10g リリース2（10.2）
B19197-03
 目次 |
 索引 |
| Oracle Database 2日でデータベース管理者 10g リリース2（10.2） B19197-03 |
|
この章では、ユーザー・アカウントの作成および管理方法について説明します。この章の内容は次のとおりです。
ユーザーがデータベースにアクセスするには、データベース管理者がユーザー・アカウントを作成し、そのアカウントに適切なデータベース・アクセス権限を付与する必要があります。ユーザー・アカウントはユーザー名で識別され、次のようなユーザーのセキュリティ属性を定義します。
ユーザー・アカウントは、通常、データベース管理者または特にアカウント作成やセキュリティ管理の担当者が作成します。ユーザー・アカウントを作成した後、基本的な権限をそのアカウントに付与して、ユーザーがデータベースに接続し、データベース・オブジェクト（スキーマ・オブジェクトともいう）を表示および作成できるようにする必要があります。スキーマ名はユーザー名と同じです。
すべてのデータベースには、SYS、SYSTEM、SYSMANおよびDBSNMP管理者アカウントが含まれています。他のアカウントは、インストールされる機能またはオプションに応じて含まれます。
Oracleデータベースで提供される管理者アカウントの使用は、認可ユーザーに限定する必要があります。これらのアカウントは、不正アクセスを防ぐために、最初はパスワードを期限切れにしてロックされています。「アカウントのロック解除およびパスワードの再設定」に説明するとおり、データベース管理者は、これらのアカウントのロックを解除し、アカウントを再設定する必要があります。表7-1に、いくつかのアカウントの説明を示します。
作成されるほぼすべてのアカウントは管理アカウントですが、サンプル・スキーマのアカウントもあります。Oracleデータベースのサンプル・スキーマは、相互に関連するスキーマの集合であり、OracleのドキュメントおよびOracle by Example Seriesにおける共通のデータベース・タスクの説明で使用されます。
hr）スキーマは、基本的な項目を説明するために使用されます。このスキーマの拡張機能では、Oracle Internet Directoryのデモをサポートしています。
oe）スキーマは、中間レベルの複雑な問題を処理するために使用されます。このスキーマでは、非スカラー・データ型など、多くのデータ型を選択できます。
oc）・サブスキーマは、oeスキーマ内部に作成されたオブジェクト・リレーショナル・データベース・オブジェクトの集合です。
pm）・スキーマは、マルチメディア・データ型専用のスキーマです。
ix）スキーマは、Oracle Advanced Queuing機能の例を示します。
sh）スキーマは、大量のデータを含むデモ用に設計されています。このスキーマの拡張機能では、拡張分析処理をサポートしています。システム権限、オブジェクト権限およびロールによって、基本的なレベルのデータベース・セキュリティが提供されます。これらは、ユーザーによるデータへのアクセスを制御し、ユーザーが実行可能なSQL文を制限します。
ロールは権限をグループ化したものであり、様々なレベルのデータベース・アクセス権を作成するために使用できます。たとえば、ユーザーが表およびプログラムを作成できるように、アプリケーション開発者用のロールを作成できます。
他のユーザーに権限およびロールを付与できるのは、その必要な権限を所有している場合のみです。ロールおよび権限の付与は、管理者レベルで開始します。データベース作成時、管理者ユーザーSYSが作成され、すべてのシステム権限および事前定義されたOracleロールが付与されます。ユーザーSYSは、この後、権限およびロールを他のユーザーに付与したり、そのユーザーが他のユーザーに特定の権限を付与する権限を付与できます。
表7-2に、権限およびロールの説明および例を示します。
| 権限またはロール | 説明 | 例 |
|---|---|---|
|
システム権限 |
通常、管理者が管理者に対してのみ付与する、Oracleが定義した権限。システム権限によって、ユーザーは特定のデータベース操作を実行できる。 |
ユーザーに付与できるシステム権限の例: |
|
オブジェクト権限 |
特定のオブジェクトへのアクセスを制御する権限。 |
ユーザーに付与できるオブジェクト権限の例: |
|
ロール |
権限または他のロールのグループ。 |
Oracleで定義されたロールの例:
この権限を付与されている場合は、独自にロールを作成できる。 |
Oracleデータベースをインストールすると、次の管理アカウントが自動的に作成されます。
Oracleデータベースを作成すると、ユーザーSYSが自動的に作成され、DBAロールが付与されます。
データベースのデータ・ディクショナリのすべての実表およびビューは、スキーマSYSに格納されます。これらの実表およびビューは、Oracleデータベースの操作において必須です。データ・ディクショナリの整合性を保持するため、SYSスキーマの表は、データベースによってのみ操作されます。ユーザーまたはデータベース管理者はそれらを変更できません。また、必要に応じてデータ・ディクショナリ設定の記憶域パラメータは変更できますが、ユーザーSYSのスキーマ内に表は作成できません。
ほとんどのデータベース・ユーザーがSYSアカウントを使用してOracleデータベースに接続できないようにしてください。
Oracleデータベースを作成すると、ユーザーSYSTEMも自動的に作成され、DBAロールが付与されます。
SYSTEMユーザーは、管理情報を表示する特別な表やビュー、およびOracleデータベースの各種オプションやツールが使用する内部的な表およびビューを作成できます。SYSTEMスキーマを使用して、管理者ではないユーザーの表を格納しないでください。
Oracleデータベースをインストールするたびに、事前定義されたDBAロールが自動的に作成されます。このロールには、データベースのほとんどのシステム権限が含まれます。したがって、DBAロールは、実際のデータベース管理者にのみ付与する必要があります。DBAロールには、SYSDBAまたはSYSOPERシステム権限は含まれません。
SYSDBAおよびSYSOPERは、基本的なデータベース操作（データベースの作成、インスタンスの起動および停止など）を実行するために必要な権限です。必要な認可レベルに応じて、これらの権限のうちのいずれかが付与されている必要があります。
また、SYSDBAおよびSYSOPER権限は、他の方法では権限を付与できない特定のデータベース操作を実行できるようにする接続タイプとみなすこともできます。たとえば、SYSDBA権限を持つユーザーは、CONNECT AS SYSDBAと指定すると、データベースに接続できます。
次の手順で、Enterprise Managerを使用して既存のロールを表示できます。
「ロール」ページが表示されます。このページから、ロールを作成、編集、表示または削除できます。「ロール」ページの構成および機能は、図7-2の「ユーザー」ページと同様です。
CONNECTロールを選択します。
「表示」ページが表示されます。このページに、CONNECTロールに関連するすべての権限およびロールが表示されます。
アプリケーションの配置に必要な権限が含まれている保護ロールを作成できます。このロールは、ユーザーが必要とするデータ・アクセスのレベルによって、他のロールまたはユーザーに付与できます。
この項では、APPDEVというアプリケーション開発者ロールを作成します。
APPDEVロールを作成するには、次の手順を実行します。
「ロール」ページが表示されます。
「ロールの作成」の「一般」ページが表示されます。
APPDEVと入力して、アプリケーション開発者に対する新しいロールを作成します。
作成したAPPDEVロールを含むすべてのロールがリストされたページが表示されます。必要な権限を追加することによって、この新しいロールを変更できます。
ロールには、ロール、権限およびコンシューマ・グループを追加できます。この項では、前述の項で作成したAPPDEVロールに、様々なオブジェクトを作成できる基本的なシステム権限（表7-3を参照）を追加します。これらのオブジェクトについては、第8章「スキーマ・オブジェクトの管理」を参照してください。
APPDEVロールを変更するには、次の手順を実行します。
「ロール」ページが表示されます。
「システム権限」列にアイテムは表示されません。
「システム権限の変更ページが表示されます。
「ロールの編集: APPDEV」ページに戻ります。
ロールが正常に変更されたことを示す確認メッセージが表示されます。
この項では、「ロールの削除」で作成したAPPDEVロールを削除します。
APPDEVロールを削除するには、次の手順を実行します。
「ロール」ページが表示されます。
APPDEVロールを選択して、「削除」をクリックします。確認ページが表示されます。
確認メッセージによって、ロールが正常に削除されたことが示されます。
ユーザー・プロファイルは、ユーザーに対するパスワード管理ポリシーを確立し、特定のデータベース・リソースに対するユーザー・アクセスの制限を設定します。「ユーザーの作成」でユーザーを作成する場合は、Oracleが提供するデフォルト・プロファイルを割り当てます。このデフォルト・プロファイルは、そのリソース仕様において自由度が高く、パスワードの使用に対して厳しい制限はありません。
デフォルト・プロファイルの属性を表示するには、次の手順を実行します。
「プロファイル」ページが表示されます。このページで、プロファイルを作成、編集、表示または削除できます。「プロファイル」ページの構成および機能は、図7-2の「ユーザー」ページと同様です。
DEFAULTプロファイルを選択して、「表示」をクリックします。「表示」ページが表示されます。このページに、DEFAULTプロファイルに関連するすべての属性が表示されます。
データベース・リソースの使用率および制限は、Database Resource Managerで管理されます。Database Resource Managerについては、オンライン・ヘルプを参照するか、または「データベース」の「管理」ページの「リソース・マネージャ」セクション内のリンクをクリックしてそのページを表示することができます。
Enterprise Managerを使用して、データベース・ユーザーを管理できます。ロールおよび権限に基づいてデータベースにアクセスできる特定のユーザーを作成できます。たとえば、アプリケーションの開発に必要な権限（ロールに対して付与できる）を持つ特定のユーザーMYUSERを作成できます。また、データベースを管理することを目的として他のユーザーを作成することもできます。
「管理」ホームページの「ユーザーおよび権限」セクションで、「ユーザー」をクリックします。図7-2に示す、「ユーザー」ページが表示されます。このページから、データベース・ユーザーを表示、追加、編集または削除できます。
この項では、MYUSERという名前のユーザーを作成してパスワードを設定し、MYUSERをUSERS表領域に割り当てます。これらの一連のタスクによって、MYUSERでデータベースにログインできるようになります。その後、ユーザーの編集、およびこのユーザーへのロールの割当てについて説明します。
データベース・ユーザーを作成するには、ユーザーSYSまたはSYSTEMで次のタスクを実行します。
図7-3に示す「ユーザーの作成」の「一般」ページが表示されます。「一般」ページは、「ユーザー」プロパティ・ページにある一連のページの1つです。
MYUSERと入力します。
DEFAULTをそのまま使用します。プロファイルは、リソース制限を指定します。このプロファイルでは、ユーザーがEnterprise Managerにログインできないことに注意してください。Enterprise Managerにログインするには、ユーザーにDBAロールが割り当てられている必要があります。詳細は、「ロールの管理」を参照してください。
Passwordをそのまま使用します。認証方法の詳細は、『Oracle Databaseセキュリティ・ガイド』を参照してください。
USERS表領域を選択します。各ユーザーは異なるデフォルトを指定できますが、ユーザ・レベルではなくデータベース・レベルでデフォルトの永続表領域およびデフォルトの一時表領域を定義する方法が、容易な定義方法です。USERS表領域の詳細は、「データベースの一部の表領域」を参照してください。
TEMP表領域を選択します。TEMP表領域の詳細は、「データベースの一部の表領域」を参照してください。
後で、アカウントをロックして、ユーザーがデータベースにアクセスできないようにすることができます。ユーザーを削除すると、関連するすべての表およびデータが削除されるため、ユーザーを削除するのではなく、アカウントをロックすることをお薦めします。
「ユーザー」ページが表示されます。新しいユーザーmyuserのエントリが表示されます。
「ユーザー」の「一般」ページは、いくつかのその他のプロパティ・ページにリンクされています。たとえば、ユーザー・ロール、権限、割当て制限、コンシューマ・グループおよびプロキシ・ユーザーを指定できます。コンシューマ・グループとは、処理の必要性に基づいてグループ化された、ユーザーまたはセッションのグループです。
|
注意: このタスクは、通常のデータベース・ユーザーを作成します。システム管理者権限をユーザーに付与するには、第3章「Oracle Enterprise Managerの概要」に記載されている手順を追加して実行する必要があります。 |
後でユーザーMYUSERまたは別の既存のユーザーと同様のユーザーを作成する場合は、簡単な方法があります。
新しいユーザーを簡単な方法で作成するには、次の手順を実行します。
MYUSERを選択します。
「ユーザーの作成」の「一般」ページが表示されます。このページに、同じ属性でコピーされた新規ユーザーが複製ユーザーとして表示されます。
「アクション」リストには、他の操作についても簡単な方法が表示され、さらにユーザーの作成に使用するSQL DDLの表示方法も示されます。
ユーザー属性を変更するには、「ユーザー」ページ（図7-2）に移動し、「編集」をクリックします。次に、変更する属性が含まれているプロパティ・ページを選択します。
新しいユーザーを作成した場合、そのユーザーは、表領域割当てを指定されるまでデータを保存できません。ユーザーMYUSERがデータを保存するには、次の手順を実行します。
ユーザーMYUSERに対する表領域の割当て制限を変更するには、次の手順を実行します。
MYUSERを選択し、「編集」をクリックします。「ユーザーの編集」の「一般」ページが表示されます。
このユーザーのすべての表領域には、0MBの割当て制限が設定されています。これは、MYUSERのいずれの表領域にも割当て制限がないことを意味します。MYUSERは、USERS表領域に属するため、表および別のスキーマ・オブジェクトをこの表領域に作成するための割当て制限を持っている必要があります。
USERS表領域の「割当て制限」リストから、「値」を選択します。
100と入力します。
これで、ユーザーMYUSERはUSERS表領域にオブジェクトを作成できます。
ユーザーは、ロックされているアカウントにはアクセスできません。インストール中、Oracle提供のデータベース・ユーザー・アカウントをロック解除および再設定できます。その時点でこれらのアカウントのロック解除を選択しなかった場合は、ここでロック解除できます。
データベース・アカウントをロック解除するには、次の手順を実行します。
EXPIRED AND LOCKEDと示されているユーザーを選択します。たとえば、DMSYSを選択します。
この操作によって、ユーザー・アカウントがロック解除されます。「アカウント・ステータス」がEXPIREDになります。この操作ではパスワードが再設定されないため、ユーザーはデータベースにログインできません。
「ユーザーの編集」の「一般」ページが表示されます。
ロック解除や再設定する各アカウントに対して、この手順を実行する必要があります。
アカウントのロック手順もロック解除の手順と同様です。ユーザーを選択した後、「アクション」リストから「ユーザーのロック」を選択します。アカウントをロックすると、アカウントへのアクセスが拒否されます。
「ユーザーの編集」ページの他のプロパティ・ページを参照すると、アカウントのロック解除や再設定の結果を確認できます。具体的には、「ロール」、「システム権限」および「オブジェクト権限」リンクをクリックして、アカウントを有効にしているユーザーの権限を確認します。
Enterprise Managerを使用して、ユーザーにロールを付与できます。たとえば、データベースの管理を許可するDBAロールをユーザーに付与することができます。また、「ロールの作成」で作成したAPPDEVロールなどのユーザーが作成したロールを付与することもできます。
DBAおよびAPPDEVロールをMYUSERに付与するには、次の手順を実行します。
MYUSERを選択し、「編集」をクリックします。「ユーザーの編集: MYUSER」ページが表示されます。
MYUSERのロールがリストされたページが表示されます。表示されるロールはCONNECTロールのみです。
「ロールの変更」ページが表示されます。
DBAを選択し、「移動」をクリックして「選択したロール」リストに追加します。APPDEVロールに対しても同様の手順を実行します。ロールをダブルクリックして移動することもできます。
「ロール」プロパティ・ページが表示されます。
ユーザーからロールを取り消すこともできます。
DBAロールをMYUSERから取り消すには、次の手順を実行します。
MYUSERを選択し、「編集」をクリックします。「ユーザーの編集: MYUSER」ページが表示されます。
MYUSERのロールがリストされたページが表示されます。
「ロールの変更」ページが表示されます。
DBAロールを選択し、「削除」をクリックして「使用可能なロール」リストに含めます。
「ロール」プロパティ・ページが表示されます。
Enterprise Managerでは、ユーザーを削除できます。ただし、ユーザーを削除する場合は注意する必要があります。この操作によってユーザーが所有しているすべてのスキーマ（表および索引を含む）が削除されるためです。ユーザーによるデータベースへのアクセスを拒否する場合は、ユーザー・アカウントをロックするか、またはユーザー・パスワードを期限切れにする方法をお薦めします。詳細は、「アカウントのロック解除およびパスワードの再設定」を参照してください。
MYUSERを削除するには、次の手順を実行します。
Oracle by Example（OBE）には、このマニュアルに関するシリーズが含まれています。このOBEでは、この章のタスクを段階的に説明し、注釈付きのスクリーン・ショットを使用します。
ユーザーのOBEを参照するには、ご使用のブラウザで次の場所を指定します。
http://www.oracle.com/technology/obe/10gr2_2day_dba/users/users.htm
|
 Copyright © 2006 Oracle Corporation. All Rights Reserved. |
|