Microsoft Dynamics CRM 2011 のセキュリティに関する考慮事項

• Domain Users メンバーシップ。
  
  
• このアカウントには、ローカル セキュリティ ポリシーで "サービスとしてログオン" のアクセス許可が付与されている必要があります。
  
  
• Trace (既定では Program Files\Microsoft Dynamics CRM\Trace にあります) と、ローカル コンピューター上の "ユーザー アカウント"%AppData% に対するフォルダーの読み取りおよび書き込みのアクセス許可。
  
  
• Windows レジストリの HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MSCRM サブキーに対する読み取りおよび書き込みのアクセス許可。
  
  
• サービス アカウントには、それに関連付けられた Web サイトへのアクセスに使用する URL の SPN が必要となる場合があります。 サンドボックス処理サービス アカウントの SPN を設定するには、サービスを実行するコンピューター上のコマンド プロンプトで次のコマンドを実行します。
  
  SETSPN –a MSCRMSandboxService/<ComputerName> <service account>
  
  

• Domain Users メンバーシップ。
  
  
• Performance Log Users メンバーシップ。
  
  
• このアカウントには、ローカル セキュリティ ポリシーで "サービスとしてログオン" のアクセス許可が付与されている必要があります。
  
  
• Trace フォルダー (既定では \Program Files\Microsoft Dynamics CRM\ の下にあります) と、ローカル コンピューター上の "ユーザー アカウント"%AppData% に対するフォルダーの読み取りおよび書き込みのアクセス許可。
  
  
• Windows レジストリの HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MSCRM および HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\MSCRMSandboxService サブキーに対する読み取りおよび書き込みのアクセス許可。
  
  
• サービス アカウントには、それに関連付けられた Web サイトへのアクセスに使用する URL の SPN が必要となる場合があります。
  
  

• Domain Users メンバーシップ。
  
  
• このアカウントには、ローカル セキュリティ ポリシーで "サービスとしてログオン" のアクセス許可が付与されている必要があります。
  
  
• 組織データベースの操作 (組織の新規作成やインポートなど) を実行するためにローカル管理者グループのメンバーシップが必要になるのは、次の条件に該当する場合だけです。
  
  
  • 組織データベース用に指定された Microsoft SQL Server データベースが、展開 Web サービス サーバーの役割を持つコンピューターと同じコンピューター上にある。
    
    
  • Web アプリケーション サーバー のサーバーの役割が、展開 Web サービス のサーバーの役割と同じコンピューターで実行されている。
    
    
• 展開 Web サービス を実行しているコンピューターのローカル管理者グループのメンバーシップ。
  
  
• SQL Server を実行しているコンピューターのローカル管理者グループのメンバーシップ。
  
  
• 構成データベースと組織のデータベースとして使用する SQL Server のインスタンスに対する Sysadmin 権限。
  
  
• Trace および CRMWeb フォルダー (既定では \Program Files\Microsoft Dynamics CRM\ の下にあります) と、ローカル コンピューター上の "ユーザー アカウント"%AppData% に対するフォルダーの読み取りおよび書き込みのアクセス許可。
  
  
• Windows レジストリの HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MSCRM および HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\MSCRMSandboxService サブキーに対する読み取りおよび書き込みのアクセス許可。
  
  
• CRM_WPG グループ メンバーシップ。このグループは IIS ワーカー プロセスで使用されます。このグループは Microsoft Dynamics CRM Server セットアップ の実行中に作成されてメンバーシップが追加されます。
  
  
• サービス アカウントには、それに関連付けられた Web サイトへのアクセスに使用する URL の SPN が必要となる場合があります。
  
  

• Active Directory Domain Users グループのメンバー。
  
  
• Active Directory Performance Log Users グループのメンバー。
  
  
• Trace および CRMWeb フォルダー (既定では \Program Files\Microsoft Dynamics CRM\ の下にあります) と、ローカル コンピューター上の "ユーザー アカウント"%AppData% に対するフォルダーの読み取りおよび書き込みのアクセス許可。
  
  
• Windows レジストリの HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MSCRM および HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\MSCRMSandboxService サブキーに対する読み取りおよび書き込みのアクセス許可。
  
  
• CRM_WPG グループ メンバーシップ。このグループは IIS ワーカー プロセスで使用されます。このグループは Microsoft Dynamics CRM Server セットアップ の実行中に作成されてメンバーシップが追加されます。
  
  
• サービス アカウントには、それに関連付けられた Web サイトへのアクセスに使用する URL の SPN が必要となる場合があります。
  
  

既定で、IIS 7.0 および IIS 7.5 の Web サイトは、カーネル モード認証を使用するように構成されています。カーネル モード認証を使用して Microsoft Dynamics CRM Web サイト Web サイトを実行するときは、CRMAppPool ID に追加のサービス プリンシパル名 (SPN) を構成する必要がない場合があります。

IIS 展開で SPN が必要であるかどうかを判断する方法については、「Service Principal Name (SPN) checklist for Kerberos authentication with IIS 7.0/7.5 (IIS 7.0/7.5 での Kerberos 認証に関するサービス プリンシパル名 (SPN) チェック リスト)」を参照してください。