4 クラスタ・データベース・ポリシー

この章では、クラスタ・データベース・ポリシーの各ポリシーについて、次の情報を提供します。

• ポリシーの概要

• ポリシーの主要プロパティのサマリー

• ポリシーのデフォルト値: パラメータとそのデフォルト値、およびデフォルトでは除外されるオブジェクト

• ポリシー違反の影響

• 違反が発生した際に実行する処理

クラスタ・データベース・ポリシーは、次のように分類されます。

• 4.1項「構成ポリシー」

• 4.2項「セキュリティ・ポリシー: UNIX」

• 4.3項「セキュリティ・ポリシー: Windows」

• 4.4項「記憶域ポリシー」

4.1 構成ポリシー

クラスタ・データベース・ターゲットの構成ポリシーは、次のとおりです。

4.1.1 強制ロギングが無効

このポリシーは、Data Guard Brokerの使用時に、プライマリ・データベースの強制ロギングが無効になっていないかをチェックします。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
情報	構成	データベース・インスタンス、クラスタ・データベース	Oracleサーバー9iリリース2以上	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	はい	プライマリ・データベースが強制ロギング・モードではありません。そのため、ログに記録されないプライマリ・データベースへの直接書込みはスタンバイ・データベースに伝播されません。

^脚注 1 このポリシー・ルールは、基礎となるdb_init_paramsメトリックおよびha_infoメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

該当なし

デフォルトで除外されるオブジェクト

該当なし

違反の影響

プライマリ・データベースが強制ロギング・モードではありません。そのため、ログに記録されないプライマリ・データベースへの直接書込みはスタンバイ・データベースに伝播されません。

処理

ALTER DATABASE FORCE LOGGINGパラメータを使用して、プライマリ・データベースを強制ロギング・モードに設定します。

4.1.2 JAccelerator（NCOMP）のインストール

ネイティブでコンパイルされた（NCOMP）クラスを実行することによりJava仮想マシンのパフォーマンスを向上させる、JAccelerator（NCOMP）のインストールの有無をチェックします。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
情報	構成	データベース・インスタンス、クラスタ・データベース	すべて	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	はい	JAccelerator（NCOMP）がインストールされていません。JAcceleratorがない場合、Java VMのパフォーマンスは最適ではなくなります。

^脚注 1 このポリシー・ルールは、基礎となるメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

パラメータのデフォルト値は、Oracle Databaseターゲットのバージョンによって異なります。パラメータとそのデフォルト値については、データベース・ターゲットの各バージョンのOracle Databaseドキュメントを参照してください。

デフォルトで除外されるオブジェクト

該当なし

違反の影響

Java VMのパフォーマンスが最適ではなくなります。

処理

Java仮想マシンのパフォーマンスを向上させるために、ネイティブにコンパイルされた（NCOMP）クラスを通常含んでいるJAccelerator（NCOMP）をインストールします。

4.1.3 制御ファイル数の不足

このポリシーは、単一の制御ファイルを使用していないかどうかをチェックします。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
クリティカル	構成	データベース・インスタンス、クラスタ・データベース	すべて	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	はい	データベースに十分な制御ファイルがありません。メディア・エラーによって1つしかない制御ファイルが失われると、不要な停止時間その他のリスクが発生します。

^脚注 1 このポリシー・ルールは、基礎となるdb_controlfilesメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

パラメータのデフォルト値は、Oracle Databaseターゲットのバージョンによって異なります。パラメータとそのデフォルト値については、データベース・ターゲットの各バージョンのOracle Databaseドキュメントを参照してください。

デフォルトで除外されるオブジェクト

該当なし

違反の影響

制御ファイルは、Oracleデータベースで最も重要なファイルの1つです。このファイルには、データベースに関する多くの物理特性と重要なリカバリ情報が記載されています。メディア・エラーによって1つしかない制御ファイルが失われると、不要な停止時間その他のリスクが発生します。

処理

異なるディスク上に多重化された2つ以上の制御ファイルを使用します。

4.1.4 REDOログ数の不足

このポリシーは、使用しているREDOログが2つ以下でないかをチェックします。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
警告	構成	データベース・インスタンス、クラスタ・データベース	すべて	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	はい	データベースのREDOログ・ファイルの数が不足しています。オンラインREDOログのサイズと数が不足すると、LGWRはログを上書きする前に、ARCHがアーカイブ済ログ保存先への書込みを完了するのを待ちます。このような動作は、アクティビティがピークに達する期間には著しくパフォーマンスを低下させる原因となります。

^脚注 1 このポリシー・ルールは、基礎となるdb_redoLogsメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

パラメータのデフォルト値は、Oracle Databaseターゲットのバージョンによって異なります。パラメータとそのデフォルト値については、データベース・ターゲットの各バージョンのOracle Databaseドキュメントを参照してください。

デフォルトで除外されるオブジェクト

該当なし

違反の影響

オンラインREDOログ・ファイルは、リカバリに備えてデータベースにおける変更を記録するために使用されます。アーカイブが有効な場合、オンラインREDOログを再利用する前にアーカイブする必要があります。各データベースでは、最低でも2つのオンラインREDOログ・グループが実行中である必要があります。オンラインREDOログのサイズと数が不足すると、LGWRはログを上書きする前に、ARCHがアーカイブ済ログ保存先への書込みを完了するのを待ちます。このような動作は、アクティビティがピークに達する期間には著しくパフォーマンスを低下させる原因となります。

処理

少なくとも3つのオンラインREDOログ・グループと、各グループに少なくとも2つのメンバーを用意することをお薦めします。同じグループのメンバーは、異なるディスク・ドライブ上にある必要があります。

4.1.5 リカバリ領域の場所が未設定

このポリシーは、DB_RECOVERY_FILE_DEST初期化パラメータが設定されているかチェックします。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
情報	構成	データベース・インスタンス、クラスタ・データベース	Oracleサーバー10gリリース1以上	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	はい	リカバリ領域の場所が設定されていません。リカバリ領域の場所を設定すると、すべてのリカバリ・コンポーネントに対して統合された記憶域の場所が提供されます。

^脚注 1 このポリシー・ルールは、基礎となるdb_init_paramsメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

該当なし

デフォルトで除外されるオブジェクト

該当なし

違反の影響

リカバリ領域の場所を設定しないと、すべてのリカバリ・コンポーネントに対する記憶域の場所が分割されます。

処理

リカバリ領域の場所を設定し、すべてのリカバリ・コンポーネントに対して統合された記憶域の場所を提供します。

4.2 セキュリティ・ポリシー: UNIX

クラスタ・データベース・ターゲットのUNIXのセキュリティ・ポリシーは、次のとおりです。

4.2.1 ALL_SOURCEビューへのアクセス

このポリシーは、ALL_SOURCEビューへのアクセスが制限されていることを確認します。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
情報	セキュリティ	データベース・インスタンス、クラスタ・データベース	Oracleサーバー8以上	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	いいえ	データベースはセキュアな状態ではありません。ユーザーUser %grantee%はALL_SOURCEビューの%privilege%権限を持っています。

^脚注 1 このポリシー・ルールは、基礎となるallSourceRepメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

該当なし

デフォルトで除外されるオブジェクト

該当なし

違反の影響

ALL_SOURCEビューにはデータベースにあるすべてのストアド・パッケージのソースが含まれています。

処理

SYS以外のデータベース・ユーザーからALL_SOURCEビューへのアクセスを取り消します。

4.2.2 DBA_ROLE_PRIVSビューへのアクセス

このポリシーは、DBA_ROLE_PRIVSビューへのアクセスが制限されていることを確認します。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
情報	セキュリティ	データベース・インスタンス、クラスタ・データベース	Oracleサーバー8以上	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	いいえ	データベースはセキュアな状態ではありません。ユーザー%grantee%はDBA_ROLE_PRIVSビューの%privilege%権限を持っています。

^脚注 1 このポリシー・ルールは、基礎となるdbaRolePrivsRecメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

該当なし

デフォルトで除外されるオブジェクト

該当なし

違反の影響

DBA_ROLE_PRIVSビューにはユーザーに付与されたロールおよびその他のロールがリストされています。データベース内のロールの構造に関する情報は、悪質なユーザーに利用される可能性があります。

処理

DBA_ROLE_PRIVSビューへのアクセスを制限します。

4.2.3 DBA_ROLESビューへのアクセス

このポリシーは、DBA_ROLESビューへのアクセスが制限されていることを確認します。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
情報	セキュリティ	データベース・インスタンス、クラスタ・データベース	Oracleサーバー8以上	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	いいえ	データベースはセキュアな状態ではありません。ユーザー%grantee%はDBA_ROLESビューの%privilege%権限を持っています。

^脚注 1 このポリシー・ルールは、基礎となるdbaRoleRepメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

該当なし

デフォルトで除外されるオブジェクト

該当なし

違反の影響

DBA_ROLESビューには、データベース内のすべてのロールに関する詳細が含まれています。データベース内のロールの構造に関する情報は、悪質なユーザーに利用される可能性があります。たとえば、パブリックにSELECT権限を設定すると、DoS攻撃の可能性が増加します。

処理

DBA_ROLESビューへのアクセスを制限します。

4.2.4 DBA_SYS_PRIVSビューへのアクセス

このポリシーは、DBA_SYS_PRIVSビューへのアクセスが制限されていることを確認します。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
情報	セキュリティ	データベース・インスタンス、クラスタ・データベース	Oracleサーバー8以上	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	いいえ	データベースはセキュアな状態ではありません。ユーザー%grantee%はDBA_SYS_PRIVSビューの%privilege%権限を持っています。

^脚注 1 このポリシー・ルールは、基礎となるdbaSysPrivsRecメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

該当なし

デフォルトで除外されるオブジェクト

該当なし

違反の影響

DBA_SYS_PRIVSビューに問い合せて、ロールおよびユーザーに付与されたシステム権限を検索できます。データベース内のロールの構造に関する情報は、悪質なユーザーに利用される可能性があります。

処理

DBA_SYS_PRIVSビューへのアクセスを制限します。

4.2.5 DBA_TAB_PRIVSビューへのアクセス

このポリシーは、DBA_TAB_PRIVSビューへのアクセスが制限されていることを確認します。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
情報	セキュリティ	データベース・インスタンス、クラスタ・データベース	Oracleサーバー8以上	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	いいえ	ユーザー%grantee%がDBA_TAB_PRIVSビューの%privilege%権限を持っているため、データベースがセキュアな状態ではない可能性があります。

^脚注 1 このポリシー・ルールは、基礎となるdbaTabPrivsRepメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

該当なし

デフォルトで除外されるオブジェクト

該当なし

違反の影響

ユーザーまたはロールに付与された、データベース内のオブジェクトに対する権限がリストされています。データベース内のロールの構造に関する情報は、悪質なユーザーに利用される可能性があります。

処理

DBA_TAB_PRIVSビューへのアクセスを制限します。

4.2.6 DBA_USERSビューへのアクセス

このポリシーは、DBA_USERSビューへのアクセスが制限されていることを確認します。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
情報	セキュリティ	データベース・インスタンス、クラスタ・データベース	Oracleサーバー8以上	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	いいえ	データベースはセキュアな状態ではありません。ユーザー%grantee%はDBA_USERSビューの%privilege%権限を持っています。

^脚注 1 このポリシー・ルールは、基礎となるdbaUsersRepメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

該当なし

デフォルトで除外されるオブジェクト

該当なし

違反の影響

ユーザー名、パスワード・ハッシュおよびその他のアカウント情報が含まれています。この情報にアクセスすると、データベースへの総当たり攻撃を開始できます。

処理

DBA_USERSビューへのアクセスを制限します。

4.2.7 ROLE_ROLE_PRIVSビューへのアクセス

このポリシーは、ROLE_ROLE_PRIVSビューへのアクセスが制限されていることを確認します。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
情報	セキュリティ	データベース・インスタンス、クラスタ・データベース	Oracleサーバー8以上	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	いいえ	データベースはセキュアな状態ではありません。ユーザー%grantee%はROLE_ROLE_PRIVSビューの%privilege%権限を持っています。

^脚注 1 このポリシー・ルールは、基礎となるrolerolePrivsRepメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

該当なし

デフォルトで除外されるオブジェクト

該当なし

違反の影響

他のロールに付与されたロールがリストされています。データベース内のロールの構造に関する情報は、悪質なユーザーに利用される可能性があります。

処理

ROLE_ROLE_PRIVSビューへのアクセスを制限します。

4.2.8 STATS$SQL_SUMMARY表へのアクセス

このポリシーは、STATS$SQL_SUMMARY表へのアクセスが制限されていることを確認します。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
情報	セキュリティ	データベース・インスタンス、クラスタ・データベース	Oracleサーバー8以上	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	いいえ	データベースはセキュアな状態ではありません。ユーザー%grantee%はSTATS$SQL_SUMMARY表の%privilege%権限を持っています。

^脚注 1 このポリシー・ルールは、基礎となるsqlSummaryRepメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

該当なし

デフォルトで除外されるオブジェクト

該当なし

違反の影響

サーバーに対して発行されたほとんどのリソース集約コマンドを表すSQLテキストの最初の数行が含まれています。バインド変数なしで実行されたSQL文がここに表示され、機密情報が公開される可能性があります。

処理

STATS$SQL_SUMMARY表へのアクセスを制限します。

4.2.9 STATS$SQLTEXT表へのアクセス

このポリシーは、STATS$SQLTEXT表へのアクセスが制限されていることを確認します。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
情報	セキュリティ	データベース・インスタンス、クラスタ・データベース	Oracleサーバー8以上	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	いいえ	データベースはセキュアな状態ではありません。ユーザー%grantee%はSTATS$SQLTEXT表の%privilege%権限を持っています。

^脚注 1 このポリシー・ルールは、基礎となるsqlTextRepメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

該当なし

デフォルトで除外されるオブジェクト

該当なし

違反の影響

STATS$SQLTEXT表には最近実行されたSQL文の完全なテキストが記載されています。SQL文から機密情報が公開される可能性があります。

処理

STATS$SQLTEXT表へのアクセスを制限します。

4.2.10 SYS.AUD$表へのアクセス

このポリシーは、SYS.AUD$表へのアクセスが制限されていることを確認します。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
情報	セキュリティ	データベース・インスタンス、クラスタ・データベース	Oracleサーバー8以上	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	いいえ	データベースはセキュアな状態ではありません。ユーザー%grantee%はSYS.AUD$表の%privilege%権限を持っています。

^脚注 1 このポリシー・ルールは、基礎となるaudTabRepメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

該当なし

デフォルトで除外されるオブジェクト

該当なし

違反の影響

SYS.AUD$表はシステム監査表です。パラメータAUDIT_TRAILをDBに設定すると、すべての監査済アクティビティがSYS.AUD$表に書き込まれます。そのため、悪質なユーザーが機密監査情報にアクセスできます。

処理

DBA/SYS以外のデータベース・ユーザーからSYS.AUD$表へのアクセスを取り消します。

4.2.11 SYS.LINK$表へのアクセス

このポリシーは、SYS.LINK$表へのアクセスが制限されていることを確認します。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
情報	セキュリティ	データベース・インスタンス、クラスタ・データベース	Oracleサーバー8以上	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	いいえ	データベースはセキュアな状態ではありません。ユーザー%grantee%はLINK$表の%privilege%権限を持っています。

^脚注 1 このポリシー・ルールは、基礎となるlinkTabRepメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

該当なし

デフォルトで除外されるオブジェクト

該当なし

違反の影響

悪質なユーザーが、SYS.LINK$表からユーザー名およびパスワードへのアクセスできます。

処理

SYS.LINK$表へのアクセスを取り消します。

4.2.12 SYS.SOURCE$表へのアクセス

このポリシーは、SYS.SOURCE$表へのアクセスが制限されていることを確認します。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
情報	セキュリティ	データベース・インスタンス、クラスタ・データベース	Oracleサーバー8以上	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	いいえ	データベースはセキュアな状態ではありません。ユーザー%grantee%はSOURCE$表の%privilege%権限を持っています。

^脚注 1 このポリシー・ルールは、基礎となるsourceTabRepメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

該当なし

デフォルトで除外されるオブジェクト

該当なし

違反の影響

悪質なユーザーが、データベースにあるすべてのストアド・パッケージのソースへアクセスできます。

処理

SYS/DBA以外のデータベース・ユーザーからSYS.SOURCE$表へのアクセスを取り消します。

4.2.13 SYS.USER$表へのアクセス

このポリシーは、SYS.USER$表へのアクセスが制限されていることを確認します。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
情報	セキュリティ	データベース・インスタンス、クラスタ・データベース	Oracleサーバー8以上	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	いいえ	データベースはセキュアな状態ではありません。ユーザー%grantee%はUSER$表の%privilege%権限を持っています。

^脚注 1 このポリシー・ルールは、基礎となるuserTabRepメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

該当なし

デフォルトで除外されるオブジェクト

該当なし

違反の影響

ユーザー名およびパスワード・ハッシュがSYS.USER$表から読み取られるため、悪質なユーザーによるデータベースへの総当たり攻撃が可能になります。

処理

SYS.USER$表へのアクセスを制限します。

4.2.14 SYS.USER_HISTORY$表へのアクセス

このポリシーは、SYS.USER_HISTORY$表へのアクセスが制限されていることを確認します。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
情報	セキュリティ	データベース・インスタンス、クラスタ・データベース	Oracleサーバー8以上	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	いいえ	データベースはセキュアな状態ではありません。ユーザー%grantee%はSYS.USER_HISTORY$表の%privilege%権限を持っています。

^脚注 1 このポリシー・ルールは、基礎となるuserHistRepメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

該当なし

デフォルトで除外されるオブジェクト

該当なし

違反の影響

ユーザー名およびパスワード・ハッシュがSYS.USER_HISTORY$表から読み取られるため、悪質なユーザーによる総当たり攻撃が可能になります。

処理

DBA/SYS以外のデータベース・ユーザーからSYS.USER_HISTORY$表へのアクセスを取り消します。

4.2.15 USER_ROLE_PRIVSビューへのアクセス

このポリシーは、USER_ROLE_PRIVSビューへのアクセスが制限されていることを確認します。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
情報	セキュリティ	データベース・インスタンス、クラスタ・データベース	Oracleサーバー8以上	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	いいえ	データベースはセキュアな状態ではありません。ユーザー%grantee%はUSER_ROLE_PRIVSビューの%privilege%権限を持っています。

^脚注 1 このポリシー・ルールは、基礎となるuserRolePrivsRepメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

該当なし

デフォルトで除外されるオブジェクト

該当なし

違反の影響

現行ユーザーに付与されたロールがリストされています。データベース内のロールの構造に関する情報は、悪質なユーザーに利用される可能性があります。

処理

USER_ROLE_PRIVSビューへのアクセスを制限します。

4.2.16 USER_TAB_PRIVSビューへのアクセス

このポリシーは、USER_TAB_PRIVS表へのアクセスが制限されていることを確認します。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
情報	セキュリティ	データベース・インスタンス、クラスタ・データベース	Oracleサーバー8以上	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	いいえ	データベースはセキュアな状態ではありません。ユーザー%grantee%はUSER_TAB_PRIVSビューの%privilege%権限を持っています。

^脚注 1 このポリシー・ルールは、基礎となるuserTabPrivsRepメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

該当なし

デフォルトで除外されるオブジェクト

該当なし

違反の影響

ユーザーが所有者、権限付与者または権限受領者のオブジェクトに対する権限がリストされています。データベース内の権限に関する情報は、悪質なユーザーに利用される可能性があります。

処理

USER_TAB_PRIVSビューへのアクセスを制限します。

4.2.17 制御ファイルの権限

このポリシーにより、制御ファイル・ディレクトリへのアクセス権がOracleソフトウェア・セットの所有者とDBAグループに制限されます。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
クリティカル	セキュリティ	データベース・インスタンス、クラスタ・データベース	Oracleサーバー8	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	はい	データベースはセキュアな状態ではありません。制御ファイル（%file_name%）の権限は%permission%です。

^脚注 1 このポリシー・ルールは、基礎となるdbControlFilesPermRepメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

該当なし

デフォルトで除外されるオブジェクト

該当なし

違反の影響

制御ファイルとは、データファイルへのアクセスを制御するバイナリ構成ファイルです。制御ファイルは、CONTROL_FILES初期化パラメータで指定されたディレクトリに保存されます。このディレクトリに対するパブリック書込み権限があると、セキュリティ上の重大な問題を引き起こす可能性があります。

処理

制御ファイルに対する権限は、次のユーザーに制限します。

• Oracleソフトウェア・インストールの所有者

• DBAグループ

読取り権限および書込み権限をパブリックに提供しないでください。

4.2.18 デフォルト・パスワード

このポリシーは、既知のアカウントにデフォルト・パスワードがないことを確認します。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
警告	セキュリティ	データベース・インスタンス、クラスタ・データベース	Oracleサーバー8以上	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	はい	データベースはセキュアな状態ではありません。アカウント%dbaccount%のデフォルト・パスワードが変更されませんでした。

^脚注 1 このポリシー・ルールは、基礎となるdefaultAccountPasswordsRepメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

該当なし

デフォルトで除外されるオブジェクト

該当なし

違反の影響

デフォルト・パスワードを使用して、悪質なユーザーがデータベースにアクセスすることが可能です。

処理

すべてのデフォルト・パスワードを変更します。

4.2.19 最大ログイン試行失敗回数の超過

このポリシーにより、ログイン試行失敗の許容回数は10に制限されます。

FAILED_LOGIN_ATTEMPTSパラメータにより、アカウントのステータスがロックに変更される前に連続して失敗できるログイン試行数が定義されます。これにより、アカウントのパスワードを推測しようとする悪質なユーザーから保護されます。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
クリティカル	セキュリティ	データベース・インスタンス、クラスタ・データベース	Oracleサーバー8以上	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	はい	データベースはセキュアな状態ではありません。プロファイル%profile%のFAILED_LOGIN_ATTEMPTSが%limit%に設定されています。

^脚注 1 このポリシー・ルールは、基礎となるloginserver_failed_loginsメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

最大FAILED_LOGIN_ATTEMPTS: 10（試行失敗回数）

デフォルトで除外されるオブジェクト

なし

違反の影響

悪質なユーザーによる手動および自動のパスワード推測を許可してしまいます。

パラメータをUNLIMITEDに設定すると、悪質なユーザーは指定のプロファイルを付与されるすべてのアカウントのパスワードの推測を無制限に試行できます。ただし、値の設定を小さくしすぎると、有効なユーザーがパスワードを誤って入力したときにアカウントをロックしてしまいます。

処理

ユーザー・プロファイルで、FAILED_LOGIN_ATTEMPTS設定の値を10に設定します。

4.2.20 過剰なPUBLIC EXECUTE権限

強力なパッケージ（UTL_HTTP、UTL_TCPおよびUTL_SMTP）に対するEXECUTE権限を持っているPUBLICをチェックします。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
クリティカル	セキュリティ	データベース・インスタンス、クラスタ・データベース	Oracleサーバー8以上	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	はい	データベースはセキュアな状態ではありません。パッケージ%package%のEXECUTE権限がPUBLICに付与されています。

^脚注 1 このポリシー・ルールは、基礎となるexecutePrivilegesRepメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

該当なし

デフォルトで除外されるオブジェクト

該当なし

違反の影響

PUBLICロールに付与された権限は、自動的にすべてのユーザーに適用されます。EXECUTE権限を使用して、悪質なユーザーが電子メール、ネットワークおよびhttpモジュールにアクセスすることが可能です。

処理

強力なパッケージに対するEXECUTE権限を取り消します。

4.2.21 PUBLICへのEXECUTE UTL_FILE権限

このポリシーは、PUBLICロールにUTL_FILEパッケージに対するEXECUTE権限がないことを確認します。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
クリティカル	セキュリティ	データベース・インスタンス、クラスタ・データベース	Oracleサーバー8以上	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	はい	データベースはセキュアな状態ではありません。UTL_FILEパッケージのEXECUTE権限がPUBLICに付与されています。

^脚注 1 このポリシー・ルールは、基礎となるpubexecutePrivilegesRepメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

該当なし

デフォルトで除外されるオブジェクト

該当なし

違反の影響

PUBLICロールに付与された権限は、自動的にすべてのユーザーに適用されます。UTL_FILE権限を付与すると、悪質なユーザーがシステム内の任意のファイルを読取り/書込みできるようになります。

処理

PUBLICに付与されたUTL_FILEパッケージに対するEXECUTE権限を取り消します。

4.2.22 Oracleホーム・データファイルの権限

このポリシーにより、データファイルへのアクセス権がOracleソフトウェア・セットの所有者とDBAグループに制限されます。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
クリティカル	セキュリティ	データベース・インスタンス、クラスタ・データベース	Oracleサーバー8以上	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	はい	データベースはセキュアな状態ではありません。データファイル（%file_name%）の権限は%permission%です。

^脚注 1 このポリシー・ルールは、基礎となるdbDataFilesPermRepメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

該当なし

デフォルトで除外されるオブジェクト

該当なし

違反の影響

データファイルにはすべてのデータベース・データが含まれています。パブリックからデータファイルの読取りが可能な場合、このデータに対するデータベース権限のないユーザーがデータファイルを読み取ることができます。

処理

データファイルに対する権限は、次のユーザーに制限します。

• Oracleソフトウェア・セットの所有者

• DBAグループ

読取り権限および書込み権限をパブリックに提供しないでください。

4.2.23 パスワード猶予期間

このポリシーは、すべてのプロファイルでPASSWORD_GRACE_TIMEが適切な日数に設定されていることを確認します。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
クリティカル	セキュリティ	データベース・インスタンス、クラスタ・データベース	Oracleサーバー8以上	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	はい	データベースはセキュアな状態ではありません。プロファイル%profile%のPASSWORD_GRACE_TIMEが%limit%日に設定されています。

^脚注 1 このポリシー・ルールは、基礎となるpwdGraceRepメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

MAX_PASSWORD_GRACE_TIME = 3

デフォルトで除外されるオブジェクト

該当なし

違反の影響

PASSWORD_GRACE_TIMEパラメータの値が高く設定されていると、ユーザーが同じパスワードを長時間使用できるため、データベースのセキュリティ上の重大な問題が発生する可能性があります。

処理

すべてのプロパティでPASSWORD_GRACE_TIMEパラメータを3日以内に設定します。

4.2.24 パスワード存続期間

このポリシーは、すべてのプロファイルでPASSWORD_LIFE_TIMEが適切な日数に設定されていることを確認します。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
警告	セキュリティ	データベース・インスタンス、クラスタ・データベース	Oracleサーバー8以上	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	はい	データベースはセキュアな状態ではありません。プロファイル%profile%のPASSWORD_LIFE_TIMEが%limit%日に設定されています。

^脚注 1 このポリシー・ルールは、基礎となるpwdLifeRepメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

MAX_PASSWORD_LIFE_TIME = 90

デフォルトで除外されるオブジェクト

該当なし

違反の影響

パスワード存続期間が長ければ、悪質なユーザーが時間をかけてパスワードを突き止めることができます。そのため、データベースのセキュリティ上の重大な問題が発生する可能性があります。

処理

すべてのプロパティでPASSWORD_LIFE_TIMEパラメータを90日以内に設定します。

4.2.25 パスワード・ロック期間

このポリシーは、すべてのプロファイルでPASSWORD_LOCK_TIMEが適切な日数に設定されていることを確認します。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
クリティカル	セキュリティ	データベース・インスタンス、クラスタ・データベース	Oracleサーバー8以上	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	はい	データベースはセキュアな状態ではありません。プロファイル%profile%のPASSWORD_LOCK_TIMEが%limit%日に設定されています。

^脚注 1 このポリシー・ルールは、基礎となるpwdLockRepメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

MIN_PASSWORD_LOCK_TIME = 1

デフォルトで除外されるオブジェクト

該当なし

違反の影響

PASSWORD_LOCK_TIMEリソースは、FAILED_LOGIN_ATTEMPTS（別の関連リソース）で指定された回数より多くログインの試行に失敗した後に、アカウントがロックされる日数に関連します。このリソースの値が低いと、DoS攻撃の可能性が増加します。

処理

すべてのプロパティでPASSWORD_LOCK_TIMEパラメータを1以上に設定します。

4.2.26 パスワード再使用最大回数

このポリシーは、すべてのプロファイルでPASSWORD_REUSE_MAXが適切な回数に設定されていることを確認します。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
クリティカル	セキュリティ	データベース・インスタンス、クラスタ・データベース	Oracleサーバー8以上	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	はい	データベースはセキュアな状態ではありません。プロファイル%profile%のPASSWORD_REUSE_MAXが%limit%回に設定されています。

^脚注 1 このポリシー・ルールは、基礎となるreuseMaxRepメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

MAX_PASSWORD_REUSE_MAX = 20

デフォルトで除外されるオブジェクト

該当なし

違反の影響

PASSWORD_REUSE_MAXパラメータは、現在のパスワードが再使用可能になるまでのパスワードの変更回数を指定します。現在のパスワードを推測する場合、旧パスワードが通常最も多く使用されます。PASSWORD_REUSE_MAXパラメータの値が低いと、ユーザーが旧パスワードを何度も使用できるため、データベースのセキュリティ上の重大な問題が発生する可能性があります。このリソースに適切な値を設定してユーザーによるパスワードの再使用を抑制することは、セキュアなパスワードの使用につながります。

処理

すべてのプロパティでPASSWORD_REUSE_MAXパラメータを20回以上に設定します。

4.2.27 パスワード再使用期間

このポリシーは、すべてのプロファイルでPASSWORD_REUSE_TIMEが適切な日数に設定されていることを確認します。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
クリティカル	セキュリティ	データベース・インスタンス、クラスタ・データベース	Oracleサーバー8以上	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	はい	データベースはセキュアな状態ではありません。プロファイル%profile%のPASSWORD_REUSE_TIMEが%limit%に設定されています。

^脚注 1 このポリシー・ルールは、基礎となるpasswdReuseTimeRepメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

MAX_PASSWORD_REUSE_TIME = 2147483647

デフォルトで除外されるオブジェクト

該当なし

違反の影響

PASSWORD_REUSE_TIMEパラメータは、パスワードの再使用が可能になるまでの日数を定義します。パスワード再使用期間の値が低く設定されていると、すでに漏えいしているパスワードによって、データベースのセキュリティ上の重大な問題が発生する可能性があります。

このリソースに適切な値を設定してユーザーによるパスワードの再使用を抑制することは、セキュアなパスワードの使用につながります。

処理

すべてのプロパティでPASSWORD_REUSE_TIMEパラメータをUNLIMITEDに設定します。

4.2.28 ログイン試行失敗回数が過剰に許可されたプロファイル

このポリシーにより、ログイン試行失敗の許容回数は10に制限されます。

FAILED_LOGIN_ATTEMPTSパラメータにより、アカウントのステータスがロックに変更される前に連続して失敗できるログイン試行数が定義されます。これにより、アカウントのパスワードを推測しようとする悪質なユーザーから保護されます。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
クリティカル	セキュリティ	データベース・インスタンス、クラスタ・データベース	Oracleサーバー8以上	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	はい	データベースはセキュアな状態ではありません。プロファイル%profile%のFAILED_LOGIN_ATTEMPTSが%limit%に設定されています。

^脚注 1 このポリシー・ルールは、基礎となるloginserver_failed_loginsメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

最大FAILED_LOGIN_ATTEMPTS: 10（試行失敗回数）

デフォルトで除外されるオブジェクト

該当なし

違反の影響

悪質なユーザーによる手動および自動のパスワード推測を許可してしまいます。

パラメータをUNLIMITEDに設定すると、悪質なユーザーは指定のプロファイルを付与されるすべてのアカウントのパスワードの推測を無制限に試行できます。ただし、値の設定を小さくしすぎると、有効なユーザーがパスワードを誤って入力したときにアカウントをロックしてしまいます。

処理

ユーザー・プロファイルで、FAILED_LOGIN_ATTEMPTS設定の値を10に設定します。

4.2.29 DBMS_JOBへのPUBLIC EXECUTE権限

このポリシーは、DBMS_JOBパッケージに対するEXECUTE権限がPUBLICに付与されていないことを確認します。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
警告	セキュリティ	データベース・インスタンス、クラスタ・データベース	Oracleサーバー8以上	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	はい	データベースはセキュアな状態ではありません。DBMS_JOBパッケージにPUBLICのEXECUTE権限があります。

^脚注 1 このポリシー・ルールは、基礎となるdbmsJobPrivsRepメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

該当なし

デフォルトで除外されるオブジェクト

該当なし

違反の影響

DBMS_JOBパッケージに対するEXECUTE権限をPUBLICに付与すると、ユーザーがデータベースに対してジョブをスケジュールできるようになります。

処理

DBMS_JOBパッケージに対するEXECUTE権限をPUBLICに付与しないでください。

4.2.30 DBMS_LOBへのPUBLIC EXECUTE権限

このポリシーは、DBMS_LOBパッケージに対するEXECUTE権限がPUBLICグループに付与されていないことを確認します。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
クリティカル	セキュリティ	データベース・インスタンス、クラスタ・データベース	Oracleサーバー8以上	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	はい	データベースはセキュアな状態ではありません。DBMS_LOBパッケージにPUBLICのEXECUTE権限があります。

^脚注 1 このポリシー・ルールは、基礎となるdbmsLobRepメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

該当なし

デフォルトで除外されるオブジェクト

該当なし

違反の影響

DBMS_LOBパッケージを使用すると、Oracleソフトウェア・インストールの所有者としてシステム上のファイルにアクセスできます。

処理

PUBLICグループからDBMS_LOBパッケージに対するEXECUTE権限を取り消します。

4.2.31 DBMS SYS SQLへのPUBLIC EXECUTE権限

このポリシーは、DBMS_SYS_SQLパッケージに対するEXECUTE権限がPUBLICに付与されていないことを確認します。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
クリティカル	セキュリティ	データベース・インスタンス、クラスタ・データベース	Oracleサーバー8以上	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	はい	データベースはセキュアな状態ではありません。DBMS_SYS_SQLパッケージにPUBLICのEXECUTE権限があります。

^脚注 1 このポリシー・ルールは、基礎となるdbmsSysSqlRepメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

該当なし

デフォルトで除外されるオブジェクト

該当なし

違反の影響

DBMS_SYS_SQLパッケージを使用すると、PL/SQLおよびSQLをコール元ではなくプロシージャの所有者として実行できます。

処理

PUBLICグループからDBMS_SYS_SQLパッケージに対するEXECUTE権限を取り消します。

4.2.32 PUBLICへのSYSTEM権限

このポリシーは、PUBLICにSYSTEM権限が付与されていないことを確認します。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
クリティカル	セキュリティ	データベース・インスタンス、クラスタ・データベース	Oracleサーバー8以上	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	はい	データベースはセキュアな状態ではありません。システム権限%privilege%がPUBLICに割り当てられています。

^脚注 1 このポリシー・ルールは、基礎となるsystemPrivilegesRepメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

該当なし

デフォルトで除外されるオブジェクト

該当なし

違反の影響

PUBLICロールに付与された権限は、自動的にすべてのユーザーに適用されます。すべてのユーザーにSYSTEM権限が付与されることになるため、セキュリティ上のリスクがあります。

処理

PUBLICロールのSYSTEM権限を取り消します。

4.2.33 無制限の表領域割当て

このポリシーは、データベース・ユーザーに対する表領域の割当てが制限されていることを確認します。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
警告	セキュリティ	データベース・インスタンス、クラスタ・データベース	Oracleサーバー8以上	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	はい	データベースはセキュアな状態ではありません。ユーザー%dbuser%が無制限の表領域割当てを持っています。

^脚注 1 このポリシー・ルールは、基礎となるtableSpaceQuotaRepメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

該当なし

デフォルトで除外されるオブジェクト

該当なし

違反の影響

表領域を無制限に割り当てると、割当て済ディスク領域がすべて使用される可能性があります。また、これによってデータベースが応答しなくなる可能性があります。

処理

表領域を無制限に割り当てられているユーザーに対して、表領域の割当てを制限します。

4.2.34 クリアテキスト・パスワードを使用するデータベース・リンクの使用

クリアテキスト・パスワードを使用するデータベース・リンクが使用されていないこと、つまりパスワードがハッシュまたは暗号化されていることを確認します。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
警告	セキュリティ	データベース・インスタンス、クラスタ・データベース	Oracleサーバー9i以下	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	はい	データベースはセキュアな状態ではありません。データベース・リンク%link%がクリアテキスト・パスワードを使用しています。

^脚注 1 このポリシー・ルールは、基礎となるdbLinkPwdRepメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

該当なし

デフォルトで除外されるオブジェクト

該当なし

違反の影響

SYS.LINK$表にはデータベース・リンクで使用されるクリアテキスト・パスワードが含まれています。悪質なユーザーがSYS.LINK$表からクリアテキスト・パスワードを読み取り、望ましくない結果になる可能性があります。

処理

固定されたユーザー・データベース・リンクを作成しないようにします。

4.2.35 Well Knownアカウント

このポリシーは、Well Knownアカウントが期限切れでロックされていることを確認します。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
警告	セキュリティ	データベース・インスタンス、クラスタ・データベース	Oracleサーバー8以上	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	はい	データベースはセキュアな状態ではありません。アカウント%dbaccount%はロックされておらず、期限切れではありません。

^脚注 1 このポリシー・ルールは、基礎となるinstallAndDemoAcccountsRepメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

該当なし

デフォルトで除外されるオブジェクト

該当なし

違反の影響

悪質なユーザーが、Well Knownアカウントを使用してデータベースへアクセスできます。

処理

Well Knownアカウントを期限切れにしてロックします。

4.2.36 Well Knownアカウント（ステータス）

このポリシーは、Well Knownアカウントが期限切れでロックされていることを確認します。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
警告	セキュリティ	データベース・インスタンス、クラスタ・データベース	Oracleサーバー8以上	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	はい	データベースはセキュアな状態ではありません。アカウント%dbaccount%はロックされておらず、期限切れではありません。

^脚注 1 このポリシー・ルールは、基礎となるinstallAndDemoAccountsRepmetricメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

該当なし

デフォルトで除外されるオブジェクト

該当なし

違反の影響

悪質なユーザーが、Well Knownアカウントを使用してデータベースへアクセスできます。

処理

Well Knownアカウントを期限切れにしてロックします。

4.3 セキュリティ・ポリシー: Windows

Windowsのクラスタ・データベース・ターゲットのセキュリティ・ポリシーは、次のとおりです。

4.3.1 制御ファイルの権限（Windows）

このポリシーにより、制御ファイル・ディレクトリへのアクセス権がOracleソフトウェア・セットの所有者とDBAグループに制限されます。Windows NTベースのプラットフォームに対しては、DELETE、WRITE_DAC、WRITE_OWNER、CHANGE、ADDおよびFULLの権限はクリティカルと判断されます。ポリシーは、前述の権限を付与されたユーザーまたはユーザー・グループ数を示し、ユーザーとユーザー・グループをカッコ囲みでリストします。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
クリティカル	セキュリティ	データベース・インスタンス、クラスタ・データベース	Oracleサーバー8	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	いいえ	データベースはセキュアな状態ではありません。ユーザー%users%に、制御ファイル（%file_name%）に対するクリティカルな権限があります。

^脚注 1 このポリシー・ルールは、基礎となるdbControlFilesPermNTRepメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

該当なし

デフォルトで除外されるオブジェクト

該当なし

違反の影響

制御ファイルとは、データファイルへのアクセスを制御するバイナリ構成ファイルです。制御ファイルは、CONTROL_FILES初期化パラメータで指定されたディレクトリに保存されます。このディレクトリに対するパブリック書込み権限があると、セキュリティ上の重大な問題を引き起こす可能性があります。

処理

制御ファイルに対する権限は、次のユーザーに制限します。

• Oracleソフトウェア・インストールの所有者

• DBAグループ

読取り権限および書込み権限をパブリックに提供しないでください。

4.3.2 Oracleホーム・データファイルの権限（Windows）

このポリシーにより、データファイルへのアクセス権がOracleソフトウェア・セットの所有者とDBAグループに制限されます。Windows NTベースのプラットフォームに対しては、DELETE、WRITE_DAC、WRITE_OWNER、CHANGE、ADDおよびFULLの権限はクリティカルと判断されます。ポリシーは、前述の権限を付与されたユーザーまたはユーザー・グループ数を示し、ユーザーとユーザー・グループをカッコ囲みでリストします。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
クリティカル	セキュリティ	データベース・インスタンス、クラスタ・データベース	Oracleサーバー8以上	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	はい	データベースはセキュアな状態ではありません。ユーザー%users%に、データファイル（%file_name%）に対するクリティカルな権限があります。

^脚注 1 このポリシー・ルールは、基礎となるdbDataFilesPermNTRepメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

該当なし

デフォルトで除外されるオブジェクト

該当なし

違反の影響

データファイルにはすべてのデータベース・データが含まれています。パブリックからデータファイルの読取りが可能な場合、このデータに対するデータベース権限のないユーザーがデータファイルを読み取ることができます。

処理

データファイルに対する権限は、次のユーザーに制限します。

• Oracleソフトウェア・セットの所有者

• DBAグループ

読取り権限および書込み権限をパブリックに提供しないでください。

4.4 記憶域ポリシー

クラスタ・データベース・ターゲットの記憶域ポリシーは、次のとおりです。

4.4.1 デフォルトの永続表領域がシステム表領域に設定されている

このポリシーは、DEFAULT_PERMANENT_TABLESPACEデータベース・プロパティがシステム以外の表領域に設定されていることを検証します。データベースのデフォルトの永続表領域は、永続表領域が明示的に割り当てられていないすべてのユーザーの永続表領域として使用されます。DBAによって変更されるまで、デフォルトの永続表領域はシステム表領域になります。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
警告	記憶域	データベース・インスタンス、クラスタ・データベース	Oracleサーバー10gリリース1以上	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	はい	デフォルトの永続表領域が明示的に設定されていないため、デフォルトでSYSTEM表領域になります。

^脚注 1 このポリシー・ルールは、基礎となるdb_recTablespaceSettingsメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

SYSTEM

デフォルトで除外されるオブジェクト

該当なし

違反の影響

明示的に指定されていない場合、DEFAULT_PERMANENT_TABLESPACEはデフォルトでSYSTEM表領域になります。これは推奨の設定ではありません。データベースのデフォルトの永続表領域は、永続表領域が明示的に割り当てられていないSYSTEM以外のすべてのユーザーの永続表領域として使用されます。データベースのデフォルトの永続表領域がシステム表領域に設定されている場合、表領域が明示的に割り当てられていないすべてのユーザーによって、システム表領域が使用されます。SYSTEM以外のユーザーがデータの格納にシステム表領域を使用することはお薦めしません。このように使用すると、データベースのパフォーマンスが低下する可能性があります。

処理

DEFAULT_PERMANENT_TABLESPACEをシステム以外の表領域に設定します。表領域を作成または編集して、デフォルトの永続表領域として設定します。

DEFAULT_PERMANENT_TABLESPACEのリンクをクリックすると、表領域の検索ページが表示されます。このページから表領域を作成または編集して、デフォルトの永続表領域として設定します。

このデータベース・インスタンスの「管理」プロパティ・ページで、「記憶域」オプションの下にある「表領域」をクリックします。資格証明を入力した後、永続表領域を作成または編集して、デフォルトの永続表領域として設定します。

4.4.2 デフォルトの一時表領域がシステム表領域に設定されている

このポリシーは、DEFAULT_TEMP_TABLESPACEデータベース・プロパティがシステム以外の表領域に設定されていることを検証します。データベースのデフォルトの一時表領域は、一時表領域が明示的に割り当てられていないすべてのユーザーの一時表領域として使用されます。DBAによって変更されるまで、デフォルトの一時表領域はSYSTEM表領域になります。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
警告	記憶域	データベース・インスタンス、クラスタ・データベース	Oracleサーバー9i以上	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	はい	デフォルトの一時表領域が明示的に設定されていないため、デフォルトでSYSTEM表領域になります。

^脚注 1 このポリシー・ルールは、基礎となるdb_recTablespaceSettingsメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

パラメータのデフォルト値は、Oracle Databaseターゲットのバージョンによって異なります。パラメータとそのデフォルト値については、データベース・ターゲットの各バージョンのOracle Databaseドキュメントを参照してください。

デフォルトで除外されるオブジェクト

該当なし

違反の影響

明示的に指定されていない場合、DEFAULT_TEMP_TABLESPACEはデフォルトでSYSTEM表領域になります。これは推奨の設定ではありません。デフォルトの一時表領域は、一時表領域が明示的に割り当てられていないすべてのユーザーの一時表領域として使用されます。データベースのデフォルトの一時表領域がシステム表領域に設定されている場合、一時表領域が明示的に割り当てられていないすべてのユーザーによって、システム表領域が一時表領域として使用されます。一時データの格納にシステム表領域を使用することはお薦めしません。このように使用すると、データベースのパフォーマンスが低下する可能性があります。

処理

DEFAULT_TEMP_TABLESPACEをシステム以外の一時表領域に設定します。Oracle Database 10gリリース1（10.1）以上では、さらに、DEFAULT_TEMP_TABLESPACEを一時表領域グループに設定できます。一時表領域または一時表領域グループを作成するか編集して、デフォルトの一時表領域に設定します。

DEFAULT_TEMP_TABLESPACEのリンクをクリックすると、表領域の検索ページが表示されます。このページから一時表領域を作成または編集して、デフォルトの一時表領域として設定します。

このデータベース・インスタンスの「管理」プロパティ・ページで、「記憶域」オプションの下にある「表領域」をクリックします。資格証明を入力した後、一時表領域を作成または編集して、デフォルトの一時表領域として設定します。

4.4.3 ディクショナリ管理表領域

このポリシーは、ディクショナリ管理表領域が使用されているかどうかを確認します。ローカル管理表領域を使用する必要があります。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
情報	記憶域	データベース・インスタンス、クラスタ・データベース	すべて	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	はい	表領域%TABLESPACE_NAME%はディクショナリ管理されています。パフォーマンスの向上および領域管理の簡略化のために、自動セグメント領域管理を使用して、ローカル管理表領域を使用することをお薦めします。

^脚注 1 このポリシー・ルールは、基礎となるdb_recTablespaceSettingsメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

該当なし

デフォルトで除外されるオブジェクト

該当なし

違反の影響

これらの表領域はディクショナリ管理されています。パフォーマンスの向上および領域管理の簡略化のために、自動セグメント領域管理を使用して、ローカル管理表領域を使用することをお薦めします。

処理

表領域がローカルで管理されるように再定義します。

4.4.4 REDOログ・サイズの不足

このポリシーは、SMALL_REDO_LOGSパラメータを使用して、1MB未満のREDOログ・ファイルをチェックします。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
クリティカル	記憶域	データベース・インスタンス、クラスタ・データベース	すべて	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	はい	データベースのREDOログのサイズが小さすぎます。

^脚注 1 このポリシー・ルールは、基礎となるdb_redo_logsメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

パラメータのデフォルト値は、Oracle Databaseターゲットのバージョンによって異なります。パラメータとそのデフォルト値については、データベース・ターゲットの各バージョンのOracle Databaseドキュメントを参照してください。

デフォルトで除外されるオブジェクト

該当なし

違反の影響

REDOログのサイズが小さいと、システム・チェックポイントでバッファ・キャッシュとI/Oシステムに継続的に高負荷がかかります。

処理

REDOログのサイズを少なくとも1MBに増やします。

4.4.5 SYSTEM表領域のSYSTEM以外のデータ・セグメント

ローカル管理されるセグメントを含む表領域を再定義するか、または「次のエクステント」値に「初期エクステント」の倍数を指定し、増加率の値を0に設定して、これらのセグメントを再定義します。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
情報	記憶域	データベース・インスタンス、クラスタ・データベース	すべて	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	はい	セグメント%OBJECT%は、システム表領域%TABLESPACE_NAME%に格納されているシステム以外のユーザーに属しています。これにより、これらのデータ・セグメントの管理がより困難になり、システム表領域のパフォーマンス低下とセキュリティ上の問題が発生する場合があります。

^脚注 1 このポリシー・ルールは、基礎となるdb_recSegmentSettingsメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

パラメータのデフォルト値は、Oracle Databaseターゲットのバージョンによって異なります。パラメータとそのデフォルト値については、データベース・ターゲットの各バージョンのOracle Databaseドキュメントを参照してください。

デフォルトで除外されるオブジェクト

クラスタ・オブジェクト・タイプ（オブジェクトの再編成ウィザードでサポートされないため）。

デフォルトでOracle DatabaseまたはEnterprise Managerの一部であるすべてのユーザー・アカウント。たとえば、SYS、SYSTEM、SYSMAN、CTXSYS、SCOTT、ADAMSなど。

違反の影響

システム・ユーザー以外に属するこれらのセグメントは、システム表領域（SYSTEMまたはSYSAUX）に格納されています。この違反状態では、これらのデータ・セグメントの管理がより困難になり、システム表領域のパフォーマンス低下の原因となる場合があります。システム・ユーザーには、SYSおよびSYSTEMなどのDBMSの一部であるユーザーや、CTXSYS、SYSMANおよびOLAPSYSなど、Oracleが提供する機能の一部であるユーザーが含まれます。

処理

システム以外のセグメントをシステム以外の表領域に再配置します。

4.4.6 ディクショナリ管理表領域の不均一なデフォルト・エクステント・サイズ

デフォルト・エクステント・サイズが不均一な表領域がないかどうかをチェックします。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
情報	記憶域	データベース・インスタンス、クラスタ・データベース	すべて	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	はい	表領域%TABLESPACE_NAME%で不均一なエクステントを使用しています。均一エクステントを使用すると、表領域内の空きエクステントをいつでもセグメントに使用できます。

^脚注 1 このポリシー・ルールは、基礎となるdb_tablespacesメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

パラメータのデフォルト値は、Oracle Databaseターゲットのバージョンによって異なります。パラメータとそのデフォルト値については、データベース・ターゲットの各バージョンのOracle Databaseドキュメントを参照してください。

デフォルトで除外されるオブジェクト

SYSTEM表領域。このポリシーは、PERMANENT DICTIONARY表領域にのみ適用されます。

違反の影響

均一でないデフォルト・エクステント・サイズを使用している表領域が存在します。1つの表領域内のエクステントは同じサイズにする必要があります。これにより、表領域内の空きエクステントをいつでもセグメントに使用できます。

処理

エクステント・サイズが均一になるように、NEXT値をINITIAL値と等しい値かINITIAL値の倍数にし、PCTINCREASE値をゼロに設定して、各表領域にデフォルトのSTORAGE句を設定します。STORAGE句は、セグメント・レベルでは決して明示的に指定しないでください。セグメントの記憶域の値は、表領域のデフォルトSTORAGE句から継承されるようにします。

4.4.7 SYSTEM表領域のロールバック・セグメント

SYSTEM表領域にロールバックが含まれているかどうかをチェックします。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
情報	記憶域	データベース・インスタンス、クラスタ・データベース	すべて	下の表を参照	はい	SYSTEM表領域にロールバック・セグメント%RBS_NAME%が含まれています。SYSTEM表領域は、Oracleデータ・ディクショナリとその関連オブジェクト専用に確保しておく必要があります。

^脚注 1 このポリシー・ルールは、基礎となるメトリックが収集されるたびに評価されます。

次の表に、ポリシーの基礎となるメトリックを示します。

基礎となるメトリック	収集の頻度
db_init_params	24時間ごと
db_rollback_segs	24時間ごと

デフォルト

パラメータとそのデフォルト値

パラメータのデフォルト値は、Oracle Databaseターゲットのバージョンによって異なります。パラメータとそのデフォルト値については、データベース・ターゲットの各バージョンのOracle Databaseドキュメントを参照してください。

デフォルトで除外されるオブジェクト

該当なし

違反の影響

SYSTEM表領域は、Oracleデータ・ディクショナリとその関連オブジェクト専用に確保しておく必要があります。ユーザー表、ユーザー索引、ユーザー・ビュー、ロールバック・セグメント、UNDOセグメントおよび一時セグメントなど他のオブジェクトの格納には使用しないでください。

処理

SYSTEM表領域ではなく、UNDO専用の表領域を使用します。

4.4.8 エクステント増加ポリシー違反のあるディクショナリ表領域のセグメント

このポリシーは、SEG_EXT_GROWTH_VIOパラメータを使用して、エクステント・サイズが不適切であるか、または増加率が0以外に設定されている（あるいはその両方の）ディクショナリ管理表領域のセグメントをチェックします。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
情報	記憶域	データベース・インスタンス、クラスタ・データベース	すべて	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	はい	表領域%TABLESPACE_NAME%のセグメント%OBJECT%は、エクステント・サイズが不適切であるか、増加率がゼロ以外に設定されているか、あるいはその両方です。この状態では領域が適切に再利用されず、フラグメンテーションの問題が発生することがあります。

^脚注 1 このポリシー・ルールは、基礎となるdb_recSegmentSettingsメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

パラメータのデフォルト値は、Oracle Databaseターゲットのバージョンによって異なります。パラメータとそのデフォルト値については、データベース・ターゲットの各バージョンのOracle Databaseドキュメントを参照してください。

デフォルトで除外されるオブジェクト

該当なし

違反の影響

これらのセグメントには、サイズが初期エクステントの倍数ではない、または増加率がゼロ以外に設定されている（あるいはその両方の）エクステントが含まれています。この状態では領域が適切に再利用されず、フラグメンテーションの問題が発生することがあります。

処理

ローカル管理されるセグメントを含む表領域を再定義するか、または「次のエクステント」値に「初期エクステント」の倍数を指定し、増加率の値を0に設定して、これらのセグメントを再定義します。

4.4.9 自動セグメント領域管理が使用されていない表領域

このポリシーは、MANUALセグメント領域管理を使用しているローカル管理表領域をチェックします。

セグメント領域管理の設定には、MANUALとAUTOの2種類があります。

• MANUALセグメント領域管理では、空きリストを使用して、セグメント内の空き領域が管理されます。空きリストは、行の挿入に使用できる領域を持つデータ・ブロックのリストです。このような形式のセグメント領域管理では、表領域内で作成されたスキーマ・オブジェクトのPCTUSED、FREELISTSおよびFREELIST GROUPS記憶域パラメータを指定してチューニングする必要があります。

• AUTOセグメント領域管理では、ビットマップを使用して、セグメント内の空き領域が管理されます。このビットマップは、行の挿入に使用できるブロック内の領域の大きさに対する、セグメント内の各データ・ブロックのステータスを示します。ビットマップを使用することで、データベースによる空き領域の自動管理が可能になります。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
情報	記憶域	データベース・インスタンス、クラスタ・データベース	Oracleサーバー9.2以上	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	はい	表領域%TABLESPACE_NAME%では自動セグメント領域管理を使用していません。

^脚注 1 このポリシー・ルールは、基礎となるdb_recTablespaceSettingsメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

パラメータのデフォルト値は、Oracle Databaseターゲットのバージョンによって異なります。パラメータとそのデフォルト値については、データベース・ターゲットの各バージョンのOracle Databaseドキュメントを参照してください。

デフォルトで除外されるオブジェクト

該当なし

違反の影響

自動セグメント領域管理は、セグメント内の領域を管理する、より簡単で効率的な方法です。これを使用すると、表領域内で作成されたスキーマ・オブジェクトのPCTUSED、FREELISTSおよびFREELIST GROUPS記憶域パラメータを指定してチューニングする必要が完全になくなります。

RAC環境では、空きリスト・グループを使用する場合の領域の難しいパーティション化を回避できるという利点もあります。

処理

すべての永続ローカル管理表領域のセグメント領域管理をAUTOに変更します。

リストに含まれる各表領域の名前をクリックすると、その表領域が選択された状態でオブジェクトの再編成ウィザードが起動します。このウィザードを使用して、表領域のセグメント領域管理をMANUALからAUTOに変更できます。

4.4.10 ロールバックおよびデータ・セグメントを含む表領域

このポリシーは、TBSP_MIXED_SEGSパラメータを使用して、ロールバック・セグメントとデータ・セグメントの両方を含む表領域がないかどうかをチェックします。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
情報	記憶域	データベース・インスタンス、クラスタ・データベース	すべて	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	はい	表領域%TABLESPACE_NAME%には、ロールバック・セグメントとデータ・セグメントの両方が含まれています。このようにタイプの異なるセグメントを混在させると、領域管理がより困難になり、表領域のパフォーマンスが低下することもあります。

^脚注 1 このポリシー・ルールは、基礎となるdb_recTablespaceSettingsメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

パラメータのデフォルト値は、Oracle Databaseターゲットのバージョンによって異なります。パラメータとそのデフォルト値については、データベース・ターゲットの各バージョンのOracle Databaseドキュメントを参照してください。

デフォルトで除外されるオブジェクト

SYSTEM表領域

違反の影響

これらの表領域には、ロールバック・セグメントとデータ・セグメントの両方が含まれています。このようにタイプの異なるセグメントを混在させると、領域管理がより困難になり、表領域のパフォーマンスが低下することもあります。ロールバック・セグメント専用の表領域を使用すれば、可用性とパフォーマンスが向上します。

処理

自動UNDO管理（Oracleサーバーのリリース9.0.1以上）を使用して、次のいずれかを行います。

• この表領域からロールバック・セグメントを削除する

• ロールバック・セグメント専用に1つ以上の表領域を作成して、この表領域からロールバック・セグメントを削除する

• この表領域をロールバック・セグメント専用とし、データ・セグメントを他の表領域に移動する

4.4.11 システム表領域をデフォルト表領域として使用しているユーザー

このポリシーは、SYSTEM_AS_DEFAULT_TBSPパラメータを使用して、システム表領域がデフォルトの表領域に設定されているユーザーをチェックします。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
情報	記憶域	データベース・インスタンス、クラスタ・データベース	すべて	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	はい	ユーザー%USER_NAME%がSYSTEM表領域をデフォルト表領域として使用しています。SYSTEM表領域にシステム以外のデータ・セグメントが追加されるため、SYSTEM表領域のパフォーマンスが低下します。

^脚注 1 このポリシー・ルールは、基礎となるdb_recUserSettingsメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

パラメータのデフォルト値は、Oracle Databaseターゲットのバージョンによって異なります。パラメータとそのデフォルト値については、データベース・ターゲットの各バージョンのOracle Databaseドキュメントを参照してください。

デフォルトで除外されるオブジェクト

クラスタ・オブジェクト・タイプ（オブジェクトの再編成ウィザードでサポートされないため）。

デフォルトでOracle DatabaseまたはEnterprise Managerの一部であるすべてのユーザー・アカウント。たとえば、SYS、SYSTEM、SYSMAN、CTXSYS、SCOTT、ADAMSなど。

違反の影響

これらのユーザーが、システム表領域をデフォルト表領域として使用しています。この違反状態では、システム以外のデータ・セグメントがシステム表領域に追加されるため、これらのデータ・セグメントの管理がより困難になり、システム表領域のパフォーマンス低下の原因となります。

処理

これらのユーザーのデフォルト表領域を変更し、システム以外の表領域を指定します。

4.4.12 永続表領域を一時表領域として使用しているユーザー

このポリシーは、PERM_AS_TEMP_TBSPパラメータを使用して、永続表領域が一時表領域として使用されているかどうかを検出します。

ポリシー・サマリー

次の表に、ポリシーの主要プロパティを示します。

重大度	カテゴリ	ターゲット・タイプ	影響のあるバージョン	ポリシー・ルールの評価脚注 1	自動的に有効化されるか	アラート・メッセージ
情報	記憶域	データベース・インスタンス、クラスタ・データベース	Oracleサーバー9.2以上	基礎となるメトリックは、24時間に1度の頻度で収集を行います。	はい	ユーザー%USER_NAME%が永続表領域%TABLESPACE_NAME%を一時表領域として使用しています。永続表領域を一時表領域として使用すると、特にReal Application Clustersではパフォーマンスが低下します。

^脚注 1 このポリシー・ルールは、基礎となるDb_recUserSettingsメトリックが収集されるたびに評価されます。

デフォルト

パラメータとそのデフォルト値

パラメータのデフォルト値は、Oracle Databaseターゲットのバージョンによって異なります。パラメータとそのデフォルト値については、データベース・ターゲットの各バージョンのOracle Databaseドキュメントを参照してください。

デフォルトで除外されるオブジェクト

該当なし

違反の影響

これらのユーザーは、永続表領域を一時表領域として使用しています。一時表領域を使用すれば、ソート操作の領域管理をさらに効率的にできます。ソート操作に永続表領域を使用した場合、特にReal Application Clustersではパフォーマンス低下の原因になることがあります。

処理

これらのユーザーの一時表領域を変更し、タイプがTEMPORARYの表領域を指定します。