12 Oracle Database機能と組み合せたOracle Data Redactionの使用
Oracle Data Redactionは他のOracle機能とともに使用できますが、一部のOracle機能にはOracle Data Redactionについて制限がある場合があります。
- Oracle Data Redactionの一般的な使用上のガイドライン
Oracle Data Redactionを使用するための使用上のガイドラインを理解することが重要です。 - Oracle Data Redactionと、DMLおよびDDL操作
Oracle Data Redactionは、DMLおよびDDL操作に影響を与えます。特に、リダクションされた列を持つ表に対して非定型SQLを発行するユーザーがいる場合に、これが当てはまります。 - ネストした関数、インライン・ビューおよびWHERE句でのOracle Data Redaction
Oracle Data Redactionは、ネストした関数、インライン・ビュー、およびSELECT
文のWHERE
句と一緒に使用できます。 - Oracle Data Redactionとデータベース・リンク
データベース・リンクを参照するデータベース・ビューでOracle Data Redactionポリシーを作成しないでください。 - Oracle Data Redactionおよび集計関数
集計関数は、Oracle Data Redactionポリシーのパフォーマンス・オーバーヘッドに影響を与えることがあります。 - Oracle Data Redactionおよびオブジェクト型
オブジェクト型を使用して、顧客アカウントなどの実世界のエンティティをモデル化できます。 - Oracle Data RedactionおよびXML生成
Oracle Data Redactionポリシーが定義されている列で、XML生成関数を使用することはできません。 - Oracle Data Redactionおよびエディション
エディション化ビューはリダクションできません。 - マルチテナント環境におけるOracle Data Redaction
マルチテナント環境では、Oracle Data Redactionポリシーは、現在のプラガブル・データベース(PDB)内のオブジェクトのみに適用されます。 - Oracle Data RedactionとOracle Virtual Private Database
VPD述語を含むVPDインライン・ビューは実際の値で動作するため、Oracle Virtual Private DatabaseポリシーはOracle Data Redactionの影響を受けません。 - Oracle Data RedactionとOracle Database Real Application Security
Oracle Data Redactionは、アプリケーションに対するセキュリティの実装方法の点でOracle Database Real Application Securityとは異なります。 - Oracle Data RedactionとOracle Database Vault
Oracle Database Vault環境で、Oracle Data Redactionを使用できます。 - Oracle Data RedactionとOracle Data Pump
Oracle Data Pumpのエクスポート操作は、Oracle Data Redactionポリシーを含むオブジェクトに影響を与えることがあります。 - Oracle Data RedactionとData Masking and Subsetting Pack
Oracle Enterprise Manager Data Masking and Subsetting Packを使用して、本番データベースの開発またはテスト・コピーを作成できます。 - Oracle Data RedactionおよびJSON
JavaScript Object Notation (JSON)を使用して、表の列にis json
制約を作成できます。
親トピック: Oracle Data Redactionの使用
12.1 Oracle Data Redactionの一般的な使用上のガイドライン
Oracle Data Redactionを使用するための使用上のガイドラインを理解することが重要です。
-
SQL文の
GROUP BY
句で使用されるSQL式にリダクションされた列を含めることはできません。Oracleではこのような動作はサポートされないため、「ORA-00979: GROUP BYの式ではありません。
」エラーが発生します。これはSELECT
リスト内の式がデータ・リダクションにより内部で変更される必要があるために発生しますが、GROUP BY
句(その時点ではデータ・リダクションにより更新されていない)を処理するときに見つからなくなっている原因となり、この予期せぬエラー・メッセージが発生します。 -
SQL文の
DISTINCT
句とORDER BY
句の両方で使用されるSQL式にリダクションされた列を含めることはできません。Oracleではこのような動作はサポートされないため、「ORA-01791: SELECT式が無効です。
」エラーが発生します。これはSELECT
リスト内の式がデータ・リダクションにより内部で変更される必要があるために発生しますが、GROUP BY
句を処理するときに見つからなくなっている原因となり、この予期せぬエラー・メッセージが発生します。 -
リダクションされた列の
UNION
が問合せに含まれ、UNION
の各ブランチにあるリダクション・ポリシーが同じではない場合は、「ORA-28094: SQL構造はデータ・リダクションでサポートされていません
」エラーが発生します。ORA-28094
エラーを回避するには、次のプロパティが問合せにあることを確認します。-
UNION
内の列にリダクション・ポリシーがある場合、UNION
の各ブランチ内の対応する列は、次のすべてのプロパティに対して同じ値を持つリダクション・ポリシーを使用する必要があります。-
関数のタイプ
-
関数パラメータまたは
REGEXP
パラメータ -
ポリシー式
-
フラグの有効化
別のリダクション・ポリシーでもかまいませんが、これらのプロパティはすべて同じである必要があります。
-
-
インライン・ビューでは、
UNION
に副問合せを含めることはできません。 -
CREATE VIEW
定義またはインライン・ビューでは、リダクションされた列を含むSQL式は使用できません。
-
-
Oracleでは、次の機能はサポートされていません。
- 仮想列でのデータ・リダクション・ポリシーの追加
- 仮想列のベース列でのデータ・リダクション・ポリシーの追加
- ベース列にデータ・リダクション・ポリシーが定義されている仮想列の追加
- データ・リダクション・ポリシーがある列でのファンクション索引の作成
-
CREATE VIEW
定義またはインライン・ビューでは、リダクションされた列を含むSQL式(concat
、sum
、trim
、min
、max
など)は存在できません。
12.2 Oracle Data Redactionと、DMLおよびDDL操作
Oracle Data Redactionは、DMLおよびDDL操作に影響を与えます。特に、リダクションされた列を持つ表に対して非定型SQLを発行するユーザーがいる場合に、これが当てはまります。
次の点に注意してください。
-
Oracle Data Redactionは、結果は表示されませんが、DML文の
RETURNING INTO
句を問合せとして処理します。バッファに送信されるのは、RETURNING INTO
句が通常のSQL問合せとして実行された場合に表示される結果で、DML文の一部として実行された場合の結果ではありません。アプリケーションがRETURNING INTO
の値を格納したバッファ上でさらに処理を実行する場合、バッファ内でリダクションされた結果を検索することができないため、アプリケーションの変更を検討してください。 -
リダクションされた列がDMLまたはDDL操作のソースとして現れた場合、Oracle Data Redactionは、これをポリシーを回避する試みとみなし、
EXEMPT REDACTION POLICYシステム権限がないかぎり、
「ORA-28081: 権限が不十分です - コマンドはリダクション済のオブジェクトを参照しています。」
エラーを表示して拒否します。内部ではOracle Data Pumpがこの種の操作を実行するため、リダクションされた列がある表のスキーマ・レベルのエクスポートを実行する必要があるユーザーには、EXEMPT REDACTION POLICY
システム権限の付与が必要になる可能性があります。
12.3 ネストした関数、インライン・ビューおよびWHERE句でのOracle Data Redaction
Oracle Data Redactionは、ネストした関数、インライン・ビュー、およびSELECT
文のWHERE
句と一緒に使用できます。
Oracle Data Redactionポリシーは次のように動作します。
-
ネストした関数は、最も内側からリダクションされます。たとえば、
SELECT SUM(AVG(TO_NUMBER(((X))) FROM HR.EMPLOYEES WHERE ...
では、最初にTO_NUMBER
がリダクションされ、次にAVG
が、最後にSUM
関数がリダクションされます。 -
インライン・ビューは、最も外側からリダクションされます。たとえば、
SELECT XYZ … AS SELECT A… AS SELECT B… AS SELECT C…
では、最初にSELECT XYZ
がリダクションされ、次にAS SELECT A
、その次にAS SELECT B
という順序でリダクションされます。AS SELECT C
は最後にリダクションされます。 -
WHERE句はリダクションされません。データ・リダクションでは、列の
SELECT
リストのデータのみがリダクションされます。
12.4 Oracle Data Redactionとデータベース・リンク
データベース・リンクを参照するデータベース・ビューでOracle Data Redactionポリシーを作成しないでください。
DBA_DB_LINKS
データ・ディクショナリ・ビューを問い合せることによって、既存のデータベース・リンクについての情報を検索できます。
関連項目:
データベース・リンクの詳細は、Oracle Database管理者ガイドを参照してください。
12.5 Oracle Data Redactionおよび集計関数
集計関数は、Oracle Data Redactionポリシーのパフォーマンス・オーバーヘッドに影響を与えることがあります。
Oracle Data Redactionは列の各行の値を動的に変更するため、集計関数を使用する特定のSQL問合せでは、行の値が静的であると仮定しているデータベース最適化を最大限に利用できません。
集計関数をコールするSQL問合せでは、リダクションが原因でパフォーマンス・オーバーヘッドが発生する可能性があります。
12.6 Oracle Data Redactionおよびオブジェクト型
オブジェクト型を使用して、顧客アカウントなどの実世界のエンティティをモデル化できます。
オブジェクト型はユーザー定義の型です。オブジェクト型をリダクションすることはできません。これは、データベース・リダクションでは、オブジェクト型を構成できる可能性のある一部の方法を処理できないためです(ユーザー定義であるため)。オブジェクトで使用する型は、ALL_OBJECTS
データ・ディクショナリ・ビューのOBJECT_NAME
およびOBJECT_TYPE
列を問い合せることで検索できます。
12.7 Oracle Data RedactionおよびXML生成
Oracle Data Redactionポリシーが定義されている列で、XML生成関数を使用することはできません。
Oracle XML DB開発者ガイドで、この制限が適用されるSQL関数の種類について説明しています。この制限は、Oracle Data Redactionポリシーが有効化されているか無効化されているか、または問合せを行っているユーザーに対してアクティブかどうかに関係なく適用されます。
12.8 Oracle Data Redactionおよびエディション
エディション化ビューはリダクションできません。
エディション化ビューはリダクションできないほかに、いずれのエディション化ビューの定義でも、リダクションされた列を使用することはできません。DBA_EDITIONS
データ・ディクショナリ・ビューを問い合せると、エディションに関する情報を検索できます。
12.9 マルチテナント環境におけるOracle Data Redaction
マルチテナント環境では、Oracle Data Redactionポリシーは、現在のプラガブル・データベース(PDB)内のオブジェクトのみに適用されます。
データ・リダクション・ポリシーは、マルチテナント・コンテナ・データベース(CDB)には作成できません。これは、一般的にデータ・リダクション・ポリシーを作成するオブジェクトがPDBにあるためです。DBA_PDBS
データ・ディクショナリ・ビューを問い合せると、CDB内のすべてのPDBを検索できます。
CDBルートと同様、アプリケーション・ルートにデータ・リダクション・ポリシーを作成することはできません。
12.10 Oracle Data RedactionとOracle Virtual Private Database
VPD述語を含むVPDインライン・ビューは実際の値で動作するため、Oracle Virtual Private DatabaseポリシーはOracle Data Redactionの影響を受けません。
Oracle Data Redactionは、次の点でOracle Virtual Private Databaseとは異なります。
-
Oracle Data Redactionは、
NULL
リダクションのみをサポートするOracle Virtual Private Databaseよりも多くのリダクション機能を提供します。多くのアプリケーションでは、NULL
リダクションを使用できないため、そのようなアプリケーションでは、データ・リダクションは有効な解決策です。 -
Oracle Virtual Private Databaseポリシーは静的、動的および文脈依存を使用できる一方、データ・リダクション・ポリシーは、静的および文脈依存のポリシー表現のみを使用できます。
-
データ・リダクションは、表またはビューに定義するポリシーを1つのみを許可する一方、オブジェクトには、複数の仮想プライベート・データベースのポリシーを定義できます。
-
データ・リダクションは、アプリケーション・ユーザーが、シノニムを使用するデータ・リダクション・ポリシーで保護されるオブジェクトへのアクセスを試みたときに実行されますが、(Oracle Virtual Private Databaseと違って)シノニム自体に直接ポリシーを作成することはできません。
12.11 Oracle Data RedactionとOracle Database Real Application Security
Oracle Data Redactionは、アプリケーションに対するセキュリティの実装方法の点でOracle Database Real Application Securityとは異なります。
Oracle Data Redactionは、アプリケーション・セキュリティに包括的な認可フレームワークを提供している点で、Oracle Database Real Application Securityとは異なります。
Real Application Security内の列セキュリティは、Real Application Securityフレームワークを使用してアプリケーションで定義されるアプリケーション権限に基づきます。
関連項目:
カスタム・アプリケーション権限で表の列を保護する方法の詳細は、Oracle Database Real Application Security管理者および開発者ガイドを参照してください。
12.12 Oracle Data RedactionとOracle Database Vault
Oracle Database Vault環境で、Oracle Data Redactionを使用できます。
たとえば、オブジェクトがOracle Database Vaultレルムに含まれている場合、レルムの所有者または参加者の認証済リストに属していないユーザーは、ユーザーにEXEMPT REDACTION POLICY
権限が付与されているかどうかにかかわらず、オブジェクト・データを表示できません。ユーザーがデータに対してDMLまたはDDL文を試みると、エラー・メッセージが表示されます。
12.13 Oracle Data RedactionとOracle Data Pump
Oracle Data Pumpのエクスポート操作は、Oracle Data Redactionポリシーを含むオブジェクトに影響を与えることがあります。
- Oracle Data RedactionのためのOracle Data Pumpセキュリティ・モデル
DATAPUMP_EXP_FULL_DATABASE
ロールには、強力なEXEMPT REDACTION POLICY
システム権限が含まれます。 - Oracle Data Redactionポリシーが定義されているオブジェクトのエクスポート
Oracle Data Redactionポリシーがすでに定義されているオブジェクトをエクスポートできます。 - EXPDPユーティリティのaccess_methodパラメータを使用したデータのエクスポート
Oracle Data Pumpによって、データ・リダクション・ポリシーのあるオブジェクトを含むスキーマからデータをエクスポートできます。 - Oracle Data Redactionで保護されているオブジェクトへのデータのインポート
インポート操作中に、インポートされるデータを保護するデータ・リダクション・ポリシーを誤って削除しないように注意してください。
12.13.1 Oracle Data RedactionのためのOracle Data Pumpセキュリティ・モデル
DATAPUMP_EXP_FULL_DATABASE
ロールには、強力なEXEMPT REDACTION POLICY
システム権限が含まれます。
デフォルトでは、DBA
ロールにDATAPUMP_EXP_FULL_DATABASE
ロールおよびDATAPUMP_IMP_FULL_DATABASE
が付与されることに注意してください。
これによって、これらのロールを付与されたユーザーは、データ・リダクション・ポリシーから除外されます。このため、オブジェクトに定義されているデータ・リダクション・ポリシーでオブジェクトをエクスポートすると、保護されている表の実際のデータは、リダクションされずにData Pumpのターゲット・システムにコピーされます。DBA
ロールを含むこれらのロールを持つユーザーは、ターゲット・システム内の実際のデータを参照できます。
ただし、デフォルトでは、Data Pumpのソース・システムの任意の表およびビューに関連付けられたすべてのデータ・リダクション・ポリシーも(オブジェクト自体とともに)エクスポートおよびインポート操作に含まれ、ターゲット・システムのオブジェクトに適用されるため、ユーザーがターゲット・システム内のオブジェクトを問い合せると、データはリダクションされます。
12.13.2 Oracle Data Redactionポリシーが定義されているオブジェクトのエクスポート
Oracle Data Redactionポリシーがすでに定義されているオブジェクトをエクスポートできます。
- Oracle Data Pumpで使用されるタイプ名の検索
Oracle Data Redactionポリシーが定義されているオブジェクトをエクスポートする前に、Oracle Data Pumpで使用されるタイプ名を検索する必要があります。 - データ・リダクション・ポリシーに関連するデータ・ディクショナリ・メタデータのみのエクスポート
データ・リダクション・ポリシーおよび完全リダクション設定に関連するデータ・ディクショナリ・メタデータのみをエクスポートできます。 - IMPDPのINCLUDEパラメータを使用したオブジェクトのインポート
Oracle Database Pumpを使用してオブジェクトをインポートできます。
12.13.2.1 Oracle Data Pumpで使用されるタイプ名の検索
Oracle Data Redactionポリシーが定義されているオブジェクトをエクスポートする前に、Oracle Data Pumpで使用されるタイプ名を検索する必要があります。
これらのタイプを検索した後、これらのタイプをIMPDP
ユーティリティのINCLUDE
ディレクティブに対するパラメータとして使用して、その特定のタイプのメタデータのみをダンプ・ファイルに選択的にエクスポートできます。
-
タイプ名を検索するには、
DATABASE_EXPORT_OBJECTS
ビューを問い合せます。
たとえば:
SELECT OBJECT_PATH FROM DATABASE_EXPORT_OBJECTS WHERE OBJECT_PATH LIKE 'RADM_%';
次のような出力が表示されます。
OBJECT_PATH ------------ RADM_FPTM RADM_POLICY
12.13.2.2 データ・リダクション・ポリシーに関連するデータ・ディクショナリ・メタデータのみのエクスポート
データ・リダクション・ポリシーおよび完全リダクション設定に関連するデータ・ディクショナリ・メタデータのみをエクスポートできます。
この種のデータ・ポンプ・エクスポートは、開発、テストおよび本番の各データベース間でデータ・リダクション・ポリシーおよび設定の同じセットを使用する必要がある場合などに使用できます。content=metadata_only
フラグが指定されているため、ダンプ・ファイルに実際のデータは含まれません。
-
データ・リダクション・ポリシーおよび完全リダクション設定に関連するデータ・ディクショナリ・メタデータのみをエクスポートするには、次のような
EXPDP
ユーティリティ・コマンドを入力します。expdp system/password \ full=y \ COMPRESSION=NONE \ content=metadata_only \ INCLUDE=RADM_FPTM,RADM_POLICY\ directory=my_directory \ job_name=my_job_name \ dumpfile=my_data_redaction_policy_metadata.dmp
関連項目:
-
EXPDP
ユーティリティのINCLUDE
パラメータの詳細は、Oracle Databaseユーティリティを参照してください。 -
メタデータ・フィルタの詳細は、Oracle Databaseユーティリティを参照してください。
12.13.3 EXPDPユーティリティのaccess_methodパラメータを使用したデータのエクスポート
Oracle Data Pumpによって、データ・リダクション・ポリシーのあるオブジェクトを含むスキーマからデータをエクスポートできます。
Oracle Data Pumpを使用して、新しいデータ・ポンプのデフォルト設定(direct_path
)に基づいてデータベースの全体エクスポート操作を実行し、理解できないエラー・メッセージが返された場合、この項を使用して、エラーをより正確に理解できるような方法で操作を繰り返してください。
access_method
パラメータがdirect_path
に設定されたOracle Data Pump Export (EXPDP
)ユーティリティを使用してデータをスキーマからエクスポートしようとするとき、このスキーマにデータ・リダクション・ポリシーが定義されているオブジェクトが含まれていると、次のエラー・メッセージが表示される場合があり、エクスポート操作は失敗します。
ORA-31696: unable to export/import TABLE_DATA:"schema.table" using client specified DIRECT_PATH method
この問題は、スキーマ・レベルのエクスポートを、EXP_FULL_DATABASE
ロールを付与されていないユーザーとして実行する場合にのみ発生します。EXP_FULL_DATABASE
ロールを必要とするフル・データベース・エクスポート時には発生しません。EXP_FULL_DATABASE
ロールにはEXEMPT REDACTION POLICY
システム権限が含まれており、これによりデータ・リダクション・ポリシーが無視されます。
潜在的な問題を見つけるには、EXPDP
起動を再度試してください。ただし、access_method
パラメータをdirect_path
には設定しないでください。かわりに、automatic
とexternal_table
のどちらかを使用してください。潜在的な問題とは、たとえば次のような権限の問題です。
ORA-28081: Insufficient privileges - the command references a redacted object.
関連項目:
データ・ポンプ・エクスポートの使用に関する詳細は、『Oracle Databaseユーティリティ』を参照してください。
12.13.4 Oracle Data Redactionで保護されているオブジェクトへのデータのインポート
インポート操作中に、インポートされるデータを保護するデータ・リダクション・ポリシーを誤って削除しないように注意してください。
Oracle Data Pumpエクスポート(EXPDP
)ユーティリティを使用してエクスポートされたソース表にOracle Data Redactionポリシーが存在しないシナリオを考えてみます。ただし、Oracle Data Pumpインポート(IMPDP
)を使用してデータをインポートする宛先表には、Oracle Data Redactionポリシーが存在します。
IMPDP
コマンドのCONTENT
オプションによって異なります。
-
IMPDP
コマンドでCONTENT=ALL
またはCONTENT=METADATA_ONLY
オプションを使用する場合、宛先表のデータ・リダクション・ポリシーは削除されます。データ・リダクション・ポリシーを再作成する必要があります。 -
IMPDP
コマンドでCONTENT=DATA_ONLY
を使用する場合、宛先表のデータ・リダクション・ポリシーは削除されません。
関連項目:
データ・ポンプ・エクスポートの使用に関する詳細は、『Oracle Databaseユーティリティ』を参照してください
12.14 Oracle Data RedactionとData Masking and Subsetting Pack
Oracle Enterprise Manager Data Masking and Subsetting Packを使用して、本番データベースの開発またはテスト・コピーを作成できます。
これを実行するには、このデータを一括でマスクして、出力後のマスクされたデータを開発またはテスト・コピーに配置します。
Oracle Enterprise Manager Data Masking and Subsetting Packですでにマスクされたデータを含む列をリダクションする場合は、データ・リダクション・ポリシーを本番以外のデータベースに適用してもかまいません。
データを開発およびテスト環境に移行する場合は、Oracle Enterprise Manager Data Masking and Subsetting Packを使用して、必ずデータ・セットをマスクしてください。データ・リダクションは、アプリケーション・コードを変更せずに、複数のアプリケーション間で一貫した方法で、起動時に本番アプリケーションをリダクションすることを主な目的として設計されています。
関連項目:
データ・マスキングおよびサブセッティングの詳細は、Oracle Data Masking and Subsettingガイドを参照してください。
12.15 Oracle Data RedactionおよびJSON
JavaScript Object Notation (JSON)を使用して、表の列にis json
制約を作成できます。
ただし、is json
制約のある表の列にOracle Data Redactionポリシーを作成することはできません。これを試みると、ORA-28073 - The column column_name has an unsupported datatype
エラーが発生します。回避策として、JSONオブジェクトの上にJSON_TABLE
行ソース演算子使用するリレーショナル・ビューを作成し、このビューに対してデータ・リダクション・ポリシーを適用することをお薦めします。
JASON_TABLE
の詳細は、Oracle Database SQL言語リファレンスを参照してください。