Essbaseネイティブ・セキュリティ・モードでのユーザーの管理およびセキュリティ

ユーザーの作成とは、ユーザー名、パスワードおよび権限を定義することを意味します。また、ユーザーのグループ・メンバーシップを指定したり、ユーザーが次のログイン試行でパスワードを変更する必要があることや、ユーザー名を使用不可にしてユーザーがログオンできないように指定することもできます。

ユーザー名には、ESSLANG変数で参照されるコード・ページ内で定義されている文字のみ使用できます。

たとえば、adminという名前のユーザーを作成して、管理者権限を付与するには、次のMaxLステートメントを実行します:

         create user admin identified by 'password';
      

         grant administrator to admin;
      

EssbaseとPlanningには、EssbaseユーザーとPlanningユーザーに対するアプリケーション・アクセス・タイプという概念があります。たとえば、EssbaseユーザーをいずれかのEssbase管理ツールを使用して作成すると、そのユーザーには自動的にアプリケーション・アクセス・タイプ「Essbase」が割り当てられます。PlanningユーザーをPlanningインタフェースを使用して作成すると、そのユーザーには自動的にアプリケーション・アクセス・タイプ「Planning」が割り当てられます。ユーザーのアプリケーション・アクセス・タイプによって、そのユーザーがEssbaseアプリケーションのみまたはPlanningアプリケーションのみにアクセスできるのか、あるいは両方にアクセスできるのかが指定されます。

Planningユーザーのアプリケーション・アクセス・タイプの指定方法は、Oracle Hyperion Planningのドキュメンテーションを参照してください。

グループは、最小限のアクセス権を共有するユーザーで構成されています。ユーザーをグループに配置することにより、各ユーザーに同一の権限を繰り返し割り当てる時間が節約されます。

グループを作成、編集またはコピーするプロセスは、グループのパスワードが存在しない点を除き、ユーザーに対するプロセスと同じです。グループ名と権限を、ユーザーの場合と同様に定義します。

ユーザーを作成する場合は、そのユーザーをグループに割り当てられます。同様に、グループを作成する場合も、ユーザーをそのグループに割り当てられます。グループのパスワードは存在しないため、ユーザーごとにパスワードを定義する必要があります。

ユーザーおよびグループに権限を割り当てる方法の1つに、ユーザーおよびグループの作成または編集(権限の変更)時に、ユーザーおよびグループのタイプを定義する方法があります。

Administration Servicesでは、システムレベルの権限を指定するために、ユーザーやグループを異なる方法で作成できます。これらの方法は、管理サービス・コンソールではユーザー・タイプとして表されます。MaxLにはユーザー・タイプは存在せず、かわりに、ユーザーを作成した後に権限を付与します。

Administration Servicesでは、次のタイプを使用してユーザーを作成できます:

Essbaseネイティブ・セキュリティ・モードでのユーザーの作成およびEssbaseネイティブ・セキュリティ・モードでのグループの作成を参照してください。

ユーザーやグループに対して、どのユーザー・タイプにも暗黙的には含まれていないリソース固有の権限を付与する必要がある場合は、Administration Servicesでユーザーを作成または編集するときに、特定のアプリケーション権限またはデータベース権限を付与できます。MaxLを使用する場合は、grantステートメントを使用してユーザーを作成した後に、これらの権限を付与します。

ユーザーおよびグループに対して、アプリケーションおよびデータベースに関する権限を付与したり変更したりする操作は、ユーザー編集の観点から行うことも、アプリケーションまたはデータベース・セキュリティの観点から行うこともできます。これらの結果は同じです。

すでに管理者であるユーザーまたはグループに権限を付与する必要はありません。これらのユーザーまたはグループは、Essbaseサーバー上のすべてのリソースに対する完全な権限を持っています。特定のデータベースについて、ユーザーまたはグループに、次のいずれかの権限も付与できます:

ユーザーやグループに、特定のアプリケーションまたはデータベースのためのアプリケーション・マネージャまたはデータベース・マネージャの権限を付与できます。これらの権限は、特定のアプリケーションまたはデータベースを担当する必要があるが、他の目的には通常ユーザーの権限のみが必要なユーザーに管理権限を割り当てる場合に有効です。

次のいずれかの条件を満たす場合は、他のユーザーにデータベース・アクセス権を付与する必要があります:

ユーザーまたはグループにデザイナ権限を付与するために使用できる方法については、Essbaseネイティブ・セキュリティ・モードにおけるユーザーやグループへのアプリケーション・アクセス権およびデータベース・アクセス権の付与を参照してください。

ユーザーの編集とは、ユーザーを作成したときに確立されたセキュリティ・プロファイルを変更することを意味します。ユーザー・パスワードの変更方法は、Essbaseネイティブ・セキュリティ・モードでのパスワード変更の適用を参照してください。

グループの編集とは、グループを作成したときに確立したセキュリティ・プロファイルを変更することを意味します。

同じ権限を持つユーザーを別のユーザーとして作成するための簡単な方法に、既存のユーザーのセキュリティ・プロファイルのコピーがあります。この新しいユーザーには、元のユーザーと同じユーザー・タイプ、グループ・メンバーシップおよびアプリケーション/データベース・アクセス権が割り当てられます。

また、既存のグループのセキュリティ・プロファイルをコピーすることによって新しいグループも作成できます。この新しいグループには、元のグループと同じグループ・タイプ、ユーザー・メンバーシップおよびアプリケーション・アクセス権が割り当てられます。

権限に応じて、同じEssbaseサーバー上のユーザーやグループをコピーしたり、あるEssbaseサーバーから別のEssbaseサーバーにコピーしたりできます。また、ユーザーやグループを、アプリケーションとともにサーバー間で移行もできます。Oracle Essbase Administration Services Online Helpの「ユーザーのコピー」を参照してください。

ユーザーまたはグループをコピーするには、既存のユーザーまたはグループのセキュリティ・プロファイルを複製し、それに新しい名前を付けます。これにより、同一にしようとしている権限を再割り当てる時間が節約されます。

アプリケーション設定を変更することによって、アプリケーションに適用される権限やその他のセキュリティ設定を定義できます。アプリケーションに対して定義するこれらの設定は、ユーザー・レベルでさらに高い権限が付与されたユーザーを除き、すべてのユーザーに影響を与えます。

アプリケーション設定を変更できるのは、管理者権限(またはそのアプリケーションに関するアプリケーション・マネージャ権限)を持つユーザーのみです。

参照:

次のアプリケーション設定が可能です:

様々なレベルのアプリケーション・セキュリティに、次の設定が使用できます:

表123は、アプリケーション保護設定の導入が有効になるとき、その期間、および影響を与えるユーザーに関する説明です。

MaxLスクリプトでコマンドまたは更新を使用不可にする場合は、スクリプトの最後がセッションの終わりになることに注意してください。現在のMaxLスクリプトからネストしたMaxLまたはESSCMDスクリプトを呼び出すと、そのセッションも終了します。

ESSCMDスクリプトでコマンドまたは更新を使用不可にする場合は、スクリプトの最後がセッションの終わりになりますが、現在のESSCMDスクリプトからネストしたESSCMDスクリプトを呼び出しても、セッションは終了しません。

停電またはシステムの問題が発生し、Essbaseサーバーが不適切な方法でEssbaseクライアントから切断され、アプリケーションにアクセスできなくなった場合は、アプリケーションをシャットダウンして再起動する必要があります。アプリケーションの開始と停止を参照してください。

アプリケーションまたはデータベース・レベルで、最小限のデータベース・アクセス権を指定できます。最小限のデータベース・アクセス権がアプリケーションに対して指定されている場合は、そのアプリケーション内のすべてのデータベースに適用されます。最小限の権限が、アプリケーションまたはデータベースに対して「なし」(または「アクセス権なし」)より高いレベルに設定されている場合は、すべてのユーザーがそれらのデータベースへのアクセスのためにその権限を継承します。

たとえば、あるアプリケーションに最小限のデータベース・アクセス・レベルとして読取り権限が割り当てられている場合は、個々のユーザーの権限に読取りアクセス権が含まれていなくても、すべてのユーザーがそのアプリケーション内の任意のデータベースを読み取れます。同様に、あるデータベースに最小限の権限として「なし」が設定されている場合は、十分な権限が(直接の付与によって、あるいはフィルタまたはグループ・メンバーシップにより暗黙的に)付与されているユーザーのみがそのデータベースにアクセスできます。

管理者、アプリケーション・マネージャまたはデータベース・マネージャの権限を持つユーザーは、自分が所有しているアプリケーションまたはデータベースに適用される最小権限の設定には影響されません。管理者はすべてのリソースに対するフル・アクセス権を、アプリケーション・マネージャとデータベース・マネージャは自分のアプリケーションまたはデータベースに対するフル・アクセス権を持っています。

最小限の権限より低い権限を持つユーザーまたはグループは、どのアプリケーションまたはデータベースに関しても、少なくともその最小限の権限は継承します。

アプリケーションの最小権限の設定への変更は、この設定より権限が低いデータベースにのみ影響を与えます。つまり、より低いレベルで定義された設定の方が、よりグローバルな設定より優先されます。

表124に表示されている権限は、アプリケーションおよびデータベースの最小限の設定として使用できます。アプリケーションのデータベースは、アプリケーション権限がデータベースの権限より高く設定されている場合は常に、そのアプリケーションの権限を継承します。

セキュリティ・システムにより、メンテナンス作業を実行するために、ユーザーをEssbaseサーバーから切断できます。

セッションを表示したり、セッションを切断したり、要求を終了したりするには、管理者権限または指定されたアプリケーションのアプリケーション・マネージャの権限が必要です。表示したり終了したりできるのは、自分の権限以下の権限を持つユーザーのセッションまたは要求のみです。

セッションとは、システム、アプリケーション、またはデータベース・スコープでEssbaseサーバーに接続されているユーザーのログインからログアウトまでの時間を指します。ユーザーは、いつでも複数のセッションを開けます。たとえば、ユーザーは別のデータベースにログオンできます。適切な権限を持っている場合は、選択した任意の基準に基づいてセッションをログオフできます;たとえば、管理者は、すべてのデータベースまたは1つのデータベースからユーザーをログオフできます。

要求とは、ユーザーまたは別のプロセスによってEssbaseサーバーに送信されたクエリーのことです。たとえば、データベースのデフォルト計算や、データベース・アウトラインの再構築などがあります。各セッションは、一度に1つの要求のみを処理できます。

Smart Viewのユーザーは、データをスプレッドシートからサーバーに対話的に送信できます。複数ユーザーの同時アクセスを可能にしながらデータ整合性を維持するために、Essbaseでは、ユーザーが更新の目的でデータをロックできます。データを更新しようとするユーザーは、他のユーザーが同じデータの変更を試みられないようにするために、まずレコードをロックする必要があります。

場合によっては、ロック解除操作の強制が必要になることがあります。たとえば、アクティブなロックを含むデータベースを計算しようとした場合、ロックが検出されると計算は待機しなければならなくなります。そのロックを解除することにより、計算を再開できるようになります。

ロックしているユーザーの表示と、そのロックの除去を実行できるのは、管理者のみです。

ユーザーに許可されるログイン試行の回数、サーバーから使用不可にされるまでユーザー・アカウントが非アクティブ状態になる日数、およびユーザーが同じパスワードを使用できる日数に制限を加えられます。これらの設定にアクセスできるのは、システム管理者(管理者権限を持つユーザー)のみです。これらの制限は、サーバー上のすべてのユーザーに適用され、「OK」をクリックすると有効になります。

ユーザーのパスワードを変更し、新パスワードを他のEssbaseサーバーに適用できます。ソース・サーバーとターゲット・サーバーの両方に、ユーザーおよびグループの作成/削除の権限が必要です。パスワードを変更している対象のユーザーがターゲット・サーバー上に存在している必要があり、かつターゲット・サーバーが実行されている必要があります。

Administration Servicesを使用してユーザーのEssbaseサーバー・パスワードを変更する場合や、ユーザーがAdministration Servicesユーザーでもある場合は、そのユーザーのAdministration Servicesユーザー・プロパティが自動的に更新されます。そのユーザーのAdministration Servicesパスワードは影響されません。Oracle Essbase Administration Services Online Helpの「Essbaseサーバー・ユーザーのパスワードの変更」を参照してください。

Essbaseサーバーのレベルでユーザー名を使用不可にすることによって、ユーザーがEssbaseサーバーにログインできないようにできます。指定された制限をユーザーが超えると、そのユーザー名は自動的に使用不可になります。あるいは、個々のユーザーのユーザー名を手動で使用不可にもできます。Essbaseネイティブ・セキュリティ・モードでのパスワードとユーザー名の管理を参照してください。

管理サービス・コンソールでは、Essbaseサーバーで使用不可になっているすべてのユーザー名を表示し、アクティブにすることができます。使用不可になっているユーザー名を表示したり、再びアクティブにできるのは、少なくともユーザーの作成/削除の権限を持つユーザーのみです。