SAP HANA の認証および権限の説明

Kerberos を使用して SAP HANA に接続するユーザには、SAP HANA データベースユーザが必要です。このデータベースユーザは、Microsoft Active Directory などのキー配布センター (KDC) の外部 ID にマッピングされます。

Kerberos ベースの SSO シナリオへの統合のために、SAP HANA では Active Directory (Microsoft Windows Server) または Kerberos 認証サーバに基づく Kerberos バージョン 5 がサポートされています。SAP HANA 拡張アプリケーションサービスクラシックモデルを採用した HTTP アクセスでは、単純で保護された GSS-API 交渉メカニズム (SPNEGO) によって Kerberos 認証が有効化されます。

Kerberos は、秘密鍵暗号化方式を使用して、安全でないネットワーク接続におけるクライアント/サーバアプリケーションの認証を提供するネットワーク認証プロトコルです。

ODBC および JDBC データベースクライアントでは、Kerberos プロトコルがサポートされています。この認証方法をサポートするクライアントの代表的な例は、SAP HANA コックピットです。Kerberos 委任を使用して、フロントエンドアプリケーションからのアクセスを実装することもできます。制限された委任およびプロトコル移行のサポートは、中間層アプリケーションが JDBC を介してデータベース層である SAP HANA に接続するシナリオに限定されます。

クライアントの Kerberos シングルサインオンメカニズムを SAP HANA と組み合わせて使用する場合、以下の 2 つのバリアントがあります。

• 直接認証

  ODBC/JDBC クライアントは、ネットワーク内からキー配布センター (KDC) に接続し、Kerberos チケットを使用して認証され、SAP HANA に転送されます。Web ブラウザをクライアントとして使用する場合、SAP HANA では XS 実装 (通常は XSA) を使用してこのメカニズムが実現します。

• 制限された委任を通じた間接認証

  このシナリオでは、クライアントは最初にアプリケーションに接続します。このアプリケーション自体は KDC に接続され、Kerberos チケットを要求することによってクライアントが検証されます。その後、このチケットは認証のために SAP HANA に送信されます。制限された委任 (スマートデータアクセスや Hadoop など) を通じた間接認証を使用する製品は複数あります (SAP 所有および非 SAP)。

SAP HANA データベースでは、Security Assertion Markup Language (SAML) を使用した SAP HANA データベースへのユーザログオンがサポートされています。

SAP HANA コックピットでユーザを作成するときに、ユーザ認証方法として SAML を選択できます。

LDAP (Lightweight Directory Access Protocol) は、ディレクトリサービスにアクセスするためのアプリケーションプロトコルです。LDAP 準拠の ID 管理サーバを使用してユーザとそのリソースへのアクセスを管理する場合、LDAP サーバを使用して SAP HANA ユーザを認証し、LDAP グループメンバーシップを使用して SAP HANA ユーザに権限を付与できます。

1
CREATE USER <user> WITH IDENTITY FOR LDAP PROVIDER;

12
ALTER USER <user> DISABLE PASSWORD; 
ALTER USER <user> ENABLE LDAP; 

ログオンチケットまたはアサーションチケットを使用して、SAP HANA でユーザを認証することができます。これらのチケットは、チケットを登録するために設定された SAP システム (SAP NetWeaver Application Server など) へのログオン時にユーザに発行されます。

SAP HANA システムを、ユーザ認証に SAP ログオンチケットまたはアサーションチケットが使用されるランドスケープに統合する場合は、ログオン/アサーションチケットを受け入れるように SAP HANA を設定します。

SAP HANA では、専用のトラストストアに保存されている信頼できる認証機関 (CA) によって署名された証明書に対して、受信ログオンまたはアサーションチケットが検証されます。このトラストストアには、ログオンおよびアサーションチケットの検証に使用されるすべてのルート証明書が含まれている必要があります。

受信 SAP ログオンチケットで指定されたユーザは、データベースユーザとして存在する必要があります。また、ログオンチケットまたはアサーションチケットを使用した認証のためにデータベースユーザを設定する必要もあります。SAP HANA コックピットのユーザ管理アプリでデータベースユーザを設定できます。

ログオンチケットの使用の詳細については、SAP NetWeaver プラットフォームライブラリを参照してください。

ユーザ認証とシングルサインオン (User Authentication and Single Sign-On)

JSON Web トークン (JWT) はオープン標準です。SAP HANA では、IETF 標準に従ってトークンが検証されます。

JSON Web Token (JWT) は、シングルサインオン環境でのユーザ認証に使用できます。ユーザの ID は、認証済アイデンティティプロバイダによって発行された JWT トークンによって認証できます。JWT と組み合わせて使用できるクライアントは次のとおりです。

• SAP HANA データベースの SQL インタフェースに直接アクセスする DB クライアント

• SAP HANA XS アドバンストサーバ (XSA) を介して SAP HANA に接続するクライアント

JWT を使用して、ODBC/JDBC データベースクライアントから直接、または SAP HANA 拡張アプリケーションサービスアドバンストモデル (SAP HANA XS アドバンスト) を介して間接的に SAP HANA にアクセスするユーザを認証することができます。

ユーザは SAP HANA データベースにログオンし、データベースオブジェクトを所有できます。権限は、ロールと権限によって割り当てられます。

権限により、ユーザが参照および実行できる内容が定義されます。権限は、ロールを使用して直接的または間接的にユーザに割り当てることができます。アクセス制御のモデル化には権限が必要です。ロールを使用して、アクセス制御スキームを構成し、再利用可能なビジネスロールをモデル化することができます。

ロールは、ユーザの専用グループの権限をバンドルおよび構造化するために使用されます。一般的なロールは、特定のタスクに対して定義され、データモデルを処理します (登録、有効化、利用など)。

ロールを使用してユーザの権限を管理することができます。ロール階層を実装できるように、ロールをネストすることができます。これにより、ユーザの柔軟性が向上し、個々のユーザに対して正確かつ広範な権限管理が可能になります。

直接または間接的にユーザに付与されるすべての権限は組み合わされています。つまり、ユーザがオブジェクトにアクセスしようとすると、ユーザ、ユーザのロール、および直接割り当てられた権限を使用して権限チェックが実行されます。

権限を明示的に拒否することはできません。つまり、すべてのユーザのロールをチェックする必要はありません。要求されたすべての権限が特定されると、チェックは中止され、アクセスが許可されます。

データベースには事前定義されたロールがいくつかあります。この中のいくつかはカスタマイズが必要なテンプレートであり、他のものはそのまま使用できます。

ログオンに成功すると、要求されたオブジェクトに対する要求された操作を実行するユーザの権限が検証されます。これはユーザに付与された権限によって決まります。ユーザには、操作を実行する権限と、操作を適用するオブジェクト (テーブルなど) にアクセスする権限の両方が必要です。

権限は、データベースユーザに直接付与されるか、ロールを介して間接的に付与されます。ロールは権限のセットです。ロールは、権限付与の標準メカニズムです。ビジネスロールをモデル化できる、粒度の細かい再利用可能な権限コンセプトと粗い再利用可能な権限コンセプトの両方を実装できるためです。SAP HANA データベースでもいくつかの標準ロール (MODELING、MONITORING) が提供されています。これらは独自のロールを登録するためのテンプレートとして使用できます。

クライアントインタフェース (Open Database Connectivity [ODBC]、Java Database Connectivity [JDBC]、Multidimensional Expressions [MDX] など) を使用して SAP HANA データベースにアクセスする場合、データへのすべてのアクセスは、対応する権限によってバックアップされる必要があります。さまざまなスキームが実装されています。上位レベルでは、クライアントインタフェースを使用してデータベースに含まれるデータにアクセスしたときに、このコンセプトによってデータに対する権限が提供されます。SAP HANA データベースシステムには、通常の SQL 権限コンセプトが実装されています。

各 SQL 文タイプ (SELECT、UPDATE、CALL など) に対して、実行ユーザは対応する権限を持っている必要があります。また、データベースのオブジェクト (テーブル、ビュー、ストアドプロシージャなど) には、オブジェクトにアクセスでき、オブジェクトに対する権限を付与することのできる所有者が存在します。

オブジェクトの所有者およびオーナーが権限を付与したユーザ以外は、この特定のオブジェクトにアクセスできません。この権限はオブジェクトレベルで動作します。オブジェクトレベルでは、権限を与えることができる最小のエンティティは、テーブルやビューなどです。

また、分析権限は、分析ビューなどの特定のデータベースオブジェクトに対して行レベルの権限を提供します。

ユーザ管理の処理フローは次のようになります。

1. 権限を定義および登録します。

2. ロールを定義および登録します。

   SAP HANA コックピットの Manage users アプリを使用するか、SQL 文 CREATE ROLE <Role_Name> を実行します。

3. 権限をロールに割り当てます。

4. ユーザを作成します。

   以下の認証方法を選択します。

   • 初期パスワードを定義します。

   • 外部ユーザ ID を定義します (たとえば、SSO を設定するための Kerberos)。

   • 他のユーザ設定を定義します。

   Define default client は、SAP HANA データモデルからの読込時に暗黙的なフィルタ値として使用されます。

5. ユーザにロールを付与します。

   SAP HANA コックピットの Manage users アプリを使用するか、SQL 文 GRANT <Role_Name> TO <user> を実行します。

   ロールを取り消すには、SQL 文 REVOKE <Role_Name> FROM <user> を使用します。

6. オプション: グループを作成します。
7. オプション: ロールをグループに割り当てます。
8. オプション: ユーザをグループに割り当てます。

パスワードポリシーには、以下の条件があります。

• パスワードのクオリティ (長さ、複雑さ)

• パスワード使用不可リスト (禁止用語)

  パスワードのクオリティは複数のパラメータで定義され、パスワード使用不可リストは SAP HANA コックピットの Security and User Management 領域で更新することもできます。

  パスワード使用不可リストは、パスワードやパスワードの一部として使用できない単語のリストです。SAP HANA では、パスワードが登録または変更されるたびに、この除外リストがチェックされます。使用不可リストの単語で大文字と小文字が区別されるかどうか、およびチェックを単語全体または単語の一部に適用するかどうかを指定することができます。パスワード使用不可リストは、スキーマ _SYS_SECURITY のテーブル _SYS_PASSWORD_BLACKLIST として実装されます。スキーマとテーブルの両方の所有者は、ユーザ SYSTEM です。

  両方のトピックの詳細については、以下のガイドを参照してください。 SAP HANA プラットフォーム向け SAP HANA セキュリティガイドのセクション "データベースパスワードポリシーとパスワード使用不可リストの設定 (Configure the Database Password Policy and Password Exclude List)"

  初期システム設定時に、SYSTEM ユーザはこのテーブルの変更権限を専用の管理者ユーザに付与します。

  注意

  セキュリティ上の理由から、およびユーザがパスワードなどの機密情報を表示できないようにするには、権限を管理して慎重に選択します。

パスワードポリシーは、indexserver.ini システムプロパティファイルの password policy セクションのパラメータによって定義されます。

パラメータが値の範囲外の値に設定された場合、値の範囲の最小値と最大値のいずれか適切な方が代わりに使用されます。

SAP HANA コックピットの認証アプリでは、パスワードポリシーを表示し、そのデフォルト設定を変更することができます。

パラメータ変更の前提条件は以下のとおりです。

• システム権限 INIFILE ADMIN

• (使用不可リストの場合) _SYS_PASSWORD_BLACKLIST テーブルまたは _SYS_SECURITY スキーマに対する INSERT および DELETE 権限

INI ファイルのコンテンツを表示するには、M_INIFILE_CONTENTS ビューを使用します。

パスワードポリシーのパラメータは、M_PASSWORD_POLICY ビューにあります。