MS_ServerTrustSecurityModel

サーバ信頼セキュリティ モデル

• TOP > インフラストラクチャ > リソース アクセス ストラテジ
  • サーバ信頼セキュリティ モデル
  • ベース クライアント セキュリティ モデル

概要

Microsoft の「patterns & practices」のガイドラインの中では

• 「信頼サブシステム モデル（Trusted Subsystem Model）」

と呼ばれる、サーバを信頼して認証するセキュリティ モデル。

※ 下流リソース（DB など）から見ると、接続してくるのは常に同じサービス アカウント。
エンド ユーザの識別はアプリケーション側の責務になる。

設定

（サーバ信頼の）認証の設定方法は、

• 接続文字列
• 固定のクレデンシャルを生成
• 特定のアカウントを偽装する

などの方法が挙げられる。

※ 実行アカウントには、gMSAや仮想アカウントを使うと
パスワード管理が不要になる。

比較

ベース クライアント セキュリティ モデルとの比較については、
リソース アクセス ストラテジを参照。

長所と短所

	内容
長所	設定が容易。AD ドメインや委任の構成が不要
長所	コネクション プーリングが効く（同一の接続文字列で共有できる）
長所	下流の権限管理がシンプル（サービス アカウント1つ分）
短所	下流リソース側では誰の操作か分からない。監査はアプリ側で造り込む必要がある
短所	サービス アカウントの権限が広くなりがち。侵害時の影響が大きい

※ 短所への対策として、

• サービス アカウントの権限を必要最小限に絞る、
• アプリ側で操作ログ（誰が・いつ・何を）を必ず残す、

の2点はセットで実施する。

参考

• Web アプリケーションのセキュリティデザイン基礎 - ＠IT
• ASP.NET アプリケーションに偽装を実装する方法
• その他、詳しくは サービス・タスク系のアカウント問題（MS_ServiceAndTaskAccountIssues.md）の ASP.NET（偽装）を参照。

---

Tags: アーキテクチャ, セキュリティ, 認証基盤, アカウント, Windows