7.2 ユーザー権限およびロールについて

ユーザー権限は基本レベルのデータベース・セキュリティを提供します。ユーザー権限はデータへのユーザーのアクセスの制御およびユーザーが拡張できるSQL文の種類の制限をするように設計されています。ユーザーを作成する場合は、権限を付与してユーザーのデータベースへの接続を有効化、問合せの実行と更新の作成、スキーマ・オブジェクトの作成などを行います。

ユーザー権限の主なタイプは次のとおりです。

システム権限: システム権限は、ユーザーが特定のアクションまたは特定の種類のスキーマ・オブジェクトでアクションを実行できるようにする権限です。たとえば、CREATE TABLEシステム権限はユーザーと関連付けられたスキーマで表の作成を、CREATE USERシステム権限はユーザーにデータベース・ユーザーの作成を可能にします。
オブジェクト権限: オブジェクト権限は、固有のスキーマ・オブジェクトに対して特定のアクションを実行する権限です。各タイプのスキーマ・オブジェクトごとに、異なるオブジェクト権限があります。例として、EMPLOYEES表から行を選択する権限、またはDEPARTMENTS表から行を削除する権限などがあります。

ロールを使用すると、権限の管理はより簡単になります。ロールは関連する権限のグループ名が付けられます。ユーザーはロールを作成し、ロールにシステムおよびオブジェクト権限を付与し、その後ユーザーにロールを付与できます。また、他のロールにロールを付与することもできます。スキーマ・オブジェクトとは異なり、ロールはいずれのスキーマにも含まれません。

表7-1に、Oracle Databaseで事前定義され広く使用されている3つのロールを示します。この3つのロールは、ユーザーを作成する際、または作成後にいつでも付与できます。

表7-1 Oracle Databaseの事前定義ロール

ロール名	説明
`CONNECT`	ユーザーのデータベースへの接続を可能にします。このロールをデータベース・アクセスが必要なユーザーまたはアプリケーションに付与します。
`RESOURCE`	そのユーザーに関連付けられたスキーマで特定タイプのスキーマ・オブジェクトの作成、変更および削除を可能にします。このロールは開発者やスキーマ・オブジェクトの作成が必要なその他のユーザーにのみ付与されます。このロールにより、オブジェクト・システムの作成権限のサブセットが付与されます。たとえば、`CREATE TABLE`システム権限は付与されますが、`CREATE VIEW`権限は付与されません。付与できる権限は、`CREATE CLUSTER`、`CREATE INDEXTYPE`、`CREATE OPERATOR`、`CREATE PROCEDURE`、`CREATE SEQUENCE`、`CREATE TABLE`、`CREATE TRIGGER`、`CREATE TYPE`のみです。
`DBA`	ユーザーの作成および権限の付与、ロールの作成および付与、あらゆるスキーマでのスキーマ・オブジェクトの作成、変更および削除などを含むほとんどの管理機能をユーザーが実行することを可能にします。これはすべてのシステム権限を付与しますが、データベース・インスタンスの起動または停止の権限は含まれません。この権限はデフォルトで`SYS`および`SYSTEM`ユーザーに付与されます。