Access 2010 のセキュリティの概要

Access 2010 の新機能

• 新しい暗号化技術     Office 2010 には、Office 2007 よりも強力な新しい暗号化技術が備わっています。

• サードパーティの暗号化製品をサポート     Access 2010 では、希望に応じてサードパーティの暗号化技術を使用できます。 この記事では、サードパーティ製品の使用については取り上げていません。

Access 2007 の新機能

• データベース コンテンツを有効にしたくない場合でもデータを確認できる機能     Microsoft Office Access 2003 では、セキュリティ レベルが [高] に設定されていると、データを確認する場合にまず、コード署名してデータベースを信頼する必要がありました。 Access 2007 では、データベースを信頼するかどうかを決定しなくてもデータを確認できるようになっています。

• 使いやすさの向上     セキュリティで保護されたファイル フォルダーやネットワーク共有など、信頼できる場所にデータベース ファイル (新しい Access ファイル形式または以前のファイル形式) を配置すると、警告メッセージを表示したり、無効にしたコンテンツを有効にしたりすることなく、それらのファイルが開いて実行されます。 また、.mdb ファイルや .mde ファイルなど、以前のバージョンの Access のデータベースを Access 2010 で開き、それらのデータベースがデジタル署名され、発行元を信頼する選択をした場合、信頼の決定を行う必要なく、これらのファイルは実行されます。 ただし、署名済みデータベースの VBA コードは発行元を信頼するまで実行されません。また、デジタル署名が無効になった場合は実行されません。 署名に署名したユーザー以外のユーザーがデータベースの内容を改ざんすると、署名は無効になります。

• Trust Center     セキュリティ センターは、Access のセキュリティ設定を設定したり変更したりする単一の場所となるダイアログ ボックスです。 このセキュリティ センターを使用して、信頼できる場所の作成や変更、Access のセキュリティ オプションの設定を行うことができます。 この設定は、新しいデータベースや既存のデータベースを Access のインスタンスで開いたときの動作に影響を与えます。 セキュリティ センターには、データベースのコンテンツを評価するロジック、データベースを開いても安全かどうかを判断するロジック、データベースを無効にして有効化の判断をユーザーに委ねるかどうかを判断するロジックが組み込まれています。

  セキュリティ センターの使用に関する詳細については、「セキュリティ センターのセキュリティ設定を表示する」を参照してください。

• 警告メッセージの減少     以前のバージョンの Access では、たとえばマクロのセキュリティやサンドボックス モードなど、さまざまな警告メッセージに対処する必要がありました。 既定では、信頼していない .accdb ファイルを開くと、メッセージ バーというツールが表示されます。

  

  データベースを信頼する場合は、無効になっているデータベース コンテンツ、たとえばアクション クエリ (データを追加、削除、変更するクエリ)、マクロ、ActiveX コントロール、式 (単一の値に評価される関数)、VBA コードを、データベースを開くときにメッセージ バーを使って有効にできます。

• データベース ファイルを署名して配布する新しい方法     Access 2007 より前のバージョンでは、Visual Basic エディターを使って個々のデータベース コンポーネントにセキュリティ証明書を適用していました。 現在では、データベースをパッケージ化し、そのパッケージに署名して配布できるようになっています。

  署名済みパッケージから信頼できる場所へデータベースを抽出すると、メッセージ バーが表示されることなくデータベースが開きます。 署名済みパッケージから信頼できない場所へパッケージを抽出する場合は、パッケージの証明書と署名が有効であると信頼していれば、メッセージ バーが表示されることなくデータベースが開きます。

  注: 信頼できないデータベースや無効なデジタル署名を含んでいるデータベースをパッケージ化して署名すると、信頼できる場所にデータベースを格納しない限り、データベースを開くたびにメッセージ バーを使用して信頼していることを示す必要があります。

• データベース パスワード機能を使用する .accdb ファイル形式のデータベースを暗号化するための強固なアルゴリズム     データベースを暗号化すると、テーブル内のデータがスクランブル処理されて、望ましくないユーザーがそのデータを読み取るのを防ぐことができます。

  注: データベースをパスワードで暗号化すると、暗号化されたデータベースでは、アプリケーションの設定に関係なくページレベルのロック機能が使用されます。 共有環境では、この状況がデータの使用に影響を与える可能性があります。

• データベースが無効な場合に実行されるマクロ アクションの新しいサブクラス     このような安全性の高いマクロには、エラー処理機能も組み込まれています。 マクロは (Access が無効にしたアクションが含まれている場合でも)、VBA コードのモジュールまたは以前のバージョンの Access のマクロと論理的に連携するフォーム、レポート、またはコントロール プロパティに埋め込むこともできます。

以下のルールには、注意して操作してください。

• 信頼できる場所にあるデータベースを開くと、信頼性に関する判断を行うことなく、すべてのコンポーネントが実行されます。

• 以前のファイル形式 (.mdb ファイルまたは .mde ファイル) でデータベースをパッケージ化し、署名して配布する場合、信頼できる発行元の有効なデジタル署名がデータベースに含まれていて、その証明書を信頼していると、信頼性に関する判断を行うことなく、すべてのコンポーネントが実行されます。

• 信頼できないデータベースに署名して、信頼できない場所に配布すると、セキュリティ センターが既定でデータベースを無効にするので、データベースを開くたびにデータベースの有効化を選ぶ必要があります。

Access とユーザーレベルのセキュリティ

Access の新しいファイル形式 (.accdb ファイルと .accde ファイル) で作成したデータベースは、ユーザーレベルのセキュリティに対応していません。 ただし、以前のバージョンの Access で作成したデータベースを Access 2010 で開いたときに、そのデータベースにユーザーレベルのセキュリティが適用されている場合は、その設定が引き続き機能します。

ユーザーレベルのセキュリティが適用された以前のバージョンの Access データベースを新しいファイル形式に変換すると、すべてのセキュリティ設定が自動的に削除されて、.accdb ファイルまたは .accde ファイルをセキュリティで保護するためのルールが適用されます。

新しいファイル形式のデータベースを開くときは、すべてのユーザーがすべてのデータベース オブジェクトをいつでも表示できるということを念頭に置いてください。

Access のセキュリティ アーキテクチャ

Access のセキュリティ アーキテクチャを理解するには、Access データベースが Excel ブックや Word 文書のようなファイルでないことを念頭に置く必要があります。 Access データベースは、互いに依存して機能することが多いテーブル、フォーム、クエリ、マクロ、レポートなどのオブジェクトの集まりです。 たとえば、データ入力フォームを作成する場合は、フォーム内のコントロールをテーブルに連結 (リンク) しないと、データを入力したり格納したりできません。

Access の次のようなコンポーネントは、セキュリティ リスクをもたらす可能性があるので、信頼できないデータベースでは無効になっています。

• アクション クエリ (データを挿入、削除、変更するクエリ)

• マクロ

• 一部の式 (単一の値を返す関数)

• VBA コード

データの安全性を高めるために、Access とセキュリティ センターでは、ユーザーがデータベースを開くたびに一連のセキュリティ チェックを実行しています。 このプロセスは、次のように実行されます。

• .accdb ファイルか .accde ファイルを開くと、データベースの場所がセキュリティ センターに送信されます。 セキュリティ センターでその場所が信頼できると判断されると、すべての機能が有効な状態でデータベースが実行されます。 以前のファイル形式のデータベースを開く場合は、ファイルの場所とデジタル署名の詳細 (存在する場合) がセキュリティ センターに送信されます。

  セキュリティ センターでは、その "証拠" を確認してデータベースの信頼性を評価し、データベースを開く方法を Access に通知します。 Access では、データベースが無効になるか、すべての機能が有効な状態で実行されます。

  注: ユーザーまたは管理者がセキュリティ センターで選んだ設定に応じて、Access でデータベースを開くときに行う信頼性の判断方法が異なります。

  セキュリティ センターの使用に関する詳細については、「参照」セクションを参照してください。

• セキュリティ センターによってデータベース コンテンツが無効になっている場合は、データベースを開くときにメッセージ バーが表示されます。

  

  データベース コンテンツを有効にするには、[オプション] をクリックして、表示されるダイアログ ボックスから適切なオプションを選びます。 無効になっていたコンテンツが有効になり、データベースが、すべての機能が有効な状態で開き直されます。 この操作を行わないと、無効になっているコンポーネントは動作しません。

• 以前のファイル形式 (.mdb ファイルまたは .mde ファイル) で作成されたデータベースを開くときに、そのデータベースに署名がなく信頼できない場合は、既定で、すべての実行可能コンテンツが無効になります。

無効モード

セキュリティ センターがデータベースを信頼できないと評価した場合、Access では、そのデータベースをファイル形式に関係なく無効モードで開きます。つまり、すべての実行可能コンテンツが無効になります。

無効モードでは、次のコンポーネントが無効になります。

• VBA コードと VBA コード内のすべての参照、および安全でない式。

• すべてのマクロ内の安全でないアクション。 "安全でない" アクションとは、ユーザーがデータベースを変更したり、データベースの外にあるリソースにアクセスしたりすることを許可するあらゆるアクションです。 ただし、無効になったアクションでも "安全" と考えられるものもあります。 たとえば、データベースの作成者を信頼できる場合は、その中の安全でないマクロ アクションも信頼できます。

• 一部のクエリの種類:

  • アクション クエリ    データを追加、更新、削除します。

  • データ定義言語 (DDL) クエリ     テーブルやプロシージャなど、データベース内のオブジェクトを作成または変更するために使用します。

  • SQL パススルー クエリ    ODBC (Open Database Connectivity) 標準をサポートするデータベース サーバーにコマンドを直接送信します。 パススルー クエリは、Access データベース エンジンを通さずに、サーバー上のテーブルを操作できます。

• ActiveX コントロール

データベースを開くときに、アドイン (Access または開くデータベースの機能を拡張するプログラム) が読み込まれることがあります。 また、開いているデータベースでオブジェクトを作成するときにウィザードを実行したい場合もあります。 アドインが読み込まれるときや、ウィザードが起動するときは、Access からセキュリティ センターに証拠が渡されて、信頼できるかどうかの判断が再度行われ、対象のオブジェクトまたはアクションが有効か無効になります。 セキュリティ センターがデータベースを無効にしても、その決定に同意できない場合は、ほとんどの場合、メッセージ バーを使ってコンテンツを有効にすることができます。 このルールの例外となるのが、アドインです。 ([アドイン] ウィンドウ内にある) セキュリティ センターで [アプリケーション アドインに対し、信頼できる発行元の署名を必須にする] チェック ボックスをオンにした場合、アドインの有効化を求めるメッセージが表示されますが、この処理ではメッセージ バーを使いません。

ページの先頭へ

セキュリティ センターを開く

1. [ファイル] タブの [オプション] をクリックします。

   [Access のオプション] ダイアログ ボックスが表示されます。

2. [セキュリティ センター] をクリックし、[Microsoft Office Access セキュリティ センター] で [セキュリティ センターの設定] をクリックします。

3. [信頼できる場所] をクリックし、次のいずれかの操作を行います。

   • 1 つ以上の信頼できる場所のパスをメモします。

   • 信頼できる場所を新しく作成します。 作成するには、[新しい場所の追加] をクリックして、[Microsoft Office の信頼できる場所] ダイアログ ボックスにあるオプションをすべて設定します。

信頼できる場所にデータベースを格納する

• 操作しやすい方法で、信頼できる場所にデータベース ファイルを移動またはコピーします。 たとえば、Windows エクスプローラーを使ってファイルをコピーまたは移動する方法や、Access でファイルを開いてから信頼できる場所に保存する方法があります。

信頼できる場所にあるデータベースを開く

• 操作しやすい方法でファイルを開きます。 たとえば、Windows エクスプローラーでデータベース ファイルをダブルクリックする方法や、Access を起動している場合は、[ファイル] タブの [開く] をクリックし、ファイルを参照して開く方法があります。

ページの先頭へ

署名済みパッケージを作成する

1. パッケージ化して署名するデータベースを開きます。

2. [ファイル] タブの [保存して発行] をクリックし、[詳細設定] で [パッケージ化して署名] をクリックします。

   [証明書の選択] ダイアログ ボックスが表示されます。

3. デジタル証明書を選んで、[OK] をクリックします。

   [Microsoft Office Access 署名済みパッケージの作成] ダイアログ ボックスが表示されます。

4. [保存先] リストで、署名済みデータベース パッケージを保存する場所を選びます。

5. [ファイル名] ボックスに署名済みパッケージの名前を入力して、[作成] をクリックします。

   .accdc ファイルが作成され、選択した場所に保存されます。

署名済みパッケージを抽出して使用する

1. [ファイル] タブの [開く] をクリックします。

   [ファイルを開く] ダイアログ ボックスが表示されます。

2. ファイルの種類として [Microsoft Office Access 署名済みパッケージ (*.accdc)] を選びます。

3. [検索先] リストを使って、.accdc ファイルが格納されているフォルダーに移動し、ファイルを選んで [開く] をクリックします。

4. 次のいずれかの操作を行います。

   • 展開パッケージの署名に使用されたセキュリティ証明書を信頼すると選択している場合は、[データベースの抽出] ダイアログ ボックスが表示されます。 次の手順に進みます。

   • セキュリティ証明書を信頼すると選択していない場合は、次のメッセージが表示されます。

     

     データベースを信頼する場合は、[開く] をクリックします。 特定のプロバイダーの証明書をすべて信頼する場合は、[発行元からのコンテンツを常に信頼する] をクリックします。 すると、[データベースの抽出] ダイアログ ボックスが表示されます。

     注: 自己署名証明書を使ってデータベース パッケージに署名し、そのパッケージを開くときに [発行元からのコンテンツを常に信頼する] をクリックすると、その署名者の自己署名証明書を使って署名されたパッケージが常に信頼されるようになります。

5. 必要に応じて、[保存先] リストで、抽出されたデータベースの保存場所を選び、[ファイル名] ボックスにその抽出されたデータベース用に別の名前を入力します。

   ヒント: 信頼できる場所にデータベースを抽出した場合は、そのデータベースを開くと、常にそのコンテンツが自動的に有効になります。 信頼できる場所以外を選択した場合は、既定で、一部のデータベース コンテンツが無効になることがあります。

6. [OK] をクリックします。

ページの先頭へ

データベースを信頼する

データベースを開くときの Access の動作に関係なく、信頼できる発行元から提供されているデータベースの場合は、ファイル内の実行可能なコンポーネントを有効にする、つまりデータベースを信頼できると選択することができます。

• メッセージ バーで [コンテンツの有効化] をクリックします。

暗号化された Access 2007 データベースを新しい暗号化技術に切り替える

新しい暗号化技術に切り替えるには、現在のデータベース パスワードを削除してから、パスワードを追加し直します。

データベース パスワードを使用して暗号化する

1. 暗号化するデータベースを排他モードで開きます。

   データベースを排他モードで開く

   1. [ファイル] タブの [開く] をクリックします。

   2. [開く] ダイアログ ボックスで、開くファイルを参照して選択します。

   3. [開く] ボタンの横の矢印をクリックし、[排他モードで開く] をクリックします。

      

2. [ファイル] タブの [情報] をクリックし、[パスワードを使用して暗号化] をクリックします。

   [データベース パスワードの設定] ダイアログ ボックスが表示されます。

3. [パスワード] ボックスにパスワードを入力して、[パスワードの確認] ボックスに再度パスワードを入力します。

   注: 

   • 大文字、小文字、数字、記号を組み合わせた強力なパスワードを使ってください。 これらの文字を混在させていないパスワードは強固とはいえません。 たとえば、Y6dh!et5 は安全性の高いパスワードです。 House27 は推測されやすいパスワードです。 パスワードは、8 文字以上にする必要があります。 理想は 14 文字以上のパス フレーズです。

   • パスワードは忘れないようにしてください。 パスワードを忘れた場合、Microsoft でパスワードを回復することはできません。 紙に記録したパスワードを、保護する必要がある情報から離れた安全な場所に保管してください。

4. [OK] をクリックします。

データベースを復号化して開く

1. 暗号化されているデータベースを、他のデータベースを開く場合と同じ方法で開きます。

   [データベース パスワードの入力] ダイアログ ボックスが表示されます。

2. [パスワードを入力してください] ボックスにパスワードを入力し、[OK] をクリックします。

パスワードを解除する

1. [ファイル] タブの [情報] をクリックし、[データベースの解読] をクリックします。

   [データベース パスワードの解除] ダイアログ ボックスが表示されます。

2. [パスワード] ボックスにパスワードを入力し、[OK] をクリックします。

ページの先頭へ

自己署名証明書を作成する

1. Office 2010 のプログラム ファイルが保存されているフォルダーを参照します。 既定のフォルダーは、<ドライブ名>:\Program Files\Microsoft Office\Office14 です。 このフォルダーで、SelfCert.exe を見つけてダブルクリックします。

   [デジタル証明書の作成] ダイアログ ボックスが表示されます。

2. [証明書の名前] ボックスに、新しいテスト証明書の名前を入力します。

3. [OK] を 2 回クリックします。

データベースにコード署名する

1. 署名するデータベースを開きます。

2. [データベース ツール] タブの [マクロ] で [Visual Basic] をクリックして、Visual Basic Editor を起動します。

   ショートカット キーの使用  Alt キーを押しながら F11 キーを押します。

3. プロジェクト エクスプローラー ウィンドウで、署名するデータベース、つまり Visual Basic for Applications (VBA) プロジェクトを選びます。

4. [ツール] メニューの [デジタル署名] をクリックします。

   [デジタル署名] ダイアログ ボックスが表示されます。

5. [選択] をクリックして、テスト証明書を選びます。

   [証明書の選択] ダイアログ ボックスが表示されます。

6. 適用する証明書を選びます。

   前のセクションで説明した手順を実行した場合は、SelfCert を使って作成した証明書を選びます。

7. [OK] をクリックして [自己証明書] ダイアログ ボックスを閉じ、もう一度 [OK] をクリックして [デジタル証明書] ダイアログ ボックスを閉じます。

以前のバージョンのデータベースに署名する場合のヒント

• ソリューションのユーザーが誤って VBA プロジェクトを修正したり、署名が無効になったりするのを防ぐには、VBA プロジェクトをロックしてから署名します。

  注: VBA プロジェクトをロックしても、他のユーザーがデジタル署名を他の署名に置き換えないようにすることはできません。 組織の管理者は、ユーザーのコンピューターで実行される処理を厳密に管理できるようにするため、テンプレートやアドインに再署名できます。

• VBA プロジェクトにデジタル署名を適用する場合は、署名に使用した証明書の期限が切れた後でも、他のユーザーが証明を確認できるように、タイムスタンプを取得することをお勧めします。 VBA のセキュリティとタイムスタンプの詳細については、Web 用 Office を参照してください。

レジストリ キーを変更する

1. Microsoft Windows で、[スタート] をクリックし、[ファイル名を指定して実行] をクリックします。

2. [名前] ボックスに「regedit」と入力し、Enter キーを押します。

   レジストリ エディターが起動します。

3. HKEY_LOCAL_MACHINE フォルダーを展開し、次のレジストリ キーに移動します。

   \Software\Microsoft\Office\14.0\Access Connectivity Engine\Engines

4. レジストリ エディターの右側のウィンドウで、SandboxMode 値をダブルクリックします。

   [DWORD 値の編集] ダイアログ ボックスが表示されます。

5. [Value Data] フィールドの値を 3 から 2 に変更し、[OK] をクリックします。

6. レジストリ エディターを終了します。

重要    事前にデータベースを信頼しておかないと、このレジストリ設定を変更しても、安全でない式がすべて無効になります。

ページの先頭へ