アプリケーション・データ・モデル

3 アプリケーション・データ・モデリング

セキュア・テスト・データ管理では、Enterprise Managerに、機密データ検出、データ・サブセッティング、データ・マスキングなどの操作を有効にする機能が提供されます。これらの機能により、アプリケーション・データ・モデル(ADM)内に組み込まれた機密データのスキャンおよびタグ付けと、データ関係のモデリングが可能です。テスト・データ管理機能を使用するには、Oracle Data Masking and Subsetting Packライセンスが必要です。

次の図は、アプリケーション・データ・モデルに関連するワークフローを示しています。

図3-1 アプリケーション・データ・モデルのワークフロー

「図3-1 アプリケーション・データ・モデルのワークフロー」の説明

ADMには、アプリケーションのリスト、表およびデータ・ディクショナリで宣言される表の列、アプリケーションのメタデータからインポートされる表の列またはユーザー指定の表の列の関係が格納されています。ADMは、機密データのタイプとそれに関連付けられた列を保持し、データ・サブセット化やデータ・マスキングなどのテスト・データ操作によって使用され、テスト・データを安全に生成します。ADMの作成は、データ・サブセット化およびデータ・マスキング操作の前提となります。

次の図は、アプリケーション・データ・モデルと他のテスト・データ管理コンポーネント、本番環境およびテスト環境との関係を示しています。

図3-2 テスト・データ管理アーキテクチャ

「図3-2 テスト・データ管理アーキテクチャ」の説明

この章で説明する次のタスクを含むアプリケーション・データ・モデルに関連する複数のタスクを実行できます。

ノート:

この章で説明する手順は、Oracle Enterprise Manager Cloud Control 12.1以上のみに適用されます。

アプリケーション・データ・モデルの作成

続行する前に、次の権限があることを確認します。

ターゲット権限(すべてのターゲットに適用可能):
- 表示可能な任意のターゲットに接続
- 任意の場所でのコマンドの実行
- 任意のターゲットの表示
リソース権限:
- ジョブ・システム
- 名前付き資格証明
- Oracle Data Masking and Subsettingのリソース権限
ノート:

Enterprise Manager Cloud ControlユーザーのためのEM_ALL_OPERATOR権限には、前述のすべての権限が含まれています。
データベース・ユーザーのSELECT_CATALOG_ROLE
データベース・ユーザーのSELECT ANY DICTIONARY権限
DBMS_CRYPTOパッケージのEXECUTE権限

ノート:

アプリケーション・データ・モデルを作成すると、PL/SQLメタデータ・コレクション・パッケージが自動的にターゲット・データベースにデプロイされます。パッケージを自動デプロイするデータベース・ユーザーには、DBA権限が必要です。

すべての必要なパッケージがデプロイされるように、高権限のユーザーを使用して初回のアプリケーション・データ・モデルを作成することをお薦めします。その後、他のすべてのアプリケーション・データ・モデルは、より権限の低いユーザーを使用して作成できます。

ADMの作成

アプリケーション・データ・モデルを作成するには:

「アプリケーション・データ・モデリング」ページから、テスト環境用のデータベースを作成する方法が記載されたダイアグラムを表示します。
「作成」をクリックします。
一般プロパティ情報を求めるポップアップ・ウィンドウが表示されます。
作成するADMの名前を指定します。
「データベース・ターゲットの選択」アイコンをクリックしてソース・データベースを選択します。
ソース・データベースは、メタデータを抽出するソースです。
「アプリケーション・スイート」の選択:
- 「カスタム・アプリケーション・スイート」を選択した場合:
  - デフォルトでは、ADMを作成するためのメタデータの収集は有効になっています。
  - 「スキーマごとに1つのアプリケーションの作成」が選択されていない場合は、シェルADMが作成されます。後でADMを編集してアプリケーションと表を追加する必要があります。また、メタデータ収集ジョブは、デフォルトを選択した場合のように送信されないことに注意してください。
- 「Oracleアプリケーション・スイート」を選択した場合:
  - Oracle E-Business Suite–APPSユーザーのデータベース資格証明(または等価)を入力し、ADMを作成するために「発行」をクリックします。
  - Oracle Fusion Applications–FUSIONユーザーのデータベース資格証明(または等価)を入力し、ADMを作成するために「発行」をクリックします。
メタデータ収集に関して次の点について注意してください。
- 選択したアプリケーション・スイートのメタデータ収集により、ADMにそのスイート内のアプリケーションと表が移入されます。
- ADMでは1つ以上のスキーマについてメタデータを収集できます。ADMアプリケーションとは、一般的にはスキーマを示します。選択した各スキーマはADMアプリケーションとなり、特にカスタム・アプリケーションの場合はADMにスキーマの表が入力されます。ただし、Fusion Applicationsの場合のように、複数のアプリケーションが単一のスキーマにマッピングされる可能性もあることに注意してください。実際のマッピングには、メタデータのコレクション・ジョブによって検出されたアプリケーションのメタデータによります。
次を選択します。
- ディクショナリ・ベースの関係の検出— ディクショナリ・ベースの参照関係を識別します。これは、Oracleデータ・ディレクトリに定義される参照関係です。
- 非ディクショナリ・ベースの関係の検出
  - 列名のサンプリングによる — データ・ディクショナリで参照整合性制約(主キーと外部キー)として定義されていない潜在的な親子関係を、列名を照合することにより識別します。列名のパターンは正規表現を使用して指定できます。
  - 列値のサンプリングによる — データ・ディクショナリで参照整合性制約(主キーと外部キー)として定義されていない潜在的な親子関係を、列値または値パターンにより識別します。
    
    ユーザーは使用可能な値パターンから選択するか、正規表現を使用するカスタム・データ・パターンを指定することもできます。Oracle Data Masking and Subsettingでは、列値を照合して、ユーザーが指定したデータ・パターンを使用して潜在的な主キーと外部キーを識別し、結果を返します。
    
    潜在的な外部キーは、潜在的な主キー列内の包含を検証されます。つまり、潜在的な外部キーの値は潜在的な主キー内にすでに存在している必要があります。包含のテストは90%の精度を保つように行われます。つまり外部キー列が90%主キー内に含まれている場合、一致としてフラグ付けされます。このテストはアプリケーション(Oracle's E-Business SuiteおよびOracle Fusion Applications)に存在する可能性のある孤立した行を含めるために行われます。
    
    ノート:
    
    正確な結果を得るために、必ずdbms_stats.gather_table_statsを使用してすべての表の統計を収集してください。
「続行」をクリックします。
ステップ5で「カスタム・アプリケーション・スイート」を選択した場合は、「スキーマ」ポップアップが表示されます。「使用可能」リストから、作成されるADMにアプリケーションとして含めるスキーマを選択します。
「続行」をクリックします。
ステップ6で「非ディクショナリ・ベースの関係の検出」を選択した場合は、+アイコンをクリックし、一致する必要がある主キーと外部キーの列を指定します。
「続行」をクリックします。
メタデータ収集ジョブをスケジュールするためのパラメータを指定します。
メタデータ収集ジョブをすぐに実行するか、後で開始するようにスケジュールするかのいずれかを選択できます。
メタデータ収集ジョブを送信するには、「発行」をクリックします。
作成したADMがアプリケーション・データ・モデル・ページに表示されます。
メタデータ収集処理のステータスおよび詳細を表示するには、「ジョブ詳細を表示」をクリックします。
メタデータ収集ジョブのステータスを監視するには、「最新のジョブ・ステータス」表の列を確認します。
メタデータが収集されているとき、アプリケーション・データ・モデルはロックされ、編集できません。ステータスがジョブの完了を示すまで待つ必要があります。

アプリケーションのスキーマと表を表示するためのADMの編集

アプリケーションの表を表示および編集するには:

「アプリケーション・データ・モデリング」ページから、テスト環境用のデータベースを作成する方法が記載されたダイアグラムを表示します。
前に作成したアプリケーション・データ・モデルを選択し、「編集」をクリックします。
「アプリケーションおよびオブジェクト」サブページに、メタデータ収集プロセス中に検出されたアプリケーションが表示されます。
アプリケーションに関連付けられた表を表示するには、展開(>)アイコンをクリックします。
アプリケーションを編集するには、アプリケーションを選択し、「アクション」メニューを開いて「アプリケーションの追加」を選択します。
「アプリケーションの追加」ポップアップ・ウィンドウが表示されます。
アプリケーションの名前、ニックネーム/短縮名、アプリケーションの説明を指定し、スキーマを検索するために検索アイコンをクリックします。
リストからスキーマを選択し、「OK」をクリックします。
「OK」をクリックしてデータ・モデルにアプリケーション表を追加します。
これで、この表は、「アプリケーションと表」ビューに表示されます。
非ディクショナリ・ベースの参照関係を検出するには、「参照関係」タブ、「非ディクショナリ・ベースの関係の検出」の順にクリックします。

アプリケーション・スキーマへの表の追加および削除

アプリケーション・スキーマに表を追加または削除するには:

「アプリケーション・データ・モデリング」ページで、前に作成したアプリケーション・データ・モデルを選択し、「編集」をクリックします。
「アプリケーションおよびオブジェクト」サブページに、メタデータ収集プロセス中に検出されたアプリケーションおよびオブジェクトが表示されます。
アプリケーションの表を表示するには、拡張( > )アイコンをクリックします。
表を追加するには、「アプリケーションの追加」をクリックします。
「アプリケーションの追加」ポップアップ・ウィンドウが表示されます。
アプリケーションの名前、ニックネーム/短縮名、アプリケーションの説明を指定し、スキーマを検索するために検索アイコンをクリックします。
「検索および選択」ポップアップに、アプリケーションに割り当てられていない、選択されているスキーマからのすべての表が表示されます。
割り当てられていない表を選択し、「OK」をクリックします。
これで、「アプリケーションの追加」ポップアップに、表名が表示されます。
「表タイプ」を選択したら、「OK」をクリックします。
これで、この表は、「アプリケーションおよびオブジェクト」ビューに表示されます。
表を削除するには、「アプリケーションおよびオブジェクト」ビューから表を選択し、「削除」をクリックします。

参照関係の表示

参照関係を表示するには:

「アプリケーション・データ・モデリング」ページで、作成したモデルを選択し、「編集」をクリックします。
「アプリケーションおよびオブジェクト」サブページに、メタデータ収集プロセス中に検出されたアプリケーションが表示されます。
アプリケーションの表を表示するには、展開(>)アイコンをクリックします。
「参照関係」タブをクリックします。
サポートされる参照関係タイプは次のとおりです。
- ディクショナリの定義
  
  これは、主キーと外部キーの関係に起因する、メタデータ収集によって抽出される参照関係です。必要に応じて、ADMから関係を削除できます。
- 非ディクショナリ・ベース
  
  これは、Oracleデータ・ディクショナリには定義されていない参照関係で、潜在的な外部キーとなる列の名前および列値と潜在的な主キーとなる列の名前および列値をそれらのデータ型も含め、一致することによって達成されます。ここにリストされた非ディクショナリ・ベースの参照関係の候補を評価し、その関係が有効であると判断した場合は、関係を選択し、「ADMに追加」をクリックしてアプリケーション・データ・モデルに追加します。
- テンプレートからのインポート
  
  Oracle Fusion ApplicationsやOracle E-Business Suiteなどのエンタープライズ・アプリケーションのベンダーから提供されたアプリケーション・テンプレートがある場合は、ADMホームページの「インポート」アクションを使用して、アプリケーション・ベンダーが提供するテンプレートからADMを作成できます。
- ユーザー定義
アプリケーション・ビューを選択して開き、山アイコン(>)を使用して親と依存キーの関係を表示するか、「表示」メニューから「すべてを開く」を選択してすべての関係を表示します。

参照関係の追加と削除

手動により参照関係を追加するには:

「アプリケーション・データ・モデリング」ページで、作成したモデルを選択し、「編集」をクリックします。
「アプリケーションおよびオブジェクト」サブページに、メタデータ収集プロセス中に検出されたアプリケーションおよびオブジェクトが表示されます。
アプリケーションの表およびオブジェクトを表示するには、展開(>)アイコンをクリックします。
「参照関係」タブから、「アクション」メニューを開き、「参照関係の追加」を選択します。
「参照関係の追加」ポップアップ・ウィンドウが表示されます。
必要な親キーおよび依存キー情報を選択します。
「列名」リストで、親キー列に関連付ける依存キー列を選択します。
「OK」をクリックして、参照関係をADMに追加します。
これで、新規依存列が参照関係リストに表示されます。

機密データの検出の実行

機密列を検出するには:

「アプリケーション・データ・モデリング」ページで、作成したモデルを選択し、「編集」をクリックします。

「アプリケーションおよびオブジェクト」サブページに、メタデータ収集プロセス中に検出されたアプリケーションおよびオブジェクトが表示されます。アプリケーションの表を表示するには、展開(>)アイコンをクリックします。
「機密列」タブから、「アクション」メニューを開き、「機密列検出ジョブの作成」を選択します。

「パラメータ」ポップアップが表示されます。
アプリケーションおよび機密列タイプを選択します。

選択した機密列タイプは、タイプに一致する列を検索するように各アプリケーションで処理されます。
「続行」をクリックします。

スケジュール・ポップアップ・ウィンドウが表示されます。
必要な情報を指定し、ジョブをスケジュールし、終了したら「発行」をクリックします。

「機密列」サブページが表示されます。
「保存して戻る」をクリックし、「アプリケーション・データ・モデリング」ホームページに戻ります。

機密列タイプの変更

機密列タイプを変更するには:

「アプリケーション・データ・モデリング」ページで、作成したモデルを選択し、「編集」をクリックします。

「アプリケーションおよびオブジェクト」サブページに、メタデータ収集プロセス中に検出されたアプリケーションおよびオブジェクトが表示されます。アプリケーションの表を表示するには、展開(>)アイコンをクリックします。
「機密列」タブをクリックします。

このビューにすでに識別された機密列が表示されます。
タイプを変更する機密列を選択します。
「アクション」メニューを開き、「機密列タイプの設定」を選択します。

「機密列タイプの設定」ポップアップ・ウィンドウが表示されます。
新しいタイプを選択して「OK」をクリックします。

検出結果の表示

機密列の検出結果を表示するには:

「アプリケーション・データ・モデリング」ページで、作成したモデルを選択し、「編集」をクリックします。
「アプリケーションおよびオブジェクト」サブページに、メタデータ収集プロセス中に検出されたアプリケーションが表示されます。
アプリケーションの表を表示するには、展開(>)アイコンをクリックします。
「機密列」タブを選択し、「検出結果」をクリックして検出結果を表示します。

検出結果での機密ステータスの設定

検出結果の機密ステータスを設定するには:

「最新のジョブ・ステータス」列にジョブが成功したと表示されたら、ADMを選択して「編集」をクリックします。
「機密列」タブを選択し、「検出」、「結果」の順にクリックし、ジョブの結果を表示します。
任意の列の機密列を設定するには、定義する列の行を選択し、「ステータスの設定」メニューを開き、「機密」または「機密ではありません」を選択します。
「OK」をクリックして保存し、「機密列」タブに戻ります。

これで、前のステップで定義した機密列がリストに表示されます。
「保存して戻る」をクリックし、「アプリケーション・データ・モデリング」ページに戻ります。

機密列の追加と削除

機密列を追加または削除するには:

アプリケーション・データ・モデル・ページからADMを選択し、「編集」をクリックします。
「機密列」タブを選択し、「追加」をクリックします。
「機密列の追加」ポップアップが表示されます。
必要な情報およびオプションの機密列タイプを指定して、「OK」をクリックします。
「機密列」タブの表に機密列が表示されます。

カスタム機密列タイプの作成と管理

正常にADMを作成した後、次のタスクとして、新しい機密列タイプまたは既存のタイプに基づいた機密列タイプを作成します。

機密列タイプを作成するには:

「アプリケーション・データ・モデル」ページの「アクション」メニューから「機密列タイプ」を選択します。

「機密列タイプ」ページが表示されます。
「作成」をクリックします。

「機密列タイプの作成」ポップアップが表示されます。
「列名」、「列のコメント」および「列データ」検索パターンに必要な名前および正規表現を指定します。
- Or検索タイプは、パターンのいずれかが、候補の機密列と一致することを意味します。
- And検索タイプは、すべてのパターンが候補の機密列に一致する必要があることを意味します。
これらのパラメータのいずれにも式を指定しない場合、システムはエンティティの検索を行いません。
「OK」をクリックします。

「機密列タイプ」ページの表に機密列が表示されます。

既存のタイプに基づいて機密列タイプを作成するには:

「アプリケーション・データ・モデル」ページの「アクション」メニューから、「機密列タイプ」を選択します。

「機密列タイプ」ページが表示されます。
すでに定義済の機密列タイプを選択するか、または製品が提供する即時利用可能なタイプから選択します。
「類似作成」をクリックします。

「機密列タイプの作成」ポップアップが表示されます。
必要な名前を指定して、「列名」、「列のコメント」および「列データ」検索パターンの既存の式を必要に応じて変更します。
「OK」をクリックします。

「機密列タイプ」ページの表に機密列が表示されます。

既存ADMへのデータベースの関連付け

アプリケーション・データ・モデル(ADM)を作成した後、次の手順に従って、ADMに関連付ける追加のデータベースを選択できます。

データベースをADMに関連付けるには:

アプリケーション・データ・モデル・ページからADMを選択し、「アクション」、「関連データベース」の順に選択します。

このダイアログには、このADMに関連付けられたすべてのデータベースおよびデータベースごとの各アプリケーションに割り当てられたスキーマがリストされます。サブセット化の実行時にデータソースを選択する追加のデータベースおよびマスキング中にマスクするデータベースを追加できます。
「追加」をクリックして、ポップアップからデータベースを選択します。

選択したデータベースが「関連データベース」ダイアログの「データベース」セクションに表示されます。
スキーマを変更するには、左側の関連データベース、スキーマを変更する右側のアプリケーションの順に選択し、「スキーマの選択」をクリックします。
ポップアップのリストから不足しているスキーマを選択して、「選択」をクリックします。

関連トピック

ADMの作成

ADMの検証または同期

アプリケーション・データ・モデル(ADM)を作成した後、「ソース・データベースのステータス」列は有効、無効、検証が必要またはアップグレードが必要と示されます。

無効ステータス–ソース・データベースを検証して、データ・ディクショナリで検出された内容でアプリケーション・データ・モデルの参照関係を更新し、アプリケーション・データ・モデルの各項目にデータベースに対応するオブジェクトがあるかどうかも確認します。
検証が必要ステータス–オラクルで用意しているテンプレートがインポートされているので、使用する前にADMを確認する必要があります。これはデータ・ディクショナリからの必要な参照関係がADMにプルされたことを確認するために必要です。
アップグレードが必要ステータス–12c以前のマスキング定義がインポートされているので、ADMをアップグレードする必要があります。

ソース・データベースを検証するには:

無効ステータスを示す検証するADMを選択します。
「アクション」メニューから、「検証」を選択します。
無効ステータスのソース・データベースを選択して、検証ジョブの作成をクリックします。
検証ジョブの作成ポップアップでジョブ・パラメータを指定して、「発行」をクリックします。
ジョブが正常に完了した後、ソース・データベースをクリックして、リストされているオブジェクトの問題を確認します。
オブジェクトの問題を解決し、検証ジョブを再実行して、ソース・データベース・ステータスが有効であることを確認します。

ADMのインポートとエクスポート

後で新しいリポジトリにインポートできるADMをエクスポートすることによって、アプリケーション・データ・モデル(ADM)を、異なるリポジトリを使用する他のEnterprise Manager環境で共有できます。

エクスポートしたADMは、定義によりインポートに必要なXMLファイル形式です。インポートの前にエクスポートしたADM XMLファイルを編集できます。後続のインポートにADMをエクスポートする場合、ほとんどまたはすべての機能(アプリケーション、表、表タイプ、参照関係、機密列)を使用するADMを持つことが最適です。このため、インポートの前にエクスポートしたファイルを編集する場合、必要なXMLタグおよびファイルで属する場所がわかります。

ノート:

ADMのエクスポートおよびインポート操作をリモートで実行またはスクリプト化する場合に、これらの操作を実行するためのEMCLI動詞があります。

ADMのインポート

次の2つのインポートの方法があります。

デスクトップからのADM XMLファイルのインポート

「アプリケーション・データ・モデル」ページで、インポートするADMを選択します。
「アクション」メニューから「インポート」を選択し、次に「デスクトップのファイル」を選択します。
表示されたポップアップで、ADMの名前、ADMに割り当てるソース・データベースおよびADMをインポートするデスクトップの場所を指定します。
「OK」をクリックします。

アプリケーション・データ・モデル・ページにADMが表示されます。

ソフトウェア・ライブラリからのADM XMLファイルのインポート

「アプリケーション・データ・モデル」ページで、インポートするADMを選択します。
「アクション」メニューから「インポート」を選択し、次に「ソフトウェア・ライブラリのファイル」を選択します。
表示されるソフトウェア・ライブラリからのファイルのエクスポート・ポップアップの、左側で目的のADM XMLファイルを選択し、右側で名前およびADMに割り当てるソース・データベースを指定します。
「インポート」をクリックします。

アプリケーション・データ・モデル・ページにADMが表示されます。

ADMのインポート後、機密列を検出したり、検証ジョブを実行したい場合があります。これらのタスクを実行する間、PL/SQLのメタデータのコレクション・パッケージがターゲット・データベースに自動的にデプロイされます。パッケージを自動デプロイするデータベース・ユーザーには、DBA権限が必要です。

ADMのエクスポート

次の3つのインポートの方法があります。

XMLファイルとしてのADMのデスクトップへのエクスポート

アプリケーション・データ・モデル・ページから、エクスポートするADMを選択します。
「アクション」メニューから「エクスポート」を選択し、次に「選択されたアプリケーション・データ・モデル」を選択します。
表示されるファイル・ダウンロード・ポップアップで、「保存」をクリックします。
表示される「別名保存」ポップアップで、ファイルの場所にナビゲートし、「保存」をクリックします。

ADMがXMLファイルに変換され、デスクトップの指定された場所に表示されます。

ADMのエクスポート

「アクション」メニューから「エクスポート」を選択し、次に「ソフトウェア・ライブラリのファイル」を選択します。
「アクション」メニューから「エクスポート」を選択し、次に「ソフトウェア・ライブラリのファイル」を選択します。
表示されるソフトウェア・ライブラリからのファイルのエクスポート・ポップアップで、目的のADMを選択し、「エクスポート」をクリックします。
表示されるファイル・ダウンロード・ポップアップで、「保存」をクリックします。
表示される「別名保存」ポップアップで、ファイルの場所にナビゲートし、「保存」をクリックします。

ADMがXMLファイルに変換され、デスクトップの指定された場所に表示されます。

透過的機密データ保護カタログへのADMのエクスポート

アプリケーション・データ・モデル・ページから、エクスポートするADMを選択します。
「アクション」メニューから「エクスポート」→「TSDPカタログへのエクスポート」を選択します。
アプリケーション・データ・モデル・ページに、関連付けられたデータベースのテーブルが表示されます。データベースを選択し、「機密データのエクスポート」ボタンをクリックします。
表示される「機密データのエクスポート」ポップアップで、選択したデータベースの資格証明を指定し、「OK」をクリックします。

アプリケーション・データ・モデル・ページに、機密データがデータベースにコピーされたことを確認するメッセージが表示されます。

TSDPの詳細は、『Oracle Databaseセキュリティ・ガイド』を参照してください。

既存ADMへの権限の割当て

他のユーザーがアクセス権を持つことができるように、作成するアプリケーション・データ・モデルで権限を付与できます。これを行うには、少なくともADMにデザイナ権限を持つEnterprise Manager管理者である必要があります。

既存のADMに権限を割り当てるには:

「エンタープライズ」メニューから、「クオリティ管理」、「アプリケーション・データ・モデル」の順に選択します。
権限を付与するADMを選択します。
「アクション」メニューから「権限」を選択し、次のいずれかを選択します。
- オペレータ–選択したロールまたは管理者にADMのオペレータ権限を付与します(権限受領者は定義を表示およびコピーできますが、編集および削除することはできません)。
- デザイナ–選択したロールまたは管理者にADMのデザイナ権限を付与します(権限受領者は定義を表示、編集および削除できます)。
開いたダイアログで、タイプ(管理者、ロール、あるいはその両方)を選択します。必要に応じて、名前で検索します。選択し、「選択」をクリックします。

これで、選択した名前は、ADMに対する権限を持ちます。
以前に付与された権限を取り消す場合は、「取消」アクションを使用します。