必要なオペレーティング・システム・グループおよびユーザーの作成
インストールする製品にOracleソフトウェアを初めてインストールする場合は、複数のオペレーティング・システム・グループおよびユーザーを作成します。
記憶域層およびデータベース層のすべてのシステム権限のオペレーティング・システム認証に対して、1つの管理者ユーザーを作成し、1つのグループを使用することもできます。たとえば、oracle
ユーザーがすべてのOracleソフトウェアのOracleインストール・ユーザーになるように指定し、認証にはORA_DBA
グループのみを使用できます。アクセス権を分けるジョブ・ロール別にカスタム構成グループおよびユーザーを作成することもできます。
管理者ユーザーとしてログインし、次の手順に従ってOracle Database用のOracleインストール・ユーザーを作成します。
- Oracleインストール・ユーザーについて
Oracle RestartまたはOracle Databaseのソフトウェアをインストールするには、管理者グループのメンバーでもあるローカル・ユーザーまたはドメイン・ユーザーを使用する必要があります。 - Oracleホーム・ユーザーの作成
Oracle Databaseのインストール時に、Oracleホームに関連付けるオプションのOracleホーム・ユーザーを指定できます。 - Oracleインベントリ・ディレクトリおよびOracleインベントリ・グループの理解
Oracleインベントリ・ディレクトリは、サーバーにインストールされているすべてのOracleソフトウェアの中央インベントリの場所です。 - Oracle Databaseのインストール時に作成されるオペレーティング・システム・グループ
インストール時に、次の表に示すユーザー・グループが作成されます(まだ存在しない場合)。 - 役割区分用のオペレーティング・システム・グループおよびユーザー
Oracle DatabaseとOracle ASMの役割区分の構成は、オペレーティング・システム認証の個別のグループを提供するためのグループおよびユーザーを作成する構成です。
Oracleインストール・ユーザーについて
Oracle RestartまたはOracle Databaseのソフトウェアをインストールするには、管理者グループのメンバーでもあるローカル・ユーザーまたはドメイン・ユーザーを使用する必要があります。
このユーザーはOracleインストール・ユーザーです。Oracleインストール・ユーザーはローカル・ユーザーまたはドメイン・ユーザーのいずれにすることもできます。
Oracleホーム・ユーザーの作成
Oracle Databaseのインストール時に、Oracleホームに関連付けるオプションのOracleホーム・ユーザーを指定できます。
たとえば、ソフトウェアのインストールにOraSys
という管理者ユーザー(Oracleインストール・ユーザー)を使用する場合は、このインストールのOracleホーム・ユーザーとしてORADOMAIN\OraDb
ドメイン・ユーザーを指定できます。Oracle Databaseソフトウェアをインストールする前に、指定したOracleホーム・ドメイン・ユーザーが存在している必要があります。
Oracleホーム・ユーザーには、Windows組込みアカウント(サーバーのLocalSystemおよびクライアントのLocalService)、仮想アカウントまたは通常の(管理者ではない)Windowsアカウントを指定できます。Oracleホーム・ユーザーとして既存のユーザーを指定する場合、指定するWindowsユーザー・アカウントをWindowsドメイン・ユーザーまたはWindowsローカル・ユーザーのいずれかにできます。
仮想アカウントまたはWindows組込みアカウントをインストール時に使用する場合は、管理者がWindowsユーザー・アカウントを作成する必要はありません。
Oracleホーム・ユーザーとして存在しないユーザーを指定する場合、指定するWindowsユーザー・アカウントはWindowsローカル・ユーザーである必要があります。インストーラがこのアカウントを自動的に作成して、OracleホームのWindowsサービスを実行します。管理タスクを実行する場合は、このアカウントを使用してログインしないでください。
Oracle Database 12cリリース2 (12.2)から、グループ管理対象サービス・アカウント(gMSA)と仮想アカウントにより、パスワードなしでOracle Databaseをインストールし、データベース・サービスを作成して管理できるようになりました。gMSAは、ドメイン内の複数のサーバーから、このアカウントを使用してサービスを実行するために使用できるドメイン・レベルのアカウントです。Windowsユーザー・アカウントには、Windowsローカル・ユーザー、Windowsドメイン・ユーザー、管理対象サービス・アカウント(MSA)またはグループ管理対象サービス・アカウント(gMSA)を指定できます。
インストール時に新規作成できるユーザーは、Windowsローカル・ユーザーのみです。Windowsドメイン・ユーザー、MSA、gMSAなどにすることはできません。新規作成されたユーザーは、Windowsコンピュータへの対話型ログオン権限を拒否されます。ただし、Windows管理者は他のWindowsアカウントと同様にこのアカウントを管理できます。セキュリティ強化のため、Oracleホーム・ユーザーとして、仮想アカウントまたは(Windows組込みアカウントではなく)標準のWindowsユーザー・アカウントを使用することをお薦めします。
注意:
インストールが完了した後は、Oracleホーム・ユーザーを変更できません。Oracleホーム・ユーザーを変更する必要がある場合は、Oracle Databaseソフトウェアを再インストールする必要があります。
Oracleホーム・ユーザーを指定する場合、Oracleホームから実行されるすべてのソフトウェア・サービスに対してこのユーザーがOracleサービス・ユーザーとして構成されます。Oracleサービス・ユーザーは、Oracleソフトウェア・サービスの実行ユーザーとなるオペレーティング・システム・ユーザー、またはこのサービスの権限の継承元であるユーザーです。
サイレント・インストールの機能拡張により、Oracleホーム・ユーザーのパスワード・プロンプトをサポートするようになりました。これにより、カスタマおよび独立系ソフトウェアベンダー(ISV)は、パスワードをソース・コードにハード・コードせずにレスポンス・ファイルを使用できます。
標準的なインストール、ソフトウェアのみのインストール、およびクローニングのために、Oracleホーム・ユーザーとして仮想アカウントまたは(管理者アカウントではなく)標準のWindowsユーザー・アカウントを使用することをお薦めします。
ソフトウェアのみのインストールのためにOracleホーム・ユーザーとして既存のWindowsユーザー・アカウントを使用する場合、パスワードは必要ありません。そのため、Windowsユーザー・アカウントを使用して、サイレントでソフトウェアのみのインストールを実行できます。
個々のOracle DatabaseインストールのクローニングのためにOracleホーム・ユーザーとしてWindowsユーザー・アカウントを使用する場合、パスワードは必要ありません。
仮想アカウントは、Oracle Database単一インスタンス・データベースのインストール用のOracleホーム・ユーザーです。このアカウントを使用すると、Oracle Databaseをインストールし、パスワードなしでデータベース・サービスを作成および管理できます。gMSAは、ドメイン内の複数のサーバーから、このアカウントを使用してサービスを実行するために使用できるドメイン・レベルのアカウントです。gMSAは、権限の低いユーザー・アカウントです。
Oracle InventoryディレクトリおよびOracle Inventoryグループの理解
Oracleインベントリ・ディレクトリは、サーバーにインストールされているすべてのOracleソフトウェアの中央インベントリの場所です。
デフォルトでは、Oracleインベントリ・ディレクトリの場所は、C:\Program Files\Oracle\Inventory
です。
システムに初めてOracleソフトウェアをインストールするときに、Oracle中央インベントリのディレクトリと、Oracleインベントリ・グループ(ORA_INSTALL
)が、Oracle Universal Installerによって作成されます。ORA_INSTALL
グループには、サーバー上のすべてのOracleホームのOracleホーム・ユーザーがすべて含まれています。
このサーバーにOracleソフトウェアの最初のインストールを実行している場合、またはサーバーにOracleソフトウェアの追加インストールを実行している場合、Oracle中央インベントリまたはORA_INSTALL
グループを作成する必要はありません。これらはOracle Universal Installerによって自動的に作成されます。Oracleインベントリ・グループの名前は変更できません。この名前は常にORA_INSTALL
です。
Oracle Databaseのインストール時に作成されるオペレーティング・システム・グループ
インストール時に、次の表に示すユーザー・グループが、まだ存在しない場合は作成されます。
HOMENAME
変数は、ソフトウェアのインストールのために生成されたHOMENAME
を参照し、形式はOra
product
majorVersion
Home
number
になります。たとえば、OraDB12cHome1
です。
表4-1 Oracle Databaseのインストール時に作成されるユーザー・グループ
オペレーティング・システム・グループ名 | 関連するシステム権限 | 説明 |
---|---|---|
|
サーバー上のすべてのOracle Databaseインストール用のSYSDBAシステム権限 |
Windowsオペレーティング・システム用の特殊なOSDBAグループ。 このグループのメンバーには、サーバーにインストールされたすべてのOracle DatabaseのSYSDBAシステム権限が付与されます。 |
|
サーバーにインストールされたすべてのOracle Database用のSYSOPERシステム権限 |
Windowsオペレーティング・システム用の特殊なOSOPERグループ。 このグループのメンバーには、サーバーにインストールされたすべてのOracle DatabaseのSYSOPERシステム権限が付与されます。インストール後はこのグループにメンバーが含まれませんが、インストールの完了後にユーザーをこのグループに手動で追加できます。 |
|
Oracle ASM管理用のSYSASMシステム権限 |
Oracle ASMインスタンス用のOSASMグループ。 このグループおよびSYSASMシステム権限を使用すると、SYSDBAデータベース管理権限とOracle ASMストレージ管理権限を分けることができます。OSASMグループのメンバーは、SYSASM権限を使用した接続が認可され、Oracle ASMへの完全なアクセス(Oracle ASMインスタンスが管理するすべてのディスク・グループへの管理アクセスなど)が可能です。 |
|
Oracle ASMインスタンスのSYSDBAシステム権限 |
Oracle ASMインスタンス用のOSDBAグループ。 このグループは、Oracle ASMに接続するためのアクセス権をデータベースに付与します。インストール時には、Oracleインストール・ユーザーがこのグループのメンバーとして構成されます。Oracle Databaseを作成した後、このグループには、これらのデータベース・ホームのOracleホーム・ユーザーが含まれます。 |
|
ASM用のSYSOPERシステム権限 |
Oracle ASMインスタンス用のOSOPERグループ。 このグループのメンバーにはOracle ASMインスタンスに対するSYSOPERシステム権限が付与されます。この権限により、ディスク・グループの起動、停止、マウント、マウント解除、チェックなどの操作を実行できるようになります。このグループには、OSASMグループの権限のサブセットがあります。 |
|
名前が |
このグループのメンバーは、オペレーティング・システム認証を使用して、特定のOracleホームから実行される任意のデータベースのSYSDBAシステム権限を取得できます。インストール時にOracleホーム・ユーザーを指定した場合、そのユーザーはこのグループにインストール中に追加されます。 |
|
名前が |
このグループのメンバーは、オペレーティング・システム認証を使用して、特定のOracleホームから実行される任意のデータベースのSYSOPERシステム権限を取得できます。インストール後はこのグループにメンバーが含まれませんが、インストールの完了後にユーザーをこのグループに手動で追加できます。 |
|
|
このグループのメンバーには、指定したOracleホーム・ディレクトリから実行されたすべてのデータベース・インスタンスで、データベースのバックアップおよびリカバリ・タスクを実行するために必要な権限が付与されます。 |
|
|
このグループのメンバーには、指定したOracleホーム・ディレクトリから実行されたすべてのデータベース・インスタンスで、Data Guard管理タスクを実行するために必要な権限が付与されます。 |
|
|
このグループのメンバーには、指定したOracleホーム・ディレクトリから実行されたすべてのデータベース・インスタンスで、暗号化鍵管理タスクを実行するために必要な権限が付与されます。 |
|
名前が |
このグループのメンバーは、限られた一連のOracle Real Application Clusters管理タスクを実行して、オペレーティング・システム・ユーザーの別のグループを作成する権限を持っています。 |
|
名前がHOMENAME のOracleホームから実行される、すべてのOracle Database Windows Servicesの仮想アカウントが含まれます。
|
SVCACCTSグループは、Oracleホームに固有のものです。仮想アカウント・ベースの |
|
すべての仮想アカウント・ベースのOracleホームに対して実行される、すべてのOracle Database Windows Servicesの仮想アカウントが含まれます。 |
すべての仮想アカウント・ベースのOracleホームのすべてのデータベース・サービスに仮想アカウントが含まれるDBSVCACCTSシステム全体のグループです。 |
Oracle Databaseのインストール時に、Oracle製品が正しく動作するように、表に示したすべてのグループが移入されます。Oracleによって移入されたグループ・メンバーは、削除することはできません。ただし、特定のデータベース権限をWindowsオペレーティング・システムの新規ユーザーに割り当てる場合は、インストールの完了後に、ユーザーをこれらのグループに手動で追加できます。
Oracleでは、インストール時にORA_INSTALL
、ORA_CLIENT_LISTENERS
、ORA_GRID_LISTENERS
、ORA_
HOMENAME
_SVCSIDS
、ORA_HOMENAME_SVCACCTS
、ORA_DBSVCACCTS
などのその他のグループを作成しており、Oracleによって作成された様々なグループに関連付けられたグループ、メンバーシップおよびACLを変更することはできません。
役割区分用のオペレーティング・システム・グループおよびユーザー
Oracle DatabaseとOracle ASMの役割区分の構成は、オペレーティング・システム認証の個別のグループを提供するためのグループおよびユーザーを作成する構成です。
- 役割区分によるオペレーティング・システム権限グループおよびユーザーについて
Oracle Databaseのインストール時に、ORA_DBA
、ORA_OPER
、ORA_HOMENAME_DBA
、ORA_HOMENAME_OPER
、ORA_HOMENAME_SYSBACKUP
、ORA_HOMENAME_SYSDG
、ORA_HOMENAME_SYSKM
およびORA_HOMENAME_SYSRAC
の各グループが作成され、これらのグループにユーザーが割り当てられます。 - Oracleソフトウェア製品ごとのOracleソフトウェア所有者
Oracle DatabaseとOracle Restartの両方のインストールを所有する単一のユーザー(たとえば、oracle
)を作成できます。 - Oracle Database用の役割区分の標準Oracle Databaseグループ
標準Oracle Databaseグループを確認します。 - 役割区分用の拡張Oracle Databaseグループ
データベースの起動および停止を行うSYSOPER権限に加えて、よりタスクに特化し、ORA_DBA
/SYSDBAシステム権限より権限が少ない新しい管理権限を作成して、日々のデータベース運用に必要な特定の管理権限タスクをサポートできます。 - 役割区分用のOracle Automatic Storage Managementグループ
オペレーティング・システム・グループを確認します。 - Windowsグループ管理対象サービス・アカウントと仮想アカウント
グループ管理対象サービス・アカウント(gMSA)と仮想アカウントがサポートされるようになり、パスワードなしでデータベース・サービスを作成および管理できるようになりました。 - Microsoft Hyper-V
Microsoft Hyper-Vでは、1台のコンピュータ上で複数のオペレーティング・システムを同時に実行し、各オペレーティング・システムをお互いに独立させることにより、仮想コンピュータ環境を作成して管理することが可能です。
役割区分によるオペレーティング・システム権限グループおよびユーザーについて
Oracle Databaseのインストール時に、ORA_DBA
、ORA_OPER
、ORA_HOMENAME_DBA
、ORA_HOMENAME_OPER
、ORA_HOMENAME_SYSBACKUP
、ORA_HOMENAME_SYSDG
、ORA_HOMENAME_SYSKM
およびORA_HOMENAME_SYSRAC
の各グループが作成され、これらのグループにユーザーが割り当てられます。
これらのグループのメンバーには、各グループが認可するデータベース・システム権限セットに対するオペレーティング・システム認証が付与されます。システム権限のセットごとに、異なるオペレーティング・システム・グループを使用することをお薦めします。
Oracleソフトウェア製品ごとのOracleソフトウェア所有者
Oracle DatabaseとOracle Restartの両方のインストールを所有する単一のユーザー(たとえば、oracle
)を作成できます。
ただし、各Oracleソフトウェア・インストールを所有するソフトウェア所有者を作成することをお薦めします(通常、データベース・ソフトウェアの場合はoracle
、Oracle Restart所有者ユーザーの場合はgrid
)。
Oracleソフトウェアをシステムに初めてインストールする場合、ソフトウェア所有者を少なくとも1つ作成する必要があります。
注意:
Oracleドキュメントでは、Oracle Grid Infrastructureソフトウェアのインストールのみを所有するために作成されたユーザーをgrid
ユーザーと呼びます。すべてのOracleインストールを所有するために作成されたユーザー、またはOracle Databaseのインストールのみを所有するために作成されたユーザーをoracle
ユーザーと呼びます。
Oracle Database用の役割区分の標準Oracle Databaseグループ
標準Oracle Databaseグループを確認します。
標準Oracle Databaseグループのリストを次に示します。これらのグループは、データベース管理システム権限のオペレーティング・システム認証を提供します。
注意:
これらのすべてのグループは、WindowsでのOracle Databaseインストールの一部として自動的に作成されます。
-
OSDBAグループ(
ORA_DBA
)Oracle Databaseソフトウェアをシステムに初めてインストールする場合は、このグループを使用します。このグループにより、サーバー上で実行中のすべてのデータベース・インスタンスに対するデータベース管理権限(SYSDBA権限)があるオペレーティング・システム・ユーザー・アカウントが識別されます。
ORA_DBA
グループのメンバーには、Oracle ASMインスタンスにおけるSYSASM権限がなく、これはディスク・グループのマウントおよびマウント解除に必要です。 -
Oracle Database用のOSOPERグループ(
ORA_OPER
)データベースを起動および停止するためのデータベース管理権限の一部(SYSOPER権限)を持つ別個のオペレーティング・システム・ユーザー・グループが必要な場合は、このグループを使用します。
-
特定のOracleホーム用のOSDBAグループ(
ORA_
HOMENAME
_DBA
)このグループは、Oracle Databaseソフトウェアを新しいOracleホームに初めてインストールするときに作成されます。このグループにより、そのOracleホームから実行するデータベース・インスタンスに対するデータベース管理権限(SYSDBA権限)があるオペレーティング・システム・ユーザー・アカウントが識別されます。
-
特定のOracleホーム用のOSOPERグループ(
ORA_
HOMENAME
_OPER
)特定のOracleホームから実行するデータベース・インスタンスを起動および停止するためのデータベース管理権限の一部(SYSOPER権限)を持つ別個のオペレーティング・システム・ユーザー・グループが必要な場合は、このグループを使用します。
役割区分用の拡張Oracle Databaseグループ
データベースの起動および停止を行うSYSOPER権限に加えて、よりタスクに特化し、ORA_DBA
/SYSDBAシステム権限より権限が少ない新しい管理権限を作成して、日々のデータベース運用に必要な特定の管理権限タスクをサポートできます。
これらのシステム権限を付与されたユーザーは、オペレーティング・システムのグループ・メンバーシップを介しても認証されます。
インストール中に、オペレーティング・システム・グループを指定するように求められ、そのメンバーに、これらのシステム権限へのアクセス権が付与されます。これらの権限(ORA_DBA
など)を認証するために同じグループを割り当てることは可能ですが、一意のグループを割り当てて各権限を指定することをお薦めします。
OSDBAサブセット・ジョブ・ロール別の権限およびグループは、次のもので構成されています。
-
Oracle Database用のOSBACKUPDBAグループ(
ORA_
HOMENAME
_SYSBACKUP
)このグループは、オペレーティング・システム・ユーザーの別のグループにデータベースのバックアップおよびリカバリ関連の管理権限の一部(SYSBACKUP権限)を付与する場合に使用します。
-
Oracle Data Guard用のOSDGDBAグループ(
ORA_
HOMENAME
_SYSDG
)このグループは、オペレーティング・システム・ユーザーの別のグループにOracle Data Guardを管理および監視する権限の一部(SYSDG権限)を付与する場合に使用します。
-
暗号化鍵管理用のOSKMDBAグループ(
ORA_
HOMENAME
_SYSKM
)このグループは、オペレーティング・システム・ユーザーの別のグループにOracle Wallet Managerの管理などの暗号化鍵管理のための権限の一部(SYSKM権限)を付与する場合に使用します。
-
Oracle Real Application Clusters管理のためのOSRACDBAグループ(
ORA_
HOMENAME
_SYSRAC
)このグループは、オペレーティング・システム・ユーザーの別のグループにOracle Real Application Clusters (RAC)管理の限られた一連の管理権限(SYSRAC権限)を付与する場合に使用します。この権限を使用するには:
-
このグループのメンバーとしてOracle Databaseインストール所有者を追加します。
-
注意:
これらのすべてのグループ、ORA_
HOMENAME
_SYSBACKUP
、ORA_
HOMENAME
_SYSDG
、ORA_
HOMENAME
_SYSKM
、およびORA_
HOMENAME
_SYSRAC
は、特定のOracleホームから実行中のデータベース・インスタンスにのみ適用可能です。
役割区分用のOracle Automatic Storage Managementグループ
標準オペレーティング・システム・グループを確認します。
Oracle Grid Infrastructureをインストールする場合、次のオペレーティング・システム・グループを作成します。
-
Oracle ASM (
ORA_ASMDBA
)用のOSDBAグループこのグループは、Oracle ASMに接続するためのアクセス権をデータベースに付与します。インストール時には、Oracleインストール・ユーザーがこのグループのメンバーとして構成されます。Oracle Databaseを作成した後、このグループには、これらのデータベース・ホームのOracleホーム・ユーザーが含まれます。Oracle ASMで管理される記憶域にアクセスする必要のある、すべてのOracle ASMクライアントが、このグループに属する必要があります。
-
Oracle ASM管理者(
ORA_ASMADMIN
)用のOSASMグループOracle ASMの管理者用とOracle Databaseの管理者用の管理権限グループを別にするには、この個別のグループを使用します。このグループのメンバーには、Oracle ASMを管理するためのSYSASMシステム権限が付与されます。Oracleドキュメントでは、メンバーに権限が付与されているオペレーティング・システム・グループをOSASMグループと呼びます。インストール時には、Oracle Grid InfrastructureのOracleインストール・ユーザーおよびOracle DatabaseサービスIDはこのグループのメンバーとして構成されます。また、このグループのメンバーシップは、Oracle ASMディスクへのデータベース・アクセス権も付与します。
OSASMグループのメンバーは、SQLを使用して、SYSASMとしてOracle ASMインスタンスに接続できます。このとき、オペレーティング・システム認証が使用されます。SYSASM権限により、ディスク・グループのマウントとディスマウントおよびその他のストレージ管理タスクが許可されます。SYSASMシステム権限には、Oracle Databaseインスタンスへのアクセス権限は付与されません。
-
Oracle ASM (
ORA_ASMOPER
)用のOSOPERグループこれは、オプションのグループです。Oracle ASMインスタンスの起動と停止を含む、制限付きのOracle ASMインスタンスの管理権限(ASM用のSYSOPER権限)を別のグループのオペレーティング・システム・ユーザーに付与する場合に、このグループを作成します。デフォルトでは、OSASMグループのメンバーには、ASMのSYSOPER権限により付与されるすべての権限もあります。
Oracle ASMオペレータ・グループを使用して、SYSASMシステム権限によって付与される権限より権限の少ないOracle ASM管理者を作成するには、インストール後にユーザーをこのグループに割り当てる必要があります。
Windowsグループ管理対象サービス・アカウントと仮想アカウント
グループ管理対象サービス・アカウント(gMSA)と仮想アカウントがサポートされ、パスワードなしでデータベース・サービスを作成および管理できるようになりました。
Microsoft Hyper-V
Microsoft Hyper-Vでは、1台のコンピュータ上で複数のオペレーティング・システムを同時に実行し、各オペレーティング・システムをお互いに独立させることにより、仮想コンピュータ環境を作成して管理することが可能です。
Microsoft Hyper-Vは、サポートされているゲスト・オペレーティング・システムの組込み統合サービスを有効にして、コンピュータと仮想マシンの間の統合を向上させます。
関連項目:
Microsoft Hyper-Vサポートの詳細は、http://www.oracle.com/technetwork/database/virtualizationmatrix-172995.html
を参照してください。