適用対象

• ASP.NET Version 1.1
• ASP.NET Version 2.0
• Microsoft(R) Windows Server(TM) 2003

概要

目次

このガイドの目的

• Network Service アカウントを使用してリソースにアクセスする場合の制限事項を確認する。
• Network Service アカウントを使用して次のリソース タイプにアクセスする。
  • Windows イベント ログ
  • Windows レジストリ
  • ローカル ファイル システム
  • ローカルおよびリモート データベース

はじめに

• 1 つのサーバー上の複数アプリケーションを一意に区別したい場合。
• ローカル リソースとリモート リソースに対するアクセス コントロールをアプリケーション単位で設定したい場合。たとえば、アクセスをアプリケーションのアカウントに制限しているアプリケーションのデータベースには、他のアプリケーションがアクセスすることはできません。
• Windows 監査を使用してアプリケーションの活動をアプリケーション単位でトラックしたい場合。
• 汎用の Network Service アカウントに関連付けられたアクセス コントロールや権限が偶発的または故意に変更された場合のアプリケーションへの影響を回避したい場合。

イベント ログ アクセス

注意   アプリケーション独自のイベント ソースを使用すると、他のアプリケーションのイベントとの区別が容易になるため便利です。

• アプリケーションのインストール時に新規イベント ソースを作成する
• レジストリのイベント ログ エントリへの書き込みアクセス権を付与する

インストール時に新規イベント ソースを作成する

1. Visual Studio .NET 2005 を使用して、InstallerClass.dll という名前のクラス ライブラリ プロジェクトを作成します。InstallerClass プロジェクトに System.Configuration.Install への参照を追加します。
2. CustomEventLogInstaller クラスを指定し、System.Configuration.Install.Installer から派生させます。
3. クラスの RunInstaller 属性に true を設定します。
4. アプリケーションに必要な新しいイベント ログごとに System.Diagnostics.EventLogInstaller インスタンスを生成し、Installers.Add を呼び出して生成したインスタンスをプロジェクトのインストーラ クラスに追加します。次のサンプル クラスは、customLog という名前の新規イベント ソース 1 つを Application Event Log に追加します。
   using System;
   using System.Configuration.Install;
   using System.Diagnostics;
   using System.ComponentModel;
    
   [RunInstaller(true)]
   public class CustomEventLogInstaller: Installer
   {
      private EventLogInstaller customEventLogInstaller;
      public CustomEventLogInstaller() 
      {
         // 'EventLogInstaller' のインスタンスを生成します。
         customEventLogInstaller = new EventLogInstaller();
         // 作成する、イベント ログの 'Source' を設定します。
         customEventLogInstaller.Source = "customLog";
         // ソースの作成先である 'Event Log' を設定します。
         customEventLogInstaller.Log = "Application";
         // 'InstallerCollection' に myEventLogInstaller を追加します。
         Installers.Add(customEventLogInstaller);   
      }
      public static void Main()
      {
      }
   }
   

5. コードをコンパイルして、InstallerClass.dll ライブラリを生成します。
6. 管理者権限を持つアカウントを使用し、コマンド ラインに DLL 名を指定して InstallUtil.exe ユーティリティを実行します。たとえば、Visual Studio コマンド プロンプトをオープンし、次のコマンドを入力します。
   InstallUtil.exe <dll path>\InstallerClass.dll
   

書き込みアクセス権を付与する

1. レジストリ エディタ ツールの Regedit.exe を起動します。
2. 左側パネルで、上記のレジストリ パスをたどり、[EventLog] フォルダ アイコンを見つけます。
3. [EventLog] フォルダで右クリックし、[アクセス許可] をクリックします。
4. [Permission for Eventlog] ダイアログ ボックスで、[Add] をクリックします。
5. [Select Users, Computers, or Groups] ダイアログ ボックス上のテキスト ボックスに "NETWORK SERVICE" と入力して、[Check Namess] をクリックします。Network Service 名の下にアンダーラインが引かれ、有効なセキュリティ プリンシパルであることが示されます。[OK] をクリックします。
6. [Permission for Eventlog] ダイアログ ボックスで、一覧から [Network Service] ユーザー名をクリックし、[Permissions for NETWORK SERVICE] セクションで、[Allow] 欄下の [Full Control] チェック ボックスをオンにします。[Apply] をクリックし、続いて [OK] をクリックします。

注意   レジストリの編集は、誤った操作を行うとシステムが不安定になることがあります。レジストリを編集する場合は十分な注意の上行うようにしてください。推奨方法としては、レジストリを直接編集せず、インストール時に新規イベント ソースを作成するなど別のテクニックの使用をお奨めします。

ヘルス モニタリング

レジストリ アクセス

Network Service にレジストリ アクセス権を付与する

1. タスクバー上で、[Start] をクリックし、続いて [Run] をクリックします。[Open] ボックスに "regedit" と入力して、[OK] をクリックします。
2. 左側パネルで、上記レジストリ パスをたどり、[DateTime] フォルダ アイコンを見つけます。
3. [DateTime] フォルダ アイコンを右クリックし、[Permissions] をクリックします。
4. [Permission for Servers] ダイアログ ボックスで、[Add] ボタンをクリックします。
5. [Select Users, Computers, or Groups] ダイアログ ボックス上のテキスト ボックスに NETWORK SERVICE と入力して、[Check Names] をクリックします。Network Service 名の下にアンダーラインが引かれ、有効なセキュリティ プリンシパルであることが示されます。[OK] をクリックします。
6. [Permission for Servers] ダイアログ ボックスで、一覧から [Network Service] ユーザー名をクリックし、[Permissions for NETWORK SERVICE] セクションで、[Advanced] をクリックします。
7. [Advanced Security Settings for Servers] ダイアログ ボックスで、[Network Service] をクリックし、続いて [Edit] をクリックします。
8. [Permission for Servers] ダイアログ ボックスで、[Allow] 欄の [Set Value] および [Create Subkey] チェック ボックスをオンにして書き込みアクセスを許可します。[Permissions] ダイアログ ボックスがクローズされるまで、[OK] を何度かクリックします。

注意   レジストリの編集は、誤った操作を行うとシステムが不安定になることがあります。レジストリを編集する場合は十分な注意の上行うようにしてください。

using Microsoft.Win32;
...
protected void Button1_Click(object sender, EventArgs e)
{
//タイム サーバーを変更します。
RegistryKey rk = Registry.LocalMachine.OpenSubKey(
@"SOFTWARE\Microsoft\Windows\CurrentVersion\DateTime\Servers", 
true); //書き込み可能 - 適切なアクセス権がないと失敗します。
string sDefault = (String)rk.GetValue("");
int iDefault = Convert.ToInt32(sDefault);
// すべてのサーバー名の配列です。
string[] sServers = rk.GetValueNames(); // サブ キーの列挙が必要です。
iDefault++;
if (iDefault >= sServers.Length) 
iDefault=1;
rk.SetValue("", iDefault.ToString());
// 表示を更新します。
Response.write(rk.GetValue(sServers[iDefault]).ToString());
}

ファイル アクセス

Network Service にファイル アクセスを付与する

1. Windows エクスプローラで、対象ファイルを選択します。
2. ファイルで右クリックし、[Properties] をクリックします。
3. [Properties] ダイアログ ボックスで、[Security] タブをクリックします。
4. [Security] タブで、ユーザーの一覧を確認します。Network Service アカウントが一覧になければ、追加します。
5. [Properties] ダイアログ ボックスで [Network Service] ユーザー名をクリックし、[Permissions for NETWORK SERVICE] セクションで、[Read] および [Write]、[Modify] 権限を選択します。
6. [Apply] をクリックし、続いて [OK] をクリックします。

注意   ASP.NET アプリケーションを実行するすべてのアカウント (Network Service またはカスタム サービス アカウント) に対して、同一レベルのファイル アクセスを許可する必要があるときは、個々の Network Service アカウントではなく、IIS_WPG グループにアクセス権を付与できます。ASP.NET の実行に使用されるすべてのアカウントは、IIS_WPG グループのメンバでなければいけません。

SQL Server

• データベース サーバー上の SQL Server ログイン。
• 必要なデータベース内の必要なオブジェクト (たとえば、ストアド プロシージャ、ビュー、テーブルなど) に対するアクセス権。

ローカル SQL Server へのアクセス権を付与する

1. SQL Server Enterprise Manager を起動します。
2. 左側ペインでフォルダを展開し、ローカル SQL Server の [Security] フォルダを見つけます。
3. [Security] フォルダで [Logins] を右クリックし、続いて [New Login] をクリックします。
4. [SQL Server Login Properties - New Login] ダイアログ ボックスの [Name] ボックスに、"NT AUTHORITY\NETWORK SERVICE" と入力します。その他の設定はデフォルトのままで、[OK] をクリックします。
5. [Databases] フォルダを展開し、続いて Pubs データベース (または Pubs に相当するデータベース) を展開します。
6. [Users] を右クリックし、続いて [New Database User] をクリックします。
7. [Database User Properties - New User] ダイアログ ボックスで、NT AUTHORITY\NETWORK SERVICE アカウントを選択します。
8. [Permit in Database Role] リストで、[db_datareader] チェック ボックスをオンにします。
9. [OK] をクリックし、続いて SQL Server Enterprise Manager を終了します。

リモート SQL Server へのアクセス権を付与する

注意   本番環境では、Network Service サービス アカウントを Windows グループに配置し、SQL Server ログインを Windows グループに作成するようにしてください。

ご意見、ご提案

• Wiki: Security Guidance Feedback ページ (英語): http://channel9.msdn.com/wiki/default.aspx/Channel9.SecurityGuidanceFeedback
• メール: secguide@microsoft.com (英語) までメールをお寄せください。

• 推奨事項に関する技術的な問題
• 実用性および利便性に関する問題

テクニカル サポート

コミュニティおよびニュースグループ

• MSDN Online 開発者向けニュースグループ: http://www.microsoft.com/japan/msdn/newsgroups/
• ASP.NET Forums (英語): http://forums.asp.net/

テスト、編集、リリースチーム

• テストチーム: Larry Brader, Microsoft Corporation; Nadupalli Venkata Surya Sateesh, Sivanthapatham Shanmugasundaram, Infosys Technologies Ltd.
• 編集チーム: Nelly Delgado, Microsoft Corporation; Sharon Smith, Linda Werner & Associates, Inc.; Tina Burden McGrayne, TinaTech Inc.
• リリース管理:Sanjeev Garg, Microsoft Corporation