必要なオペレーティング・システム・グループおよびユーザーの作成

インストールする製品にOracleソフトウェアを初めてインストールする場合は、複数のオペレーティング・システム・グループおよびユーザーを作成します。

記憶域層およびデータベース層のすべてのシステム権限のオペレーティング・システム認証に対して、1つの管理者ユーザーを作成し、1つのグループを使用することもできます。たとえば、oracleユーザーがすべてのOracleソフトウェアのOracleインストール・ユーザーになるように指定し、認証にはORA_DBAグループのみを使用できます。アクセス権を分けるジョブ・ロール別にカスタム構成グループおよびユーザーを作成することもできます。

管理者ユーザーとしてログインし、次の手順に従ってOracle Database用のOracleインストール・ユーザーを作成します。

Oracleインストール・ユーザーについて

Oracle RestartまたはOracle Databaseのソフトウェアをインストールするには、管理者グループのメンバーでもあるローカル・ユーザーまたはドメイン・ユーザーを使用する必要があります。

このユーザーはOracleインストール・ユーザーです。Oracleインストール・ユーザーはローカル・ユーザーまたはドメイン・ユーザーのいずれにすることもできます。

Oracleホーム・ユーザーの作成

Oracle Databaseのインストール時に、Oracleホームに関連付けるオプションのOracleホーム・ユーザーを指定できます。

たとえば、ソフトウェアのインストールにOraSysという管理者ユーザー(Oracleインストール・ユーザー)を使用する場合は、このインストールのOracleホーム・ユーザーとしてORADOMAIN\OraDbドメイン・ユーザーを指定できます。Oracle Databaseソフトウェアをインストールする前に、指定したOracleホーム・ドメイン・ユーザーが存在している必要があります。

Oracleホーム・ユーザーには、Windows組込みアカウント(サーバーのLocalSystemおよびクライアントのLocalService)、仮想アカウントまたは通常の(管理者ではない)Windowsアカウントを指定できます。Oracleホーム・ユーザーとして既存のユーザーを指定する場合、指定するWindowsユーザー・アカウントをWindowsドメイン・ユーザーまたはWindowsローカル・ユーザーのいずれかにできます。

仮想アカウントまたはWindows組込みアカウントをインストール時に使用する場合は、管理者がWindowsユーザー・アカウントを作成する必要はありません。

Oracleホーム・ユーザーとして存在しないユーザーを指定する場合、指定するWindowsユーザー・アカウントはWindowsローカル・ユーザーである必要があります。インストーラがこのアカウントを自動的に作成して、OracleホームのWindowsサービスを実行します。管理タスクを実行する場合は、このアカウントを使用してログインしないでください。

Oracle Database 12cリリース2 (12.2)から、グループ管理対象サービス・アカウント(gMSA)と仮想アカウントにより、パスワードなしでOracle Databaseをインストールし、データベース・サービスを作成して管理できるようになりました。gMSAは、ドメイン内の複数のサーバーから、このアカウントを使用してサービスを実行するために使用できるドメイン・レベルのアカウントです。Windowsユーザー・アカウントには、Windowsローカル・ユーザー、Windowsドメイン・ユーザー、管理対象サービス・アカウント(MSA)またはグループ管理対象サービス・アカウント(gMSA)を指定できます。

インストール時に新規作成できるユーザーは、Windowsローカル・ユーザーのみです。Windowsドメイン・ユーザー、MSA、gMSAなどにすることはできません。新規作成されたユーザーは、Windowsコンピュータへの対話型ログオン権限を拒否されます。ただし、Windows管理者は他のWindowsアカウントと同様にこのアカウントを管理できます。セキュリティ強化のため、Oracleホーム・ユーザーとして、仮想アカウントまたは(Windows組込みアカウントではなく)標準のWindowsユーザー・アカウントを使用することをお薦めします。

注意:

インストールが完了した後は、Oracleホーム・ユーザーを変更できません。Oracleホーム・ユーザーを変更する必要がある場合は、Oracle Databaseソフトウェアを再インストールする必要があります。

Oracleホーム・ユーザーを指定する場合、Oracleホームから実行されるすべてのソフトウェア・サービスに対してこのユーザーがOracleサービス・ユーザーとして構成されます。Oracleサービス・ユーザーは、Oracleソフトウェア・サービスの実行ユーザーとなるオペレーティング・システム・ユーザー、またはこのサービスの権限の継承元であるユーザーです。

サイレント・インストールの機能拡張により、Oracleホーム・ユーザーのパスワード・プロンプトをサポートするようになりました。これにより、カスタマおよび独立系ソフトウェアベンダー(ISV)は、パスワードをソース・コードにハード・コードせずにレスポンス・ファイルを使用できます。

標準的なインストール、ソフトウェアのみのインストール、およびクローニングのために、Oracleホーム・ユーザーとして仮想アカウントまたは(管理者アカウントではなく)標準のWindowsユーザー・アカウントを使用することをお薦めします。

ソフトウェアのみのインストールのためにOracleホーム・ユーザーとして既存のWindowsユーザー・アカウントを使用する場合、パスワードは必要ありません。そのため、Windowsユーザー・アカウントを使用して、サイレントでソフトウェアのみのインストールを実行できます。

個々のOracle DatabaseインストールのクローニングのためにOracleホーム・ユーザーとしてWindowsユーザー・アカウントを使用する場合、パスワードは必要ありません。

仮想アカウントは、Oracle Database単一インスタンス・データベースのインストール用のOracleホーム・ユーザーです。このアカウントを使用すると、Oracle Databaseをインストールし、パスワードなしでデータベース・サービスを作成および管理できます。gMSAは、ドメイン内の複数のサーバーから、このアカウントを使用してサービスを実行するために使用できるドメイン・レベルのアカウントです。gMSAは、権限の低いユーザー・アカウントです。

Oracle InventoryディレクトリおよびOracle Inventoryグループの理解

Oracleインベントリ・ディレクトリは、サーバーにインストールされているすべてのOracleソフトウェアの中央インベントリの場所です。

デフォルトでは、Oracleインベントリ・ディレクトリの場所は、C:\Program Files\Oracle\Inventoryです。

システムに初めてOracleソフトウェアをインストールするときに、Oracle中央インベントリのディレクトリと、Oracleインベントリ・グループ(ORA_INSTALL)が、Oracle Universal Installerによって作成されます。ORA_INSTALLグループには、サーバー上のすべてのOracleホームのOracleホーム・ユーザーがすべて含まれています。

このサーバーにOracleソフトウェアの最初のインストールを実行している場合、またはサーバーにOracleソフトウェアの追加インストールを実行している場合、Oracle中央インベントリまたはORA_INSTALLグループを作成する必要はありません。これらはOracle Universal Installerによって自動的に作成されます。Oracleインベントリ・グループの名前は変更できません。この名前は常にORA_INSTALLです。

Oracle Databaseのインストール時に作成されるオペレーティング・システム・グループ

インストール時に、次の表に示すユーザー・グループが、まだ存在しない場合は作成されます。

HOMENAME変数は、ソフトウェアのインストールのために生成されたHOMENAMEを参照し、形式はOraproductmajorVersionHomenumberになります。たとえば、OraDB12cHome1です。

表4-1 Oracle Databaseのインストール時に作成されるユーザー・グループ

オペレーティング・システム・グループ名 関連するシステム権限 説明

ORA_DBA

サーバー上のすべてのOracle Databaseインストール用のSYSDBAシステム権限

Windowsオペレーティング・システム用の特殊なOSDBAグループ。

このグループのメンバーには、サーバーにインストールされたすべてのOracle DatabaseのSYSDBAシステム権限が付与されます。

ORA_OPER

サーバーにインストールされたすべてのOracle Database用のSYSOPERシステム権限

Windowsオペレーティング・システム用の特殊なOSOPERグループ。

このグループのメンバーには、サーバーにインストールされたすべてのOracle DatabaseのSYSOPERシステム権限が付与されます。インストール後はこのグループにメンバーが含まれませんが、インストールの完了後にユーザーをこのグループに手動で追加できます。

ORA_ASMADMIN

Oracle ASM管理用のSYSASMシステム権限

Oracle ASMインスタンス用のOSASMグループ。

このグループおよびSYSASMシステム権限を使用すると、SYSDBAデータベース管理権限とOracle ASMストレージ管理権限を分けることができます。OSASMグループのメンバーは、SYSASM権限を使用した接続が認可され、Oracle ASMへの完全なアクセス(Oracle ASMインスタンスが管理するすべてのディスク・グループへの管理アクセスなど)が可能です。

ORA_ASMDBA

Oracle ASMインスタンスのSYSDBAシステム権限

Oracle ASMインスタンス用のOSDBAグループ。

このグループは、Oracle ASMに接続するためのアクセス権をデータベースに付与します。インストール時には、Oracleインストール・ユーザーがこのグループのメンバーとして構成されます。Oracle Databaseを作成した後、このグループには、これらのデータベース・ホームのOracleホーム・ユーザーが含まれます。

ORA_ASMOPER

ASM用のSYSOPERシステム権限

Oracle ASMインスタンス用のOSOPERグループ。

このグループのメンバーにはOracle ASMインスタンスに対するSYSOPERシステム権限が付与されます。この権限により、ディスク・グループの起動、停止、マウント、マウント解除、チェックなどの操作を実行できるようになります。このグループには、OSASMグループの権限のサブセットがあります。ORA_HOMENAME_OPERグループと同様、インストール後はこのグループにメンバーが含まれませんが、インストールの完了後にユーザーをこのグループに手動で追加できます。

ORA_HOMENAME_DBA

名前がHOMENAMEのOracleホームから実行される、すべてのインスタンス用のSYSDBAシステム権限

HOMENAMEという名前を持つOracleホームに専用のOSDBAグループ。

このグループのメンバーは、オペレーティング・システム認証を使用して、特定のOracleホームから実行される任意のデータベースのSYSDBAシステム権限を取得できます。インストール時にOracleホーム・ユーザーを指定した場合、そのユーザーはこのグループにインストール中に追加されます。

ORA_HOMENAME_OPER

名前がHOMENAMEのOracleホームから実行するすべてのインスタンス用のSYSOPERシステム権限

HOMENAMEという名前を持つOracleホーム用のOSDBAグループ。

このグループのメンバーは、オペレーティング・システム認証を使用して、特定のOracleホームから実行される任意のデータベースのSYSOPERシステム権限を取得できます。インストール後はこのグループにメンバーが含まれませんが、インストールの完了後にユーザーをこのグループに手動で追加できます。

ORA_HOMENAME_SYSBACKUP

HOMENAMEという名前を持つOracleホームから実行されるすべてのインスタンスのSYSBACKUPシステム権限

HOMENAMEという名前を持つOracleホームに専用のOSBACKUPDBAグループ。

このグループのメンバーには、指定したOracleホーム・ディレクトリから実行されたすべてのデータベース・インスタンスで、データベースのバックアップおよびリカバリ・タスクを実行するために必要な権限が付与されます。

ORA_HOMENAME_SYSDG

HOMENAMEという名前を持つOracleホームから実行されるすべてのインスタンスのSYSDGシステム権限

HOMENAMEという名前を持つOracleホームに専用のOSDGDBAグループ。

このグループのメンバーには、指定したOracleホーム・ディレクトリから実行されたすべてのデータベース・インスタンスで、Data Guard管理タスクを実行するために必要な権限が付与されます。

ORA_HOMENAME_SYSKM

HOMENAMEという名前を持つOracleホームから実行されるすべてのインスタンスのSYSKMシステム権限

HOMENAMEという名前を持つOracleホームに専用のOSKMDBAグループ。

このグループのメンバーには、指定したOracleホーム・ディレクトリから実行されたすべてのデータベース・インスタンスで、暗号化鍵管理タスクを実行するために必要な権限が付与されます。

ORA_HOMENAME_SYSRAC

名前がHOMENAMEのOracleホームから実行するすべてのインスタンス用のSYSRACシステム権限。

HOMENAMEという名前を持つOracleホームに専用のOSRACDBAグループ。

このグループのメンバーは、限られた一連のOracle Real Application Clusters管理タスクを実行して、オペレーティング・システム・ユーザーの別のグループを作成する権限を持っています。

ORA_HOMENAME_SVCACCTS

名前がHOMENAMEのOracleホームから実行される、すべてのOracle Database Windows Servicesの仮想アカウントが含まれます。

SVCACCTSグループは、Oracleホームに固有のものです。仮想アカウント・ベースのHOMENAMEで実行中のすべてのサービスに仮想アカウントが含まれます。

ORA_DBSVCACCTS

すべての仮想アカウント・ベースのOracleホームに対して実行される、すべてのOracle Database Windows Servicesの仮想アカウントが含まれます。

すべての仮想アカウント・ベースのOracleホームのすべてのデータベース・サービスに仮想アカウントが含まれるDBSVCACCTSシステム全体のグループです。

Oracle Databaseのインストール時に、Oracle製品が正しく動作するように、表に示したすべてのグループが移入されます。Oracleによって移入されたグループ・メンバーは、削除することはできません。ただし、特定のデータベース権限をWindowsオペレーティング・システムの新規ユーザーに割り当てる場合は、インストールの完了後に、ユーザーをこれらのグループに手動で追加できます。

Oracleでは、インストール時にORA_INSTALLORA_CLIENT_LISTENERSORA_GRID_LISTENERSORA_HOMENAME_SVCSIDSORA_HOMENAME_SVCACCTSORA_DBSVCACCTSなどのその他のグループを作成しており、Oracleによって作成された様々なグループに関連付けられたグループ、メンバーシップおよびACLを変更することはできません。

役割区分用のオペレーティング・システム・グループおよびユーザー

Oracle DatabaseとOracle ASMの役割区分の構成は、オペレーティング・システム認証の個別のグループを提供するためのグループおよびユーザーを作成する構成です。

役割区分によるオペレーティング・システム権限グループおよびユーザーについて

Oracle Databaseのインストール時に、ORA_DBAORA_OPERORA_HOMENAME_DBAORA_HOMENAME_OPERORA_HOMENAME_SYSBACKUPORA_HOMENAME_SYSDGORA_HOMENAME_SYSKMおよびORA_HOMENAME_SYSRACの各グループが作成され、これらのグループにユーザーが割り当てられます。

これらのグループのメンバーには、各グループが認可するデータベース・システム権限セットに対するオペレーティング・システム認証が付与されます。システム権限のセットごとに、異なるオペレーティング・システム・グループを使用することをお薦めします。

Oracleソフトウェア製品ごとのOracleソフトウェア所有者

Oracle DatabaseとOracle Restartの両方のインストールを所有する単一のユーザー(たとえば、oracle)を作成できます。

ただし、各Oracleソフトウェア・インストールを所有するソフトウェア所有者を作成することをお薦めします(通常、データベース・ソフトウェアの場合はoracle、Oracle Restart所有者ユーザーの場合はgrid)。

Oracleソフトウェアをシステムに初めてインストールする場合、ソフトウェア所有者を少なくとも1つ作成する必要があります。

注意:

Oracleドキュメントでは、Oracle Grid Infrastructureソフトウェアのインストールのみを所有するために作成されたユーザーをgridユーザーと呼びます。すべてのOracleインストールを所有するために作成されたユーザー、またはOracle Databaseのインストールのみを所有するために作成されたユーザーをoracleユーザーと呼びます。

Oracle Database用の役割区分の標準Oracle Databaseグループ

標準Oracle Databaseグループを確認します。

標準Oracle Databaseグループのリストを次に示します。これらのグループは、データベース管理システム権限のオペレーティング・システム認証を提供します。

注意:

これらのすべてのグループは、WindowsでのOracle Databaseインストールの一部として自動的に作成されます。

  • OSDBAグループ(ORA_DBA)

    Oracle Databaseソフトウェアをシステムに初めてインストールする場合は、このグループを使用します。このグループにより、サーバー上で実行中のすべてのデータベース・インスタンスに対するデータベース管理権限(SYSDBA権限)があるオペレーティング・システム・ユーザー・アカウントが識別されます。

    ORA_DBAグループのメンバーには、Oracle ASMインスタンスにおけるSYSASM権限がなく、これはディスク・グループのマウントおよびマウント解除に必要です。

  • Oracle Database用のOSOPERグループ(ORA_OPER)

    データベースを起動および停止するためのデータベース管理権限の一部(SYSOPER権限)を持つ別個のオペレーティング・システム・ユーザー・グループが必要な場合は、このグループを使用します。

  • 特定のOracleホーム用のOSDBAグループ(ORA_HOMENAME_DBA)

    このグループは、Oracle Databaseソフトウェアを新しいOracleホームに初めてインストールするときに作成されます。このグループにより、そのOracleホームから実行するデータベース・インスタンスに対するデータベース管理権限(SYSDBA権限)があるオペレーティング・システム・ユーザー・アカウントが識別されます。

  • 特定のOracleホーム用のOSOPERグループ(ORA_HOMENAME_OPER)

    特定のOracleホームから実行するデータベース・インスタンスを起動および停止するためのデータベース管理権限の一部(SYSOPER権限)を持つ別個のオペレーティング・システム・ユーザー・グループが必要な場合は、このグループを使用します。

役割区分用の拡張Oracle Databaseグループ

データベースの起動および停止を行うSYSOPER権限に加えて、よりタスクに特化し、ORA_DBA/SYSDBAシステム権限より権限が少ない新しい管理権限を作成して、日々のデータベース運用に必要な特定の管理権限タスクをサポートできます。

これらのシステム権限を付与されたユーザーは、オペレーティング・システムのグループ・メンバーシップを介しても認証されます。

インストール中に、オペレーティング・システム・グループを指定するように求められ、そのメンバーに、これらのシステム権限へのアクセス権が付与されます。これらの権限(ORA_DBAなど)を認証するために同じグループを割り当てることは可能ですが、一意のグループを割り当てて各権限を指定することをお薦めします。

OSDBAサブセット・ジョブ・ロール別の権限およびグループは、次のもので構成されています。

  • Oracle Database用のOSBACKUPDBAグループ(ORA_HOMENAME_SYSBACKUP)

    このグループは、オペレーティング・システム・ユーザーの別のグループにデータベースのバックアップおよびリカバリ関連の管理権限の一部(SYSBACKUP権限)を付与する場合に使用します。

  • Oracle Data Guard用のOSDGDBAグループ(ORA_HOMENAME_SYSDG)

    このグループは、オペレーティング・システム・ユーザーの別のグループにOracle Data Guardを管理および監視する権限の一部(SYSDG権限)を付与する場合に使用します。

  • 暗号化鍵管理用のOSKMDBAグループ(ORA_HOMENAME_SYSKM)

    このグループは、オペレーティング・システム・ユーザーの別のグループにOracle Wallet Managerの管理などの暗号化鍵管理のための権限の一部(SYSKM権限)を付与する場合に使用します。

  • Oracle Real Application Clusters管理のためのOSRACDBAグループ(ORA_HOMENAME_SYSRAC)

    このグループは、オペレーティング・システム・ユーザーの別のグループにOracle Real Application Clusters (RAC)管理の限られた一連の管理権限(SYSRAC権限)を付与する場合に使用します。この権限を使用するには:

    • このグループのメンバーとしてOracle Databaseインストール所有者を追加します。

注意:

これらのすべてのグループ、ORA_HOMENAME_SYSBACKUPORA_HOMENAME_SYSDGORA_HOMENAME_SYSKM、およびORA_HOMENAME_SYSRACは、特定のOracleホームから実行中のデータベース・インスタンスにのみ適用可能です。

役割区分用のOracle Automatic Storage Managementグループ

標準オペレーティング・システム・グループを確認します。

Oracle Grid Infrastructureをインストールする場合、次のオペレーティング・システム・グループを作成します。

  • Oracle ASM (ORA_ASMDBA)用のOSDBAグループ

    このグループは、Oracle ASMに接続するためのアクセス権をデータベースに付与します。インストール時には、Oracleインストール・ユーザーがこのグループのメンバーとして構成されます。Oracle Databaseを作成した後、このグループには、これらのデータベース・ホームのOracleホーム・ユーザーが含まれます。Oracle ASMで管理される記憶域にアクセスする必要のある、すべてのOracle ASMクライアントが、このグループに属する必要があります。

  • Oracle ASM管理者(ORA_ASMADMIN)用のOSASMグループ

    Oracle ASMの管理者用とOracle Databaseの管理者用の管理権限グループを別にするには、この個別のグループを使用します。このグループのメンバーには、Oracle ASMを管理するためのSYSASMシステム権限が付与されます。Oracleドキュメントでは、メンバーに権限が付与されているオペレーティング・システム・グループをOSASMグループと呼びます。インストール時には、Oracle Grid InfrastructureのOracleインストール・ユーザーおよびOracle DatabaseサービスIDはこのグループのメンバーとして構成されます。また、このグループのメンバーシップは、Oracle ASMディスクへのデータベース・アクセス権も付与します。

    OSASMグループのメンバーは、SQLを使用して、SYSASMとしてOracle ASMインスタンスに接続できます。このとき、オペレーティング・システム認証が使用されます。SYSASM権限により、ディスク・グループのマウントとディスマウントおよびその他のストレージ管理タスクが許可されます。SYSASMシステム権限には、Oracle Databaseインスタンスへのアクセス権限は付与されません。

  • Oracle ASM (ORA_ASMOPER)用のOSOPERグループ

    これは、オプションのグループです。Oracle ASMインスタンスの起動と停止を含む、制限付きのOracle ASMインスタンスの管理権限(ASM用のSYSOPER権限)を別のグループのオペレーティング・システム・ユーザーに付与する場合に、このグループを作成します。デフォルトでは、OSASMグループのメンバーには、ASMのSYSOPER権限により付与されるすべての権限もあります。

    Oracle ASMオペレータ・グループを使用して、SYSASMシステム権限によって付与される権限より権限の少ないOracle ASM管理者を作成するには、インストール後にユーザーをこのグループに割り当てる必要があります。

Windowsグループ管理対象サービス・アカウントと仮想アカウント

グループ管理対象サービス・アカウント(gMSA)と仮想アカウントがサポートされ、パスワードなしでデータベース・サービスを作成および管理できるようになりました。

Microsoft Hyper-V

Microsoft Hyper-Vでは、1台のコンピュータ上で複数のオペレーティング・システムを同時に実行し、各オペレーティング・システムをお互いに独立させることにより、仮想コンピュータ環境を作成して管理することが可能です。

Microsoft Hyper-Vは、サポートされているゲスト・オペレーティング・システムの組込み統合サービスを有効にして、コンピュータと仮想マシンの間の統合を向上させます。

関連項目:

Microsoft Hyper-Vサポートの詳細は、http://www.oracle.com/technetwork/database/virtualizationmatrix-172995.htmlを参照してください。