7 コマンド・ルールの構成

コマンド・ルールを作成するか、デフォルトのコマンド・ルールを使用すると、DDL文およびDML文を保護できます。

内容は次のとおりです。

• コマンド・ルールの概要

• デフォルトのコマンド・ルール

• コマンド・ルールで保護できるSQL文

• コマンド・ルールの作成または編集

• コマンド・ルールの削除

• コマンド・ルールの動作

• チュートリアル: ユーザーによる表作成を制御するためのコマンド・ルールの使用方法

• コマンド・ルール設計のガイドライン

• コマンド・ルールのパフォーマンスへの影響

• コマンド・ルールに関連するレポートおよびデータ・ディクショナリ・ビュー

関連項目:

Oracle Database Vaultコマンド・ルールのAPI

コマンド・ルールの概要

コマンド・ルールは、ALTER SESSIONなどのOracle Database SQL文によるOracle Database Vaultの保護に使用します。

内容は次のとおりです。

• コマンド・ルールについて

• マルチテナント環境におけるコマンド・ルール

コマンド・ルールについて

コマンド・ルールは、1つ以上のデータベース・オブジェクトに影響を与えるOracle Database SQL文を保護します。

これらの文には、SELECT、ALTER SYSTEM、データベース定義言語(DDL)、およびデータ操作言語(DML)の文を含めることができます。

コマンド・ルールをカスタマイズして実行するには、1つ以上のルールの集合であるルール・セットにコマンド・ルールを関連付けます。コマンド・ルールは実行時に実施されます。コマンド・ルールは、オブジェクトが存在するレルムに関係なく、コマンド・ルールによって保護されるSQL文の使用を試みる全員に影響します。レルム固有のオブジェクトを保護する場合は、「レルム認可について」を参照してください。

コマンド・ルールには、コマンド・ルールのコマンドへの関連付けに加えて、次の属性があります。

• コマンド・ルールで保護されるSQL文

• コマンド・ルールが影響するオブジェクトの所有者

• コマンド・ルールが影響するデータベース・オブジェクト

• コマンド・ルールが有効かどうか

• 関連付けられているルール・セット

SQL文および操作の詳細は、『Oracle Database SQL言語リファレンス』を参照してください。「コマンド・ルールで保護できるSQL文」も参照してください。

コマンド・ルールは、次のように分類できます。

• 範囲がシステム全体に及ぶコマンド・ルール。このタイプでは、データベース・インスタンスごとに1つのコマンド・ルールのみを作成できます。例として、ALTER SYSTEMおよびCONNECT文のコマンド・ルールがあげられます。

• スキーマ固有のコマンド・ルール。DROP TABLE文のコマンド・ルールの作成は、この一例です。

• オブジェクト固有のコマンド・ルール。コマンド・ルール定義に含まれる特定の表を使用してDROP TABLE文を作成することは、この一例です。

コマンド・ルールの影響を受ける文をユーザーが実行すると、Oracle Database Vaultによって最初にレルム認可がチェックされます。レルム違反が検出されず、関連付けられているコマンド・ルールが有効な場合は、関連付けられているルール・セットがDatabase Vaultによって評価されます。すべてのルール・セットの評価がTRUEの場合、その文は認可されてさらに処理されます。評価がFALSEのルール・セットがある場合、その文の実行は許可されずコマンド・ルール違反が生じます。ルール・セットの詳細は、「ルール・セットの構成」で説明します。

通常の手順であるユーザー・ファクタの初期化、ユーザー認証プロセス、およびOracle Label Securityの統合が完了した後に、セッションを許可または拒否する、CONNECTイベントのファクタを使用するコマンド・ルールを定義できます。

たとえば、BIZAPPスキーマ内で、CREATE TABLE、DROP TABLEおよびALTER TABLEなどのDDL文が営業時間後に認可されるのは許可するが、営業時間中には許可しないというコマンド・ルールを構成できます。

Oracle Database Vaultに作成するコマンド・ルール上でレポートを実行できます。

関連項目:

• コマンド・ルールに関する詳細を知るために実行できるレポートについては、「コマンド・ルールに関連するレポートおよびデータ・ディクショナリ・ビュー」を参照してください

• DBMS_MACADM PL/SQLパッケージの使用によるコマンド・ルールの構成の詳細は、Oracle Database Vaultコマンド・ルールのAPIを参照してください

マルチテナント環境におけるコマンド・ルール

マルチテナント環境では、CREATE PLUGGABLE DATABASE、ALTER PLUGGABLE DATABASEおよびDROP PLUGGABLE DATABASE文のコマンド・ルールを作成できます。

これらのコマンド・ルールをマルチテナント環境全体に適用するには、DVADMまたはDVOWNERロールを持つ共通ユーザーとして、それらのルールをルートに作成する必要があります。USER_ROLE_PRIVSデータ・ディクショナリ・ビューを問い合せることで、ユーザーのロールを確認できます。

デフォルトのコマンド・ルール

Oracle Database Vaultには、よく使用されるSQL文に基づいてデフォルト・コマンド・ルールが用意されています。

表7-1に、デフォルトのDatabase Vaultコマンド・ルールを示します。

表7-1 デフォルトのコマンド・ルール

SQL文	オブジェクト名	ルール・セット名
CREATE USER	-	アカウント/プロファイルを保守可能
ALTER USER	-	自分のアカウントを保守可能
DROP USER	-	アカウント/プロファイルを保守可能
CREATE PROFILE	-	アカウント/プロファイルを保守可能
ALTER PROFILE	-	アカウント/プロファイルを保守可能
DROP PROFILE	-	アカウント/プロファイルを保守可能
ALTER SYSTEM	-	システム・パラメータのファイングレイン・コントロールを許可
CHANGE PASSWORD	-	自分のアカウントを保守可能脚注1

^脚注1

「自分のアカウントを保守可能」ルールで参照される実際のSQL文は、PASSWORDです。

次に示す一連のコマンド・ルールは、ユーザー管理の職務分離の実現をサポートします。

• ALTER PROFILE

• ALTER USER

• CREATE PROFILE

• CREATE USER

• DROP PROFILE

• DROP USER

ユーザーにこれらのコマンドの使用権限を付与するには、ルール・セットによってチェックされるロールをユーザーに付与します。たとえば、CREATE USERコマンド・ルールは、CREATE USER文を実行しようとするユーザーにDV_ACCTMGRロールが付与されていることを確認します。

コマンド・ルールで保護できるSQL文

コマンド・ルールを使用して、多数のSQL文を保護できます。

保護できるSQL文は、次のとおりです。

SQL文A-C	SQL文C-D	SQL文D-U
ALTER CLUSTER	CREATE EDITION	DROP DIMENSION
ALTER DIMENSION	CREATE USER	DROP DIRECTORY
ALTER FUNCTION	CREATE CLUSTER	DROP FUNCTION
ALTER INDEX	CREATE CONTEXT	DROP INDEX
ALTER INDEXTYPE	CREATE DATABASE LINK	DROP INDEXTYPE
ALTER JAVA	CREATE DIMENSION	DROP JAVA
ALTER LIBRARY	CREATE DIRECTORY	DROP LIBRARY
ALTER OPERATOR	CREATE FUNCTION	DROP OPERATOR
ALTER OUTLINE	CREATE INDEX	DROP OUTLINE
ALTER MATERIALIZED VIEW	CREATE INDEXTYPE	DROP MATERIALIZED VIEW
ALTERMATERIALIZEDVIEWLOG	CREATE JAVA	DROPMATERIALIZEDVIEWLOG
ALTER PACKAGE	CREATE LIBRARY	DROP PACKAGE
ALTER PACKAGE BODY	CREATE OPERATOR	DROP PACKAGE BODY
ALTER PLUGGABLE DATABASE	CREATE OUTLINE	DROP PROCEDURE
ALTER PROCEDURE	CREATE PACKAGE	DROP PLUGGABLE DATABASE
ALTER PROFILE	CREATE PACKAGE BODY	DROP PROFILE
ALTER RESOURCE COST	CREATE PLUGGABLE DATABASE	DROP ROLE
ALTER ROLE	CREATE PROCEDURE	DROP ROLLBACK SEGMENT
ALTER ROLLBACK SEGMENT	CREATE PROFILE	DROP SEQUENCE
ALTER SEQUENCE	CREATE ROLE	DROP SYNONYM
ALTER SESSION	CREATE ROLLBACK SEGMENT	DROP TABLE
ALTER SYNONYM	CREATE SCHEMA	DROP TABLESPACE
ALTER SYSTEM	CREATE SEQUENCE	DROP TRIGGER
ALTER TABLE	CREATE MATERIALIZED VIEW	DROP TYPE
ALTER TABLESPACE	CREATEMATERIALIZEDVIEWLOG	DROP TYPE BODY
ALTER TRIGGER	CREATE SYNONYM	DROP USER
ALTER TYPE	CREATE TABLE	DROP VIEW
ALTER TYPE BODY	CREATE TABLESPACE	EXECUTE
ALTER USER	CREATE TRIGGER	GRANT
ALTER VIEW	CREATE TYPE	INSERT
ANALYZE CLUSTER	CREATE TYPE BODY	NOAUDIT
ANALYZE INDEX	CREATE VIEW	RENAME
ANALYZE TABLE	DELETE	REVOKE
ASSOCIATE STATISTICS	DISASSOCIATE STATISTICS	SELECT
AUDIT	DROP CLUSTER	TRUNCATE CLUSTER
CHANGE PASSWORD	DROP CONTEXT	TRUNCATE TABLE
COMMENT	DROP DATABASE LINK	UPDATE
CONNECT	DROP EDITION

関連項目:

マルチテナント・コンテナ・データベース(CDB)におけるCREATE PLUGGABLE DATABASE、ALTER PLUGGABLE DATABASEおよびDROP PLUGGABLE DATABASEの使用の詳細は、「マルチテナント環境におけるコマンド・ルール」を参照してください

コマンド・ルールの作成または編集

Oracle Database Vault Administratorで、コマンド・ルールの作成または編集を行うことができます。

1. DV_OWNERまたはDV_ADMINロールを付与されているユーザーとして、Cloud ControlからOracle Database Vault Administratorにログインします。

   ログイン方法については、「Oracle Database Vaultへのログイン」で説明します。

2. 「管理」ページの「Database Vaultコンポーネント」で、「コマンド・ルール」をクリックします。
3. 「コマンド・ルール」ページで次のようにします。

   • 新しいコマンド・ルールを作成するには、「作成」をクリックして、「コマンド・ルールの作成」ページを表示します。

     
     図GUID-6E71C9EE-1AE4-47DD-961A-77B72411D1A7-default.gifの説明

   • 既存のコマンド・ルールを編集するには、リストからコマンド・ルールを選択して「編集」をクリックします。

4. 「コマンド・ルールの作成」(「コマンド・ルールの編集」)ページで、次の設定を入力します。

   • コマンド: コマンド・ルールを作成するSQL文または操作を選択します。この属性は必須です。

   • ステータス: 「有効」または「無効」のいずれかを選択し、実行時にコマンド・ルールを有効または無効にします。この属性は必須です。

   • 適用可能なオブジェクト所有者: リストから、コマンド・ルールが影響を与えるオブジェクトの所有者を選択します。ワイルドカード文字%を使用して、すべての所有者を選択できます。(ただし、ワイルドカード文字をテキストと一緒に使用することはできません。たとえば、EM%を使用して、名前がEMで始まるすべての所有者を選択することはできません。)この属性は、特定のスキーマ内のオブジェクトに提供するすべてのSQL文で必須です。サポートされているSQL文のリストは、「コマンド・ルールで保護できるSQL文」を参照してください。

     SELECT、INSERT、UPDATE、DELETEおよびEXECUTE文は、すべての選択(%)、またはSYSおよびDVSYSスキーマには使用できないことに注意してください。

   • 適用可能なオブジェクト名: コマンド・ルールが影響を与えるデータベース・オブジェクトの名前を入力するか、%を指定してすべてのデータベース・オブジェクトを指定します。「オブジェクト所有者」リストからオブジェクト所有者を選択した場合、この属性は必須です。

     コマンド・ルールが影響するオブジェクト上でOracle Database Vaultレポートを実行できます。詳細は、「関連するレポートおよびデータ・ディクショナリ・ビュー」を参照してください。

   • ルール・セットの評価: リストから、コマンド・ルールに関連付けるルール・セットを選択します。この属性は必須です。

     ルール・セットの評価がTrueの場合、そのSQL文は成功します。評価がfalseの場合、その文は失敗し、Oracle Database Vaultによってコマンド・ルール違反が生成されます。(「Oracle Database Vaultレポート」 で説明されている「コマンド・ルール構成の問題」レポートを使用することで、ルール違反を追跡できる)。ルール・セットに関連付けられている監査およびカスタム・イベント処理は、コマンド・ルール処理の一部として発生します。

     ルール・セットの詳細は、「ルール・セットの構成」 を参照してください。

5. 「OK」をクリックします

関連項目:

"Oracle Database Vaultポリシーの他のデータベースへの伝播"

コマンド・ルールの削除

コマンド・ルールを削除する前に、それに関連するOracle Database Vaultビューに問い合せることで、そのコマンド・ルールへの様々な参照を特定できます。

1. DV_OWNERまたはDV_ADMINロールを付与されているユーザーとして、Cloud ControlからOracle Database Vault Administratorにログインします。

   ログイン方法については、「Oracle Database Vaultへのログイン」で説明します。

2. Oracle Database Vaultの「管理」ページで、「コマンド・ルール」を選択します。
3. 「コマンド・ルール」ページで、削除するコマンド・ルールを選択します。
4. 「削除」をクリックします。
5. 「確認」ウィンドウで、「はい」をクリックします。

関連項目:

コマンド・ルール関連のData Vaultデータ・ディクショナリ・ビューの詳細は、「Oracle Database Vaultのデータ・ディクショナリ・ビュー」を参照してください

コマンド・ルールの動作

コマンド・ルールは、一連の手順に従い、関連付けられているコンポーネントをチェックします。

「レルムの動作」では、データベース・アカウントによりレルム内のオブジェクトに影響するSELECT、DDLまたはDML文が発行された場合の動作を説明しています。

SELECT、DDLまたはDML文が発行されると、次のアクションが実行されます。

1. Oracle Database Vaultが、適用する必要のあるすべてのコマンド・ルールを問い合せます。

   SELECT、DDLおよびDML文では、オブジェクト所有者およびオブジェクト名でワイルドカード表記を使用できるため、複数のコマンド・ルールが適用される場合があります。

   ルール・セットは、コマンド・ルールおよびレルム認可の両方に関連付けることができます。Oracle Database Vaultにより、まずレルム認可ルール・セットが評価され、評価されるコマンド・タイプに適用するルール・セットが次に評価されます。

2. 適用する各コマンド・ルールに関して、Oracle Database Vaultはそれに関連付けられているルール・セットを評価します。

3. 適用可能なコマンド・ルールに関連付けられているルール・セットが1つでもFalseまたはエラーで返されると、Oracle Database Vaultによりそのコマンドの実行が阻止されます。それ以外の場合、コマンドは認可されてさらに処理されます。監査およびイベント・ハンドラに関するルール・セットの構成により、発生する監査またはカスタム処理が決定されます。

   コマンド・ルールはオブジェクト権限より優先されます。つまり、オブジェクトの所有者であっても、オブジェクトがコマンド・ルールで保護される場合、そのオブジェクトにアクセスできません。コマンド・ルールまたはコマンドのルール・セットのいずれかを無効にすることができます。コマンド・ルールを無効にする場合、コマンド・ルールは、その処理の確認を行いません。ルール・セットを無効にする場合、ルール・セットの評価は常にTRUEになります。ただし、特定のコマンドに対してコマンド・ルールを無効にする場合、ルール・セットが他のコマンド・ルールやレルム認可に関連付けられている可能性があるため、コマンド・ルールを無効にする必要があります。

チュートリアル: ユーザーによる表作成を制御するためのコマンド・ルールの使用方法

このチュートリアルでは、ユーザーにSCOTTスキーマでの表の作成を可能にするかどうかを制御する、簡単なローカル・コマンド・ルールを作成します。

内容は次のとおりです。

• 手順1: 表の作成

• 手順2: DVOWNERまたはDV_ADMINロールを使用した接続とコマンド・ルールの作成

• 手順3: コマンド・ルールのテスト

• 手順4: このチュートリアルのコンポーネントの削除

手順1: 表の作成

最初に、ユーザーSCOTTとして表を作成する必要があります。

1. ユーザーSCOTTとしてデータベース・インスタンスにログインします。

   sqlplus scott
   Enter password: password
   

   マルチテナント環境で、適切なPDBにログインする必要があります。次に例を示します。

   sqlplus scott@hrpdb
   Enter password: password
   

   利用可能なプラガブル・データベース(PDB)を検索するには、DBA_PDBSデータ・ディクショナリ・ビューを問い合せます。現在のPDBを確認するには、show con_nameコマンドを実行します。

   SCOTTアカウントがロックされて無効になっている場合、Database Vaultアカウント・マネージャとしてログインし、SCOTTのロックを解除し、新しいパスワードを作成します。次に例を示します。

   sqlplus bea_dvacctmgr --Or, sqlplus bea_dvacctmgr@hrpdb
   Enter password: password
   
   ALTER USER SCOTT ACCOUNT UNLOCK IDENTIFIED BY password;
   

   passwordを安全なパスワードに置き換えるには、『Oracle Databaseセキュリティ・ガイド』のガイドラインに従ってください。

   CONNECT SCOTT --Or, sqlplus SCOTT@hrpdb
   Enter password: password
   

2. ユーザーSCOTTとして、表を作成します。

   CREATE TABLE t1 (num NUMBER);
   

3. 表を削除します。

   DROP TABLE t1;
   

この段階で、ユーザーSCOTTは、表の作成および削除を行うことができます。SQL*Plusを終了せずに、SCOTTとして接続したままにします。後でSCOTTが別の表を作成しようとするときに使用します。

手順2: DVOWNERまたはDV_ADMINロールを使用した接続とコマンド・ルールの作成

SCOTTスキーマで表の作成後、コマンド・ルールを作成できます。

1. DV_OWNERまたはDV_ADMINロールおよびSELECT ANY DICTIONARYシステム権限を付与されているユーザーとして、Cloud ControlからOracle Database Vault Administratorにログインします。

   ログイン方法については、「Oracle Database Vaultへのログイン」で説明します。

2. Oracle Database Vault Administratorの「管理」ページで、「コマンド・ルール」をクリックします。

   「コマンド・ルール」ページが表示されます。

3. 「Create」をクリックします。

   「コマンド・ルールの作成」ページが表示されます。

4. 次の設定を入力します。

   • コマンド: 「CREATE TABLE」を選択します。

   • ステータス: 「有効」に設定して、コマンド・ルールをアクティブにします。

   • 適用可能なオブジェクト所有者: 「SCOTT」を選択します。

   • 適用可能なオブジェクト名: %に設定して、SCOTTスキーマ内のすべてのオブジェクトに適用します。

   • ルール・セットの評価: 誰もSCOTTスキーマに表を作成できないように、「無効」を選択します。

5. 「OK」をクリックします。

   Database Vault Administratorを終了しないでください。

コマンド・ルールは即時有効になります。ユーザーSCOTTは、CREATE TABLEコマンド・ルールを作成する前の、先ほどまでいたユーザー・セッションにまだいるとしても、ただちに表を作成できなくなります。

手順3: コマンド・ルールのテスト

これで、いつでもCREATE TABLEローカル・コマンド・ルールをテストできます。

1. SQL*Plusで、ユーザーSCOTTとしてログインしていることを確認します。

   CONNECT SCOTT --Or, CONNECT SCOTT@hrpdb
   Enter password: password
   

2. 表を作成してみます。

   CREATE TABLE t1 (num NUMBER);
   

   次のような出力結果が表示されます。

   ORA-47400: Command Rule violation for create table on SCOTT.T1
   

   この例からわかるように、SCOTTは、自身のスキーマ内でも、表を作成できなくなります。

3. Oracle Database Vault Administratorで、次の作業を実行します。

   1. 「コマンド・ルール」ページで、「CREATE TABLE」コマンド・ルールを選択して、「編集」をクリックします。

   2. 「コマンド・ルールの編集」ページで、「ルール・セット」リストから「有効」を選択します。

   3. 「OK」をクリックします。

4. SQL*Plusで、ユーザーSCOTTとして、表の作成を再試行します。

   CREATE TABLE t1 (num NUMBER);
   
   Table created.
   

CREATE TABLEコマンド・ルールが「有効」に設定されたので、ユーザーSCOTTは、再び表の作成が許可されるようになりました。(SQL*Plusを終了しないでください。)

手順4: このチュートリアルのコンポーネントの削除

コンポーネントが不要になった場合、このチュートリアルで作成したコンポーネントを削除できます。

1. Oracle Database Vault Administratorで、CREATE TABLEコマンド・ルールを次のように削除します。

   1. 「コマンド・ルール」ページに戻ります。

   2. 「CREATE TABLE」ローカル・コマンド・ルールを選択して、「削除」をクリックします。

   3. 「確認」ウィンドウで、「はい」をクリックします。

2. ユーザーSCOTTとしてデータベース・インスタンスにログインして、t1表を削除します。

   DROP TABLE t1;
   

3. SCOTTアカウントが使用可能である必要がなくなった場合、Database Vaultアカウント・マネージャとして接続し、次のALTER USER文を入力します。

   CONNECT bea_dvacctmgr --Or, CONNECT bea_dvacctmgr@hrpdb
   Enter password: password
   
   ALTER USER SCOTT ACCOUNT LOCK PASSWORD EXPIRE;

コマンド・ルール設計のガイドライン

Oracleでは、コマンド・ルール設計のガイドラインを提供しています。

• 維持が簡単であるため、ファイングレイン・コマンド・ルールを作成します。

  たとえば、特定のスキーマ・オブジェクトでSELECT文が発生しないようにする場合は、スキーマ・レベルでSELECT文を阻止する一般的なコマンド・ルールを作成するのではなく、特定のスキーマ・オブジェクトでSELECT文を阻止する複数のコマンド・ルールを設計します。

• CONNECTイベントにルールを作成する場合、必要なユーザー接続を間違えてロックアウトしないロジックを慎重に指定してください。アカウントが誤ってロックアウトされた場合、DV_ADMINまたはDV_OWNERロールを付与されたユーザーに、ロックアウト問題の原因となっているルールにログインして修正してもらうようにしてください。CONNECTコマンドは、DV_OWNERロールとDV_ADMINロールを持つユーザーには適用されません。これにより、不適切に構成されたCONNECTコマンド・ルールで完全なロックアウトが生じることはありません。

  アカウントがロックアウトされている場合は、Oracle Database Vaultを無効にして、ロックアウトの問題の原因となっているルールを修正し、再びOracle Database Vaultを有効にします。Oracle Database Vaultが無効な場合でも、Database Vault AdministratorとDatabase Vault PL/SQLパッケージはまだ使用できます。Database Vaultの無効化および再有効化の手順は、「Oracle Database Vaultの無効化および有効化」を参照してください。

• 管理タスクに対して有効なコマンド・ルールを一時的に緩和することが必要な場合があります。コマンド・ルールを無効にするのではなく、セキュリティ管理者(DV_ADMINまたはDV_OWNERロールが付与されているアカウント)をログインさせて、ルール・セットを「有効」にし、有効という名前のデフォルト・ルール・セットの「成功時または失敗時に監査」をオンにします。タスクが完了したら、コマンド・ルールを元のルール・セットに戻します。(統合監査環境では、この設定が機能しないことに注意してください。かわりに、統合監査ポリシーを作成する必要があります。Database Vaultの統合監査ポリシーの作成方法については、『Oracle Databaseセキュリティ・ガイド』で説明します)。

• コマンド・ルールの設計時には、処理が不用意に無効にされる可能性があるため、バックアップなどの自動プロセスを考慮するようにしてください。使用中のプログラム、使用中のアカウントまたはクライアント・プログラムが稼働中のコンピュータやネットワークなど、一連のOracle Database VaultファクタがTrueであることが明白な場合には、コマンドを許可するルールを作成することでこれらのタスクを把握できます。

コマンド・ルールのパフォーマンスへの影響

コマンド・ルールのパフォーマンスは、そのコマンド・ルールに関連付けられているルール・セット内のルールの複雑さに依存します。

たとえば、実行に5秒かかるPL/SQLファンクションを起動するルール・セットがあるとします。この場合、このルール・セットを使用するコマンド・ルールでは、実行するコマンド文へのアクセス権の付与に5秒かかります。

システム・パフォーマンスを確認するには、Oracle Enterprise Manager(Oracle Databaseと一緒にデフォルトでインストールされるOracle Enterprise Manager Cloud Controlを含む)、自動ワークロード・リポジトリ(AWR)およびTKPROFなどのツールを実行します。

関連項目:

• データベース・パフォーマンスの監視方法の詳細は、『Oracle Databaseパフォーマンス・チューニング・ガイド』を参照してください

• 個々のSQL文およびPL/SQL文の実行を監視するには、『Oracle Database SQLチューニング・ガイド』を参照してください

コマンド・ルールに関連するレポートおよびデータ・ディクショナリ・ビュー

Oracle Database Vaultには、コマンド・ルールの分析に役立つレポートとデータ・ディクショナリ・ビューが用意されています。

表7-2に、Oracle Database Vaultレポートを示します。これらのレポートの実行方法の詳細は、「Oracle Database Vaultレポート」を参照してください。

表7-2 コマンド・ルールに関連するレポート

レポート	説明
「コマンド・ルールの監査」レポート	コマンド・ルールを処理する操作により生成された監査レコードが表示されます。
「コマンド・ルール構成の問題」レポート	コマンド・ルールに存在するその他の構成問題に加え、ルール違反が追跡されます。
オブジェクト権限レポート	コマンド・ルールが影響するオブジェクト権限が表示されます。
機密オブジェクト・レポート	コマンド・ルールが影響するオブジェクトが表示されます。
「ルール・セット構成の問題」レポート	ルールが定義されていないか、有効ではなく、それらを使用するコマンド・ルールに影響を与える可能性があるルール・セットが表示されます。

DVSYS.DBA_DV_COMMAND_RULEデータ・ディクショナリ・ビューを使用すると、コマンド・ルールで保護されているSQL文を検出できます。詳細は、「DVSYS.DBA_DV_COMMAND_RULEビュー」を参照してください。