ヘッダーをスキップ
Oracle Database Vault管理者ガイド
11
g
リリース1（11.1）
E05797-05
索引
次へ
目次
例一覧
図一覧
表一覧
タイトルおよび著作権情報
はじめに
対象読者
ドキュメントのアクセシビリティについて
関連ドキュメント
表記規則
サポートおよびサービス
1
Oracle Database Vaultの概要
Oracle Database Vaultの概要
Oracle Database Vaultのコンポーネント
Oracle Database Vaultアクセス制御コンポーネント
Oracle Database Vault Administrator（DVA）
Oracle Database Vault Configuration Assistant（DVCA）
Oracle Database Vault DVSYSおよびDVFスキーマ
Oracle Database Vault PL/SQLインタフェースおよびパッケージ
Oracle Database VaultおよびOracle Label SecurityのPL/SQL API
Oracle Database Vaultレポートおよびモニタリング・ツール
Oracle Database Vaultのコンプライアンスへの対応
Oracle Database Vaultの内部関係者への対応
Oracle Database Vaultによる柔軟なセキュリティ・ポリシーの実現
Oracle Database Vaultのデータベース統合に関する問題への対応
2
Oracle Database Vaultのインストール後のヒント
変更される初期化およびパスワード・パラメータ設定
Oracle Database Vaultによるユーザー認可の制限
新規データベース・ロールを使用した職務分離の実施
既存のユーザーおよびロールに対して取消しまたは阻止される権限
Oracle Virtual Private Databaseまたはファイングレイン監査ポリシーの作成
3
Oracle Database Vaultの開始
Oracle Database Vault Administratorの起動
クイック・スタート・チュートリアル: DBAアクセスからのスキーマの保護
手順1: データ・ディクショナリ・レルムへのSYSTEMユーザーの追加
手順2: SYSTEMとしてログインしHRスキーマにアクセスする
手順3: レルムの作成
手順4: HRスキーマのEMPLOYEES表の保護
手順5: レルムの認可の作成
手順6: レルムのテスト
手順7: レポートの実行
手順8: このチュートリアルのコンポーネントの削除
4
レルムの構成
レルムの概要
デフォルトのレルム
レルムの作成
レルムの編集
レルム・セキュア・オブジェクトの作成
レルム認可の定義
レルムの無効化および有効化
レルムの削除
レルムの動作
レルムでの認可の動作
レルムの動作の例
その他のOracle Database Vaultコンポーネントへのレルムの影響
レルム設計のガイドライン
レルムのパフォーマンスへの影響
関連するレポートおよびデータ・ディクショナリ・ビュー
5
ルール・セットの構成
ルール・セットの概要
デフォルトのルール・セット
ルール・セットの作成
ルール・セットの構成または編集
ルール・セットに追加するルールの作成
新規ルールの作成
既存のルールのルール・セットへの追加
ルール・セットの削除
ルール・セットの動作
Oracle Database Vaultによるルールの評価方法
ルール・セットでのルールの表示順序の設定によるパフォーマンスの向上
ルール・セット内でのルールのネスト
1人のユーザーを除く全員に適用するルールの作成
チュートリアル: セキュリティ違反の電子メール・アラートの作成
手順1: UTL_MAIL PL/SQLパッケージのインストールおよび構成
手順2: 電子メール・セキュリティ・アラートPL/SQLプロシージャの作成
手順3: ネットワーク・サービス用のアクセス制御リストの構成
手順4: 電子メール・セキュリティ・アラートを使用するためのルール・セットおよびコマンド・ルールの作成
手順5: 電子メール・セキュリティ・アラートのテスト
手順6: このチュートリアルのコンポーネントの削除
ルール・セット設計のガイドライン
ルール・セットのパフォーマンスへの影響
関連するレポートおよびデータ・ディクショナリ・ビュー
6
コマンド・ルールの構成
コマンド・ルールの概要
デフォルトのコマンド・ルール
コマンド・ルールで保護できるSQL文
コマンド・ルールの作成および編集
コマンド・ルールの削除
コマンド・ルールの動作
チュートリアル: ユーザーによる表作成を制御するためのコマンド・ルールの使用方法
手順1: ユーザーSCOTTとしての接続と表の作成
手順2: DVOWNERロールを使用した接続とコマンド・ルールの作成
手順3: コマンド・ルールのテスト
手順4: このチュートリアルのコンポーネントの削除
コマンド・ルール設計のガイドライン
コマンド・ルールのパフォーマンスへの影響
関連するレポートおよびデータ・ディクショナリ・ビュー
7
ファクタの構成
ファクタの概要
デフォルトのファクタ
ファクタの作成
ファクタの編集
ファクタへのアイデンティティの追加
ファクタ・アイデンティティの概要
ファクタ・アイデンティティの作成および構成
他のファクタを使用するアイデンティティを構成するためのアイデンティティ・マップの使用方法
ファクタの削除
ファクタの動作
セッション確立時のファクタの処理
ファクタの取得
ファクタの設定
チュートリアル: データベースへの非定型ツール・アクセスの阻止
手順1: SCOTTユーザー・アカウントの有効化
手順2: Moduleファクタの作成
手順3: Limit SQL*Plus Accessルールおよびルール・セットの作成
手順4: CONNECTコマンド・ルールの作成
手順5: 非定期ツール・アクセス制限のテスト
手順6: このチュートリアルのコンポーネントの削除
チュートリアル: セッション・データに基づくユーザー・アクティビティの制限
手順1: 管理者ユーザーの作成
手順2: Domainファクタへのアイデンティティの追加
手順3: Domainファクタ・アイデンティティのClient_IPファクタへのマップ
手順4: 時間を設定するルール・セットの作成およびファクタ・アイデンティティの選択
手順5: ルール・セットを使用するコマンド・ルールの作成
手順6: ファクタ・アイデンティティの設定のテスト
手順7: このチュートリアルのコンポーネントの削除
ファクタ設計のガイドライン
ファクタのパフォーマンスへの影響
関連するレポートおよびデータ・ディクショナリ・ビュー
8
Oracle Database Vaultのセキュア・アプリケーション・ロールの構成
Oracle Database Vaultのセキュア・アプリケーション・ロールの概要
セキュア・アプリケーション・ロールの作成および編集
セキュア・アプリケーション・ロールの保護
セキュア・アプリケーション・ロールの削除
セキュア・アプリケーション・ロールの動作
チュートリアル: Database Vaultセキュア・アプリケーション・ロールによるアクセス権限の付与
手順1: このチュートリアル用のユーザーの作成
手順2: OEユーザー・アカウントの有効化
手順3: ルール・セットとそのルールの作成
手順4: Database Vaultセキュア・アプリケーション・ロールの作成
手順5: セキュア・アプリケーション・ロールへのSELECT権限の付与
手順6: Database Vaultセキュア・アプリケーション・ロールのテスト
手順7: このチュートリアルのコンポーネントの削除
セキュア・アプリケーション・ロールのパフォーマンスへの影響
関連するレポートおよびデータ・ディクショナリ・ビュー
9
Oracle Database Vaultとその他のOracle製品の統合
Oracle Database Vaultとエンタープライズ・ユーザー・セキュリティの統合
Oracle Database Vaultと透過的データ暗号化の統合
Oracle Virtual Private Databaseへのファクタの追加
Oracle Database VaultとOracle Label Securityの統合
Oracle Database VaultとOracle Label Securityの統合方法
Oracle Database VaultをOracle Label Securityとともに使用するための要件
Oracle Label SecurityポリシーでのOracle Database Vaultファクタの使用方法
チュートリアル: Oracle Database VaultとOracle Label Securityの統合
手順1: このチュートリアル用のユーザーの作成
手順2: Oracle Label Securityポリシーの作成
手順3: OLS認可を制御するためのOracle Database Vaultルールの作成
手順4: ルール・セットを使用するためのALTER SYSTEMコマンド・ルールの更新
手順5: 認可のテスト
手順6: このチュートリアルのコンポーネントの削除
関連するレポートおよびデータ・ディクショナリ・ビュー
10
Oracle Database Vaultオブジェクト
Oracle Database Vaultスキーマ
DVSYSスキーマ
DVFスキーマ
Oracle Database Vaultロール
Oracle Database Vaultロールの概要
Oracle Database Vault所有者ロール: DV_OWNER
Oracle Database VaultレルムDBAロール: DV_REALM_OWNER
Oracle Database Vaultアプリケーション・リソース所有者ロール: DV_REALM_RESOURCE
Oracle Database Vault構成管理者ロール: DV_ADMIN
Oracle Database Vaultアカウント・マネージャ・ロール: DV_ACCTMGR
Oracle Database Vault PUBLICロール: DV_PUBLIC
Oracle Database Vaultセキュリティ分析者ロール: DV_SECANALYST
Oracle Database Vaultアカウント
Oracle Database Vaultのデータ・ディクショナリ・ビュー
DBA_DV_CODEビュー
DBA_DV_COMMAND_RULEビュー
DBA_DV_FACTORビュー
DBA_DV_FACTOR_LINKビュー
DBA_DV_FACTOR_TYPEビュー
DBA_DV_IDENTITYビュー
DBA_DV_IDENTITY_MAPビュー
DBA_DV_MAC_POLICYビュー
DBA_DV_MAC_POLICY_FACTORビュー
DBA_DV_POLICY_LABELビュー
DBA_DV_PUB_PRIVSビュー
DBA_DV_REALMビュー
DBA_DV_REALM_AUTHビュー
DBA_DV_REALM_OBJECTビュー
DBA_DV_ROLEビュー
DBA_DV_RULEビュー
DBA_DV_RULE_SETビュー
DBA_DV_RULE_SET_RULEビュー
DBA_DV_USER_PRIVSビュー
DBA_DV_USER_PRIVS_ALLビュー
11
DVSYS.DBMS_MACADMパッケージの使用方法
DVSYS.DBMS_MACADMパッケージの概要
DVSYS.DBMS_MACADMのレルム・プロシージャ
ADD_AUTH_TO_REALMプロシージャ
ADD_AUTH_TO_REALMプロシージャ
ADD_AUTH_TO_REALMプロシージャ
ADD_AUTH_TO_REALMプロシージャ
ADD_OBJECT_TO_REALMプロシージャ
CREATE_REALMプロシージャ
DELETE_AUTH_FROM_REALMプロシージャ
DELETE_OBJECT_FROM_REALMプロシージャ
DELETE_REALMプロシージャ
DELETE_REALM_CASCADEプロシージャ
RENAME_REALMプロシージャ
UPDATE_REALMプロシージャ
UPDATE_REALM_AUTHプロシージャ
DVSYS.DBMS_MACADMのルール・セット・プロシージャ
ADD_RULE_TO_RULE_SETプロシージャ
ADD_RULE_TO_RULE_SETプロシージャ
ADD_RULE_TO_RULE_SETプロシージャ
CREATE_RULEプロシージャ
CREATE_RULE_SETプロシージャ
DELETE_RULEプロシージャ
DELETE_RULE_FROM_RULE_SETプロシージャ
DELETE_RULE_SETプロシージャ
RENAME_RULEプロシージャ
RENAME_RULE_SETプロシージャ
SYNC_RULESプロシージャ
UPDATE_RULEプロシージャ
UPDATE_RULE_SETプロシージャ
DVSYS.DBMS_MACADMのコマンド・ルール・プロシージャ
CREATE_COMMAND_RULEプロシージャ
DELETE_COMMAND_RULEプロシージャ
UPDATE_COMMAND_RULEプロシージャ
DVSYS.DBMS_MACADMのファクタ・プロシージャおよびファンクション
ADD_FACTOR_LINKプロシージャ
ADD_POLICY_FACTORプロシージャ
CHANGE_IDENTITY_FACTORプロシージャ
CHANGE_IDENTITY_VALUEプロシージャ
CREATE_DOMAIN_IDENTITYプロシージャ
CREATE_FACTORプロシージャ
CREATE_FACTOR_TYPEプロシージャ
CREATE_IDENTITYプロシージャ
CREATE_IDENTITY_MAPプロシージャ
DELETE_FACTORプロシージャ
DELETE_FACTOR_LINKプロシージャ
DELETE_FACTOR_TYPEプロシージャ
DELETE_IDENTITYプロシージャ
DELETE_IDENTITY_MAPプロシージャ
DROP_DOMAIN_IDENTITYプロシージャ
GET_INSTANCE_INFOファンクション
GET_SESSION_INFOファンクション
RENAME_FACTORプロシージャ
RENAME_FACTOR_TYPEプロシージャ
UPDATE_FACTORプロシージャ
UPDATE_FACTOR_TYPEプロシージャ
UPDATE_IDENTITYプロシージャ
DVSYS.DBMS_MACADMのセキュア・アプリケーション・ロール・プロシージャ
CREATE_ROLEプロシージャ
DELETE_ROLEプロシージャ
RENAME_ROLEプロシージャ
UPDATE_ROLEプロシージャ
DVSYS.DBMS_MACADMのOracle Label Securityポリシー・プロシージャ
CREATE_MAC_POLICYプロシージャ
CREATE_POLICY_LABELプロシージャ
DELETE_MAC_POLICY_CASCADEプロシージャ
DELETE_POLICY_FACTORプロシージャ
DELETE_POLICY_LABELプロシージャ
UPDATE_MAC_POLICYプロシージャ
12
DVSYS.DBMS_MACSEC_ROLESパッケージの使用方法
DVSYS.DBMS_MACSEC_ROLESパッケージの概要
CAN_SET_ROLEファンクション
SET_ROLEプロシージャ
13
DVSYS.DBMS_MACUTLパッケージの使用方法
DVSYS.DBMS_MACUTLパッケージの概要
DVSYS.DBMS_MACUTLの定数
DVSYS.DBMS_MACUTLの定数のリスト
DVSYS.DBMS_MACUTLの定数の使用例
DVSYS.DBMS_MACUTLパッケージのプロシージャおよびファンクション
CHECK_DVSYS_DML_ALLOWEDプロシージャ
GET_CODE_VALUEファンクション
GET_SECONDファンクション
GET_MINUTEファンクション
GET_HOURファンクション
GET_DAYファンクション
GET_MONTHファンクション
GET_YEARファンクション
GET_SQL_TEXTファンクション
IS_ALPHAファンクション
IS_DIGITファンクション
IS_DVSYS_OWNERファンクション
IS_OLS_INSTALLEDファンクション
IS_OLS_INSTALLED_VARCHARファンクション
USER_HAS_OBJECT_PRIVILEGEファンクション
USER_HAS_ROLEファンクション
USER_HAS_ROLE_VARCHARファンクション
USER_HAS_SYSTEM_PRIVILEGEファンクション
14
Oracle Database Vault PL/SQLインタフェースの使用方法
Oracle Database VaultランタイムのPL/SQLプロシージャおよびファンクション
SET_FACTORプロシージャ
GET_FACTORファンクション
GET_TRUST_LEVELファンクション
GET_TRUST_LEVEL_FOR_IDENTITYファンクション
ROLE_IS_ENABLEDファンクション
GET_FACTOR_LABELファンクション
Oracle Database VaultのPL/SQLファクタ・ファンクション
F$AUTHENTICATION_METHODファンクション
F$CLIENT_IPファンクション
F$DATABASE_DOMAINファンクション
F$DATABASE_HOSTNAMEファンクション
F$DATABASE_INSTANCEファンクション
F$DATABASE_IPファンクション
F$DATABASE_NAMEファンクション
F$DOMAINファンクション
F$ENTERPRISE_IDENTITYファンクション
F$IDENTIFICATION_TYPEファンクション
F$LANGファンクション
F$LANGUAGEファンクション
F$MACHINEファンクション
F$NETWORK_PROTOCOLファンクション
F$PROXY_ENTERPRISE_IDENTITYファンクション
F$SESSION_USERファンクション
Oracle Database VaultのPL/SQLルール・ファンクション
DV_SYSEVENTファンクション
DV_LOGIN_USERファンクション
DV_INSTANCE_NUMファンクション
DV_DATABASE_NAMEファンクション
DV_DICT_OBJ_TYPEファンクション
DV_DICT_OBJ_OWNERファンクション
DV_DICT_OBJ_NAMEファンクション
DV_SQL_TEXTファンクション
Oracle Database VaultのPL/SQLパッケージ
15
Oracle Database Vaultの監視
セキュリティ違反未遂行為
データベースの構成および構造の変更
カテゴリ別のセキュリティ・ポリシー変更
セキュリティ・ポリシー変更の詳細
16
Oracle Database Vaultレポート
Oracle Database Vaultレポートのカテゴリ
Oracle Database Vaultレポートを実行できるユーザー
Oracle Database Vaultレポートの実行方法
Oracle Database Vaultレポートの生成
Oracle Database Vault構成の問題のレポート
「コマンド・ルール構成の問題」レポート
「ファクタ構成の問題」レポート
「アイデンティティのないファクタ」レポート
「アイデンティティ構成の問題」レポート
「レルム認可構成の問題」レポート
「ルール・セット構成の問題」レポート
「セキュア・アプリケーション構成の問題」レポート
Oracle Database Vaultの監査レポート
「レルムの監査」レポート
「コマンド・ルールの監査」レポート
「ファクタの監査」レポート
「Label Security統合の監査」レポート
「コアDatabase Vault監査証跡」レポート
「セキュア・アプリケーション・ロールの監査」レポート
一般セキュリティ・レポートの生成
オブジェクト権限レポート
「PUBLICでのオブジェクト・アクセス」レポート
「PUBLIC以外でのオブジェクト・アクセス」レポート
「直接オブジェクト権限」レポート
「オブジェクトの依存性」レポート
データベース・アカウントのシステム権限レポート
「データベース・アカウントごとの直接システム権限」レポート
「データベース・アカウントごとの直接および間接システム権限」レポート
「データベース・アカウントごとの階層システム権限」レポート
「データベース・アカウントのANYシステム権限」レポート
「権限ごとのシステム権限」レポート
機密オブジェクト・レポート
「強力なSYSパッケージに対するEXECUTE権限」レポート
「機密オブジェクトへのアクセス」レポート
「SYS PL/SQLプロシージャに対するPUBLIC EXECUTE権限」レポート
「SYSDBA/SYSOPER権限を持つアカウント」レポート
権限管理 - サマリー・レポート
「権限受領者ごとの権限の配布」レポート
「権限受領者、所有者ごとの権限の配布」レポート
「権限受領者、所有者、権限ごとの権限の配布」レポート
強力なデータベース・アカウントおよびロールのレポート
「WITH ADMIN権限の付与」レポート
「DBAロールを持つアカウント」レポート
「セキュリティ・ポリシー除外」レポート
「BECOME USER」レポート
ALTER SYSTEMまたはALTER SESSIONレポート
「パスワード履歴へのアクセス」レポート
WITH GRANT権限レポート
「指定されたロールを持つロールとアカウント」レポート
「カタログ・ロールを持つデータベース・アカウント」レポート
「AUDIT権限」レポート
「OSセキュリティ脆弱性に関する権限」レポート
初期化パラメータおよびプロファイルのレポート
「セキュリティ関連のデータベース・パラメータ」レポート
「リソース・プロファイル」レポート
「システム・リソース制限」レポート
データベース・アカウント・パスワードのレポート
「データベース・アカウントのデフォルト・パスワード」レポート
「データベース・アカウントのステータス」レポート
セキュリティ監査レポート: コア・データベース監査レポート
その他のセキュリティ脆弱性レポート
「Javaポリシーの付与」レポート
「OSディレクトリ・オブジェクト」レポート
「動的SQLに依存するオブジェクト」レポート
アンラップされたPL/SQLパッケージ本体レポート
「ユーザーまたはパスワード表」レポート
「表領域割当て制限」レポート
「所有者でないオブジェクトのトリガー」レポート
A
Oracle Database Vaultの監査
Oracle Database Vault固有の監査イベント
Oracle Database Vaultの監査イベント
Oracle Database Vault監査証跡の書式
Oracle Database Vault監査証跡のアーカイブおよびパージ
Oracle Database Vault用に作成されるOracle Database監査設定
B
Oracle Database Vaultの有効化および無効化
Oracle Database Vaultを無効にする必要がある場合
Oracle Database Vaultが有効か無効かの確認
手順1: Oracle Database Vaultの無効化
UNIXシステムでのOracle Database Vaultの無効化
WindowsシステムでのOracle Database Vaultの無効化
手順2: 必要なタスクの実行
手順3: Oracle Database Vaultの有効化
UNIXシステムでのOracle Database Vaultの有効化
WindowsシステムでのOracle Database Vaultの有効化
C
Oracle Database Vaultのインストール後の手順
Oracle Database Vaultの登録
ロケールおよびNLS設定の確認
Oracle Database Vault Administratorの手動デプロイ
Oracle Database Vault Administratorのタイムアウト値の設定
Oracle Database Vault Administratorのアクセシビリティの有効化
Oracle Database Vault Administratorのアクセシビリティ・モードの有効化
Database Vault Administratorのグラフのテキスト説明の提供
RACノードでのOracle Database Vaultの構成
DVCA -action optionracを使用するための構文
RACノードでOracle Database Vaultを構成する手順
Oracle Database Vaultへの言語の追加
DVCA -action addlanguagesを使用するための構文
Oracle Database Vaultに言語を追加するための手順
D
Oracle Database Vaultセキュリティ・ガイドライン
職務分離ガイドライン
Oracle Database Vaultによる職務分離の処理
Oracle Database Vault環境における分離タスクの定義
職務分離マトリクスの作成
データベース・システムにアクセスした全ユーザーのタスクの文書化
Oracle Database管理アカウントの管理
一般的な管理目的のためのSYSTEMアカウントの使用
アプリケーション表のためのSYSTEMスキーマの使用
SYSDBA権限の制限
ルートとオペレーティング・システム・アクセスの管理
Oracle Database Vaultによって信頼されるアカウントおよびロール
信頼できる人物に制限する必要のあるアカウントおよびロール
オペレーティング・システムのルート・アクセス権を持つユーザーの管理
Oracleソフトウェア所有者の管理
SYSDBAアクセスの管理
SYSOPERアクセスの管理
Oracle Database Vaultを本番環境で使用するためのガイドライン
セキュアな構成のガイドライン
UTL_FILEおよびDBMS_FILE_TRANSFERパッケージのセキュリティの考慮事項
リサイクルビンのセキュリティの考慮事項
CREATE ANY JOBおよびCREATE JOB権限のセキュリティの考慮事項
CREATE EXTERNAL JOB権限のセキュリティの考慮事項
LogMinerパッケージのセキュリティの考慮事項
ALTER SYSTEMおよびALTER SESSION権限のセキュリティの考慮事項
Javaストアド・プロシージャおよびOracle Database Vaultのセキュリティの考慮事項
Javaストアド・プロシージャへのアクセスの制限
Javaストアド・プロシージャの保護
手順1: 定義者権限で作成されたJavaストアド・プロシージャの識別
手順2: レルムで保護されたオブジェクトにアクセスするJavaストアド・プロシージャの検索
手順3: レルムで保護されたオブジェクトにアクセスするプロシージャをラップするパッケージの作成
手順4: 起動者権限で作成されたJavaストアド・プロシージャの識別
手順5: Javaストアド・プロシージャの実行のブロック
手順6: Oracle Database VaultによるJavaストアド・プロシージャの保護の検証
手順7: 新しいJavaストアド・プロシージャの起動者権限の保護
外部CコールアウトおよびOracle Database Vaultのセキュリティの考慮事項
外部Cコールアウトへのアクセスを制限することによるEXECUTE ANY PROCEDUREの保護
外部Cコールアウトの保護
手順1: 定義者権限で作成された外部Cコールアウトの識別
手順2: レルムで保護されたオブジェクトにアクセスする外部Cコールアウトの検索
手順3: レルムで保護されたオブジェクトにアクセスするCコールアウトをラップするパッケージの作成
手順4: 起動者権限で作成された外部Cコールアウトの識別
手順5: 外部Cコールアウトの実行のブロック
手順6: Oracle Database Vaultによる外部Cコールアウトの保護の検証
手順7: 新しい外部Cコールアウトの起動者権限の保護
E
Oracle Database Vaultのトラブルシューティング
トレース・ファイルを使用したデータベースのイベントの診断
一般的な診断のヒント
Oracle Database Vaultコンポーネントにかかわる構成の問題
索引
