft(R) Windows Server(R) 2003 R2, Enterprise x64 Edition
Microsoft(R) Windows Server(R) 2003 R2, Standard x64 Edition | Windows Server 2003 R2 x64 Editions
Microsoft(R) Windows Server(R) 2003 R2, Enterprise x64 Edition
64ビットバージョンMicrosoft(R) Windows Server(R) 2003, Enterprise Edition | Windows Server 2003 (IPF)
Microsoft(R) Windows Server(R) 2008 Standard | Windows Server 2008 Standard | Windows Server 2008
Microsoft(R) Windows Server(R) 2008 Enterprise | Windows Server 2008 Enterprise
Microsoft(R) Windows Server(R) 2003, Standard x64 Edition | Windows Server 2003 x64 Editions | Windows (x64)
Microsoft(R) Windows Server(R) 2003, Enterprise x64 Edition
Microsoft(R) Windows Server(R) 2003 R2, Standard x64 Edition
Microsoft(R) Windows Server(R) 2003 R2, Enterprise x64 Edition
Microsoft(R) Windows(R) XP Professional x64 Edition | Windows XP x64 Edition
Microsoft(R) Windows(R) XP Professional x64 Edition | Windows XP x64 Edition | Windows XP
Microsoft(R) Windows(R) XP Professional Operating System | Windows XP Professional
Microsoft(R) Windows(R) XP Home Edition Operating System | Windows XP Home Edition
Microsoft(R) Windows Vista(R) Home Basic | Windows Vista Home Basic | Windows Vista
Microsoft(R) Windows Vista(R) Home Premium | Windows Vista Home Premium
Microsoft(R) Windows Vista(R) Ultimate | Windows Vista Ultimate
Microsoft(R) Windows Vista(R) Business | Windows Vista Business
Microsoft(R) Windows Vista(R) Enterprise | Windows Vista Enterprise
システムマネジャ | MGR
フロントエンドサーバ | FES
ディクショナリサーバ | DS
バックエンドサーバ | BES

HiRDB/シングルサーバとHiRDB/パラレルサーバを総称して，HiRDBまたはHiRDBサーバと表記します。

HiRDB/Developer's KitとHiRDB/Run Timeを総称してHiRDBクライアントと表記します。

Windows Server 2003およびWindows Server 2008を総称してWindows Serverと表記します。また，Windows 2000，Windows XP，Windows Server，およびWindows Vistaを総称してWindowsと表記します。

HiRDB運用ディレクトリのパスを$PDDIRと表記します。Windowsの場合は%PDDIR%と表記します。

このマニュアルで使用する略語

このマニュアルで使用する英略語の一覧を次に示します。

英略語 | 英 字 の 表 記
CD-ROM | Compact Disc - Read Only Memory
DNS | Domain Name System
FQDN | Fully Qualified Domain Name
IP | Internet Protocol
IPF | Itanium(R) Processor Family
LAN | Local Area Network
OS | Operating System
PC | Personal Computer
PP | Program Product
RD | Relational Database
UAP | User Application Program

図中で使用する記号

このマニュアルの図中で使用する記号を次のように定義します。

このマニュアルで使用する記号

このマニュアルで使用する記号を次に示します。ここで説明する記号は，説明のための記号なので実際には記述しないでください。

記号
意味

〔　〕
この記号で囲まれている項目は省略できます。
（例）pdbuffer 〔-p〕
　これは，pdbufferと指定するか，またはpdbuffer -pと指定することを示します。

…
この記号の直前の項目を繰り返して指定できます。
（例）pdbuffer -r RDエリア名 〔，RDエリア名〕…
　これは，-rオプションのRDエリア名を繰り返し指定できることを示します。

｜
この記号で区切られた項目は選択できます。
（例）pdlogadfg -d ｛sys｜spd｝
　これは，-dオプションにsysかspdのどちらかを指定できることを示します。

｛　｝
この記号で囲まれている複数の項目のうちから，一つを選択できます。
（例）pdbuffer 〔｛-r RDエリア名｜-i 認可識別子.インデクス識別子｜-o｝〕
　これは，-r RDエリア名，-i 認可識別子.インデクス識別子，-oの三つのオプションのうち，どれか一つを指定することを示します。

常用漢字以外の漢字の使用について

このマニュアルでは，常用漢字を使用することを基本としていますが，次に示す用語については，常用漢字以外の漢字を使用しています。

個所（かしょ）

セキュリティ関連の情報について

(株)日立製作所 ソフトウェア事業部が開発・提供する，ソフトウェア製品のセキュリティに関する情報については，下記URLで提供しています。HiRDBに関するセキュリティ上の問題が明らかになった場合には，こちらのサイトで情報を提供しますので，定期的なチェックをお願いします。

http://www.hitachi.co.jp/Prod/comp/soft1/security/

1.　HiRDBのセキュリティ対策の概要

この章では，セキュリティ対策の考え方とHiRDBのセキュリティ機能について説明します。

＜この章の構成＞

1.1　このマニュアルの使い方

1.2　セキュリティ対策の考え方

1.3　HiRDBのセキュリティ機能

1.1　このマニュアルの使い方

ここでは，このマニュアルの目的と使い方について説明します。

＜この節の構成＞

(1)　このマニュアルの目的

(2)　このマニュアルの読み方

(1)　このマニュアルの目的

HiRDBシステムのセキュリティを強化する必要がある場合にこのマニュアルをお読みください。

マニュアル「HiRDB Version 8 システム導入・設計ガイド」にもシステムの構築方法が説明されていますが，セキュリティを強化し，よりセキュアなシステムを構築する場合は，このマニュアルで説明している操作に従って，システムを構築・運用してください。

(2)　このマニュアルの読み方

このマニュアルの1章～4章はシステムを構築する前にお読みください。5章または6章はHiRDBの環境設定時に，7章は運用時にお読みください。また，8章はHiRDBクライアントの環境設定および運用のときにお読みください。

このマニュアルでは操作方法（ユティリティ，コマンド，SQLの使い方など）を説明していません。詳細な操作方法については，次に示すマニュアルの該当個所を参照させています。

HiRDB Version 8 解説

HiRDB Version 8 システム導入・設計ガイド

HiRDB Version 8 システム定義

HiRDB Version 8 システム運用ガイド

HiRDB Version 8 コマンドリファレンス

HiRDB Version 8 UAP開発ガイド

HiRDB Version 8 SQLリファレンス

特に表1-1に示すマニュアルと関係が深いため，このマニュアルを読む前に該当個所をお読みいただくことをお勧めします。

また，システム定義，コマンド，クライアント環境定義，SQLなどは，HiRDBのマニュアルに記載されているものだけ使用してください。マニュアルに記載されていないものは使用しないでください。

表1-1　このマニュアルと関係の深いマニュアル

マニュアル名 | 該当個所 | 内容
HiRDB Version 8 システム運用ガイド | 機密保護機能 | DBA権限，スキーマ定義権限，CONNECT権限，および表のアクセス権限について説明しています。
CONNECT関連セキュリティ機能 | パスワードのセキュリティ対策（パスワードの禁止条件の設定および連続認証失敗許容回数の設定）について説明しています。
セキュリティ監査機能 | 監査情報の取得方法について説明しています。
HiRDB Version 8 SQLリファレンス | 定義系SQLのGRANT | 権限を与えるSQLについて説明しています。
定義系SQLのCREATE AUDIT | 監査対象イベントを定義するSQLについて説明しています。

1.2　セキュリティ対策の考え方

ここでは，セキュリティ対策の重要性とセキュリティ上の脅威について説明します。

＜この節の構成＞

(1)　セキュリティ対策の重要性

(2)　管理者が認識しておく必要があるセキュリティ上の脅威

(3)　必要なセキュリティ対策

(1)　セキュリティ対策の重要性

システムのセキュリティ対策が十分でないと，顧客情報などの機密性の高い情報が漏えいしたり，改ざんされたりするおそれがあります。このような事態が発生すると，組織の社会的信用は失墜し，大きな経済的損失を招きます。このように，システムのセキュリティ対策を怠ると，大きなビジネス上のリスクが生じる可能性があります。システムの管理者はこのようなビジネス上のリスクを回避するために，機密性の高い情報を管理しているシステムのセキュリティを強化する必要があります。

(2)　管理者が認識しておく必要があるセキュリティ上の脅威

システムの管理者は次に示すようなセキュリティ上の脅威を認識し，それに対して十分な対策を行う必要があります。

データへの不正なアクセス

データの漏えい，改ざん，破壊

システムの不正利用

これらの脅威は組織外（インターネット）だけではなく，組織内にも存在します。組織内に存在するセキュリティ上の脅威を次に示します。

権限の範囲を超えたデータへの不正なアクセス

組織内の人間によるデータの持ち出し（漏えい，改ざん，破壊も含む）

権限の範囲を超えたシステムの不正利用

(3)　必要なセキュリティ対策

(2)で説明したセキュリティ上の脅威に対して，管理者は次に示すようなセキュリティ対策を行う必要があります。

ファイアウォールなどのセキュリティ機器による対策

マシンルームの設置などによる物理的対策

使用するソフトウェアのセキュリティ対策

セキュリティ面の管理・運用ルールの設定による対策

利用者のセキュリティ教育などによる人的対策

ポイント

システムのセキュリティ対策は，HiRDBだけでなく，OSやネットワークなども含めて包括的に行う必要があります。HiRDBだけでセキュリティ対策を行っても，期待したセキュリティ効果が得られません。また，ソフトウェアやハードウェアのセキュリティ対策だけではなく，利用者のセキュリティ教育なども必要です。

また，システムの利用者全員（管理者も含む）がセキュリティ対策を継続して行うことが重要です。

1.3　HiRDBのセキュリティ機能

ここでは，HiRDBのセキュリティ機能について説明します。

＜この節の構成＞

1.3.1　ユーザ認証

1.3.2　権限による操作の制御

1.3.3　データベースのアクセス制御

1.3.4　監査

1.3.1　ユーザ認証

HiRDBでは認可識別子とパスワードを使用してユーザ認証を行います。HiRDBはユーザ認証によって正規の利用者かどうかを確認し，第三者によるHiRDBの不正利用を防止しています。HiRDBを利用するときに使用する認可識別子とパスワードが正しい場合はHiRDBの利用が許可され，正しくない場合はHiRDBの利用が拒否されます。HiRDBのユーザ認証の仕組みを図1-1に示します。

図1-1　HiRDBのユーザ認証の仕組み

説明

正しい認可識別子とパスワードを使用した場合は，HiRDBの利用が許可されます。認可識別子またはパスワードに誤りがある場合は，HiRDBの利用が拒否されます。

アプリケーションサーバを使用している場合，インターネット利用者の操作の延長で，アプリケーションサーバからHiRDBに対してSQLが発行されます。この場合，通常はアプリケーションサーバのHiRDBクライアントに与えられている認可識別子とパスワードでユーザ認証が行われます。

参考

パスワードの不正入力によってユーザ認証に連続して失敗した場合，その認可識別子に対してHiRDBの利用を一定期間禁止できます。詳細については，「3.2.4　アカウントの不正使用対策」を参照してください。

アプリケーションサーバはISO/IEC 15408の評価構成に含まれません。ISO/IEC 15408の評価構成となるシステムについては，「2.2.4　ISO/IEC 15408の評価を行ったシステム構成」を参照してください。

1.3.2　権限による操作の制御

HiRDBを利用（操作）するには権限が必要になります。与えられた権限によって実行できる操作が制御されています。利用者ごとに目的に応じた権限を与えることで，不正な操作が行われる可能性を低くできます。

HiRDBの権限の種類を表1-2に，権限の種類と実行できる操作を表1-3に示します。

参考

表のアクセス権限はここでいう権限に含まれていません。表のアクセス権限については，「1.3.3　データベースのアクセス制御」を参照してください。

表1-2に示す権限を持っているHiRDBの利用者をHiRDBユーザといいます。

表1-2　HiRDBの権限の種類

権限の種類
説明

DBA権限
監査人以外のHiRDBユーザを管理するために必要な権限です。この権限があると，ほかのHiRDBユーザに権限（DBA権限，スキーマ定義権限，およびCONNECT権限）を与えたり，削除したりできます。また，ほかのHiRDBユーザが所有する表を削除できます。
なお，DBA権限は，スキーマ定義権限とCONNECT権限を含んでいます。つまり，DBA権限を有するということは，スキーマ定義権限およびCONNECT権限を有するということです。したがって，スキーマを定義して表を定義できます。

スキーマ定義権限
スキーマを定義するために必要な権限です。スキーマを定義すると，表を定義できます。ただし，スキーマを定義するにはCONNECT権限も必要になります。

CONNECT権限
HiRDBを利用するために必要な権限です。CONNECT権限がない利用者はHiRDBを利用できません。
また，表の所有者から表のアクセス権限を与えてもらうと，その表に対してアクセスできるようになります。

監査権限
HiRDBシステムの監査をするために必要な権限です。この権限を有するHiRDBユーザを監査人といいます。監査人の登録時に，監査権限，CONNECT権限，およびスキーマ定義権限が同時に与えられます。
監査権限はHiRDB管理者から与えてもらいます。

参考

これらの権限の詳細（権限の説明と実行できる操作）については，次に示すマニュアルを参照してください。

「HiRDB Version 8 システム運用ガイド」には，これらの権限の説明がされています。

「HiRDB Version 8 コマンドリファレンス」には，各コマンドおよびユティリティ実行時に必要な権限が説明されています。

「HiRDB Version 8 SQLリファレンス」には，権限を付与または削除するSQL（REVOKE，GRANT）とSQL実行時に必要な権限が説明されています。

表1-3　権限の種類と実行できる操作

権限の種類
操作

権限の付与
および削除
表の定義
表へのアクセス
監査

DBA権限
○
○
○※１
×

スキーマ定義権限
×
○※２
×
×

CONNECT権限
×
×
○※１
×

監査権限
×
○
○※１
○

（凡例）

○：実行できます。

×：実行できません。

注※1

表にアクセスするには，その表に対するアクセス権限が必要になります。アクセス権限については，「1.3.3　データベースのアクセス制御」を参照してください。

注※2

表を定義するには，スキーマを定義する必要があります。スキーマを定義するには，スキーマ定義権限とCONNECT権限が必要になります。

1.3.3　データベースのアクセス制御

HiRDBでは，表のアクセス権限によってデータベースのアクセス制御が行われています。表のアクセス権限がないと，その表にあるデータにアクセスできません。アクセス権限を適切に管理することによって，データの機密性を高め，セキュリティを強化できます。

表のアクセス権限には表1-4に示す種類があります。権限の種類によって，表に対して実行できる操作が異なります。

表1-4　表のアクセス権限の種類

表のアクセス権限の種類 | 表に対してできる操作
SELECT権限 | 表のデータを検索（SELECT）できます。
INSERT権限 | 表にデータを追加（INSERT）できます。
DELETE権限 | 表のデータを削除（DELETE）できます。
UPDATE権限 | 表のデータを更新（UPDATE）できます。

表のアクセス権限によるデータベースのアクセス制御を図1-2に示します。

図1-2　表のアクセス権限によるデータベースのアクセス制御

説明

利用者Aと利用者Bの表の操作の実行可否を次に示します。

利用者 | 操作対象の表 | 操作内容 | 実行可否
利用者A | 表Ｔ１ | データの検索（SELECT） | ○
データの追加（INSERT） | ×
データの削除（DELETE） | ×
データの更新（UPDATE） | ×
表Ｔ２ | データの検索（SELECT） | ○
データの追加（INSERT） | ○
データの削除（DELETE） | ×
データの更新（UPDATE） | ○
利用者B | 表Ｔ１ | データの検索（SELECT） | ○
データの追加（INSERT） | ×
データの削除（DELETE） | ×
データの更新（UPDATE） | ×
表Ｔ２ | データの検索（SELECT） | ×
データの追加（INSERT） | ×
データの削除（DELETE） | ×
データの更新（UPDATE） | ×

（凡例）

○：実行できます。

×：実行できません。

表のアクセス権限の詳細については，マニュアル「HiRDB Version 8 システム運用ガイド」を参照してください。

1.3.4　監査

システムの不正利用がないか，組織のセキュリティポリシーに従った運用が行われているかなど，HiRDBのセキュリティ機能が意図したとおりに働いているかを定期的に確認（監査）する必要があります。この監査のために必要な情報をセキュリティ監査機能を使用して取得できます。この情報には，だれが，いつ，どのオブジェクトに対してどのような操作をしたか，またそのとき使用した権限や，その操作（イベント）が成功したかどうかが記録されます。

ポイント

監査は1.3.1～1.3.3で説明したセキュリティ機能と異なり，直接的なセキュリティ効果はありません。ただし，このあとの「(1)監査の目的」で説明するように，総合的にセキュリティ効果を高めています。特に組織内の脅威に対して監査は有効な手段であると考えられます。

セキュリティ監査機能の詳細については，マニュアル「HiRDB Version 8 システム運用ガイド」を参照してください。

＜この項の構成＞

(1)　監査の目的

(2)　監査情報の出力と参照方法

(1)　監査の目的

監査の目的を次に示します。

不審なアクセスがないかを確認する
データベースに対して不審なアクセスが行われていないかを確認します。

利用者の不正行為に対する抑止効果をねらう
監査を実施していることを組織内にアナウンスすると，組織内の悪意を持った利用者の次に示す行為を心理的に抑止できると考えられます。

不正にデータベースにアクセスする

データを改ざんする

データを持ち出す

また，正当な利用者に対しても，システムの正しい使い方についての注意を促す効果が期待できます。

セキュリティポリシーに従った運用が行われているかを確認する
パスワードの定期変更や，与えられた権限に沿った操作など，組織のセキュリティポリシーに従った運用が行われているかを確認します。

セキュリティ上のリスクを分析する
監査結果からセキュリティ上のリスクを分析し，それをセキュリティ対策に反映します。

(2)　監査情報の出力と参照方法

利用者の操作によって監査情報の取得対象となるイベントが発生した場合に，監査情報が出力されます。監査人はその監査情報を参照して監査を実施します。監査情報の出力と参照方法の概要を図1-3に示します。

図1-3　監査情報の出力と参照方法の概要

説明

利用者の操作によって監査情報取得対象イベントが発生した場合，監査情報（監査証跡）が監査証跡ファイルに出力されます。

監査情報をSQLで検索できるようにするために，監査証跡ファイルの内容を監査証跡表にデータロードします。データロードは監査人が実行します。

SQLで監査証跡表を検索し，監査情報を確認します。

参考

監査証跡表の改ざんを防止するために，監査証跡表へのデータの追加および更新（INSERTおよびUPDATE）はできなくなっています。データの削除（DELETE）は監査人だけが実行できます。

2.　セキュアなシステムを構築するための条件

この章では，セキュアなシステムを構築するために必要な条件について説明します。

＜この章の構成＞

2.1　セキュアなシステムに必要な条件

2.2　システム構成の条件

2.3　HiRDBサーバの設置場所の条件

2.4　OSに必要な条件

2.5　ネットワークに必要な条件

2.1　セキュアなシステムに必要な条件

システムのセキュリティを強固にするには，HiRDBのセキュリティ機能を使用するだけではなく，システム構成，マシンの設置場所，OS，ネットワークなどとあわせてセキュリティ対策する必要があります。これらのうちの一つでも対策が十分でないと，その部分がセキュリティ上の弱点となります。したがって，セキュアなシステムを構築するためには，次に示すことに対して十分な検討・対策を行う必要があります。

システム構成の条件が満たされている

HiRDBサーバの設置場所のセキュリティが守られている

OSに必要な条件が満たされている

ネットワークに必要な条件が満たされている

各項目の詳細については，次節以降で順に説明していきます。

2.2　システム構成の条件

ここでは，セキュアなシステムを構築・運用するために必要なシステム構成の条件について説明します。

なお，ISO/IEC 15408の評価は，「2.2.4　ISO/IEC 15408の評価を行ったシステム構成」に示すシステム構成下で行われました。

＜この節の構成＞

2.2.1　マシンの設置および管理上の条件

2.2.2　アプリケーションサーバを使用した三階層型システムを構築する場合

2.2.3　クライアントサーバ型システムを構築する場合

2.2.4　ISO/IEC 15408の評価を行ったシステム構成

2.2.1　マシンの設置および管理上の条件

セキュアなシステムを構築し，運用するためには次のことを守ってください。

不要なソフトウェアはインストールしないでください。インストールするソフトウェアの数が多くなるほど，システムの管理や，セキュリティ対策が複雑になるため，セキュリティ上のリスクが高くなります。

通常の業務で使用するマシンとは別に，監査業務で使用するマシンを設置してください。監査業務で使用するマシンと通常の業務で使用するマシンを一緒にすると，監査情報が漏れるなどのセキュリティ上のリスクが高くなります。

HiRDBサーバ用のマシンでは，UAPの開発や実行をしないでください。システムの管理が複雑になるため，セキュリティ上のリスクが高くなります。

故障などの理由によって，HiRDB/パラレルサーバを構成する一部のマシンの電源を切る場合，そのマシンから他マシンへのログインの許可を取り消してください。HiRDB/パラレルサーバを構成するマシン以外からのログイン（IPアドレスの詐称）を，確実に排除することが目的です。

2.2.2　アプリケーションサーバを使用した三階層型システムを構築する場合

アプリケーションサーバを使用した三階層型システムを構築する場合，次のことを守ってください。

アプリケーションサーバを構築したマシンはHiRDBクライアントとして動作しますが，このHiRDBクライアントはHiRDBサーバと同じレベルで管理してください。

アプリケーションサーバを使用した三階層型システムの構成例を図2-1に示します。

図2-1　アプリケーションサーバを使用した三階層型システムの構成例

説明

組織内のデータベース利用者が，クライアントPCを操作してアプリケーションサーバ上のUAPを利用します。この操作の延長で，アプリケーションサーバからHiRDBサーバに対してSQLが発行されてデータベースをアクセスします。クライアントPCからは，データベースに直接アクセスできないようにしてください。

2.2.3　クライアントサーバ型システムを構築する場合

クライアントサーバ型システムを構築する場合，次のことを守ってください。

実際の作業にあったHiRDBクライアントを各データベース利用者に与えてください。

UAP管理者にはUAP開発用のHiRDBクライアント（HiRDB/Developer's Kit）を，UAP実行者にはUAP実行用のHiRDBクライアント（HiRDB/Run Time）を与えてください。UAPの実行だけを行うデータベース利用者に，UAP開発用のHiRDBクライアントを与えないでください。

クライアントサーバ型システムの構成例を図2-2に示します。

図2-2　クライアントサーバ型システムの構成例

説明

組織内のデータベース利用者が，HiRDB SQL ExecuterまたはUAPを実行し，HiRDBクライアントからデータベースにアクセスします。

2.2.4　ISO/IEC 15408の評価を行ったシステム構成

ISO/IEC 15408の評価はここで説明する条件下で行われました。評価の保証範囲を逸脱しないためには，システム構成にあるソフトウェアだけインストールしてください。また，ネットワークには，HiRDBサーバとHiRDBクライアント以外のマシンは接続しないようにしてください。

＜この項の構成＞

(1)　システム構成

(2)　HiRDBサーバのソフトウェア構成

(3)　HiRDBクライアントのソフトウェア構成

(1)　システム構成

ISO/IEC 15408の評価は図2-3および図2-4に示すシステム構成で行われました。ISO/IEC 15408の評価構成システム（HiRDB/シングルサーバの場合）を図2-3に，ISO/IEC 15408の評価構成システム（HiRDB/パラレルサーバの場合）を図2-4に示します。

図2-3　ISO/IEC 15408の評価構成システム（HiRDB/シングルサーバの場合）

説明

監査用，UAP開発用，およびUAP実行用の3台のHiRDBクライアントを設置し，各HiRDBクライアントからHiRDB SQL ExecuterまたはUAPを実行してHiRDBのデータベースにアクセスします。

監査用のHiRDBクライアントを設置し，そのHiRDBクライアントで監査人が監査情報を検索します。

UAP開発用とUAP実行用のHiRDBクライアントを設置し，それぞれのHiRDBクライアントでUAPを開発，実行します。

図2-4　ISO/IEC 15408の評価構成システム（HiRDB/パラレルサーバの場合）

説明

HiRDB/パラレルサーバは2台のマシンで構成されています。マシン1のユニットにはシステムマネジャ，フロントエンドサーバ，ディクショナリサーバ，およびバックエンドサーバが定義されています。マシン2のユニットにはフロントエンドサーバ，およびバックエンドサーバが定義されています。

HiRDBサーバを構成するマシン間で使用するローカルエリアネットワーク（LAN1）と，HiRDBクライアントとHiRDBサーバ間で使用するローカルエリアネットワーク（LAN2）は，異なるローカルエリアネットワークを使用しています。
LAN1はHiRDB/パラレルサーバを構成するマシン1とマシン2を，LAN2はHiRDBサーバとHiRDBクライアントを接続するためのものです。

監査用，UAP開発用，およびUAP実行用の3台のHiRDBクライアントを設置し，各HiRDBクライアントからHiRDB SQL ExecuterまたはUAPを実行してHiRDBのデータベースにアクセスします。

監査用のHiRDBクライアントを設置し，そのHiRDBクライアントで監査人が監査情報を検索します。

UAP開発用とUAP実行用のHiRDBクライアントを設置し，それぞれのHiRDBクライアントでUAPを開発，実行します。

(2)　HiRDBサーバのソフトウェア構成

ISO/IEC 15408の評価を行ったときのHiRDBサーバのソフトウェア構成を表2-1に示します。

表2-1　HiRDBサーバのソフトウェア構成

使用したソフトウェア
説明

OS
AIX 5L V5.3を使用しました。

HiRDB
HiRDB/シングルサーバの場合は次に示す製品を使用しました。

P-1M62-1181 HiRDB/Single Server Version 8 08-04

HiRDB/パラレルサーバの場合は次に示す製品を使用しました。

P-1M62-1381 HiRDB/Parallel Server Version 8 08-04

(3)　HiRDBクライアントのソフトウェア構成

監査用，UAP開発用，およびUAP実行用のHiRDBクライアントを設置しました。ISO/IEC 15408の評価を行ったときのHiRDBクライアントのソフトウェア構成を表2-2～表2-4に示します。

表2-2　監査用のHiRDBクライアントのソフトウェア構成

使用したソフトウェア
説明

OS
Windows XP Professionalを使用しました。

HiRDB/Run Time
UAPを実行するために必要な製品です。また，HiRDB SQL Executerの前提製品です。HiRDB/Run Timeは，次に示す製品を使用しました。

P-2662-1184 HiRDB/Run Time Version 8 08-04-02

HiRDB SQL Executer
HiRDB SQL Executerを使用すると，PCの画面からSQLを実行し，その結果を確認できます。監査証跡表を検索するツールとして使用します。HiRDB SQL Executerは，次に示す製品を使用しました。

R-F15427-117 HiRDB SQL Executer 08-02

表2-3　UAP開発用のHiRDBクライアントのソフトウェア構成

使用したソフトウェア
説明

OS
Windows XP Professionalを使用しました。

HiRDB/Developer's Kit
UAPを開発するために必要な製品です。UAPの実行もできます。また，HiRDB SQL Executerの前提製品です。HiRDB/Developer's Kitは，次に示す製品を使用しました。

P-2662-1284 HiRDB/Developer's Kit Version 8 08-04-02

HiRDB SQL Executer
HiRDB SQL Executerを使用すると，PCの画面からSQLを実行し，その結果を確認できます。UAPを開発するときのツールとして使用します。HiRDB SQL Executerは，次に示す製品を使用しました。

R-F15427-117 HiRDB SQL Executer 08-02

表2-4　UAP実行用のHiRDBクライアントのソフトウェア構成

使用したソフトウェア
説明

OS
Windows XP Professionalを使用しました。

HiRDB/Run Time
UAPを実行するために必要な製品です。HiRDB/Run Timeは，次に示す製品を使用しました。

P-2662-1184 HiRDB/Run Time Version 8 08-04-02

2.3　HiRDBサーバの設置場所の条件

ここでは，HiRDBサーバの設置場所の条件について説明します。HiRDBクライアントの設置場所については，「8.1.1　HiRDBクライアントの設置」を参照してください。

＜この節の構成＞

2.3.1　セキュアエリアの確保

2.3.2　リムーバブルメディアの管理

2.3.1　セキュアエリアの確保

＜この項の構成＞

(1)　セキュアエリアとは

(2)　セキュアエリアに設置する機器

(3)　ISO/IEC 15408の評価構成時のセキュアエリア

(1)　セキュアエリアとは

システムやネットワークのセキュリティをいくら強化しても，HiRDBサーバを設置するマシンルームの出入りが自由になっていると，管理者以外の人間がHiRDBサーバを不正に操作したり，データを持ち出したりするおそれがあります。

したがって，セキュアなシステムを構築するには，システム環境だけではなく，HiRDBサーバを設置する場所の管理にも注意を払う必要があります。人の入退室管理が行われ，不正な物理的アクセスから保護されたエリア（これをセキュアエリアといいます）を確保し，このエリア内にHiRDBサーバを設置してください。

参考

セキュアエリアとするマシンルームを施錠したり，監視カメラを設置したり，警備員を配置したりするとセキュリティ効果が高くなります。

(2)　セキュアエリアに設置する機器

セキュアエリアには，次に示すマシンとその周辺機器を設置してください。

HiRDBサーバ用のマシン

アプリケーションサーバ用のマシン（三階層型システムの場合）

セキュアエリアは，許可された人（スーパユーザ※，HiRDB管理者，DBA権限保持者，表の所有者，および監査人）だけが入場できるように管理してください。

注※

使用するシステムがWindowsの場合，Administrator権限を持つマシンの管理者となります。

なお，HiRDB CMを使用してHiRDBを操作する場合，HiRDB CM Server，HiRDB CM Consoleをインストールしたマシンをセキュアエリア内に設置するなどの対策を行い，HiRDBサーバがそのマシンから不正操作されることがないようにしてください。

アプリケーションサーバを使用した三階層型システムと，クライアントサーバ型システムのセキュアエリアを図2-5および図2-6に示します。

図2-5　アプリケーションサーバを使用した三階層型システムのセキュアエリア

注

HiRDB/パラレルサーバの場合は，HiRDB/パラレルサーバを構成するすべてのマシンをセキュアエリア内に設置してください。

図2-6　クライアントサーバ型システムのセキュアエリア

注

HiRDB/パラレルサーバの場合は，HiRDB/パラレルサーバを構成するすべてのマシンをセキュアエリア内に設置してください。

(3)　ISO/IEC 15408の評価構成時のセキュアエリア

セキュアエリアにはHiRDBサーバ用のマシンだけを設置します。ISO/IEC 15408の評価構成時のセキュアエリアを図2-7に示します。

図2-7　ISO/IEC 15408の評価構成時のセキュアエリア

注

HiRDB/パラレルサーバの場合は，HiRDB/パラレルサーバを構成するすべてのマシンをセキュアエリア内に設置してください。

セキュアエリアは，許可された人（スーパユーザ，HiRDB管理者，DBA権限保持者，表の所有者，および監査人）だけが入場できるように管理されています。

2.3.2　リムーバブルメディアの管理

データベースのバックアップファイルなどを格納したリムーバブルメディアをセキュアエリアから持ち出せないように管理してください。特に，バックアップファイルなどの重要なデータを格納したリムーバブルメディアは，キャビネットなどに格納して施錠するなど，厳重に管理してください。

データを格納したリムーバブルメディアの管理方法については，「3.4　データを格納したリムーバブルメディアの管理」を参照してください。

2.4　OSに必要な条件

ここでは，セキュアなシステムを構築するときに必要なOSの条件について説明します。

＜この節の構成＞

2.4.1　OSアカウントの管理

2.4.2　リモートログインの設定（UNIX限定）

2.4.3　マシンに設定される時刻の管理

2.4.1　OSアカウントの管理

HiRDBサーバ用のマシンのOSアカウントを管理する必要があります。

＜この項の構成＞

(1)　OSアカウントを与えるユーザ

(2)　パスワードの管理

(1)　OSアカウントを与えるユーザ

OSアカウントはむやみに与えないで，許可された管理者に対してだけ与えてください。スーパユーザは，許可された次の管理者にOSアカウントを与えてください。

HiRDB管理者

DBA権限保持者

表の所有者

監査人

ポイント

不特定多数の人にOSアカウントを与えると，OSアカウントを不正利用されるリスクが高くなります。

不要になったOSアカウントはすぐに削除してください。不要になったOSアカウントをそのままにしておくと，そのOSアカウントを使用してシステムを不正利用されるリスクが高くなります。

(2)　パスワードの管理

OSアカウントのパスワードは，ほかの人に知られないように各ユーザが管理してください。各ユーザは，パスワードに推測されにくい文字列を設定し，適切な頻度でパスワードを変更する必要があります。

2.4.2　リモートログインの設定（UNIX限定）

HiRDBサーバへのリモートログインを許可すると，管理者以外の人間によってHiRDBが不正利用されるリスクが高くなるため，リモートログインを禁止してください。ただし，システム構成によっては，リモートログインを許可する必要があります。その場合は，必要なマシンからのリモートログインだけを許可するようにしてください。

参考

HiRDBサーバ以外のマシンからリモートログインしてHiRDBのユティリティまたはコマンドが実行できると，その分HiRDBが不正利用されるリスクが高くなるため，リモートログインを禁止します。

＜この項の構成＞

(1)　HiRDB/シングルサーバの場合

(2)　HiRDB/パラレルサーバの場合

(3)　IPアドレスを引き継がない高速系切り替え機能を使用する場合

(1)　HiRDB/シングルサーバの場合

HiRDBサーバへのリモートログインを禁止してください。スーパユーザはリモートログインができないようにOSの設定を行ってください。

(2)　HiRDB/パラレルサーバの場合

HiRDB/パラレルサーバを構成するマシン間のリモートログインは許可してください。それ以外のマシンからのリモートログインは禁止してください。

参考

HiRDBのコマンドの中には，リモートシェル機能を使用して各マシンで実行するコマンドがあります。このため，HiRDB/パラレルサーバを構成するマシン間でリモートログインを許可する必要があります。

(3)　IPアドレスを引き継がない高速系切り替え機能を使用する場合

IPアドレスを引き継がない高速系切り替え機能を使用する場合，現用系の情報を予備系に転送するためにリモートシェル機能を使用します。このため，現用系のマシンと予備系のマシン間のリモートログインは許可してください。それ以外のマシンからのリモートログインは禁止してください。

2.4.3　マシンに設定される時刻の管理

HiRDBサーバ用のマシンに設定されている時刻を正しく管理してください。

HiRDBでは，システムログファイル，ステータスファイルなどのファイル中に，日付・時間の情報を格納しています。この情報は，HiRDBの再開始時などに利用しているため，時刻を変更すると，統計情報が正しく表示されない，再開始が失敗する，データベースが回復できないなどの問題が発生することがあります。したがって，テストなどでしかたなく日時を変更する場合以外は，時刻が変更されないように適切に管理してください。

2.5　ネットワークに必要な条件

ここでは，セキュアなシステムを構築するときに必要なネットワークの条件について説明します。

＜この節の構成＞

2.5.1　ローカルエリアネットワークに必要な条件

2.5.2　インターネットに接続する場合に必要な条件

2.5.1　ローカルエリアネットワークに必要な条件

HiRDBクライアントとHiRDBサーバ間の通信，およびHiRDB/パラレルサーバを構成するマシン間の通信は，次に示すすべての条件を満たすローカルエリアネットワークを使用してください。

ローカルエリアネットワークを構成する機器とケーブルは，無断でアクセスできないように管理されている

ホスト名やポート番号などのネットワークの設定が正確に行われている

HiRDBクライアントからHiRDBサーバに対して不正な電文が送信されないように，ネットワーク構成の情報を適切に管理し，安定した運用が実施されている

これらの条件が守られていないと，通信の秘匿性や完全性が失われる可能性があります。例えば，データの漏えいや改ざんなどが発生したり，不正な電文をHiRDBサーバで受信したり，電文が相手に届かなかったりする可能性があります。

参考

ISO/IEC 15408の評価は，ローカルエリアネットワークにHiRDBサーバおよびHiRDBクライアント用のマシン以外の機器を接続しない環境で行われました。

2.5.2　インターネットに接続する場合に必要な条件

HiRDBサーバとHiRDBクライアントを接続しているローカルエリアネットワークがインターネットに接続している場合，ファイアウォールを設置してインターネットからHiRDBサーバに直接アクセスできないようにしてください。

また，ローカルエリアネットワークを構成する機器とケーブルは，無断でアクセスできないように管理してください。

ポイント

ファイアウォールを通過させるパケットは必要最低限としてください。通過させるパケットを多くするほど（通過させるパケットのセキュリティレベルを下げるほど），その分セキュリティ上のリスクが高くなります。

参考

ISO/IEC 15408の評価は，外部接続（インターネット接続）をしない環境で行われました。

3.　HiRDBのセキュリティ設計

この章では，ユーザの管理，パスワードの管理，データベースのアクセス管理，およびリムーバブルメディアの管理について説明します。

＜この章の構成＞

3.1　ユーザの管理

3.2　パスワードの管理

3.3　データベースのアクセス管理

3.4　データを格納したリムーバブルメディアの管理

3.1　ユーザの管理

ここでは，ユーザの役割分担とユーザに権限を与えるときの方針について説明します。

＜この節の構成＞

3.1.1　ユーザ管理の重要性

3.1.2　ユーザの役割分担

3.1.3　権限を与えるときの方針

3.1.1　ユーザ管理の重要性

ユーザの管理はセキュリティ対策で最も重要なことの一つです。2章で説明したセキュアなシステムを構築するための条件を満たし，HiRDBのセキュリティ機能を使用しても，ユーザ管理が十分にできていないと期待したセキュリティ効果が得られません。システムのセキュリティを強化するにはユーザの役割分担を明確にし，目的に合った権限を与えてユーザを管理する必要があります。ユーザ管理の手順を図3-1に示します。

ポイント

ユーザの役割分担を明確にしないで必要以上に権限を与えると，それがセキュリティ上の弱点になる可能性があります。ユーザの管理が十分に行われていない場合，次に示すことが発生するリスクが高くなります。

権限を不正使用し，機密データへの不正アクセスを行う

架空のHiRDBユーザを登録し，そのHiRDBユーザの認可識別子を使用して不正行為を行う

図3-1　ユーザ管理の手順

説明

ユーザの役割分担については，「3.1.2(1)ユーザの役割と主な作業項目」を参照してください。

各ユーザに必要な条件については，「3.1.2(2)各ユーザの選定基準」を参照してください。

管理者および利用者に適切な権限を与えてHiRDBユーザとして登録してください。権限を与えるときの方針については，「3.1.3　権限を与えるときの方針」を参照してください。

定期的または組織の体制変更時にHiRDBユーザのメンテナンス（HiRDBユーザの追加，HiRDBユーザの削除，HiRDBユーザの権限変更など）を行ってください。

3.1.2　ユーザの役割分担

ユーザの役割とその作業について説明します。

＜この項の構成＞

(1)　ユーザの役割と主な作業項目

(2)　各ユーザの選定基準

(3)　権限付与の流れ

(1)　ユーザの役割と主な作業項目

HiRDBでは，表3-1に示すユーザがシステムを構築，運用，または利用することを想定しています。ユーザの役割と主な作業項目を表3-1に示します。

表3-1　ユーザの役割と主な作業項目

ユーザの役割
人数
必要な権限
主な作業項目

システムを管理する人
スーパユーザ
1名
－※1

OSアカウントの登録

OSの環境設定および管理

HiRDBサーバのインストール

HiRDB管理者
1名
DBA権限

HiRDBの環境設定

HiRDBの管理・運用

監査人の登録（監査権限の付与）

権限を管理する人
DBA権限保持者
1名以上
DBA権限

権限（DBA権限，スキーマ定義権限，およびCONNECT権限）の管理

パスワードの管理ルールの設定

表を管理する人
表の所有者
1名以上
スキーマ定義権限
CONNECT権限

表の定義

表へのデータロード

表のアクセス権限の管理

データベースを利用する人
データベース利用者
1名以上
CONNECT権限

データの検索，更新，挿入，および削除

監査を実施する人
監査人※2
1名
監査権限

監査の実施

セキュリティ監査機能の環境設定

監査証跡表へのデータロード

（凡例）－：該当しません。

注※1

スーパユーザはOSの権限であり，HiRDBの権限ではありません。

注※2

監査人は１名だけですが，監査を補佐する人（HiRDBユーザ）を追加できます。その場合，監査人は監査を補佐する人に監査証跡表のSELECT権限を与えてください。

参考

HiRDB管理者が有するDBA権限とDBA権限保持者が有するDBA権限に機能差はありません。操作できる範囲に違いはありません。

HiRDB管理者はスーパユーザと同様にOSアカウントによって識別されます。

権限によって実行できるコマンドおよびSQLが異なります。詳細については，「HiRDB Version 8 コマンドリファレンス」，および「HiRDB Version 8 SQLリファレンス」を参照してください。

HiRDB/パラレルサーバの場合，ユーザの役割は各マシン共通です。

(2)　各ユーザの選定基準

(1)でユーザの役割と主な作業項目を説明しました。各ユーザに割り当てられた作業内容によって，必要とされる技能および知識が異なります。必要な技能および知識を有する人を選定してください。必要な技能または知識がない人を選定した場合，OSまたはHiRDBの運用・操作を誤り，それがセキュリティ上のリスクにつながる可能性があります。また，スーパユーザ，HiRDB管理者，DBA権限保持者，表の所有者，UAP管理者，および監査人は，利用組織内で信頼できる人を選定してください。

各ユーザに必要な技能および知識を表3-2に示します。

表3-2　各ユーザに必要な技能および知識

ユーザの種類
ユーザに必要な技能および知識

スーパユーザ
ソフトウェアのインストールおよび環境設定をマニュアルの記載内容に従って適切に行える知識や，技能を有する人をスーパユーザに選定してください。スーパユーザに必要な知識を次に示します。

UNIX，Linux，またはWindowsのシステム管理の基礎的な知識

HiRDBの環境設定に関する基礎的な知識

セキュリティに関する基礎的な知識

これらの知識や技能が不足している場合は，OSまたはHiRDBの教育を受けるなどの対策を行ってください。
スーパユーザは，HiRDB管理者やデータベース利用者を兼任できます。

HiRDB管理者
HiRDBの環境設定および運用・操作をマニュアルの記載内容に従って適切に行える知識や，技能を有する人をHiRDB管理者に選定してください。HiRDB管理者に必要な知識を次に示します。

UNIX，Linux，またはWindowsのシステム管理の基礎的な知識

HiRDBの環境設定および操作に関する基礎的な知識

HiRDBのユティリティおよびコマンドに関する基礎的な知識

SQLの基礎的な知識

セキュリティに関する基礎的な知識

これらの知識や技能が不足している場合は，OSまたはHiRDBの教育を受けるなどの対策を行ってください。
HiRDB管理者は，DBA権限保持者を兼任することになります。監査人は兼任できません。

DBA権限保持者
HiRDBの各種権限（DBA権限，スキーマ定義権限，およびCONNECT権限）をマニュアルの記載内容に従って適切に管理できる知識や，技能を有する人をDBA権限保持者に選定してください。DBA権限保持者に必要な知識を次に示します。

HiRDBの権限に関する基礎的な知識

HiRDBの操作に関する基礎的な知識

SQLの基礎的な知識

セキュリティに関する基礎的な知識

これらの知識や技能が不足している場合は，HiRDBの教育を受けるなどの対策を行ってください。
DBA権限保持者は，表の所有者を兼任できます。監査人は兼任できません。

表の所有者
所有する表のアクセス権限をマニュアルの記載内容に従って適切に管理できる知識や，技能を有する人を表の所有者に選定してください。表の所有者に必要な知識を次に示します。

HiRDBの権限に関する基礎的な知識

HiRDBのユティリティおよびコマンドに関する基礎的な知識

SQLの基礎的な知識

セキュリティに関する基礎的な知識

これらの知識や技能が不足している場合は，HiRDBの教育を受けるなどの対策を行ってください。

データベース利用者
HiRDBサーバに対して適切なアクセスを行える知識や，技能を有する人をデータベース利用者に選定してください。データベース利用者に必要な知識を次に示します。

PCの基本操作の知識

セキュリティに関する基礎的な知識

これらの知識や技能が不足している場合は，セキュリティに関する教育を受けるなどの対策を行ってください。
なお，SQLを使ってデータベースにアクセスする利用者は，さらにSQLの基礎的な知識が必要になります。
次のユーザはデータベース利用者であり，データベース利用者以外の役割も兼任できます。

UAP管理者
HiRDBクライアントで実行するUAPの開発と保守を行う人です。また，UAP実行者の管理も担います。

UAP実行者
HiRDBクライアントで実行するUAPを操作する人です。

監査人
マニュアルの記載内容に従って監査を適切に行う知識や，技能を有する人を監査人に選定してください。監査人に必要な知識を次に示します。

HiRDBの権限に関する基礎的な知識

HiRDBの操作に関する基礎的な知識

HiRDBのユティリティおよびコマンドに関する基礎的な知識

SQLの基礎的な知識

セキュリティに関する基礎的な知識

これらの知識や技能が不足している場合は，HiRDBの教育を受けるなどの対策を行ってください。
監査人は，DBA権限保持者（HiRDB管理者を含む）を兼任できません。

(3)　権限付与の流れ

HiRDBのインストール後，最初に登録されるHiRDBユーザはHiRDB管理者です。HiRDB管理者には自動的にDBA権限が与えられているため，最初はHiRDB管理者がほかのHiRDBユーザに対して権限を与えます。HiRDB管理者登録後の権限付与の流れを図3-2に示します。

図3-2　HiRDB管理者登録後の権限付与の流れ

参考

DBA権限をほかのHiRDBユーザに与えないで，HiRDB管理者だけが有するようにしても問題はありません。

HiRDB管理者用に設定される認可識別子については，UNIXの場合は「5.5　HiRDBの環境設定を行う」を，Windowsの場合は「6.4　簡易セットアップツールを実行する」を参照してください。

3.1.3　権限を与えるときの方針

DBA権限保持者がHiRDBユーザの登録を行い，そのHiRDBユーザに必要な権限を与えます。ここでは，権限を与えるときの方針について説明します。

＜この項の構成＞

(1)　権限管理の原則

(2)　DBA権限を与えるときの方針

(3)　スキーマ定義権限を与えるときの方針

(4)　CONNECT権限を与えるときの方針

(5)　監査権限を与えるときの方針

(1)　権限管理の原則

権限管理の原則を次に示します。

必要以上の権限を与えると，それがセキュリティ上の弱点となる可能性があります。したがって，決められた役割に従って必要最小限の権限を与えるようにしてください。

権限が不要になった場合は（組織内で人の異動があったときなど），すぐに権限を削除するか，または変更してください。そのHiRDBユーザがいなくなる場合はそのHiRDBユーザ（認可識別子）を削除してください。

必要のないHiRDBユーザを登録して権限を与えないでください。

(2)　DBA権限を与えるときの方針

HiRDBユーザの権限を管理する人にDBA権限を与えます。

DBA権限を与えるときの方針

DBA権限があると，権限を追加（削除および変更も含む）したり，ほかのHiRDBユーザが所有している表を削除したりできます。また，DBA権限はスキーマ定義権限およびCONNECT権限を包括しているため，表の定義もできます。このように大変利便性が良いため，多くのHiRDBユーザにDBA権限を与えてしまいがちです。しかし，DBA権限はほかのHiRDBユーザの表を削除したり，権限を削除したりできる強力な権限です。このため，悪意を持ったHiRDBユーザがこの権限を有するとセキュリティ上のリスクが非常に高くなります。したがって，DBA権限を与えるときは利便性を考えないで，セキュリティ面だけを考えて判断するようにしてください。

DBA権限を与える方法

DBA権限保持者が，定義系SQLのGRANTを実行してほかのHiRDBユーザにDBA権限を与えます。

ほかのHiRDBユーザのDBA権限を削除する場合は，定義系SQLのREVOKEを実行します。

(3)　スキーマ定義権限を与えるときの方針

表を定義し，所有・管理する人にスキーマ定義権限およびCONNECT権限を与えます。

参考

スキーマを定義するにはスキーマ定義権限とCONNECT権限の両方が必要になります。スキーマ定義権限およびCONNECT権限を与えてもらったあとにスキーマを定義し，表を定義すると，表の所有者になります。

なお，権限はCONNECT権限，スキーマ定義権限の順に与えてください。逆にした場合，SQLの実行時にエラーとなります。

スキーマ定義権限を与えるときの方針

表を定義し，所有・管理する人だけにスキーマ定義権限を与えてください。それ以外の人にはスキーマ定義権限を与えないでください。

スキーマ定義権限を与える方法

DBA権限保持者が，定義系SQLのGRANTを実行してほかのHiRDBユーザにスキーマ定義権限を与えます。

ほかのHiRDBユーザのスキーマ定義権限を削除する場合は，定義系SQLのREVOKEを実行します。

(4)　CONNECT権限を与えるときの方針

データの検索，更新，追加，および削除を行うデータベースの利用者にCONNECT権限を与えます。ただし，データベースの利用者がデータをアクセスするには，表の所有者に表のアクセス権限を与えてもらう必要があります。

CONNECT権限を与えるときの方針

データベースの利用者だけにCONNECT権限を与えてください。必要のないHiRDBユーザを登録し，CONNECT権限を与えないようにしてください。

CONNECT権限を与える方法

DBA権限保持者が，定義系SQLのGRANTを実行してほかのHiRDBユーザにCONNECT権限を与えます。

ほかのHiRDBユーザのCONNECT権限を削除する場合は，定義系SQLのREVOKEを実行します。REVOKE実行時の注意事項については，「7.9.1　CONNECT権限を取り消す場合」を参照してください。

(5)　監査権限を与えるときの方針

監査を実施する人に監査権限を与えて監査人として登録します。

監査権限を与えるときの方針

システムの利用者（管理者を含む）を監査人にしないでください。利用者を監査人にすると，監査の不正工作がやりやすくなるため，不正行為が行われるリスクが高くなります。

監査人には，監査証跡表以外の表のアクセス権限を極力与えないでください。

監査権限の制限

DBA権限保持者（HiRDB管理者を含む）は監査人になれません。

監査人の監査権限は削除できません。

一度登録した監査人の認可識別子は変更できません。

参考

DBA権限は最も強力な権限であるため，DBA権限と監査権限の両方を有する人が不正行為を行った場合，それをチェックすることが難しくなります。そのため，DBA権限保持者を監査人にはできない仕組みになっています。

監査人を変更する場合，既存の監査人の認可識別子をそのまま引き継いで，パスワードを変更する運用としてください。このとき，すぐにパスワードを変更してください。

監査権限を与える方法

HiRDB管理者がデータベース構成変更ユティリティのcreate auditor文で監査人を登録します（監査権限を与えます）。

3.2　パスワードの管理

ここでは，アカウントの不正使用を防止するために必要なパスワードの管理方法について説明します。

＜この節の構成＞

3.2.1　パスワードの管理ルールの設定

3.2.2　パスワードの例

3.2.3　パスワードの禁止条件の設定

3.2.4　アカウントの不正使用対策

3.2.1　パスワードの管理ルールの設定

HiRDBでは認可識別子とパスワードによってユーザ認証を行い，第三者によるシステムの不正利用を防止しています。このため，パスワードを第三者に不正使用されない（盗まれない）ことが重要になります。

DBA権限保持者はパスワードの管理ルールを設定し，HiRDBユーザにそのルールを徹底させて，パスワードのセキュリティを強化してください。パスワードの管理ルールを表3-3に示します。

ポイント

DBA権限保持者がHiRDBユーザを登録するときに，そのHiRDBユーザの初期パスワードを設定します。そのあと，各HiRDBユーザが自分のパスワードを表3-3に示すルールに従って管理（変更）します。

表3-3　パスワードの管理ルール

パスワードの管理ルール
説明

パスワードを秘密にする
HiRDBユーザにパスワードの守秘義務を与えて，それを守らせてください。

パスワードを記録しない
パスワードを記録すると，パスワードがほかの人に盗まれる可能性が高くなるため，HiRDBユーザにパスワードを記録させないようにし，それを守らせてください。

パスワードを定期的に変更する
HiRDBユーザにパスワードの定期変更義務を与えて，それを守らせてください。
DBA権限保持者はどのくらいの期間でパスワードを変更するかを決めてください。パスワードの変更履歴は監査情報に記録されるため，パスワードの定期変更義務が守られているかどうかを監査で確認できます。

推測されにくいパスワードを作成する
HiRDBユーザがパスワードを変更するときに，推測しやすい簡単なパスワードを作成しないようにさせてください。
DBA権限保持者はパスワードの作成規則（パスワードを何文字以上にするか，パスワードに英字と数字を混ぜるかなど）を設定し，HiRDBユーザにその規則を守らせてください。パスワードの作成規則は，「3.2.2　パスワードの例」を参考にして決めてください。

参考

パスワードを忘れてしまった場合，および連続認証失敗アカウントロック状態になった場合，HiRDBユーザはその旨をDBA権限保持者に連絡してください。連絡を受けたDBA権限保持者は，必ず本人かどうかを確認した上で対処してください。

3.2.2　パスワードの例

悪いパスワードの例と良いパスワードの例を説明します。

＜この項の構成＞

(1)　パスワードに使用できる文字列

(2)　悪いパスワードの例

(3)　良いパスワードの例

(1)　パスワードに使用できる文字列

パスワードに使用できる文字列を次に示します。

英大文字：A～Z，#，@，¥

英小文字：a～z

数字：0～9

パスワードにはこれらの文字列を指定できますが，先頭は英字（英大文字または英小文字）を指定する必要があります。

(2)　悪いパスワードの例

悪いパスワードの例を表3-4に示します。

表3-4　悪いパスワードの例

禁止項目
説明およびパスワードの例

わかりやすい単語をパスワードに使用する
固有名称，簡単な単語や文字列などは使用しないでください。
（例）hirdb，eigyo，keiri

英字1文字と，同じ数字の組み合わせをパスワードに使用する
先頭が英字1文字で，その後ろが同じ数字のパスワードは使用しないでください。
（例）a11111，z99999

推測しやすいパスワードを使用する
認可識別子と同じ文字列のパスワードを使用しないでください。また，個人情報（自分の名前，家族の名前，生年月日，電話番号など）をパスワードに使用しないでください。
（例）SUZUKI，masaru，S521024
パスワードの文字列中に認可識別子を使用することを禁止できます。詳細については，「3.2.3　パスワードの禁止条件の設定」を参照してください。

英字だけのパスワードを使用する
英字だけのパスワードを使用しないでください。特に同じ文字を並べただけ，またはアルファベット順に並べただけのパスワードは絶対に使用しないでください。
（例）aaaaaa，ABCDEFG，dbmanual，GRNPJXRD
パスワードを英大文字だけまたは英小文字だけで作成することを禁止できます。詳細については，「3.2.3　パスワードの禁止条件の設定」を参照してください。

(3)　良いパスワードの例

良いパスワードの例を表3-5に示します。

表3-5　良いパスワードの例

推奨項目
説明およびパスワードの例

パスワードの文字数を多くする
8文字以上のパスワードを作成してください。ただし，長過ぎるパスワードは覚えることが難しいため，適切な長さにしてください。
（例）Gth47ADb，F#36Qjls
パスワードの最低文字数を設定できます。詳細については，「3.2.3　パスワードの禁止条件の設定」を参照してください。

英字と数字を混ぜたパスワードを使用する
パスワードには英字と数字を混ぜてください。英大文字と英小文字を混ぜるとさらに効果が上がります。
（例）Gth47ADb，F#36Qjls

ポイント

覚えられるパスワードを使用してください。パスワードが覚えられないためにパスワードを記録したりすると，パスワードがほかの人に盗まれる可能性が高くなります。

3.2.3　パスワードの禁止条件の設定

パスワードの禁止条件を設定できます。禁止条件に該当するパスワードの認可識別子をパスワード無効アカウントロック状態にし，HiRDBを利用できないようにします。

参考

パスワード無効アカウントロック状態になった場合，DBA権限保持者が定義系SQLのGRANTで，該当するHiRDBユーザのパスワードを変更してください。禁止条件に該当しないパスワードに変更すれば，パスワード無効アカウントロック状態が解除されます。

定義系SQLのDROP CONNECTION SECURITY FOR PASSWORDを実行すると，全ユーザのパスワード無効アカウントロック状態が解除されます。そのため，DROP CONNECTION SECURITY FOR PASSWORDを実行した場合は，再度パスワードの禁止条件の設定（CREATE CONNECTION SECURITY FOR PASSWORD）をしてください。

パスワードに設定できる禁止条件を次に示します。

決められた文字数（バイト数）以下のパスワードを禁止する

パスワードの文字列中に認可識別子を使用することを禁止する

パスワードを英大文字だけまたは英小文字だけで作成することを禁止する

CONNECT関連セキュリティ機能を使用してパスワードの禁止条件を設定します。CONNECT関連セキュリティ機能については，マニュアル「HiRDB Version 8 システム運用ガイド」を参照してください。

3.2.4　アカウントの不正使用対策

パスワードを推測して何度も入力し，アカウントを不正使用する試みに対しても対策する必要があります。この不正行為の対策として，CONNECT関連セキュリティ機能を使用して連続認証失敗許容回数とアカウントロック期間を設定します。CONNECT関連セキュリティ機能については，マニュアル「HiRDB Version 8 システム運用ガイド」を参照してください。

＜この項の構成＞

(1)　連続認証失敗許容回数とは

(2)　アカウントロック期間とは

(1)　連続認証失敗許容回数とは

パスワードの不正入力によってユーザ認証に連続して失敗したときに，失敗回数が連続認証失敗許容回数を超えると，その認可識別子を連続認証失敗アカウントロック状態にし，HiRDBを利用できないようにします。

例えば，連続認証失敗許容回数を3と設定した場合，パスワードの不正入力によって4回連続でユーザ認証に失敗すると，その認可識別子は連続認証失敗アカウントロック状態になり，HiRDBを利用できなくなります。

(2)　アカウントロック期間とは

連続認証失敗アカウントロック状態とする期間をアカウントロック期間といいます。例えば，アカウントロック期間を1時間とした場合，連続認証失敗アカウントロック状態が1時間続きます。1時間を過ぎると連続認証失敗アカウントロック状態が解除されて，その認可識別子でHiRDBを利用できるようになります。

ポイント

連続認証失敗許容回数とアカウントロック期間はセキュリティポリシーに合わせた値にしてください。例えば，連続認証失敗許容回数を10回と極端に多くしたり，アカウントロック期間を10分と極端に短くしたりすると，それがセキュリティ上の弱点になる可能性があります。

3.3　データベースのアクセス管理

ここでは，表のアクセス権限の管理方針，およびディクショナリ表の参照権限の設定方法について説明します。

＜この節の構成＞

3.3.1　表のアクセス権限の管理方針

3.3.2　ディクショナリ表の参照権限の設定

3.3.1　表のアクセス権限の管理方針

「1.3.3　データベースのアクセス制御」で説明したように，表のアクセス制御は表のアクセス権限によって管理されています。表のアクセス権限は表の所有者が管理し，ほかのHiRDBユーザにアクセス権限を与えたり，アクセス権限を削除したりします。表の所有者は次に示す管理方針に従って表のアクセス権限を管理してください。

＜この項の構成＞

(1)　必要なHiRDBユーザだけに必要なアクセス権限を与える

(2)　目的に合ったアクセス権限を与える

(3)　不要になったアクセス権限をすぐに削除する

(1)　必要なHiRDBユーザだけに必要なアクセス権限を与える

表をアクセスする必要があるHiRDBユーザだけにアクセス権限を与えてください。例えば，組織のグループ（部，課など）内の全員が表をアクセスする必要がないのに，グループ内の全員にアクセス権限を与えるようなことはしないでください。必要以上の人にアクセス権限を与えると，データが改ざんされたり，データが漏えいしたりするリスクが高くなります。

(2)　目的に合ったアクセス権限を与える

目的に合ったアクセス権限を与えてください。例えば，検索だけを行うHiRDBユーザにはSELECT権限だけを与えてください。UPDATE権限やDELETE権限などの不要なアクセス権限を与えると，データが改ざんされるリスクが高くなります。

また，必要に応じてアクセス権限の種類（SELECT権限，INSERT権限，DELETE権限，UPDATE権限）を変更してください。

ポイント

与えるアクセス権限は必要最小限にしてください。

(3)　不要になったアクセス権限をすぐに削除する

組織内の人の異動などによって，表にアクセスする必要がなくなるHiRDBユーザが生じた場合，そのHiRDBユーザのアクセス権限をすぐに削除してください。アクセス権限をそのままにしておくと，そのアクセス権限を利用したデータの改ざんまたは漏えいが発生するリスクが高くなります。

参考

定義系SQLのGRANTでアクセス権限を与えて，REVOKEでアクセス権限を削除します。

3.3.2　ディクショナリ表の参照権限の設定

ディクショナリ表には，認可識別子，表名，表の所有者，HiRDBユーザが持っている権限などの重要な情報が格納されています。不特定多数のHiRDBユーザがこれらの情報を参照できると，それがセキュリティ上の弱点になる可能性があります。したがって，HiRDB管理者はディクショナリ表の参照権限を設定し，一般のHiRDBユーザ（DBA権限保持者および監査人以外のHiRDBユーザ）がディクショナリ表内の重要な情報を参照できないようにしてください。

ディクショナリ表の参照権限の設定については，マニュアル「HiRDB Version 8 システム運用ガイド」を参照してください。

参考

ディクショナリ表の参照権限を設定しない場合，一般のHiRDBユーザはDBA権限保持者と同程度の情報を参照できます。

認可識別子，および各HiRDBユーザが持っているDBA権限，監査権限，およびスキーマ定義権限については，ディクショナリ表の参照権限を設定するかどうかに関係なく，一般のHiRDBユーザは参照できません。

3.4　データを格納したリムーバブルメディアの管理

バックアップデータなどをリムーバブルメディア（以下，メディアと表記します）に格納して保管する場合，そのメディアを不正使用されないように管理する必要があります。ここでは，データを格納したメディアの管理方法について説明します。

＜この節の構成＞

(1)　メディア管理の重要性

(2)　管理ルールの設定

(1)　メディア管理の重要性

システムのセキュリティをいくら強化しても，データを格納したメディアの管理が行われていないと，メディアを盗まれてデータが漏えいしたり，メディアを不正使用されてデータが改ざんされたりするおそれがあります。そのため，データを格納したメディアが不正使用されないように管理する必要があります。

ポイント

守る必要があるデータは，ハードディスク上のデータだけではありません。データを格納したメディアも同様に守る必要があります。データが漏えいする原因は，ハードディスク上のデータが盗まれるケースよりも，メディアが盗まれるケースの方が多いと考えられます。

(2)　管理ルールの設定

メディアの管理ルールの例を表3-6に示します。これを参考にしてデータを格納したメディアの管理ルールを設定してください。

表3-6　メディアの管理ルールの例

メディアの管理ルール | 説明
メディア管理の責任者を決める | メディア管理の責任者を決めてください。責任者は管理対象のメディアの一覧を作成し，それを使用してメディアを管理してください。
管理対象とするデータを決める | 組織のセキュリティポリシーに従って管理対象とするデータを決めてください。バックアップデータ，アンロードデータ，アンロードログなどの重要なデータは必ず管理対象にしてください。
セキュアエリア内でメディアを管理する | メディアはセキュアエリア内で管理し，セキュアエリア外に持ち出せないようにしてください。また，キャビネットなどに格納して施錠するなど，厳重に管理してください。
メディアの使用記録を取る | メディアを使用する場合，使用者や，使用時刻などの使用記録を取ってください。
メディアが無くなっていないかを定期的に確認する | メディアが無くなっていないかを定期的に確認してください。
読み込み専用のメディアにデータを格納する | データの上書きを防止するために，読み込み専用のメディアにデータを格納してください。
メディアごとに管理番号入りのシールをはる | メディアの差し替えを防止するために，メディアごとに管理番号入りのシールをはるなどしてください。
メディアの廃棄方法を決める | 廃棄したメディアが不正使用されないように廃棄方法を決めてください。
利用者全員に教育を実施する | メディアの管理が重要なセキュリティ対策になっていることを利用者全員に教育してください。

4.　監査による利用状況の確認

この章では，監査で確認する項目と監査の手順について説明します。

＜この章の構成＞

4.1　監査で確認する項目

4.2　監査の手順

4.1　監査で確認する項目

1章～3章でシステムのセキュリティ対策について説明してきました。それに基づいて実施したセキュリティ対策が意図したとおりに機能しているかを監査で確認する必要があります。ここでは，一般的な監査の例として，各項目について説明します。

＜この節の構成＞

4.1.1　HiRDBの不正利用が行われていないかを確認する

4.1.2　権限の不正利用が行われていないかを確認する

4.1.3　表の不正アクセスが行われていないかを確認する

4.1.4　パスワードの定期変更が行われているかを確認する

4.1.1　HiRDBの不正利用が行われていないかを確認する

HiRDBの不正利用が行われていないかを監査で確認します。ここで説明する考え方に基づいて確認してください。

＜この項の構成＞

(1)　ユーザ認証時に発生したエラーをチェックする

(1)　ユーザ認証時に発生したエラーをチェックする

ユーザ認証時に発生したエラーをチェックして，不正なアクセスが試されていないかを確認します。この場合，次に示すことを監査情報で確認します。

ユーザ認証エラーを起こした認可識別子

ユーザ認証エラーを起こした日時

この監査情報を基に，この操作を行ったのが本人かどうか確認してください。本人が否定した場合，第三者によるHiRDBへの不正なアクセスが試された可能性があります。

ポイント

エラーの回数が多い（特に連続して失敗している場合）認可識別子は不正アクセスが試されている可能性があります。このような認可識別子を重点的にチェックします。

4.1.2　権限の不正利用が行われていないかを確認する

権限の不正利用が行われていないかを監査で確認します。ここで説明する考え方に基づいて確認してください。

＜この項の構成＞

(1)　権限がないため操作エラーになったケースをチェックする

(1)　権限がないため操作エラーになったケースをチェックする

必要な権限がないため，操作エラーになったケースをチェックします。この場合，次に示すことを監査情報で確認します。

操作エラーを起こした認可識別子

操作エラーを起こした日時

変更しようとした情報

この監査情報を基に，この操作を行ったのが本人かどうか確認してください。本人が否定した場合，成り済ましによる不正な操作が試された可能性があります。この場合，該当する認可識別子のパスワードをすぐに変更してください。

ポイント

権限の変更や，パスワードの変更などの重要な操作でエラーが発生した場合，その操作についてはチェックが必要になると考えられます。

操作エラーの回数が多い認可識別子を重点的にチェックします。

4.1.3　表の不正アクセスが行われていないかを確認する

表の不正アクセスが行われていないかを監査で確認します。ここで説明する考え方に基づいて確認してください。

＜この項の構成＞

(1)　表のアクセスエラーをチェックする

(2)　想定外のアクセスをチェックする

(1)　表のアクセスエラーをチェックする

表のアクセス権限がないため，アクセスエラーになったケースがないかをチェックします。この場合，次に示すことを監査情報で確認します。

アクセスエラーを起こした認可識別子

アクセスエラーを起こした日時

アクセスを試みた表と操作種別

この監査情報を基に，この操作を行ったのが本人かどうか確認してください。本人が否定した場合，成り済ましによる不正なアクセスが試された可能性があります。この場合，該当する認可識別子のパスワードをすぐに変更してください。

ポイント

顧客情報などの重要なデータを格納している表のアクセスエラーを重点的にチェックします。

アクセスを試みたデータの機密度が高いほど，またはアクセスを試みた回数が多いほどチェックが必要になると考えられます。

(2)　想定外のアクセスをチェックする

次に示すような想定外のアクセスが行われている場合はチェックが必要になります。

業務時間外（アクセスが行われないはずの時間帯）にアクセスが発生した場合

実際のアクセス頻度が想定していたアクセス頻度を大幅に上回った場合

この場合，アクセス権限の設定が適切でない，または正しい使用者であっても組織の方針が守られていない可能性があります。また，なりすましによる不正なアクセスが行われている可能性もあります。

4.1.4　パスワードの定期変更が行われているかを確認する

HiRDBユーザにはパスワードの定期変更義務があります。この義務が守られているかどうかを監査で確認します。ここで説明する考え方に基づいて確認してください。

＜この項の構成＞

(1)　パスワードの前回変更日時をチェックする

(1)　パスワードの前回変更日時をチェックする

パスワードの前回変更日時を監査情報でチェックします。この場合，次に示すことを監査情報で確認します。

パスワードの変更を行った認可識別子

パスワードの変更を行った日時

例えば，30日以内にパスワードを変更するルールを設定した場合，30日以内にパスワードを変更したHiRDBユーザをこれらの情報で確認します。それ以外のHiRDBユーザはパスワードの定期変更義務を果たしていません。この場合，本人にパスワードをすぐに変更するように連絡してください。

4.2　監査の手順

ここでは，監査の手順と各手順の作業内容について説明します。

＜この節の構成＞

4.2.1　監査の流れ

4.2.2　監査情報の取得

4.2.3　監査の実施

4.2.1　監査の流れ

監査の流れを図4-1に示します。監査人はこの流れに基づいて監査を実施してください。

図4-1　監査の流れ

説明

組織のセキュリティポリシーに基づいて監査計画を立てください。また，「4.1　監査で確認する項目」も参考にしてください。

監査計画に従って必要な監査情報を取得してください。詳細については，「4.2.2　監査情報の取得」を参照してください。

監査計画に従って監査を実施してください。詳細については，「4.2.3　監査の実施」を参照してください。

監査結果からセキュリティ上のリスクを分析し，それをセキュリティ対策に反映してください。また，監査の結果を監査計画に反映してください。

ポイント

監査を効率的に行うためには監査目的を明確にし，そのために必要な監査情報を取得する必要があります。明確な目的がないままむやみに監査情報を取得すると，監査に掛かる時間が増加し，的確な監査ができなくなるおそれがあります。

4.2.2　監査情報の取得

セキュリティ監査機能を使用し，次に示す手順で監査情報を取得します。

手順

セキュリティ監査機能の環境設定（監査証跡表の作成など）をしてください。この作業はHiRDB管理者が行います。

取得する監査情報を定義系SQLのCREATE AUDITで選択してください。この作業は監査人が行います。ここで選択した監査対象イベントが発生すると監査情報が監査証跡ファイルに出力されます。

セキュリティ監査機能を使用して運用を開始してください。この作業はHiRDB管理者が行います。

監査証跡ファイルに出力された監査情報を監査証跡表にデータロードしてください。この作業は監査人が行います。

各作業の詳細，およびセキュリティ監査機能によって取得される監査情報については，マニュアル「HiRDB Version 8 システム運用ガイド」を参照してください。

●現在の取得対象イベントを知る方法

監査情報の取得対象イベントを追加，変更，または削除する場合，現在の取得対象イベントをディクショナリ表（SQL_AUDITS表）で確認してください。CREATE AUDITの設定値とSQL_AUDITS表の関係を次に示します。

  CREATE AUDIT
     AUDITTYPE {PRIVILEGE | EVENT | ANY}   ...1
     FOR 操作種別   ...2
     選択オプション   ...3
     WHENEVER {SUCCESSFUL | UNSUCCESSFUL | ANY}   ...4

説明

AUDIT_TYPE列で設定値を確認できます。

EVENT_TYPE，およびEVENT_SUBTYPE列で設定値を確認できます。

OBJECT_TYPE，OBJECT_SCHEMA，およびOBJECT_NAME列で設定値を確認できます。

ANY_VALID，SUCCESSFUL_VALID，およびUNSUCCESSFUL_ANY_VALID列で設定値を確認できます。

●HiRDBの強制終了または異常終了時の監査情報

HiRDBが強制終了または異常終了したとき，強制終了または異常終了についての監査情報は取得されません。また，強制終了または異常終了の直前の監査ログが取得されないこともあります（詳細については，「7.3.1(2)pd_aud_async_buff_sizeおよびpd_aud_async_buff_count」を参照してください）。

注意

HiRDBが強制終了または異常終了した場合，HiRDB管理者は強制終了または異常終了したことを監査人に連絡してください。HiRDBが強制終了または異常終了したあとの監査は不要となります。

HiRDBの強制終了または異常終了時の監査については，表4-1に示す情報を基に実施してください。

表4-1　HiRDBの強制終了または異常終了時の監査情報

実行したコマンド
監査情報

pdstop -f
このコマンドを実行したときにKFPS01850-Iメッセージが出力されます。このメッセージを監査情報としてください。

pdstop -f -q
このコマンドを実行してもメッセージは出力されません。
HiRDBを終了する操作（異常終了も含む）を行っていないのにHiRDBが停止している場合は，このコマンドが実行された可能性があります。
また，HiRDBが稼働中かどうかはpdls -d svrコマンドで確認できます。

pdstop -f -x ホスト名
このコマンドを実行したときに，コマンド指示で終了したユニットのマシンにKFPS01841-Iメッセージが出力されます。このメッセージを監査情報としてください。

pdstop -f -u ユニット識別子

pdstop -f -s サーバ名
このコマンドを実行したときにKFPS01843-Iメッセージが出力されます。このメッセージを監査情報としてください。

pdstop -f -u ユニット識別子 -s サーバ名
このコマンドを実行したときに，実行系にはKFPS01843-Iメッセージが出力され，待機系にはKFPS05621-Iメッセージが出力されます。

pdstop -z
システムマネジャがあるユニットにはKFPS01850-Iメッセージが出力され，システムマネジャがないユニットにはKFPS01841-Iメッセージが出力されます。なお，pdstop -zコマンドは，コマンドを実行したユニットだけ強制終了します。

pdstop -z -q
このコマンドを実行してもメッセージは出力されません。
HiRDBを終了する操作（異常終了も含む）を行っていないのにHiRDBが停止している場合は，このコマンドが実行された可能性があります。
また，HiRDBが稼働中かどうかはpdls -d svrコマンドで確認できます。

pdstop -z -c
このコマンドを実行したときにKFPS01841-Iメッセージが出力されます。このメッセージを監査情報としてください。

pdstop -z -s サーバ名
このコマンドを実行したときに，実行系にはKFPS01843-Iメッセージが出力され，待機系にはKFPS05621-Iメッセージが出力されます。

4.2.3　監査の実施

監査情報は監査証跡表に格納されているため，SQLで検索できます。HiRDB SQL Executerまたは監査情報を検索するためのUAPを作成し，監査情報を調査してください。

また，監査結果からセキュリティ上のリスクを分析し，それをセキュリティ対策および監査計画に反映してください。

参考

監査証跡表のSELECT権限は監査人だけが持っています。監査を補佐する人（HiRDBユーザ）を追加した場合，監査人はそのHiRDBユーザに対して監査証跡表のSELECT権限を与えてください。監査人は，利用組織内で信頼できる人を，監査を補佐する人として選任する必要があります。

監査を補佐する人は，監査人の指示に従って監査データをチェックしてください。このとき，不穏な事象を発見した場合には，監査人に報告してください。

監査証跡表の改ざんを防止するために，監査証跡表のデータ更新（INSERTおよびUPDATE）はだれにもできないようになっています。データの削除（DELETE）は監査人だけが実行できるようになっています。

5.　HiRDBの環境設定（UNIXの場合）

この章では，UNIX版のHiRDBの環境設定方法について説明します。

＜この章の構成＞

5.1　環境設定手順

5.2　インストールの前作業を行う

5.3　HiRDBをインストールする

5.4　インストールの後作業を行う

5.5　HiRDBの環境設定を行う

5.1　環境設定手順

セキュアなシステムを構築する場合は，「HiRDB Version 8 システム導入・設計ガイド」で説明している環境設定手順ではなく，ここで説明している手順に従ってHiRDBサーバの環境設定を行ってください。HiRDBサーバの環境設定手順を図5-1に示します。

図5-1　HiRDBサーバの環境設定手順（UNIXの場合）

5.2　インストールの前作業を行う

ここでは，HiRDBをインストールする前に行う作業について説明します。

＜この節の構成＞

5.2.1　OSアカウントを登録する

5.2.2　オペレーティングシステムパラメタを変更する

5.2.3　HiRDBグループを設定する

5.2.4　インストールディレクトリを作成する

5.2.5　ディレクトリの空き容量を確認する

5.2.1　OSアカウントを登録する

実行者　スーパユーザ

次に示すHiRDBユーザのOSアカウントを登録してください。これら以外のユーザにOSアカウントを与えないでください。

HiRDB管理者

DBA権限保持者

表の所有者

監査人

ポイント

必要以上の人間にOSを利用する権利を与えると，その分システムが不正利用されるリスクが高くなります。

OSアカウントのパスワードは，ほかの人に知られないように各ユーザが管理してください。各ユーザは，パスワードに推測されにくい文字列を設定し，適切な頻度でパスワードを変更する必要があります。

5.2.2　オペレーティングシステムパラメタを変更する

実行者　スーパユーザ

オペレーティングシステムパラメタ（カーネルパラメタ）を変更してください。変更内容については，マニュアル「HiRDB Version 8 システム導入・設計ガイド」の「OSのオペレーティングシステムパラメタの確認・変更」を参照してください。

5.2.3　HiRDBグループを設定する

実行者　スーパユーザ

HiRDB専用のグループを設定してください。HiRDBグループを設定すると，グループ以外のユーザがHiRDBファイルシステム領域や，HiRDB運用ディレクトリ下のファイルなどにアクセスすることを拒否できます。

グループの設定方法については，OSのマニュアルを参照してください。

5.2.4　インストールディレクトリを作成する

実行者　スーパユーザ

ルートパーティションを圧迫しないように，HiRDBをインストールする前に次に示すインストールディレクトリをあらかじめ作成しておきます。

/opt/HiRDB_S（HiRDB/シングルサーバの場合）

/opt/HiRDB_P（HiRDB/パラレルサーバの場合）

このインストールディレクトリは，ファイルシステムを圧迫しないように専用のディスクパーティションに作成することをお勧めします。HiRDBはここで作成したインストールディレクトリ下にインストールされます。ディスクパーティションについては，OSのマニュアルを参照してください。

なお，HiRDB/パラレルサーバの場合は，HiRDB/パラレルサーバを構成するすべてのマシンにインストールディレクトリを作成してください。

5.2.5　ディレクトリの空き容量を確認する

実行者　スーパユーザ

HiRDBをインストールする前に，次のディレクトリの空き容量を確認してください。

インストールディレクトリ

/tmpディレクトリ

必要な空き容量については，リリースノートを参照してください。

5.3　HiRDBをインストールする

ここでは，HiRDBのインストール方法について説明します。

＜この節の構成＞

5.3.1　HiRDBのインストール

5.3.1　HiRDBのインストール

実行者　スーパユーザ

インストールCD-ROMに格納されている日立PPインストーラを起動して，HiRDBをインストールしてください。HiRDB/パラレルサーバの場合は，HiRDB/パラレルサーバを構成するすべてのマシンにHiRDBをインストールしてください。

注意

インストールを実行する前に次に示すことを確認してください。

デバイスファイル名やCD-ROMのマウントディレクトリは，OS，ハードウェア，またはシステムの環境によって異なるため，OSのマニュアルや，システムの環境などを確認してからインストールを実行してください。

日立PPインストーラ実行時の言語種別と実行するターミナルの言語を一致させてください。

AIX 5L版のHiRDBのインストール手順を次に示します。

手順

CD-ROMをマウントする
次に示すコマンドを実行してください。ただし，自動マウントされている場合は，この操作は不要になります。

mount -r -v cdrfs /dev/cd0 /cdrom

下線部分のデバイスファイル名やCD-ROMのマウントディレクトリ名は，使用している環境によって異なります。使用する環境に合わせてファイル名を変更してください。

インストールを開始する
次に示すコマンドを実行してください。CD-ROMセットアッププログラムが日立PPインストーラを起動します。

/cdrom/aix/setup /cdrom

下線部分はCD-ROMのマウントディレクトリ名を指定します。
CD-ROMのディレクトリ名やファイル名は，使用している環境によって異なります。OSのlsコマンドを実行して，表示されたファイル名に合わせて変更してください。

メインメニューで［I］を指定する
メインメニューで［I］を指定すると，インストール画面が表示されます。

インストールする製品をカーソルで選択する
インストールする製品をカーソルで選択し，スペースキーを押します。このとき，複数の製品を選択できます。選択した製品の左側には，<@>が表示されます。

［I］を指定する
［I］を指定すると，最下行にインストールを確認する次のメッセージが表示されます。

Install PP? (y: install,  n: cancel)==>

［y］または［Y］を指定する
［y］または［Y］を指定するとインストールが開始されます。
［n］または［N］を指定するとインストールが中止されます。［Q］を指定すると，メインメニューに戻ります。

インストール処理が終了したら，［Q］を指定する
最下行にインストール終了を示す次のメッセージが表示されたら，［Q］を指定します。

Installation completed.

メインメニューで［L］を選択する
該当するマシンにインストールされているPPの一覧が表示されます。この画面で，インストールしたHiRDBが意図したバージョンであるかを確認してください。意図したバージョンでない場合は，HiRDBをアンインストールして，再度正しいバージョンのHiRDBをインストールしてください。

メインメニューで［Q］を指定する
メインメニューで［Q］を指定し，インストールを終了してください。

5.4　インストールの後作業を行う

ここでは，HiRDBをインストールしたあとに行う作業について説明します。

＜この節の構成＞

5.4.1　HiRDB運用ディレクトリを作成する

5.4.2　HiRDBをOSに登録する

5.4.3　環境変数を設定する

5.4.4　リモートシェル実行環境を設定する

5.4.1　HiRDB運用ディレクトリを作成する

実行者　HiRDB管理者

HiRDBをOSに登録する前にHiRDB運用ディレクトリを作成してください。作成方法については，マニュアル「HiRDB Version 8 システム導入・設計ガイド」の「HiRDB運用ディレクトリの作成」を参照してください。

5.4.2　HiRDBをOSに登録する

実行者　スーパユーザ

pdsetupコマンドを実行してHiRDBをOSに登録してください。HiRDBをOSに登録する方法については，マニュアル「HiRDB Version 8 システム導入・設計ガイド」の「HiRDBおよび付加PPのOSへの登録」を参照してください。

5.4.3　環境変数を設定する

実行者　HiRDB管理者

HiRDB管理者の環境に環境変数を設定してください。設定方法については，マニュアル「HiRDB Version 8 システム導入・設計ガイド」の「環境変数の設定」を参照してください。

注意

環境変数を格納するファイルのアクセス権はほかのユーザに与えないでください。

5.4.4　リモートシェル実行環境を設定する

次に示すシステムを構築する場合にリモートシェル実行環境を設定してください。

HiRDB/パラレルサーバの場合
HiRDB/パラレルサーバを構成するマシン間のリモートログインを許可してください。それ以外のマシンからのリモートログインは禁止してください。

IPアドレスを引き継がない高速系切り替え機能を使用する場合
現用系のマシンと予備系のマシン間のリモートログインを許可してください。それ以外のマシンからのリモートログインは禁止してください。

リモートシェル実行環境の設定方法については，マニュアル「HiRDB Version 8 システム導入・設計ガイド」の「リモートシェル実行環境の設定」を参照してください。

前記以外のシステムの場合は，リモートシェル実行環境を設定しないでください。リモートシェル実行環境を設定すると，第三者によってシステムが不正利用されるおそれがあるため，セキュリティ上のリスクが高くなります。

5.5　HiRDBの環境設定を行う

実行者　HiRDB管理者

HiRDB管理者は次に示すどれかの方法でHiRDBの環境設定を行ってください。

簡易セットアップツールを使用する方法

システムジェネレータを使用する方法

コマンドを使用する方法

各環境設定方法のメリット，デメリットについては，マニュアル「HiRDB Version 8 システム導入・設計ガイド」の「HiRDBの環境設定の概要」を参照してください。

参考

ISO/IEC 15408の評価は，システムジェネレータを使用する方法で行われました。

＜この節の構成＞

(1)　簡易セットアップツールを使用する場合

(2)　システムジェネレータを使用する場合

(3)　コマンドを使用する場合

(1)　簡易セットアップツールを使用する場合

簡易セットアップツールを使用した環境設定については，マニュアル「HiRDB Version 8 システム導入・設計ガイド」の「簡易セットアップツールによる環境設定」を参照してください。

注意

HiRDBサーバ用のマシンとは別に，簡易セットアップツール実行用のマシンを準備する必要があります。簡易セットアップツール実行用のマシンはセキュアエリア内に設置して管理するようにしてください。このマシンをセキュアエリア外に設置すると，管理者以外の人間にHiRDBが不正利用されるリスクが高くなります。

簡易セットアップツールを実行すると，HiRDB管理者用の認可識別子とパスワードが次のように設定されます。
・認可識別子：OSアカウントのユーザ名
・パスワード：OSアカウントのパスワード
パスワードがOSアカウントのパスワードと同じになるため，定義系SQLのGRANTでパスワードを変更してください。
なお，ここで設定されたHiRDB管理者用の認可識別子は変更できません。

(2)　システムジェネレータを使用する場合

システムジェネレータを使用した環境設定については，マニュアル「HiRDB Version 8 システム導入・設計ガイド」の「システムジェネレータによる環境設定」を参照してください。

注意

システムジェネレータを実行すると，HiRDB管理者用の認可識別子とパスワードが次のように設定されます。
認可識別子：OSアカウントのユーザ名（root権限がある場合はroot）
パスワード：OSアカウントのユーザ名（root権限がある場合はroot）
パスワードが認可識別子と同じになるため，定義系SQLのGRANTでパスワードを変更してください。なお，ここで設定されたHiRDB管理者用の認可識別子は変更できません。

HiRDB/パラレルサーバでシステムジェネレータを実行する場合，HiRDB/パラレルサーバを構成するマシンのネットワークの設定が終わったあとに実行してください。また，システムジェネレータはシステムマネジャを定義するマシンで実行してください。

HiRDB/パラレルサーバの場合，LAN1に接続したホストをシステムジェネレータで指定する必要があります。そのため，HiRDBクライアントを接続するネットワーク（LAN2）は，HiRDBサーバでの2枚目のLANカードを使用するように，あらかじめネットワークの設計を行ってください。また，二つのネットワークを有効に利用するためには，マルチコネクションアドレス機能を使用する必要があります。マルチコネクションアドレス機能については，マニュアル「HiRDB Version 8 システム導入・設計ガイド」を参照してください。マルチコネクションアドレス機能を使用する場合，システム定義のpdstartオペランドで-mオプションを指定しますが，このオプションにLAN2に接続するHiRDBサーバのホストを指定します。

(3)　コマンドを使用する場合

コマンドを使用した環境設定については，マニュアル「HiRDB Version 8 システム導入・設計ガイド」の「コマンドによる環境設定」を参照してください。

注意

データベース初期設定ユティリティを実行するときに，-uオプションでHiRDB管理者用の認可識別子を，-pオプションでパスワードを設定してください。このオプションを指定しないと，HiRDB管理者用の認可識別子とパスワードが次のように設定されます。

認可識別子：OSアカウントのユーザ名（root権限がある場合はroot）

パスワード：OSアカウントのユーザ名（root権限がある場合はroot）

この場合，パスワードが認可識別子と同じになるため，定義系SQLのGRANTでパスワードを変更してください。

なお，ここで設定されたHiRDB管理者用の認可識別子は変更できません。

6.　HiRDBの環境設定（Windowsの場合）

この章では，Windows版のHiRDBの環境設定方法について説明します。

＜この章の構成＞

6.1　環境設定手順

6.2　インストールの前作業を行う

6.3　HiRDBをインストールする

6.4　簡易セットアップツールを実行する

6.1　環境設定手順

参考

Windows版のHiRDBはISO/IEC 15408の評価構成ではありません。

セキュアなシステムを構築する場合は，マニュアル「HiRDB Version 8 システム導入・設計ガイド」で説明している環境設定手順ではなく，ここで説明している手順に従ってHiRDBサーバの環境設定を行ってください。HiRDBサーバの環境設定手順を図6-1に示します。

図6-1　HiRDBサーバの環境設定手順（Windowsの場合）

6.2　インストールの前作業を行う

HiRDBをインストールする前に次の作業を行います。

サーバマシン環境の確認

HiRDB管理者の登録

OS環境ファイルの設定

各作業の詳細については，マニュアル「HiRDB Version 8 システム導入・設計ガイド」の「インストール前に必要な作業」を参照してください。

6.3　HiRDBをインストールする

HiRDBのインストール方法については，マニュアル「HiRDB Version 8 システム導入・設計ガイド」の「HiRDBのインストール手順」および「インストール後の作業」を参照してください。

6.4　簡易セットアップツールを実行する

実行者　HiRDB管理者

簡易セットアップツールを使用してHiRDBの環境設定を行います。簡易セットアップツールを使用した環境設定については，マニュアル「HiRDB Version 8 システム導入・設計ガイド」の「簡易セットアップツールによる環境設定」を参照してください。

注意

ほかのマシン（HiRDBサーバ用のマシン以外）で簡易セットアップツールを実行する場合，そのマシンはセキュアエリア内に設置して管理するようにしてください。簡易セットアップツールを実行するマシンをセキュアエリア外に設置すると，管理者以外の人間にHiRDBが不正利用されるリスクが高くなります。

簡易セットアップツールを実行すると，HiRDB管理者用の認可識別子とパスワードが次のように設定されます。
・認可識別子：root
・パスワード：root
パスワードが認可識別子と同じになるため，定義系SQLのGRANTでパスワードを変更してください。
なお，ここで設定されたHiRDB管理者用の認可識別子は変更できません。

7.　セキュアな環境を維持するための運用

この章では，セキュアな環境を維持するために必要な操作について説明します。

＜この章の構成＞

7.1　HiRDBシステム定義の指定値を確認する

7.2　ディクショナリ表の参照権限を設定する

7.3　監査情報の取得準備をする

7.4　パスワードのセキュリティ対策を行う

7.5　ユーザを登録して権限を与える

7.6　ユーザ用RDエリアを作成する

7.7　表を作成してアクセス権限を与える

7.8　運用コマンド実行時の注意事項

7.9　SQL実行時の注意事項

7.1　HiRDBシステム定義の指定値を確認する

実行者　HiRDB管理者

HiRDBのセキュリティを強化するために，表7-1に示すHiRDBシステム定義のオペランドを指定してください。

表7-1　セキュリティを強化するために指定するオペランド

オペランド | 指定する理由 | 参照個所
pd_connect_errmsg_hide = Y | ユーザ認証エラーが発生したときのメッセージに，認可識別子に関する情報を出力しないようにするため。 | (1)
pd_security_host_group | セキュリティ上のリスクを軽減するため。 | (2)

注意

システム構成変更コマンド（pdchgconfコマンド）を使用しない場合，HiRDBシステム定義を変更するにはpdstopコマンドでHiRDBを一度終了する必要があります。pdstopコマンドの実行時，pdstopコマンドの処理が完了するまでコマンドを入力したウィンドウを閉じないでください。ウィンドウを閉じると，pdstopコマンドが強制終了するため，共用資源の整合性が保てなくなり，HiRDBが異常終了します。
pdstop以外のコマンドおよびユティリティについても同様に，実行中にウィンドウを閉じないでください。

pd_node_nameオペランドを指定していないこともあわせて確認してください（分散データベース機能を無効にすることで，セキュリティを強化するため）。

pd_sql_command_exec_usersオペランドは指定しないでください。

＜この節の構成＞

(1)　pd_connect_errmsg_hide = Y

(2)　pd_security_host_group

(1)　pd_connect_errmsg_hide = Y

ユーザ認証エラーが発生したときの出力メッセージに，認可識別子に関する情報を出力しないようにするため，このオペランドにはYを指定してください。

このオペランドにN（省略値）を指定した場合
ユーザ認証エラーの発生時，KFPA11560-EまたはKFPA11561-Eメッセージが出力されます。このメッセージには，認可識別子の情報が出力されるため，指定した認可識別子が実際に存在するかどうかがわかってしまいます。例えば，悪意を持った利用者が，適当な認可識別子を指定してユーザ認証を行った場合，その認可識別子が実際に存在するかどうかがメッセージの情報からわかってしまいます。

このオペランドにYを指定した場合
ユーザ認証エラーの発生時，KFPA19632-Eメッセージが出力されます。このメッセージには，認可識別子の情報が出力されないため，指定した認可識別子が実際に存在するかどうかがわかりません。

参考

このオペランドの変更前後で次に示すテストを行い，出力されるメッセージ情報の違いを確認してください。

クライアント環境定義のPDUSERオペランドに，不正なパスワードを指定してUAPを実行してください。

(2)　pd_security_host_group

セキュリティレベルの高いシステムを構成する場合，HiRDBサーバ構成で使用するホストを明確に定義し，セキュリティに影響するHiRDBの操作（ユティリティや関連プログラムプロダクトが定義したホスト以外からの操作）を制限するものです。

(a)　オペランドの形式

set pd_security_host_group = ホスト名〔，ホスト名…〕

(b)　オペランドの説明

このオペランドには，HiRDBサーバを構成するネットワークで使用している全ホスト名を指定してください。このオペランドを指定することで，セキュリティ上のリスクを軽減できます。ホスト名は，IPアドレスまたはFQDNでも指定できます。

このオペランドは，システム共通定義で指定します。また，オペランドの指定値は，強制終了，異常終了，および計画停止後でも変更できます。

ホスト名についての注意事項：

ホスト名は256文字以内で指定してください。

DNSサーバを使用する場合は，ここで指定するホスト名をDNSサーバに登録してください。また，DNSサーバを使用しない場合は，ここで指定するホスト名をhostsファイルに登録してください。

名称解決できない場合，KFPS04693-Eメッセージが出力され，HiRDBの開始処理が終了します。

ホスト名，IPアドレス，またはFQDNの文字列を重複して指定した場合，KFPS04693-Eメッセージが出力され，HiRDBの開始処理が終了します。また，IPアドレスが同じでホスト名が異なる場合，エラーにはなりません。

(c)　指定例

pd_security_host_groupオペランドの指定例を図7-1および図7-2に示します。

図7-1　pd_security_host_groupオペランドの指定例（HiRDB/シングルサーバの場合）

図7-2　pd_security_host_groupオペランドの指定例（HiRDB/パラレルサーバの場合）

(d)　メッセージ

KFPA19518-E

Unable to access from host aa....aa　　（Ａ）

ホストaa....aaからアクセスできません。

aa....aa：アクセスしたホストのIPアドレス

(Ｓ) このSQLを無視します。

[対策] 関連プログラムプロダクトまたはユティリティを実行するホストが，システム共通定義のpd_security_host_groupオペランドに追加する必要があるかどうかを判断してください。必要に応じてpd_security_host_groupオペランドにホスト名を追加し，HiRDBを再開始してください。

KFPS04693-E

Host name specified in pd_security_host_group definition invalid, reason code=aa....aa, hostname=bb....bb　　（Ｅ＋Ｌ）

システム共通定義のpd_security_host_groupオペランドに指定したホスト名に誤りがあります。

aa....aa：理由コード

INVALID
ホスト名が誤っているか，または名前解決できないホスト名を指定しています。

DUPLICATE
ホスト名が重複しています。

LENGTH OVER
ホスト名の長さが制限（256文字）を超えています。

bb....bb：誤りがあったホスト名

先頭から最大100文字を表示します。100文字を超える分は表示されません。

ホスト名，IPアドレス，またはFQDNが表示されます。

(Ｓ) システム共通定義のpd_security_host_groupオペランドの解析処理がすべて終了したあと，HiRDBの開始処理を終了します。

[対策] 理由コードに従って対策し，再度HiRDBを開始してください。

INVALID

ホスト名が誤っている場合

正しいホスト名を指定してください。

その他

ホスト名の名前解決ができていません。DNSサーバを使用しない場合は，hostsファイルにホスト名を登録してください。DNSサーバを使用する場合は，DNSサーバにホスト名を登録してください。

DUPLICATE
重複しないようにしてください。

LENGTH OVER
256文字以内のホスト名を指定してください。

(e)　ユニットコントローラが使用する共用メモリの計算式

pd_security_host_groupオペランドを指定する場合，ユニットコントローラが使用する共用メモリの計算式に次の値を加算してください。

272×a

a：pd_security_host_groupオペランドに指定したホストに対応するIPアドレスの数（pd_security_host_groupオペランドを指定していない場合は0）

7.2　ディクショナリ表の参照権限を設定する

実行者　HiRDB管理者

データベース構成変更ユティリティのalter system文で，ディクショナリ表の参照権限を設定してください。

ディクショナリ表の参照権限を設定したあとに，データベース利用者のアカウントでディクショナリ表を検索し，実際にディクショナリ表が参照できないことを確認してください。

参考

データベース初期設定ユティリティのdefine system文でもディクショナリ表の参照権限を設定できます。したがって，コマンドを使用してHiRDBの環境設定を行う場合は，データベース初期設定ユティリティ実行時（「5.5(3)コマンドを使用する場合」の作業時）に設定できます。

7.3　監査情報の取得準備をする

実行者　HiRDB管理者および監査人

セキュリティ監査機能の環境設定を行ってください。セキュリティ監査機能の環境設定については，マニュアル「HiRDB Version 8 システム運用ガイド」を参照してください。

セキュリティ監査機能の環境設定での注意事項を次に示します。

＜この節の構成＞

7.3.1　システム定義の指定値

7.3.2　監査人のパスワード変更

7.3.3　SQLの指定値

7.3.1　システム定義の指定値

＜この項の構成＞

(1)　pd_audit

(2)　pd_aud_async_buff_sizeおよびpd_aud_async_buff_count

(3)　pd_aud_no_standby_file_opr

(1)　pd_audit

HiRDBの開始と同時に監査証跡を取得するため，pd_auditオペランドにはYを指定してください。

(2)　pd_aud_async_buff_sizeおよびpd_aud_async_buff_count

HiRDBが強制終了または異常終了した場合，直前の監査ログが失われることがあります。そのため，HiRDBの強制終了はできる限り実行しないようにしてください。

pd_aud_async_buff_sizeオペランドおよびpd_aud_async_buff_countオペランドに小さな値を指定すると，監査証跡の損失を防げる可能性が高くなりますが，それに比例して性能も劣化します。これらのオペランドの指定値については，性能との兼ね合いを考慮して決定してください。

万が一，HiRDBが強制終了または異常終了した場合，最大，pd_aud_async_buff_sizeオペランドの指定値×pd_aud_async_buff_countオペランドの指定値分の監査ログが失われるおそれがあります。

(3)　pd_aud_no_standby_file_opr

pd_aud_no_standby_file_oprオペランドにはforcewrite（デフォルト値）を指定してください。ただし，forcewriteを指定した場合，既存の監査証跡ファイルがスワップ先となるため，既存のファイルが上書きされることがあります。既存のファイルがスワップ先となった場合は，KFPS05706-Wメッセージが出力されます。KFPS05706-Wメッセージが出力された場合，HiRDB管理者は，データロード待ちの監査証跡ファイルをデータロードするように監査人に依頼してください。

7.3.2　監査人のパスワード変更

監査人の登録が終了したあと，監査人は定義系SQLのGRANT AUDITでパスワードを変更してください。

7.3.3　SQLの指定値

CREATE AUDITで監査対象イベントを定義する場合，AUDITTYPEオペランドにはEVENTまたはANYを指定してください。

7.4　パスワードのセキュリティ対策を行う

ここでは，HiRDBのCONNECT関連セキュリティ機能を使用したパスワードのセキュリティ対策について説明します。

＜この節の構成＞

7.4.1　パスワードの禁止条件を設定する

7.4.2　連続認証失敗許容回数とアカウントロック期間を設定する

7.4.1　パスワードの禁止条件を設定する

実行者　DBA権限保持者

定義系SQLのCREATE CONNECTION SECURITYで，パスワードの禁止条件を設定してください。パスワードの禁止条件を設定する方法については，マニュアル「HiRDB Version 8 システム運用ガイド」の「パスワードの文字列制限」を参照してください。

パスワードの禁止条件を設定したあとに，パスワードの変更テストを行ってください。条件に違反したパスワードを指定してGRANTを実行し，その操作がエラーになるか確認してください。

7.4.2　連続認証失敗許容回数とアカウントロック期間を設定する

実行者　DBA権限保持者

定義系SQLのCREATE CONNECTION SECURITYで，連続認証失敗許容回数とアカウントロック期間を設定してください。連続認証失敗許容回数とアカウントロック期間を設定する方法については，マニュアル「HiRDB Version 8 システム運用ガイド」を参照してください。

連続認証失敗許容回数とアカウントロック期間を設定したあとに，ユーザ認証テストを行ってください。クライアント環境定義のPDUSERオペランドに，不正なパスワードを指定してUAPを実行してみてください。ユーザ認証不正を何度か繰り返して，アカウントロック状態になるか確認してください。

なお，アカウントロック状態を解除するには，アカウントロック期間を過ぎるか，またはpdacunlckコマンドで解除するかの二つの方法があります。pdacunlckコマンドはHiRDB管理者だけが実行できるため，HiRDB管理者の認可識別子で前記のテストを行わないでください。HiRDB管理者の認可識別子がアカウントロック状態になると，pdacunlckコマンドが実行できなくなるため，アカウントロック期間が過ぎるまでアカウントロック状態を解除できなくなります。

ポイント

pdacunlckコマンドを実行してアカウントロック状態を解除する場合は，そのアカウントを持つ本人からの要求であることを必ず確認してください。パスワードの入力ミスが本人によるものでない場合，第三者によるHiRDBへの不正なアクセスが試された可能性があります。

7.5　ユーザを登録して権限を与える

ここでは，HiRDBユーザを登録して権限を与える方法について説明します。

＜この節の構成＞

7.5.1　DBA権限を与える

7.5.2　スキーマ定義権限を与える

7.5.3　CONNECT権限を与える

7.5.1　DBA権限を与える

実行者　DBA権限保持者

権限を管理するHiRDBユーザにDBA権限を与えてください。定義系SQLのGRANTで，必要なHiRDBユーザに対してだけDBA権限を与えてください。

なお，DBA権限を最初に持っているのはHiRDB管理者です。したがって，まずHiRDB管理者がほかのHiRDBユーザにDBA権限を与えてください。

（例）

認可識別子がDBA001のHiRDBユーザを登録し，そのHiRDBユーザにDBA権限を与えます。初期パスワードにはTC201asDを設定します。

GRANT DBA TO DBA001 IDENTIFIED BY "TC201asD"

注意

登録されたHiRDBユーザは，定義系SQLのGRANTで初期パスワードを変更してください。

7.5.2　スキーマ定義権限を与える

実行者　DBA権限保持者

表を定義し，所有・管理するHiRDBユーザにスキーマ定義権限を与えてください。定義系SQLのGRANTで，必要なHiRDBユーザに対してだけスキーマ定義権限を与えてください。

なお，表を定義し，所有・管理するHiRDBユーザには，CONNECT権限とスキーマ定義権限が必要になります。権限はCONNECT権限，スキーマ定義権限の順に与えてください。逆にした場合，SQLの実行時にエラーとなります。

（例）

認可識別子がSCH001のHiRDBユーザを登録し，そのHiRDBユーザにCONNECT権限とスキーマ定義権限を与えます。初期パスワードにはTC356knHを設定します。

GRANT CONNECT TO SCH001 IDENTIFIED BY "TC356knH"
GRANT SCHEMA TO SCH001

注意

登録されたHiRDBユーザは，定義系SQLのGRANTで初期パスワードを変更してください。

7.5.3　CONNECT権限を与える

実行者　DBA権限保持者

表をアクセスするHiRDBユーザにCONNECT権限を与えてください。定義系SQLのGRANTで，必要なHiRDBユーザに対してだけCONNECT権限を与えてください。

（例）

認可識別子がUSR001のHiRDBユーザを登録し，そのHiRDBユーザにスキーマ定義権限を与えます。初期パスワードにはTC277reZを設定します。

GRANT CONNECT TO USR001 IDENTIFIED BY "TC277reZ"

注意

登録されたHiRDBユーザは，定義系SQLのGRANTで初期パスワードを変更してください。

7.6　ユーザ用RDエリアを作成する

実行者　HiRDB管理者

データベース構成変更ユティリティのcreate rdarea文で，表を格納するユーザ用RDエリアを作成してください。RDエリアの作成方法については，マニュアル「HiRDB Version 8 システム運用ガイド」の「RDエリアを作成する方法（RDエリアの追加）」を参照してください。

なお，ユーザ用RDエリアを作成する前に，pdfmkfsコマンドでRDエリア用のHiRDBファイルシステム領域を作成する必要があります。RDエリア用のHiRDBファイルシステム領域の作成方法については，マニュアル「HiRDB Version 8 システム運用ガイド」の「HiRDBファイルシステム領域を作成（初期設定）する方法」を参照してください。

参考

データベース初期設定ユティリティのcreate rdarea文でもユーザ用RDエリアを作成できます。したがって，コマンドを使用してHiRDBの環境設定を行う場合は，データベース初期設定ユティリティ実行時（「5.5(3)コマンドを使用する場合」の作業時）にユーザ用RDエリアを作成できます。

7.7　表を作成してアクセス権限を与える

実行者　スキーマ定義権限保持者（表の所有者）

次に示す手順で表を作成し，その表をアクセスするHiRDBユーザにアクセス権限を与えてください。

手順

定義系SQLのCREATE SCHEMAでスキーマを定義してください。

定義系SQLのCREATE TABLEで表を定義してください。

データベース作成ユティリティで表にデータロードを行ってください。

表をアクセスするHiRDBユーザに，定義系SQLのGRANTでアクセス権限を与えてください。

表の作成方法の詳細については，マニュアル「HiRDB Version 8 システム導入・設計ガイド」の「データベースの作成」を参照してください。

7.8　運用コマンド実行時の注意事項

ここでは，HiRDBの運用コマンドを実行する時の注意事項について説明します。次に示す注意事項に従わないで運用コマンドを実行した場合，HiRDBのセキュアな環境が維持できなくなるおそれがあります。

＜この節の構成＞

(1)　pdaudend

(2)　pdaudswap

(3)　pdfbkup

(4)　pdfmkfs

(5)　pdfrm

(6)　pdfrstr

(7)　pdinit

(8)　pdrorg

(9)　pdstop

(1)　pdaudend

pdaudendコマンドを実行する場合は，その正当性を確認してください。原則として，コマンドでの監査証跡の取得開始および停止は，緊急時以外は実行しないでください。

(2)　pdaudswap

pdaudswapコマンドを実行する場合は，データロード済みの監査証跡ファイルがあること，または監査証跡ファイル数が上限（pd_aud_max_generation_numの値）に達していないことを確認してください。

スワップ先にできるファイルがなく，データロード待ちの監査証跡ファイルにスワップした場合，そのファイルに格納されていた監査証跡は上書きされ，内容が失われます。

(3)　pdfbkup

pdfbkupコマンドを実行する場合は，すでに使用されているHiRDBファイルシステム領域を退避先に指定しないよう注意してください。

(4)　pdfmkfs

pdfmkfsコマンドを実行する場合は，すでに使用されているHiRDBファイルシステム領域を誤って初期設定しないよう注意してください。

(5)　pdfrm

pdfrmコマンドを実行する場合は，すでに使用されているHiRDBファイルを誤って削除しないよう注意してください。

(6)　pdfrstr

pdfrstrコマンドを実行する場合は，バックアップファイルに退避したHiRDBファイルの用途と，リストア後のHiRDBファイルの用途が一致していることを確認してください。また，古いバックアップファイルでリストアしないよう注意してください。

(7)　pdinit

pdinitコマンドを実行すると，ディクショナリ表で管理される定義系SQLの実行結果はすべて消去されます。データベースを再構築する以外の目的で，pdinitコマンドを実行しないでください。

(8)　pdrorg

ディクショナリ表の再編成がリロードの段階でエラーになった場合を除き，ディクショナリ表のリロードはしないでください。また，ディクショナリ表のリロードをする場合は，再編成でのエラーの原因を取り除いた上で，その時に生成されたアンロードデータファイルを使用してください。

(9)　pdstop

pdstopコマンドを実行してHiRDBを強制終了させると，監査証跡ファイルに出力されていないバッファ上の監査証跡の内容は失われます。HiRDBを強制終了させる必要がある場合は，直前にpdaudswapコマンドを実行し，バッファ上の監査証跡の内容を監査証跡ファイルに出力してください。

7.9　SQL実行時の注意事項

＜この節の構成＞

7.9.1　CONNECT権限を取り消す場合

7.9.2　スキーマを削除する場合

7.9.1　CONNECT権限を取り消す場合

定義系SQLのREVOKEでCONNECT権限を取り消す場合，取り消すユーザが接続していない状態で行ってください。接続中のユーザのCONNECT権限は取り消せないことがあります。接続中のユーザのCONNECT権限を取り消した場合は，取り消したユーザの接続が切れたあとにディクショナリ表（SQL_USERS）を参照して，CONNECT権限が取り消されていることを確認してください。

CONNECT権限の取り消し手順の例を次に示します。

手順

REVOKEを実行するDBA権限保持者がHiRDBに接続します。

pdchprcコマンドで最大起動プロセス数を1にします。ただし，HiRDB/パラレルサーバの場合は，上記のDBA権限保持者が接続しているフロントエンドサーバの最大起動プロセス数を1にして，ほかのフロントエンドサーバの最大起動プロセス数を0にしてください。

接続中のユーザが上記のDBA権限保持者だけになるまで待ちます。なお，接続中のユーザは，pdls -d actコマンドで確認できます。また，問題がなければ，接続中のUAPやユティリティをpdcancelコマンドで強制終了させてもかまいません。

HiRDB/パラレルサーバの場合，接続しないフロントエンドサーバを停止します（REVOKEを実行するフロントエンドサーバだけ稼働している状態にしてください）。

REVOKEを実行して，不要なCONNECT権限を取り消します。

ディクショナリ表（SQL_USERS）を参照して，CONNECT権限が取り消されていることを確認します。

pdchprcコマンドで変更した最大起動プロセス数を元に戻します。なお，HiRDB/パラレルサーバの場合は，停止したフロントエンドサーバを開始してから戻してください。

7.9.2　スキーマを削除する場合

定義系SQLのDROP SCHEMAでスキーマを削除しても，与えたアクセス権限はそのまま残ります。同じスキーマおよび表を再定義すると，改めてアクセス権限を与えなくても再利用できてしまいます。これを避けるためには，明示的にREVOKEでアクセス権限を取り消す必要があります。スキーマ削除とアクセス権限取り消しの順序は問いません。

なお，スキーマは表の所有者およびDBA権限保持者が削除できますが，アクセス権限を削除できるのは表の所有者だけです。

8.　HiRDBクライアントの管理

この章では，HiRDBクライアントの管理方法について説明します。

＜この章の構成＞

8.1　HiRDBクライアントの環境設定

8.2　出力情報の管理

8.1　HiRDBクライアントの環境設定

＜この節の構成＞

8.1.1　HiRDBクライアントの設置

8.1.2　HiRDBクライアントのインストール

8.1.1　HiRDBクライアントの設置

HiRDBサーバの設置場所のセキュリティが強化されていても，HiRDBサーバのデータベースを利用するHiRDBクライアントの設置場所の管理が不適切であると，第三者による成り済ましなどによって，データが持ち出されたり，改ざんされたりするおそれがあります。このため，セキュアなシステムを構築する場合には，HiRDBクライアントの設置場所にも注意する必要があります。

UAP管理者は，HiRDBクライアントが次に示す環境で使用されているかどうか，および次に示す環境でUAPが開発されているかを管理してください。

HiRDBクライアントは，ネットワークの管理者が管理しているローカルエリアネットワーク環境下に設置します。

HiRDBクライアント用のマシンにはスクリーンセーバーにパスワード保護を掛けて，第三者に使用されないようにします。

HiRDBクライアントでは，許可されていないハードウェア，およびソフトウェアを使用することを禁止します。具体的には，次の対策を徹底してください。

ハードウェア：

・HiRDBクライアントでの媒体（FD，CD，USBメモリなど）の使用禁止

・HiRDBクライアントへの，HiRDBサーバに接続するネットワーク以外のネットワークでの接続禁止（接続することを禁止してください）

・HiRDBクライアントへの，HiRDBサーバに接続するネットワーク以外のネットワークでの接続防止（不正に接続されることを防止してください）

ソフトウェア：

・ネットワーク盗聴ソフトのインストール防止

・バイナリエディタ，デバッガなどの，UAPを改ざんする可能性があるツールのインストール禁止

HiRDBクライアントでは，UAPとHiRDB SQL Executerだけ，HiRDBサーバに電文を送信できるようにします。UAPとHiRDB SQL Executer以外の，ネットワークを介して電文を送信できるソフトウェアは，HiRDBクライアントでは使用できないように管理してください。

HiRDBクライアントでは，設定済みのクライアント環境定義の内容をむやみに変更することを禁止します。なお，クライアント環境定義のPDUSERについては，HiRDBクライアントからUAPを実行するたびに認可識別子とパスワードを設定してください。さらに，UAPの実行が完了したら，PDUSERの認可識別子とパスワードを削除してください。

HiRDBクライアントからHiRDBサーバに対して不正な電文が送信されないようにするため，プリプロセサで生成されたUAPのポストソースの，SQLを処理する部分の変更を禁止します。

HiRDB/Developer's KitまたはHiRDB/Run Timeに含まれるランタイムを経由しない電文をHiRDBサーバに送信するUAPや，マニュアルに記載されていない機能を使用したUAPの開発と使用を禁止します。また，XAインタフェースを使用してHiRDBサーバと連携する機能は使用しないでください。

クライアント環境定義PDNAMEPORTには，システム定義のpd_name_portオペランドの値を設定し，変更しないように維持してください。また，クライアント環境定義HiRDB_PDNAMEPORTについても，同様にpd_name_portオペランドの値を設定し，変更しないように維持してください。

マルチフロントエンドサーバ構成で高速接続機能を使用する場合，クライアント環境定義PDSERVICEPORTには，システム定義のpd_service_portオペランドの値を設定し，変更しないように維持してください。なお，高速接続機能を使用しない場合は，クライアント環境定義PDSERVICEPORTには値を設定しないでください。

HiRDBクライアントのOSアカウントは，データベース利用者以外には与えないでください。

8.1.2　HiRDBクライアントのインストール

HiRDBクライアントのインストールおよび環境設定については，マニュアル「HiRDB Version 8 UAP開発ガイド」の「クライアントの環境設定」を参照してください。なお，HiRDBクライアントをインストールする場合，セットアップ方法として「標準」，「コンパクト」，または「カスタム」を選択できます。

注意

HiRDBクライアント用のマシンは，HiRDBのデータベースに対して問題のあるソフトウェアが実行されないように管理する必要があります。インストールするソフトウェアの数が多くなるほど，システムの管理やセキュリティ対策が複雑になるため，セキュリティ上のリスクが高くなります。

参考

ISO/IEC 15408の評価は，セットアップ方法「コンパクト」でインストールしたHiRDBクライアントで行われました。

HiRDBクライアントは，セキュアエリア外に設置できますが，適切に管理されている必要があります。HiRDBクライアントの管理については，「8.1.1　HiRDBクライアントの設置」を参照してください。

8.2　出力情報の管理

HiRDBクライアントから実行するUAPで障害が発生した場合，トラブルシュート情報が出力されます。ここでは，出力される情報の管理について説明します。

UAP実行時に障害が発生した場合，トラブルシュート機能を利用して障害要因を調査します。このトラブルシュート機能で出力されるファイルの内容には，認可識別子，HiRDBサーバの情報，HiRDBが内部的に管理している情報などが含まれている場合があります。これらの出力情報が第三者によって参照されると，セキュリティ上の弱点になる可能性があります。そのため，トラブルシュート機能で出力されるファイルが，不正に使用されないように管理する必要があります。

UAP実行者（データベース利用者）は，トラブルシュート機能で出力されるトレースファイル，ログファイルなどの格納先ディレクトリに対して参照権限を設定するなど，ファイルの内容が第三者に漏れないように管理してください。

トラブルシュート機能で出力されるファイルと，格納先ディレクトリの設定方法を表8-1に示します。なお，トラブルシュート機能の詳細については，マニュアル「HiRDB Version 8 UAP開発ガイド」を参照してください。

表8-1　トラブルシュート機能で出力されるファイルと，格納先ディレクトリの設定方法

トラブルシュート機能の種類 | 出力されるファイル | 格納先ディレクトリの設定方法
SQLトレース機能 | SQLトレースファイル | クライアント環境定義のPDCLTPATH
エラーログ機能 | エラーログファイル | クライアント環境定義のPDCLTPATH
拡張SQLエラー情報出力機能 | エラーログファイル | クライアント環境定義のPDCLTPATH
SQLエラーレポートファイル※ | pd_uap_exerror_log_dirオペランド
UAP統計レポート機能 | UAP統計レポートファイル | クライアント環境定義のPDCLTPATH
コマンドトレース機能 | コマンドトレースファイル | クライアント環境定義のPDCLTPATH
SQLトレース動的取得機能 | SQLトレースファイル | クライアント環境定義のPDCLTPATH
再接続トレース機能 | 再接続トレースファイル | クライアント環境定義のPDCLTPATH
HiRDB SQL Tuning Advisor用アクセスパス情報ファイル | アクセスパス情報ファイル | クライアント環境定義のPDTAAPINFPATH

注※　SQLエラーレポートファイルは，HiRDBサーバ側に出力されます。

索引

[Ｃ][Ｄ][Ｈ][Ｉ][Ｏ][Ｓ]
[ア行][カ行][サ行][タ行][ナ行][ハ行][マ行][ヤ行][ラ行][ワ行]

(英字)

(Ｃ)

CONNECT権限

CONNECT権限を与える

CONNECT権限を与えるときの方針

CONNECT権限を取り消す場合の注意事項

CREATE AUDIT

(Ｄ)

DBA権限

DBA権限を与える

DBA権限を与えるときの方針

(Ｈ)

HiRDB運用ディレクトリを作成する

HiRDBグループを設定する

HiRDBサーバの設置場所の条件

HiRDBシステム定義の指定値を確認する

HiRDBのインストール〔UNIX〕

HiRDBのインストール〔Windows〕

HiRDBのセキュリティ機能

HiRDBユーザ

HiRDBをOSに登録する

(Ｉ)

ISO/IEC 15408の評価を行ったシステム構成

(Ｏ)

OSアカウントの管理

OSアカウントを登録する

OSに必要な条件

(Ｓ)

SQL実行時の注意事項

(ア行)

(あ)

アカウントの不正使用対策

アカウントロック期間

アカウントロック期間を設定する

アクセス権限の管理方針

アクセス権限の種類

アクセス権限を与える

(い)

インストール〔UNIX〕

インストール〔Windows〕

インストールディレクトリを作成する

インターネット

(う)

運用コマンド実行時の注意事項

(お)

オペレーティングシステムパラメタ

オペレーティングシステムパラメタを変更する

(カ行)

(か)

カーネルパラメタ

簡易セットアップツール

簡易セットアップツールを実行する〔Windows〕

環境設定手順〔UNIX〕

環境設定手順〔Windows〕

環境変数を設定する

監査

監査〔HiRDBの不正利用〕

監査〔権限の不正利用〕

監査〔パスワードの定期変更〕

監査〔表の不正アクセス〕

監査権限

監査権限を与えるときの方針

監査証跡

監査証跡表

監査情報の参照方法

監査情報の出力

監査情報の取得

監査情報の取得準備をする

監査で確認する項目

監査人

監査の実施

監査の流れ

監査の目的

(き)

脅威

(け)

権限

権限による操作の制御

権限の種類

権限の種類と実行できる操作

権限付与の流れ

権限を与えるときの方針

(サ行)

(さ)

参照権限の設定〔ディクショナリ表〕

(し)

システム構成の条件

システムジェネレータ

(す)

スキーマ定義権限

スキーマ定義権限を与える

スキーマ定義権限を与えるときの方針

(せ)

セキュアエリア

セキュアなシステムに必要な条件

セキュリティ監査機能

セキュリティ機能

セキュリティ上の脅威

セキュリティ設計

セキュリティ対策の考え方

セキュリティ対策の重要性

設置場所の条件

(そ)

ソフトウェア構成〔HiRDBクライアント〕

ソフトウェア構成〔HiRDBサーバ〕

(タ行)

(て)

ディクショナリ表の参照権限の設定

ディクショナリ表の参照権限を設定する

データベースのアクセス管理

データベースのアクセス制御

(ナ行)

(に)

認可識別子

(ね)

ネットワークに必要な条件

(ハ行)

(は)

パスワード

パスワードに使用できる文字列

パスワードの管理

パスワードの管理〔OSアカウント〕

パスワードの管理ルールの設定

パスワードの禁止条件の設定

パスワードの禁止条件を設定する

パスワードのセキュリティ対策を行う

パスワードの例

パスワード無効アカウントロック状態

バックアップファイルの管理

(ひ)

表のアクセス権限

(マ行)

(ま)

マシンの設置および管理上の条件

マニュアルの使い方

マニュアルの目的

マニュアルの読み方

(め)

メディアの管理ルール

(ヤ行)

(や)

役割分担

(ゆ)

ユーザ認証

ユーザの管理

ユーザの選定基準

ユーザの役割分担

ユーザ用RDエリアを作成する

ユーザを登録して権限を与える

(よ)

良いパスワードの例

(ラ行)

(り)

リムーバブルメディアの管理

リムーバブルメディアの管理

リモートシェル実行環境を設定する

リモートログインの設定

(れ)

連続認証失敗アカウントロック状態

連続認証失敗許容回数

連続認証失敗許容回数を設定する

(ろ)

ローカルエリアネットワーク

ローカルエリアネットワークに必要な条件

(ワ行)

(わ)

悪いパスワードの例

■ 商標類

AIXは，米国における米国International Business Machines Corp.の登録商標です。
HP-UXは，米国Hewlett-Packard Companyのオペレーティングシステムの名称です。
Intelは，Intel Corporationの会社名です。
Itaniumは，アメリカ合衆国および他の国におけるインテル コーポレーションまたはその子会社の登録商標です。
Linuxは，Linus Torvalds氏の日本およびその他の国における登録商標または商標です。
Microsoftは，米国およびその他の国における米国Microsoft Corp.の登録商標です。
PA-RISCは，米国Hewlett-Packard Companyの商標です。
Red Hatは，米国およびその他の国でRed Hat, Inc. の登録商標若しくは商標です。
Solarisは，米国Sun Microsystems, Inc. の米国およびその他の国における商標または登録商標です。
Sun，Sun Microsystems，Javaは，米国Sun Microsystems, Inc. の米国およびその他の国における商標または登録商標です。
UNIXは，X/Open Company Limited が独占的にライセンスしている米国ならびに他の国における登録商標です。
Windowsは，米国およびその他の国における米国Microsoft Corp.の登録商標です。
Windows Serverは，米国Microsoft Corporationの米国及びその他の国における登録商標です。
Windows Vistaは，米国Microsoft Corporationの米国及びその他の国における登録商標です。
プログラムプロダクト「P-9D62-1581，P-9D62-1781」には，米国 Sun Microsystems, Inc. が著作権を有している部分が含まれています。
プログラムプロダクト「P-9D62-1581，P-9D62-1781」には，UNIX System Laboratories, Inc. が著作権を有している部分が含まれています。