16 データ・ディクショナリ内の機密性の高い資格証明データの暗号化
データ・ディクショナリ内に格納されているパスワードなどの機密性の高い資格証明情報を暗号化できます。
- データ・ディクショナリ内の機密性の高い資格証明データの暗号化について
データ・ディクショナリSYS.LINK$
およびSYS.SCHEDULER$_CREDENTIAL
システム表は、ユーザー・パスワードなどの機密性の高い資格証明データを格納します。 - マルチテナント・オプションが機密データの暗号化に与える影響
マルチテナント環境では、アプリケーション・ルートから、および個々のプラガブル・データベース(PDB)内で、機密のデータ・ディクショナリ情報を暗号化できます。 - システム表内の機密性の高い資格証明データの暗号化
ALTER DATABASE DICTIONARY
文は、SYS.LINK$
システム表およびSYS.SCHEDULER$_CREDENTIAL
システム表内の機密性の高い資格証明データを暗号化できます。 - SYS.LINK$システム表内の機密性の高い資格証明データのキーの更新
ALTER DATABASE DICTIONARY
文を使用して、データ・ディクショナリSYS.LINK$
およびSYS.SCHEDULER$_CREDENTIAL
システム表内の機密性の高い資格証明データのキーを更新できます。 - システム表内の機密性の高い資格証明データの削除
ALTER DATABASE DICTIONARY
文で、SYS.LINK$
およびSYS.SCHEDULER$_CREDENTIAL
内の既存の資格証明を無効にし、それらの表に対する今後の資格証明エントリを不明瞭化できます。 - キーストアの消失後のデータベース・リンクの機能の復元
TDEキーストアおよびそのマスター暗号化キーが誤って失われると、データベース・リンクが悪影響を受ける可能性があります。 - 暗号化データ・ディクショナリ資格証明のデータ・ディクショナリ・ビュー
Oracle Databaseには、データ・ディクショナリ内の機密性の高い資格証明データの暗号化に関する情報を提供するデータ・ディクショナリ・ビューのセットが用意されています。
親トピック: データへのアクセス制御
16.1 データ・ディクショナリ内の機密性の高い資格証明データの暗号化について
データ・ディクショナリSYS.LINK$
およびSYS.SCHEDULER$_CREDENTIAL
システム表にはユーザー・パスワードなどの機密性の高い資格証明データが格納されています。
SYS.LINK$
表には、データベース・リンクに関する情報が格納されます。SYS.SCHEDULER$_CREDENTIAL
には、Oracle Schedulerイベントに関する情報が格納されます。デフォルトでは、これらの表に格納されている機密性の高い資格証明データは不明瞭化されています。
ALTER DATABASE DICTIONARY
文を使用して、SYS.LINK$
表およびSYS.SCHEDULER$_CREDENTIAL
表に格納されているデータを手動で暗号化できます。この機能は透過的データ暗号化(TDE)を使用しますが、暗号化を実行するにはAdvanced Securityオプション・ライセンスは必要なく、SYSKM
管理権限を持っている必要があります。TDEは、AES256(Advanced Encryption Standard)アルゴリズムを使用して暗号化を実行します。暗号化は、TDEを使用して暗号化されたその他のデータと同じ動作を行います。
最適なセキュリティ・プラクティスとして、この機密性の高い資格証明データを暗号化することをお薦めします。データ・ディクショナリの資格証明のステータスを確認するために、DICTIONARY_CREDENTIALS_ENCRYPT
データ・ディクショナリ・ビューを問い合せることができます。
16.2 マルチテナント・オプションが機密データの暗号化に及ぼす影響
マルチテナント環境では、アプリケーション・ルートから、および個々のプラガブル・データベース(PDB)内の機密データ・ディクショナリ情報を暗号化できます。
SYS.LINK$
システム表およびSYS.SCHEDULER$_CREDENTIAL
システム表内の機密性の高い資格証明データの暗号化、キー更新、または復号化を行う場合は、プロセスの完了後に影響を受けたPDBを同期させる必要があります。これを行う方法については、これらのトピックについて取り上げている手順を参照してください。
16.3 システム表内の機密性の高い資格証明データの暗号化
ALTER DATABASE DICTIONARY
文は、SYS.LINK$
システム表およびSYS.SCHEDULER$_CREDENTIAL
システム表内の機密性の高い資格証明データを暗号化できます。
ENCRYPT CREDENTIALS
句を指定したALTER DATABASE DICTIONARY
文を実行してSYS.LINK$
およびSYS.SCHEDULER$_CREDENTIAL
を暗号化する前に、データベースにオープン・キーストアおよび暗号化キーが必要です。資格証明データ暗号化プロセスは、不明瞭化されたパスワードの不明瞭化を解除してから、パスワードを暗号化します。この暗号化は、このプロセスが完了した後にユーザーが行う可能性のある今後のすべてのパスワード変更に適用されます。
16.4 SYS.LINK$システム表内の機密性の高い資格証明データのキー更新
ALTER DATABASE DICTIONARY
文を使用して、データ・ディクショナリSYS.LINK$
およびSYS.SCHEDULER$_CREDENTIAL
システム表内の機密性の高い資格証明データのキーを更新できます。
REKEY CREDENTIALS
句を指定してALTER DATABASE DICTIONARY
文を実行する必要があります。キー更新操作は列暗号化を使用しますが、他のTDEマスター暗号化キーには影響しません。
16.5 システム表内の機密性の高い資格証明データの削除
ALTER DATABASE DICTIONARY
文は、SYS.LINK$
およびSYS.SCHEDULER$_CREDENTIAL
内の既存の資格証明を無効にし、それらの表に対する今後の資格証明エントリを不明瞭化できます。
DELETE CREDENTIALS
句を指定してALTER DATABASE DICTIONARY
文を実行する必要があります。この文は主に透過的データ暗号化(TDE)キーストアの消失からデータベース・リンクをリカバリする必要がある場合に使用されます。
関連トピック
16.6 キーストアの消失後のデータベース・リンクの機能の復元
TDEキーストアおよびそのマスター暗号化キーが誤って失われると、データベース・リンクが悪影響を受ける可能性があります。
16.7 暗号化データ・ディクショナリ資格証明のデータ・ディクショナリ・ビュー
Oracle Databaseには、データ・ディクショナリ内の機密性の高い資格証明データの暗号化に関する情報を提供する一連のデータ・ディクショナリ・ビューが用意されています。
表16-1に、データ・ディクショナリ・ビューを示します。
表16-1 暗号化データ・ディクショナリ資格証明のデータ・ディクショナリ・ビュー
ビュー | 説明 |
---|---|
|
現行のユーザーがアクセスできるデータベース・リンクを示します。 |
|
データベース内のデータベース・リンクをすべて示します。 |
|
ディクショナリ資格証明のステータスを示します。 |
|
現行のユーザーが所有するデータベース・リンクを示します。 |
関連トピック