1. Oracle GoldenGate Microservicesドキュメント
  2. 準備
  3. データベースの準備
  4. Oracle
  5. データベースのユーザーおよび権限の準備
  6. Oracle Database 21c以前のユーザー権限の付与

Oracle Database 21c以前のユーザー権限の付与

Oracle GoldenGateからOracleデータベースへの接続に必要なユーザー権限は、ユーザーのタイプによって異なります。

権限は、ソース・データベースおよびターゲット・データベースでGoldenGate管理者ユーザーとして実行する必要があるアクションに応じて付与する必要があります。たとえば、トランザクションを挿入、更新および削除するDML操作権限をユーザーに付与するには、GRANT ANY INSERT/UPDATE/DELETE権限を使用し、さらに、DML操作の一部として表および索引を操作することをユーザーに許可するには、GRANT CREATE/DROP/ALTER ANY TABLE/INDEX権限を使用します。

GoldenGate管理者ユーザーにDBAロールがある場合、追加のオブジェクト権限は必要ありません。ただし、GoldenGate管理ユーザーにDBAロールを付与する際にセキュリティ制約がある場合があります。DBAロールは、Oracle GoldenGateに必ずしも必要ではありません。

レプリケートされるオブジェクトが多数ある場合は、DMLおよびDDL操作にANY権限を使用することを検討してください。これにより、データベース操作に応じていくつかの権限を付与するだけで済むため、GoldenGate管理者ユーザーへの権限のプロビジョニングが簡略化されます。

次の表に、Oracleデータベースに対するGoldenGate管理者ユーザーの重要な権限の一部を示します。説明のために、表では、マルチテナント・コンテナ・データベースの共通ユーザーの例としてc##ggadminを使用し、プラガブル・データベース(PDB)ユーザーとしてggadminを使用します。PDBEASTおよびPDBWESTは、PDB名の例として使用します。

次の表に、ソースおよびターゲットのOracleデータベースでOracle GoldenGateを使用するためのGoldenGate管理者ユーザーの重要な権限を示します:
権限 Extract Replicat全モード 目的

RESOURCE

あり

あり

オブジェクトの作成に必要

Oracle Database 12cR1以降では、RESOURCEのかわりに次の権限を付与します。 

ALTER USER user QUOTA {size | UNLIMITED} ON tablespace;

CONNECT

あり

あり

共通ユーザーSYSTEMは、ルート・コンテナに接続します。この権限は、DBA ロールがユーザーに割り当てられていない場合に不可欠です。

Oracleマルチテナント・データベースの共通ユーザーに付与される権限の例を参照してください。

CREATE PROCEDURE

あり

あり

ハートビート表を追加するために必要です。

CREATE SESSION

あり

あり

データベースへの接続に必要です。

CREATE VIEW

あり

 あり

ハートビート表ビューを追加するために必要です。

各オブジェクトに固有にする場合は、各オブジェクトの権限を個別に指定することもできます。このような権限を維持するために、特定のデータベース・ロールの作成を検討できます。

ALTER SYSTEM

あり

あり

ロギングの有効化などの管理変更を実行

ALTER USER

あり

あり

マルチテナント・アーキテクチャに必要であり、GGADMINは有効なOracle GoldenGate管理者スキーマである必要があります。

EXEC DBMS_GOLDENGATE_AUTH.GRANT_ADMIN_PRIVILEGE ('REPUSER', CONTAINER=>'PDBEAST');

 あり あり

  • 自律型データベース(ATPおよびADW)のExtractおよびReplicatには必須です。ルート・コンテナ(CDB$ROOT))のExtractには、ALLまたは特定のPDB (例: pdbeast)の値が必要になることがあります。

  • ExtractおよびReplicatユーザーの権限を付与します。「例: DBMS_GOLDENGATE_AUTH.GRANT_ADMIN_PRIVILEGEパッケージを使用した権限の付与」を参照してください

  • 仮想プライベート・データベースから取得する権限を付与します

  • リダクション済データを取得する権限を付与します

SYSユーザーとして、接続されたDV_GOLDENGATE_ADMINおよびDV_GOLDENGATE_REDO_ACCESS権限をExtractおよびReplicatユーザーに付与します。

あり

あり

Data Vaultからキャプチャ「Oracle Data Vaultからキャプチャするための権限」を参照してください。

レルムに適用する場合は、DBMS_MACADM.ADD_AUTH_TO_REALMの権限をReplicatに付与します。

NA あり

Data Vaultからキャプチャ「Oracle Data Vaultからキャプチャするための権限」を参照してください。

ターゲット表のINSERT、UPDATE、DELETE

NA

あり

レプリケートされたDMLをターゲット・オブジェクトに適用「Oracle DMLのオブジェクトと操作のサポートの詳細」を参照してください

 
GRANT INSERT ANY TO...
GRANT UPDATE ANY TO...
GRANT DELETE ANY TO...

NA

あり

すべての表をレプリケートする場合は、INSERT、UPDATE、DELETEをすべての表に付与するのではなく、これらの権限をReplicatユーザーに付与します。

DDLレプリケーションを実行する場合は、次の権限をDatabase Vault所有者として付与してください:

EXECUTE DBMS_MACADM.AUTHORIZE_DDL(‘GGADMIN USER', ‘SCHEMA FOR DDL’);
 なし なし

Data Vaultからキャプチャ「Oracle Data Vaultからキャプチャするための権限」を参照してください。

ターゲット・オブジェクトのDDL権限(DDLサポートを使用している場合)

NA

あり

レプリケートされたDDLをターゲット・オブジェクトに発行Oracle DDLのオブジェクトと操作のサポートの詳細を参照してください。

GRANT [CREATE|ALTER|DROP] ANY [TABLE|INDEX|VIEW|PROCEDURE] to GGADMIN;

 あり あり 表のDDLレプリケーションの権限を付与します。

CREATE ANY TABLE

あり

あり

任意のスキーマで表を作成する権限を付与します。特定のスキーマでのみ表を作成できるようにするには、CREATE TABLE権限を使用します。

CREATE ANY VIEW

あり

 あり 任意のデータベース・スキーマでビューを作成する権限を付与します。特定のスキーマでビューを作成できるようにするには、CREATE VIEW権限を使用します。 
SELECT ANY DICTIONARY

あり

あり

ディクショナリ表で適切に機能するためにすべての権限を許可します。

例: Oracleデータベースの共通ユーザーに付与される権限

Oracleデータベース共通ユーザー(次の例のc##ggadmin)に付与される権限:
CREATE USER c##ggadmin IDENTIFIED BY passw0rd CONTAINER=all DEFAULT
TABLESPACE GG_DATA TEMPORARY TABLESPACE temp;
GRANT RESOURCE to c##ggadmin;
GRANT CREATE SESSION to c##ggadmin;
GRANT CREATE VIEW to c##ggadmin;
GRANT CREATE TABLE to c##ggadmin;
GRANT CONNECT to c##ggadmin CONTAINER=all; 
GRANT DV_GOLDENGATE_ADMIN; –-- for data vault user
GRANT DV_GOLDENGATE_REDO_ACCESS; –-- for data vault user
GRANT ALTER SYSTEM to c##ggadmin;
GRANT ALTER USER to c##ggadmin;
ALTER USER c##ggadmin SET CONTAINER_DATA=all CONTAINER=current;
ALTER USER c##ggadmin QUOTA unlimited ON GG_DATA;
GRANT SELECT ANY DICTIONARY to c##ggadmin;
GRANT SELECT ANY TRANSACTION to c##ggadmin;
EXEC DBMS_GOLDENGATE_AUTH.GRANT_ADMIN_PRIVILEGE('c##ggadmin');

この例では、DBA権限は指定されていません。権限がない場合、DBAは必要な権限を追加で付与する必要があります。

PDBユーザーggadminに付与される権限は、次の例に示します: 

ALTER SESSION SET CONTAINER=dbwest; 
CREATE USER ggadmin IDENTIFIED BY PASSWORD CONTAINER=CURRENT; 
GRANT CONNECT, RESOURCE, DBA TO ggadmin CONTAINER=CURRENT; 
GRANT CREATE SESSION TO ggadmin CONTAINER=CURRENT; 
EXEC DBMS_GOLDENGATE_AUTH.GRANT_ADMIN_PRIVILEGE('ggadmin');

ノート:

DBAロールの付与は、すべてのユーザーに必須なわけではありません。権限は、ユーザーがデータベースで実行する必要がある操作に応じて付与する必要があります。たとえば、トランザクションを挿入、更新および削除するDML操作権限をggadminに付与するには、GRANT ANY INSERT/UPDATE/DELETE権限を使用し、さらに、DML操作の一部として表および索引を操作することをユーザーに許可するには、GRANT CREATE/DROP/ALTER ANY TABLE/INDEX権限を使用します。

例: DBMS_GOLDENGATE_AUTH.GRANT_ADMIN_PRIVILEGEパッケージを使用した権限の付与

このプロシージャは、ユーザーがOracle GoldenGate管理者になるために必要とする権限を付与します。次の例では、Oracleマルチテナント・データベースに対するExtractの明示的な権限を付与します:

BEGIN  
DBMS_GOLDENGATE_AUTH.GRANT_ADMIN_PRIVILEGE 
(GRANTEE => 'c##ggadmin',  PRIVILEGE_TYPE => 'CAPTURE',  GRANT_SELECT_PRIVILEGES => TRUE,  DO_GRANTS => TRUE,  CONTAINER => 'ALL'  ); 
END;

詳細は、Oracle Database PL/SQLパッケージおよびタイプ・リファレンスのDBMS_GOLDENGATE_AUTHを参照してください。