7 Enterprise Managerによるマルチテナント環境のセキュリティの管理

Oracle Enterprise Managerを使用して、マルチテナント環境の共通およびローカルのユーザーとロールを管理できます。

内容は次のとおりです。

Enterprise Managerによるマルチテナント環境のセキュリティの管理について

Oracle Enterprise Manager Cloud Controlではマルチテナント環境のセキュリティ管理がサポートされます。

マルチテナント環境では、Oracle Enterprise Manager Cloud Controlを使用して、ルートと関連のプラガブル・データベース(PDB)の両方の共通ユーザーと共通ロールの作成、管理および監視ができます。

Enterprise Managerによって、ルートと指定されたPDBの間を容易に切り替えることができます。

Enterprise Managerによるマルチテナント環境へのログイン

マルチテナント環境では、CDBまたはPDBにログインしたり、PDBから別のPDBまたはルートに切り替えることができます。

内容は次のとおりです。

CDBまたはPDBへのログイン

様々な種類のEnterprise Managerデータベース・ログイン・ページが、ログイン時にリクエストした機能に基づいて自動的に表示されます。

マルチテナント・コンテナ・データベース(CDB)管理者(CDBターゲットに対してCONNECT権限を持つEnterprise Managerユーザー)としてマルチテナント環境にログインしてCDBの範囲の機能を使用するには、次の手順を実行します。

ユーザーSYSTEMまたはSYSMANとしてOracle Enterprise Manager Cloud Controlにログインします。
URLは次のとおりです。

https://host:port/em
「データベース」ページに移動します。
アクセスするデータベースを選択します。
データベースのホームページが表示されます。
実行するアクションのメニュー項目を選択します。たとえば、ユーザーを認証するには「管理」、「セキュリティ」、「ユーザー」の順に選択します。
「データベース・ログイン」ページが表示されます。次に示す例はCDBの「データベース・ログイン」ページです(表示されているデータベース名がCDB$ROOTのため)。この名前から、このページは口語的にマルチテナント環境のrootのデータベース・ログイン・ページと呼ばれます。「データベース」フィールドは現在のデータベースを示します。PDBを選択した場合、PDBの名前がこのフィールドに表示されます。

図GUID-780FA513-99F2-49BB-80DF-41392C16DF22-default.gifの説明
適切な資格証明を使用してログインします。
共通ユーザーのみがルートにログインでき、共通ユーザーの名前はC##またはc##で始まることに注意してください。PDBには、共通ユーザーとローカル・ユーザーの両方がそれぞれの権限に応じてログインできます。

別のPDBへの、またはルートへの切替え

Oracle Enterprise Managerで、PDBから別のPDBまたはルートに切り替えることができます。

ページの左上に「データベース」リンクがあります。
「データベース」リンクに、現在のコンテナ名が表示されます。次に示す例では、現在のデータベースは、口語的にルートと呼ばれるCDB自体(CDB$ROOT)です。

図GUID-D4B689D4-8E38-4673-87A0-437BD99A5D7D-default.gifの説明
コンテナの右にあるメニュー・アイコンを選択し、このメニューから、アクセスするデータベースを選択します。
メニュー項目が表示されない場合は、データベースのホームページなど、メニュー項目が表示されるページに移動します。
実行するアクティビティ(ユーザーの作成など)を決定する際は、適切な権限でログインします。
あらかじめ適切な権限で認証を行わずにアクティビティを実行しようとすると、適切な権限でログインするよう要求されます。

Enterprise Managerの共通ユーザーおよびローカル・ユーザーの管理

マルチテナント環境では、Oracle Enterprise Managerを使用すると、共通ユーザーとローカル・ユーザーを作成、編集および削除できます。

内容は次のとおりです。

関連項目:

共通ユーザーおよびローカル・ユーザーについて

Enterprise Managerの共通ユーザー・アカウントの作成

共通ユーザーは、ルートに存在し、CDBのPDBにアクセスできるユーザーです。

Enterprise Managerデータベースのホームページで、共通CREATE USERおよびSET CONTAINER権限を持つ共通ユーザーとしてルートにログインします。
別のPDBまたはルートへのログインと切替えに関する詳細は、Enterprise Managerによるマルチテナント環境へのログインを参照してください。

共通およびローカルに付与される権限についても参照してください。
「管理」メニューから、「セキュリティ」を選択し、「ユーザー」を選択します。
要求された場合は、ログイン情報を入力します。その後、「ユーザー」ページが表示されます。
「作成」をクリックします。
「ユーザーの作成」ページが表示されます。

図GUID-702AFDBC-3A71-43BC-9972-CDBB1EA3C75A-default.gifの説明
共通ユーザーを作成するオプションを選択して、このユーザーに権限を付与します。
ユーザー名の前にC##またはc##を付けてください。
「OK」または「適用」をクリックします。
共通ユーザーは、ルートで作成され、関連付けられているPDBの「ユーザー」ページに表示されます。

関連項目:

共通ユーザー・アカウントの作成について

Enterprise Managerの共通ユーザー・アカウントの編集

共通ユーザー・アカウントは、ルートから編集できます。

Enterprise Managerデータベースのホームページで、ルートまたはPDBにログインします。
ルートにログインする場合は、共通CREATE USERおよびSET CONTAINER権限を持つ共通ユーザーである必要があります。PDBにログインする場合は、そのPDBのCREATE USER権限を持っていることを確認してください。

ルートまたは別のPDBへのログインと切替えに関する詳細は、Enterprise Managerによるマルチテナント環境へのログインを参照してください。
「管理」メニューから、「セキュリティ」を選択し、「ユーザー」を選択します。
要求された場合は、ログイン情報を入力します。その後、「ユーザー」ページが表示されます。ルートでは、共通ユーザーのみが表示されます。PDBでは、共通ユーザーとローカル・ユーザーの両方がリストされます。
編集する共通ユーザーを選択して、「編集」をクリックします。
ユーザーの編集ページが表示されます。ルートの共通ユーザーについては、その共通ユーザーのすべての設定を変更できます。PDBの共通ユーザーについては、ユーザー・パスワード、デフォルト表領域、一時表領域は変更できません。設定の変更は、現在のPDBにのみ適用されます。次の画面に、PDBでの共通ユーザーの「ユーザーの編集」ページを示します。

図GUID-3577352B-DAD1-4C40-A9FA-D77345E5F4EE-default.gifの説明
必要に応じて、共通ユーザーを変更します。
「適用」をクリックします。

関連項目:

共通またはローカル・ユーザー・アカウントを変更するためのALTER USER文

Enterprise Managerの共通ユーザー・アカウントの削除

共通ユーザーは、CDBルートから削除できます。

Enterprise Managerデータベースのホームページで、共通CREATE USERおよびSET CONTAINER権限を持つ共通ユーザーとしてルートにログインします。
PDBから共通ユーザーを削除することはできません。

ルートまたは別のPDBへのログインと切替えに関する詳細は、Enterprise Managerによるマルチテナント環境へのログインを参照してください。
「管理」メニューから、「セキュリティ」を選択し、「ユーザー」を選択します。
要求された場合は、ログイン情報を入力します。その後、共通ユーザーのみをリストする「ユーザー」が表示されます。
削除する共通ユーザーを選択して、「削除」をクリックします。
共通ユーザーの削除を確定します。

Enterprise Managerのローカル・ユーザー・アカウントの作成

ローカル・ユーザーは、特定のPDBにのみ存在し、マルチテナント環境の他のPDBにアクセスできないユーザーです。

Enterprise Managerデータベースのホームページで、ローカルCREATE USER権限を持つローカル・ユーザーまたは共通ユーザーとしてPDBにログインします。
ルートまたは別のPDBへのログインと切替えに関する詳細は、Enterprise Managerによるマルチテナント環境へのログインを参照してください
「管理」メニューから、「セキュリティ」を選択し、「ユーザー」を選択します。
要求された場合は、ログイン情報を入力します。その後、現在のPDBのローカル・ユーザーのみを示す「ユーザー」ページが表示されます。
「作成」をクリックします。
「ユーザーの作成」ページが表示されます。
ローカル・ユーザーを作成するオプションを選択して、このユーザーに権限を付与します。
ユーザー名の前にC##またはc##を付けないでください。
「OK」をクリックします。
現在のPDBでローカル・ユーザーが作成されます。

関連項目:

ローカル・ユーザー・アカウントの作成について

Enterprise Managerのローカル・ユーザー・アカウントの編集

ローカル・ユーザーは、そのローカル・ユーザーが存在するPDBから編集できます。

Enterprise Managerデータベースのホームページで、ローカルCREATE USER権限を持つローカル・ユーザーまたは共通ユーザーとしてPDBにログインします。
ルートまたは別のPDBへのログインと切替えに関する詳細は、Enterprise Managerによるマルチテナント環境へのログインを参照してください
「管理」メニューから、「セキュリティ」を選択し、「ユーザー」を選択します。
要求された場合は、ログイン情報を入力します。その後、現在のPDBのローカル・ユーザーおよび共通ユーザーのみを示す「ユーザー」ページが表示されます。
編集するローカル・ユーザーを選択して、「編集」をクリックします。
ユーザーの編集ページが表示されます。
必要に応じて、ローカル・ユーザーを変更します。
「適用」をクリックします。

関連項目:

共通またはローカル・ユーザー・アカウントを変更するためのALTER USER文

Enterprise Managerのローカル・ユーザー・アカウントの削除

ローカル・ユーザーは、そのローカル・ユーザーが存在するPDBから削除できます。

Enterprise Managerデータベースのホームページで、ローカルCREATE USER権限を持つローカル・ユーザーまたは共通ユーザーとしてPDBにログインします。
ルートまたは別のPDBへのログインと切替えに関する詳細は、Enterprise Managerによるマルチテナント環境へのログインを参照してください
「管理」メニューから、「セキュリティ」を選択し、「ユーザー」を選択します。
要求された場合は、ログイン情報を入力します。その後、現在のPDBのローカル・ユーザーおよび共通ユーザーのみを示す「ユーザー」ページが表示されます。(PDBから共通ユーザーを削除することはできません。)
削除するローカル・ユーザーを選択して、「削除」をクリックします。
ユーザーを削除してよいかどうか、確認を求められます。
ローカル・ユーザーの削除を確定します。

Enterprise Managerの共通およびローカル・ロールおよび権限の管理

マルチテナント環境では、Oracle Enterprise Managerを使用して、共通ロールとローカル・ロールの作成、編集、削除および取消しを行うことができます。

内容は次のとおりです。

関連項目:

Enterprise Managerの共通ロールの作成

共通ロールを使用して、共通権限を共通ユーザーに割り当てることができます。

これらのロールは、マルチテナント環境のすべてのコンテナで有効です。

Enterprise Managerデータベースのホームページで、共通CREATE ROLEおよびSET CONTAINER権限を持つ共通ユーザーとしてルートにログインします。
ルートまたは別のPDBへのログインと切替えに関する詳細は、Enterprise Managerによるマルチテナント環境へのログインを参照してください
「管理」メニューから、「セキュリティ」を選択し、「ロール」を選択します。
要求された場合は、ログイン情報を入力します。その後、「ロールの作成」ページが表示されます。
「作成」をクリックします。
「ロールの作成」ページが表示されます。

図GUID-2F910BE8-CAD2-4F01-83CE-592DBC858C55-default.gifの説明
共通ロールを作成するオプションを選択して、このロールに権限を付与します。
ロール名の前にC##またはc##を付けてください。
「OK」をクリックします。
共通ロールがルートに作成されます。

関連項目:

Enterprise Managerの共通ロールの編集

共通ロールは、ルートから編集できます。

Enterprise Managerデータベースのホームページで、ルートまたはPDBにログインします。
ルートにログインする場合は、共通CREATE ROLEおよびSET CONTAINER権限を持つ共通ユーザーである必要があります。PDBにログインする場合は、そのPDBのCREATE ROLE権限を持っていることを確認してください。

ルートまたは別のPDBへのログインと切替えに関する詳細は、Enterprise Managerによるマルチテナント環境へのログインを参照してください
「管理」メニューから、「セキュリティ」を選択し、「ロール」を選択します。
要求された場合は、ログイン情報を入力します。その後、「ロール」ページが表示されます。ルートでは、共通ロールのみが表示されます。PDBでは、共通ロールとローカル・ロールの両方が表示されます。
編集する共通ロールを選択して、「編集」をクリックします。
ロールの編集ページが表示されます。ルートの共通ユーザーについては、その共通ユーザーのすべての設定を変更できます。

PDBの共通ロールについては、ロールの認証のみ変更可能で、このユーザーに別のロール、システム権限、オブジェクト権限およびコンシューマ・グループ権限を付与します。これらの設定は現在のPDBにのみ適用されます。
必要に応じて、共通ユーザーを変更します。
「適用」をクリックします。

Enterprise Managerの共通ロールの削除

共通ロールは、ルートから削除できます。

Enterprise Managerデータベースのホームページで、共通CREATE ROLEおよびSET CONTAINER権限を持つ共通ユーザーとしてルートにログインします。
PDBから共通ロールを削除することはできません。

ルートまたは別のPDBへのログインと切替えに関する詳細は、Enterprise Managerによるマルチテナント環境へのログインを参照してください
「管理」メニューから、「セキュリティ」を選択し、「ロール」を選択します。
要求された場合は、ログイン情報を入力します。その後、共通ロールのみを示す「ロール」ページが表示されます。
削除する共通ロールを選択して、「削除」をクリックします。
共通ロールの削除を確定します。

Enterprise Managerの共通権限付与の取消し

共通権限付与は、ルートから取り消すことができます。

Enterprise Managerデータベースのホームページで、共通CREATE USER、CREATE ROLEおよびSET CONTAINER権限を持つ共通ユーザーとしてルートにログインします。
ルートまたは別のPDBへのログインと切替えに関する詳細は、Enterprise Managerによるマルチテナント環境へのログインを参照してください
「管理」メニューから、「セキュリティ」を選択し、「ユーザー」を選択します。
「ユーザー」ページに、共通ユーザーが表示されます。
権限を取り消すユーザーを選択して、「編集」をクリックします。
ユーザーの編集ページが表示されます。
「ロール」または該当する「権限」タブを選択します。
このユーザーに割り当てられているロールと権限のリストが表示されます。
「リストの編集」を選択し、必要に応じてロールまたは権限を削除します。
「OK」ボタンをクリックします。

関連項目:

PDBへのアクセス権限の付与または取消し

Enterprise Managerのローカル・ロールの作成

共通ロールを使用して、後でローカル・ユーザーに権限のローカル・セットを割り当てることができます。

これらのロールは、定義対象のPDBコンテナ全体で有効になります。

Enterprise Managerデータベースのホームページで、ローカルCREATE ROLE権限を持つユーザーとしてPDBにログインします。
「Enterprise Managerによるマルチテナント環境へのログイン」は、別のPDBへのログインと切替えの方法を説明しています。
「管理」メニューから、「セキュリティ」を選択し、「ロール」を選択します。
ロール・ページが表示されます。
「作成」をクリックします。
要求された場合は、ログイン情報を入力します。その後、「ロールの作成」ページが表示されます。
ローカル・ロールを作成するオプションを選択して、このロールに権限を付与します。
ロール名の前にC##またはc##を付けないでください。
「OK」をクリックします。
現在のPDBでローカル・ロールが作成されます。

Enterprise Managerのローカル・ロールの編集

ローカル・ロールは、そのローカル・ロールが存在するPDBで編集できます。

Enterprise Managerデータベースのホームページで、ローカルCREATE ROLE権限を持つユーザーとしてPDBにログインします。
ルートまたは別のPDBへのログインと切替えに関する詳細は、Enterprise Managerによるマルチテナント環境へのログインを参照してください
「管理」メニューから、「セキュリティ」を選択し、「ロール」を選択します。
要求された場合は、ログイン情報を入力します。その後、現在のPDBのローカル・ロールおよび共通ロールのみを示す「ロール」ページが表示されます。
編集するローカル・ロールを選択して、「編集」をクリックします。
ユーザーの編集ページが表示されます。
必要に応じて、ローカル・ユーザーを変更します。
「適用」をクリックします。

Enterprise Managerのローカル・ロールの削除

ローカル・ロールは、そのローカル・ロールが存在するPDBから削除できます。

Enterprise Managerデータベースのホームページで、ローカルCREATE ROLE権限を持つユーザーとしてPDBにログインします。
ルートまたは別のPDBへのログインと切替えに関する詳細は、Enterprise Managerによるマルチテナント環境へのログインを参照してください
「管理」メニューから、「セキュリティ」を選択し、「ロール」を選択します。
要求された場合は、ログイン情報を入力します。その後、現在のPDBのローカル・ロールおよび共通ロールのみを示す「ロール」ページが表示されます。(PDBから共通ロールを削除することはできません。)
削除するローカル・ロールを選択して、「削除」をクリックします。
ロールを削除してよいかどうか、確認を求められます。
ローカル・ロールの削除を確定します。

Enterprise Managerのローカル権限付与の取消し

ローカル権限は、その権限が使用されるPDBで取り消すことができます。

Enterprise Managerデータベースのホームページで、CREATE USERおよびCREATE ROLE権限を持つ共通ユーザーまたはローカル・ユーザーとしてPDBにログインします。
ルートまたは別のPDBへのログインと切替えに関する詳細は、Enterprise Managerによるマルチテナント環境へのログインを参照してください
「管理」メニューから、「セキュリティ」を選択し、「ユーザー」を選択します。
要求された場合は、ログイン情報を入力します。その後、「ユーザー」ページが表示されます。PDBでは、共通ユーザーとローカル・ユーザーの両方がリストされます。
権限を取り消すユーザーを選択して、「編集」をクリックします。
ユーザーの編集ページが表示されます。
「ロール」または該当する「権限」タブを選択します。
このユーザーに割り当てられているロールと権限のリストが表示されます。
「リストの編集」を選択し、必要に応じて権限を削除します。
「OK」ボタンをクリックします。

関連項目:

PDBへのアクセス権限の付与または取消し