| Oracle® Label Security管理者ガイド 12cリリース1 (12.1) E56367-02 |
|
 前 |
 次 |
ラベル付きデータの管理、セッションのセキュリティ属性のデータの表示およびセッション属性の値の変更を行うことができます。
内容は次のとおりです。
注意:
このマニュアルの多くの例では、HUMAN_RESOURCESサンプル・ポリシーを使用しています。そのポリシー名はHRで、ポリシー・ラベル列はHR_LABELです。特に明記していないかぎり、各例では、Oracle Label Securityポリシーの施行がすべて有効になっている状態で、ユーザーの認証の範囲内でSQL文が行に対して実行されるものとします。
表に適用される各ポリシーにより、データベースに1列が作成されます。
デフォルトでは、データ型はNUMBERです。
ポリシーに関する各行のラベルは、文字列書式のラベル値と等価の数値を使用して、その列のタグで表されます。ラベル・タグは、ラベル作成時に管理者が手動で指定しないかぎり自動的に生成されます。
自動ラベル生成には、管理者がラベル・コンポーネントを定義するときに設定したルールが適用されます。「データ・ラベルおよびユーザー・ラベル」を参照してください。
注意:
ポリシーの作成自体は、表やスキーマに影響しません。ポリシーは表またはスキーマにのみ適用されます。次の各項を参照してください。
ポリシーを表す列を表示しないように選択できます。
列の表示を非表示にするには、表にHIDEオプションを適用します。
HIDEを使用するポリシーを表に適用すると、SELECT *またはDESCRIBE操作を実行するユーザーには、ポリシーのラベル列が表示されなくなります。ポリシーのラベル列が非表示でない場合、ラベル・タグはNUMBER型として表示されます。「HIDEポリシー列オプションの動作」を参照してください。
例1: 数値列データ型(NUMBER)
DESCRIBE EMP; Name Null? Type ----------------------------------------- -------- -------- EMPNO NOT NULL NUMBER(4) ENAME CHAR(10) JOB CHAR(9) MGR NUMBER(4) SAL NUMBER(7,2) DEPTNO NOT NULL NUMBER(2) HR_LABEL NUMBER(10)
例2: 数値列データ型と非表示列
この例では、HR_LABEL列は表示されません。
DESCRIBE EMP; Name Null? Type ----------------------------------------- -------- -------- EMPNO NOT NULL NUMBER(4) ENAME CHAR(10) JOB CHAR(9) MGR NUMBER(4) SAL NUMBER(7,2) DEPTNO NOT NULL NUMBER(2)
ラベル・コンポーネントを定義するラベル・タグを、手動または自動で生成して作成できます。
最初に、管理者は、ポリシーに使用するラベル・コンポーネントのセットを定義します。
ラベルの作成時に、管理者はラベルを構成するコンポーネントの有効な組合せセット、つまり、オプションで1つ以上のグループまたは区分と組み合せたレベルを指定します。
ポリシー内で有効なこれらの各ラベルは、管理者により割り当てられた、または初回使用時に自動的に生成された、関連付けられている数値タグによって一意に識別されます。管理者がラベル・タグを手動で定義すると、ソートや論理比較を行うときのラベル値の順序付けを制御できるというメリットがあります。
ただし、ラベル・タグは、データベース内のすべてのポリシー間で一意であることが必要です。データベース内で複数のポリシーを使用する場合、異なるポリシー内で同じ数値ラベル・タグは使用できません。ラベル・タグはそれぞれが1つのラベルを一意に識別すること、およびデータ行に格納されるのはラベルの文字列表現ではなく、この数値タグであることに注意してください。
ラベル・タグを手動で定義すると、ラベルを意味のある方法でソートし比較できるようなデータ操作方法を実装できます。
そのためには、保護されたデータに関連付けるラベルをすべて事前に定義し、各ラベルに意味のあるラベル・タグ値を割り当てる必要があります。手動で割り当てることができるラベル・タグは8桁以内です。ラベル・タグの値は1以上である必要があります。
ラベル・タグ値をラベル・コンポーネントの数値に関連付ける方法を実装すると、メリットが得られる場合があります。これにより、タグを使用してデータ行を意味のある方法でグループ化できます。ただし、このアプローチは必須ではありません。機密性の高いラベルのタグは、機密性の低いラベルのタグより大きい数値に設定することをお薦めします。
表6-1に、割り当てられたラベル・タグのセットを示します。この例で、管理者の設定したラベル・タグ値が、「データ・ラベルおよびユーザー・ラベル」で説明したレベル、区分および行の数値に基づいていることに注意してください。
表6-1 管理者が定義したラベル・タグ(例)
| ラベル・タグ | ラベル文字列 |
|---|---|
10000 |
P |
20000 |
C |
21000 |
C:FNCL |
21100 |
C:FNCL,OP |
30000 |
S |
31110 |
S:OP:WR |
40000 |
HS |
42000 |
HS:OP |
この例では、PUBLICレベルのラベルは"1"、CONFIDENTIALレベルのラベルは"2"、SENSITIVEレベルのラベルは"3"、HIGHLY_SENSITIVEレベルのラベルは"4"で始まっています。
FINANCIAL区分を持つラベルは1000番台、OP区分を持つラベルは1100番台になっています。10の桁はグループWRなどを示します。
この他に、グループのみに基づく方法などもあります。その場合、タグは3110、3120、3130などとなります。
ただし、ラベル・タグは、個々のラベル・コンポーネントに割り当てられている数値にかかわらず、ラベル全体を識別します。ラベル・タグは、個別に評価される番号の集まりではなく、全体で1つの整数として使用されます。
管理者が定義したラベル・タグは、ラベル文字列全体(つまり、ラベル・コンポーネントの組合せ)を参照する便利な方法です。
たとえば、表6-1にあるように、タグ31110でラベル文字列S:OP:WR全体を表すことができます。
ラベル・タグは、データをパーティション化する便利な方法として使用できます。たとえば、範囲1000から1999内のラベルを持つすべてのデータを表領域Aに置き、範囲2000から2999内のラベルを持つすべてのデータを表領域Bに置くことができます。
この最も単純な表記法は、ラベル数が限られていて、それに対して各種操作を実行する必要がある場合にも役立ちます。ある会社が他の多数の会社の人事管理システムを管理している状況を考えます。会社YのユーザーはいずれもラベルC:ALPHA:CYを持ち、そのタグ210が設定されているとします。会社Yのアプリケーション・ユーザーの総数を判断するには、ホスト管理者は次のように入力します。
SELECT * FROM tab1 WHERE hr_label = 210;
動的に生成されるラベル・タグは10桁で、ラベル・コンポーネントに割り当てられている番号とは無関係です。
データをラベル別にグループ化することはできません。
表6-2で、自動的に生成されるラベル・タグの動作について説明します。
表6-2 生成されたラベル・タグ(例)
| ラベル・タグ | ラベル文字列 |
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
既存のデータ行の場合は、ラベル付けファンクションを作成してラベルを割り当てることができます。
このファンクションでは、挿入するラベルを定義する表と行の条件を正確に指定します。ファンクション名は、表またはスキーマにポリシーを適用するためのコール、または管理者によるUPDATE時に指定できます。
挿入される行については、「ラベル付きデータの挿入」を参照してください。
ラベルの検索時に、文字列値を自動的に取得することはありません。
デフォルトでは、ラベル・タグの値が戻されます。2つのラベル操作ファンクションを使用すると、ラベル・タグの値と文字列表現の間で変換できます。
内容は次のとおりです。
CHAR_TO_LABELファンクションは、文字列をラベル・タグに変換し、指定した文字列のラベル・タグを戻します。
文字列からラベル・タグに変換するには、CHAR_TO_LABELファンクションの次の構文を使用します。
FUNCTION CHAR_TO_LABEL (
policy_name IN VARCHAR2,
label_string IN VARCHAR2)
RETURN NUMBER;
次に例を示します。
INSERT INTO emp (empno,hr_label)
VALUES (999, CHAR_TO_LABEL('HR','S:A,B:G5');
HRはラベルのポリシー名、Sは機密性レベル、A,Bは区分、G5はグループです。
FUNCTION CHAR_TO_LABEL (
policy_name IN VARCHAR2,
label_string IN VARCHAR2)
RETURN NUMBER;
HRはラベルのポリシー名、Sは機密性レベル、A,Bは区分、G5はグループです。
LABEL_TO_CHARファンクションは、ラベル・タグを文字列に変換する際、VARCHAR2文字列を戻します。
表またはビューを問い合せて自動的に取得される行は、表またはビュー内の行のうち、問合せの修飾を満たし、問合せを行ったユーザーのラベルに支配される行すべてです。ポリシーのラベル列が非表示に設定されていない場合は、各行のラベル・タグ値が表示されます。各ラベルの文字列値を表示するには、LABEL_TO_CHARファンクションを使用する必要があります。
すべての変換は明示的に行う必要があることに注意してください。タグと文字列表現の間の自動的なキャストはありません。
ラベル・タグから文字列に変換するには、LABEL_TO_CHARファンクションの次の構文を使用します。
FUNCTION LABEL_TO_CHAR (
label IN NUMBER)
RETURN VARCHAR2;
Oracleには、LABEL_TO_CHARの使用方法を示す例が用意されています。
例: 表またはビューの行のラベルの取得
表またはビューの行のラベルを取得するには、SELECT文でポリシーのラベル列を指定します。
次に例を示します。
SELECT label_to_char (hr_label) AS label, ename FROM tab1; WHERE ename = 'RWRIGHT';
この文では次のように戻されます。
LABEL ENAME ------------ ---------- S:A,B:G1 RWRIGHT
例: ポリシーのラベル列の取得
SELECT文のWHERE句でポリシーのラベル列を指定することもできます。
次の文では、ポリシー・ラベルS:A,B:G1を持つすべての行が表示されます。
SELECT label_to_char (hr_label) AS label,ename FROM emp
WHERE hr_label = char_to_label ('HR', 'S:A,B:G1');
この文では次のように戻されます。
LABEL ENAME ------------- --------- S:A,B:G1 RWRIGHT S:A,B:G1 ESTANTON
また、次のように、より柔軟な文を使用して、HR_LABEL列のテキストに文字列"S:A,B:G1"を含むデータを検索することもできます。
SELECT label_to_char (hr_label) AS label,ename FROM emp WHERE label_to_char (hr_label) like '%S:A,B:G1%';
LABEL_TO_CHARファンクションを使用しない場合は、ラベル・タグが表示されます。
例: 数値列データ型の取得
次の例は、数値列データ型(NUMBER)の動的に生成されたラベル・タグですが、LABEL_TO_CHARファンクションを使用していません。LABEL_TO_CHARファンクションを使用しない場合は、ラベル・タグが表示されます。
SQL> select empno, hr_label from emp
where ename='RWRIGHT';
EMPNO HR_LABEL
---------- ----------
7839 1000000562
ポリシー・ラベル列が非表示になっている場合、表で「SELECT *」を実行しても、ポリシー・ラベル列は自動的には戻されません。
ラベルを取り出すように明示的に指定するには、SELECT文でLABEL_TO_CHARファンクションを使用します。
たとえば、DEPT表からすべての列を(ポリシーのラベル列の文字列表現を含め)取り出すには、次のように入力します。
COLUMN LABEL FORMAT a10 SELECT LABEL_TO_CHAR (hr_label) AS LABEL, DEPT.* FROM DEPT;
これらのSQL文を実行すると、次のデータが戻されます。
表6-3 サンプルSQL文から戻された非表示列のデータ
| LABEL | DEPTNO | DNAME | LOC |
|---|---|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
これに対して、HR_LABEL列を明示的に指定しない場合は、ラベルはまったく表示されません。ポリシー列名はポリシーに基づいて設定されますが、HIDEオプションは表単位で設定されることに注意してください。
関連項目:
SQL文を処理する際に、Oracle Label Securityは、作成および適用プロシージャによって、データベースに定義されているセキュリティ・ポリシーを呼び出します。
これらの作成および適用プロシージャは、「SA_POLICY_ADMINポリシー管理PL/SQLパッケージ」で説明されています。
SELECT文の場合、ポリシーはユーザーが表示を認可されているデータ行をフィルタします。INSERT、UPDATEおよびDELETE文の場合、Oracle Label Securityはユーザーの認証に基づいて要求された操作を許可または拒否します。
内容は次のとおりです。
SELECT文のWHERE句に数値ラベル・タグを使用する様々な技法があります。
ラベルをNUMBER形式で使用すると、ラベル・タグのリストで様々なレベルが区別されるようにラベルを設定できます。このような数値ラベル・タグの比較を、ORDER BY処理や論理演算子とともに使用できます。
たとえば、すべてのUNCLASSIFIEDラベルを1000番台、すべてのSENSITIVEラベルを2000番台、すべてのHIGHLY_SENSITIVEラベルを3000番台に割り当てている場合は、すべてのSENSITIVEレコードをリスト表示できます。
SELECT * FROM emp WHERE hr_label BETWEEN 2000 AND 2999;
すべてのSENSITIVEレコードとUNCLASSIFIEDレコードをリスト表示するには、次のように入力します。
SELECT * FROM emp WHERE hr_label <3000;
すべてのHIGHLY_SENSITIVEレコードをリスト表示するには、次のように入力します。
SELECT * FROM emp WHERE hr_label=3000;
注意:
このような問合せが意味を持つのは、管理者が、最初にラベルに割り当てたラベル・タグに、数値による順序付け方法を適用している場合のみであることに注意してください。この方法により、管理者はデータを簡単に送信できます。ただし、ラベル・タグの値が自動的に生成されると、タグの値とラベルの順序に本質的な関係は存在しません。
または、支配関係を使用して順序付け方法を設定することもできます。
関連項目:
SELECT文のORDER BY句を使用すると、数値ラベル・タグで行を順序付けできます。
ORDER BY操作を実行するには、次のようなSELECT文を使用します。
SELECT * from emp ORDER BY hr_label;
この文にはファンクションは不要であることに注意してください。この文は、管理者が設定したラベル・タグを使用できるようにします。
注意:
この場合も、このような問合せが意味を持つのは、管理者が、最初にラベルに割り当てたラベル・タグに、数値による順序付け方法を適用している場合のみです。
LABEL_TO_CHARファンクションは、ラベルの文字表現でデータ行を順序付けします。
ラベルの文字表現でデータ行を順序付けするには、ラベルのテキスト順にソートされたすべての行が戻される、次のような文を使用します。
SELECT * FROM emp ORDER BY label_to_char (hr_label);
Oracle Label Securityでは、複数のラベルの最小の上限または最大の下限を決定するファンクションが提供されます。
2つの単一行ファンクションは、問合せから戻される各行を操作します。結果は行ごとに1つずつ戻されます。
内容は次のとおりです。
注意:
複数のラベルを取るすべてのファンクションでは、ラベルはすべて同じポリシーに属している必要があります。
OLS_LEAST_UBOUND (OLS_LUBD)ファンクションは、label1およびlabel2の最小の上限である文字列ラベルを戻します。
つまり、この2つを支配している単一のラベルです。最小の上限は、最上位レベル、ラベル内の区分の共用部分およびラベル内のグループの共用部分です。
たとえば、HIGHLY_SENSITIVE:ALPHAおよびSENSITIVE:BETAの最小の上限は、HIGHLY_SENSITIVE:ALPHA,BETAです。
最小の上限を検索するには、次の構文を使用します。
FUNCTION OLS_LEAST_UBOUND (
label1 IN NUMBER,
label2 IN NUMBER)
RETURN VARCHAR2;
OLS_LEAST_UBOUNDファンクションが役立つのは、異なるラベルを持つ行を結合する場合です。これは、結合された行の最高水位標ラベルを提供するためです。
次の問合せでは、各従業員のラベルを所属部署のラベルと比較し、EMP表にあるかDEPT表にあるかに関係なく上位のラベルを戻します。
SELECT ename,dept.deptno, OLS_LEAST_UBOUND(emp.hr_label,dept.hr_label) as label FROM emp, dept WHERE emp.deptno=dept.deptno;
この問合せでは次のデータが戻されます。
表6-4 サンプルSQL文LEAST_UBOUNDから戻されたデータ
| ENAME | DEPTNO | LABEL |
|---|---|---|
|
10 |
L3:M:D10 |
|
30 |
L3:M:D30 |
|
10 |
L3:M:D10 |
|
20 |
L3:M:D20 |
|
30 |
L2:E:D30 |
注意:
Oracle Database 12cリリース1 (12.1)では、古いOLSファンクションであるLEAST_UBOUNDおよびLUBDは非推奨です。
このリリースではまだ古いファンクションを使用できますが、かわりにOLS_LEAST_UBOUNDおよびOLS_LUBDファンクションを使用することをお薦めします。新しいファンクション名を使用すると、他のデータベース・コンポーネントと名前が競合する可能性が回避されます。
OLS_GREATEST_LBOUND (OLS_GLBD)スタンドアロン・ファンクションは、2つの異なるラベルが指定された場合、操作に含めることができる最下位のデータのラベルを決定します。
このファンクションは、label1およびlabel2の最大の下限である文字列ラベルを返します。最大の下限は、最下位レベルであり、ラベルの区分とラベルのグループの共通部分です。たとえば、HIGHLY_SENSITIVE:ALPHAおよびSENSITIVEの最大の下限はSENSITIVEです。
最大の下限を検索するには、次の構文を使用します。
FUNCTION OLS_GREATEST_LBOUND (
label1 IN NUMBER,
label2 IN NUMBER)
RETURN VARCHAR2;
注意:
Oracle Database 12cリリース1 (12.1)では、古いOLSファンクションであるGREATEST_LBOUNDおよびGLBDは非推奨です。
このリリースではまだ古いファンクションを使用できますが、かわりにOLS_GREATEST_LBOUNDおよびOLS_GLBDファンクションを使用することをお薦めします。新しいファンクション名を使用すると、他のデータベース・コンポーネントと名前が競合する可能性が回避されます。
MERGE_LABELファンクションは、2つのラベルをマージします。
このファンクションは、2つのラベルの文字列書式と、マージ形式の3文字の指定を受け入れます。
ラベルをマージするには、次の構文を使用します。
FUNCTION merge_label (label1 IN number,
label2 IN number,
merge_format IN VARCHAR2)
RETURN number;
有効なマージ形式を次のように3文字の文字列で指定します。
<highest level or lowest level><union or intersection of compartments><union or intersection of groups>
1文字目には、2つのラベルの最上位レベルと最下位レベルのうち、どちらを使用してマージするかを示します。
2文字目には、2つのラベルにある区分の共用部分と共通部分のうち、どちらを使用してマージするかを示します。
3文字目には、2つのラベルにあるグループの共用部分と共通部分のうち、どちらを使用してマージするかを示します。
表6-5に、MERGE_LABELのフォーマット定数の定義を示します。
表6-5 MERGE_LABELのフォーマット定数
| フォーマット指定 | データ型 | 定数 | 意味 | フォーマットの使用位置 |
|---|---|---|---|---|
|
|
|
最大レベル。 |
第1(レベル) |
|
|
|
最小レベル。 |
第1(レベル) |
|
|
|
2つのラベルの共用部分。 |
第2(区分)および第3(グループ) |
|
|
|
2つのラベルの共通部分。 |
第2(区分)および第3(グループ) |
|
|
|
第1のラベルから第2のラベルを削除します。 |
第2(区分)および第3(グループ) |
|
|
|
区分列に指定すると、区分は戻されません。グループ列に指定すると、グループは戻されません。 |
第2(区分)および第3(グループ) |
たとえば、HUIの場合は、2つのラベルの最上位レベル、区分の共用部分、グループの共通部分を指定したことになります。
MERGE_LABELファンクションが特に役立つのは、開発者がLEAST_UBOUNDファンクションで意図した結果が得られない場合です。グループを含む2つのラベルにLEAST_UBOUNDファンクションを使用すると、予期したよりも機密性の低いデータ・ラベルが得られる場合があります。MERGE_LABELファンクションを使用すると、LEAST_UBOUNDファンクションで得られるグループの共用部分のかわりに、グループの共通部分を計算できます。
たとえば、グループUNITED_STATESを含むデータ・レコードのラベルと、グループUNITED_KINGDOMを含む別のデータ・レコードのラベルがあり、LEAST_UBOUNDファンクションを使用してこの2つのラベルの最小の上限を計算すると、結果として得られるラベルには、UNITED_STATESまたはUNITED_KINGDOMについて認可されているユーザーがアクセスできます。
これに対して、HUIのフォーマット句とともにMERGE_LABELファンクションを使用すると、結果的に得られるラベルには最上位レベルと区分の共用部分は含まれますが、グループは含まれません。これは、UNITED_STATESとUNITED_KINGDOMには共通部分がないためです。
様々な状況で、ラベル付きデータを挿入できます。
内容は次のとおりです。
Oracle Label Securityでポリシーにより保護されている表にデータを挿入する場合は、数値のラベル値タグを指定する必要があります。
通常、INSERT文自体にこの値を挿入できます。
そのためには、必要なラベルのタグを明示的に指定するか、ラベルの文字列表現を適切なタグに明示的に変換する必要があります。これは新規ラベル・タグの生成を意味するのではなく、適切なラベル・タグの参照を意味することに注意してください。Oracle Label SecurityでOracle Internet Directoryを使用している場合、許可されるラベル(および対応するタグ)は、管理者により事前定義済でOracle Internet Directoryに存在するラベルのみです。
INSERT文でラベル値を省略できるのは、次のいずれかの場合のみです。
ポリシーの適用時にLABEL_DEFAULT強制オプションが指定されている場合
ポリシーの適用時に強制オプションが指定されておらず、ポリシーの作成時にLABEL_DEFAULTが指定されている場合
ポリシー適用文でラベル付けファンクションが指定されている場合
最初の2つの場合は、ユーザーのセッションのデフォルト行ラベルが、挿入される行のラベルとして使用されます。3つ目の場合、挿入される行のラベルは、そのラベル付けファンクションにより作成されます。
関連項目:
ポリシー強制オプションおよびラベル付きデータ(およびラベル)の読取りと書込みについては、「ポリシー施行オプションとラベル付けファンクションの実装」全体を参照してください
行ラベルを挿入するには、ラベル文字列を指定してから、CHAR_TO_LABELファンクションを使用してラベルに変換できます。
CHAR_TO_LABELファンクションは、有効なデータ・ラベルを自動的に作成します。
ラベルを挿入するには、INSERT INTO文を使用します。
次の例に、表empの定義を使用して、明示的なラベルでデータを挿入する方法を示します。
INSERT INTO emp (ename,empno,hr_label)
VALUES ('ESTANTON',10,char_to_label ('HR', 'SENSITIVE'));
CHAR_TO_LABELファンクションを使用するのではなく、ラベルの数値ラベル・タグ値を使用して、データを挿入できます。
数値のラベル・タグ値を使用してラベルを挿入するには、INSERT INTO文を使用します。
たとえば、SENSITIVEの数値ラベル・タグが3000の場合は、次のようになります。
INSERT INTO emp (ename, empno, hr_label)
VALUES ('ESTANTON', 10, 3000);
INSERT文でラベルを指定する必要がない2つの状況があります。
LABEL_DEFAULTが設定されている場合、または表に適用されているラベル付けファンクションがある場合は、INSERT文でラベルを指定する必要はありません。ラベルは自動的に提供されます。
ラベルを指定せずにデータを挿入するには、INSERT INTO文を使用します。
次に例を示します。
INSERT INTO emp (ename, empno)
VALUES ('ESTANTON', 10);
結果として得られる行ラベルは、デフォルト値に従って(またはラベル付けファンクションにより)設定されます。
ラベル列が非表示の場合、その列の存在はデータの挿入に対して透過的です。
表の列を明示的にリスト表示せず、ラベル列の値を含めないINSERT文を記述できます。
データのラベル付けには、セッションの行ラベルまたはラベル付けファンクション(表またはスキーマに対するポリシーの適用時に指定した場合)が使用されます。
列名を明示的に指定しなくても、表の非表示でない各列の値を指定すれば、表に挿入できます。次の例では、「例2: 数値列データ型と非表示列」で説明した表に1行を挿入する方法を示します。
ポリシーのラベル列が非表示になっている場合にデータを挿入するには、次の構文を使用します。
INSERT INTO emp
VALUES ('196','ESTANTON',Technician,RSTOUT,50000,10);
ラベルは、次のいずれかになります。
指定したラベル
適用されているポリシーのLABEL_DEFAULTオプションで設定されるラベル
適用されているポリシーで指定されたラベル付けファンクションにより作成されるラベル
注意:
ポリシー・ラベル列が非表示でない場合は、INSERT文にラベル値(場合によっては、コンマで示されるnull)を明示的に含める必要があります。
TO_DATA_LABELファンクションは、新規ラベルを動的に生成できます。
このアプローチにより、データ・ラベルが有効であることが保証されます。ただし、Oracle Label SecurityがOracle Internet Directoryで動作するようにインストールされている場合、ラベルはOracle Internet Directoryでolsadmintoolコマンドを使用して集中管理されるため、動的ラベル生成は許可されないことに注意してください。詳細は、「Oracle Internet Directoryを使用したLabel Security用コマンドライン・ツール」を参照してください。したがって、Oracle Label SecurityがOracle Internet Directory対応の場合、このTO_DATA_LABELファンクションは使用できず、使用するとエラー・メッセージが生成されます。
TO_DATA_LABELファンクションに対するEXECUTE権限があることを確認します。
たとえば、INSERT INTO文でTO_DATA_LABELを必要に応じて使用します。
次に例を示します。
INSERT INTO emp (ename, empno, hr_label)
VALUES ('ESTANTON', 10, to_data_label ('HR', 'SENSITIVE'));
注意:
TO_DATA_LABELファンクションを使用するには、個別に明示的に付与する必要があります。また、その使用は厳密に制御する必要があります。
