優先資格証明を設定する前に実行する必要がある一般的なタスクのリストを次に示します。

1. データベース管理者は、優先資格証明が設定されるデータベース・ユーザーを作成します:
   • モニタリング・ユーザー
     ノート
     
     

     • 外部データベースおよびOracle Cloudデータベースの場合、DBSNMPユーザーをモニタリング・ユーザーとして使用できます。DBSNMPユーザーはOracle Databaseに組み込まれており、Oracle Cloud Infrastructureでデータベースをモニターするために必要な権限を持っているため、これは便利なオプションです。DBSNMPユーザーのかわりに、SQLスクリプトを使用して、管理対象データベースのモニターに必要な最小限の権限を持つ新しいデータベース・ユーザーを作成するオプションもあります。SQLスクリプトの詳細は、My Oracle Supportで、データベース管理のOracle Databaseモニタリング資格証明の作成(ドキュメントID 2857604.1)を参照してください。
     • Autonomous Databasesの場合、ADBSNMPユーザーをモニタリング・ユーザーとして使用できますが、ADBSNMPユーザーには、特定の高度なモニタリングおよび管理タスクの実行に必要な権限がありません。
   • 高度な診断ユーザー
     ノート
     
     パフォーマンス・ハブ・タスクを実行するための拡張診断ユーザーを作成する場合は、パフォーマンス・ハブの使用に必要な権限がユーザーに付与されていることを確認する必要があります。必要な権限の詳細は、My Oracle SupportのOCI: パフォーマンス・ハブの前提条件(ドキュメントID 2760305.1)を参照してください。
   • 管理者ユーザー

   外部データベースおよびOracle Cloudデータベースの場合、SQLスクリプトを使用して、高度な診断および管理タスクの実行に必要な権限セットを持つ新しいデータベース・ユーザーを作成できます。SQLスクリプトの詳細は、My Oracle SupportのOracle Database Management Advanced Diagnostics User and Administration Userの作成(ドキュメントID 2978493.1)を参照してください。Autonomous Databasesの場合、ADMINユーザーを使用して、高度な診断および管理タスクを実行することをお薦めします。

   ユーザー・アカウントの作成方法の詳細は、Oracle Databaseセキュリティ・ガイドのユーザー・アカウントの作成を参照してください。

2. 必要な権限を持つOracle Cloud Infrastructureユーザーは、データベース・ユーザー・パスワードに対して次のVaultサービス・シークレットを作成します:
   • モニタリング・ユーザーのパスワードを格納するシークレット
   • 拡張診断ユーザーのパスワードを格納するシークレット
   • 管理者ユーザーのパスワードを格納するシークレット

   これらのシークレットは、異なるコンパートメントに、または異なるボールト・キーまたは同じボールト・キーを持つ同じコンパートメントに作成できます。

   シークレットを作成する権限をユーザー・グループに付与するポリシーの例を次に示します:

   Allow group DB-MGMT-USER to manage secret-family in compartment ABC

   シークレットの作成方法の詳細は、Vaultでのシークレットの作成を参照してください。

前提条件タスクの実行時に、次の権限を持つユーザーは、データベース管理で優先資格証明を設定できます:

• 優先資格証明を設定するためのDBMGMT_MANAGED_DB_UPDATE権限。useまたはmanage動詞とdbmgmt-managed-databasesリソース・タイプを使用して、最小DBMGMT_MANAGED_DB_UPDATE権限をユーザー・グループに付与するか、広範なレベルの権限を付与できます。

  優先資格証明を設定する最小限の権限を持つポリシーの例を次に示します:

  Allow group DB-MGMT-USER to {DBMGMT_MANAGED_DB_UPDATE} in compartment ABC

  優先資格証明を設定する権限をユーザー・グループに付与する広範なポリシーの例を次に示します:

  Allow group DB-MGMT-USER to use dbmgmt-managed-databases in compartment ABC

  データベース管理のリソース・タイプおよび権限の詳細は、データベース管理のポリシー詳細を参照してください。

• データベース・ユーザーのパスワードを格納するシークレットの読取り権限。シークレットを作成する権限をユーザー・グループに付与するポリシーの例を次に示します:

  Allow group DB-MGMT-USER to read secret-family in compartment ABC

  シークレットの読取りを特定のVaultからに制限した権限を付与する場合は、ポリシーを次のように更新します:

  Allow group DB-MGMT-USER to read secret-family in compartment ABC where target.vault.id = 'Vault OCID'

  シークレットにアクセスして使用するために必要なVaultサービス権限の詳細は、診断および管理を使用するために必要な追加権限を参照してください。

データベース管理で、高度な診断および管理優先資格証明を設定できます。

1. 「管理対象データベースの詳細」ページに移動し、左側のペインで「リソース」の下にある「資格証明」をクリックします。
   「優先資格証明」タブが表示され、優先資格証明を設定し、優先資格証明のステータス、アクセスが有効かどうか、優先資格証明に設定されているユーザー名とロール、関連付けられた名前付き資格証明(ある場合)などの詳細を表示できます。
2. 設定する優先資格証明のアクション・アイコン()をクリックし、「編集」をクリックします。
3. 「優先資格証明の編集」パネルで、「資格証明タイプ」ドロップダウン・リストで次のいずれかのオプションを選択して、優先資格証明を設定します:
   • 名前付き資格証明: このオプションを選択して、優先資格証明を既存の名前付き資格証明に関連付け、「アクティブ資格証明」の左側にあるアイコンをクリックします。
     ノート
     
     名前付き資格証明が使用中(アクティブ)で、管理対象データベースのセッション資格証明として設定されている場合、名前付き資格証明の名前は「アクティブ」の隣に表示されます。
     1. スコープ: 名前付き資格証明の範囲を選択します:
        • リソース: リソース・スコープを持つ名前付き資格証明を使用して、単一の管理対象データベースにアクセス、監視および管理できます。
        • グローバル: グローバル・スコープを持つ名前付き資格証明を使用して、データベース管理のすべての管理対象データベースにアクセス、モニターおよび管理できます。
     2. 名前付き資格証明: 名前付き資格証明を選択します。名前付き資格証明が存在するコンパートメントが表示されているコンパートメントとは異なる場合は、「コンパートメントの変更」をクリックし、別のコンパートメントを選択します。
   • 新規資格証明: このオプションを選択して、新規資格証明を作成します:
     1. ユーザー名: 管理対象データベースに接続するためのデータベース・ユーザー名を指定します。
     2. ユーザー・パスワード・シークレット: ドロップダウン・リストから、データベース・ユーザー・パスワードを含むシークレットを選択します。ユーザー・パスワードは優先資格証明に直接格納できません。最初にVaultサービス・シークレットに格納する必要があります。シークレットが存在するコンパートメントが表示されているコンパートメントと異なる場合は、「コンパートメントの変更」をクリックし、別のコンパートメントを選択します。

        データベース・ユーザー・パスワードが指定された既存のシークレットを使用できない場合は、ドロップダウン・リストで「新規シークレットの作成...」を選択します。シークレットの作成に必要な権限およびシークレットの作成方法の詳細は、前提条件タスクの実行および必要な権限の取得を参照してください。

     3. ロール: 使用可能なオプションからロール(「標準」または「SYSDBA」)を選択します。
     4. 新しい名前付き資格証明として保存: オプションで、このチェック・ボックスを選択し、名前付き資格証明の名前と、次のパスワード・アクセス・モード・オプションのいずれかを指定して、新しい資格証明を名前付き資格証明として保存します。
        • ユーザー: ポリシー内のユーザーに定義されているパスワード・シークレットにアクセスする権限。
        • リソース: ポリシー内のリソースのタイプ(名前付き資格証明が作成される)に対して、パスワード・シークレットにアクセスする権限が定義されます。

   名前付き資格証明の詳細は、名前付き資格証明の作成および管理を参照してください。

4. オプションで、「テスト」をクリックして、資格証明を使用して管理対象データベースへの接続が正常に確立されているかどうかを確認します。
5. 「保存」をクリックして、資格証明を保存します。

「優先資格証明」タブで、資格証明の名前をクリックすると、ユーザー名やパスワード・シークレットなどの詳細を表示できます(資格証明が設定されている場合)。優先資格証明のアクション・アイコン()をクリックして、優先資格証明を編集、表示またはクリアすることもできます。

ノート

• 管理優先資格証明が設定されている場合は、ジョブや表領域の作成などのタスクを実行するときに自動入力され、管理優先資格証明を使用するか、新しい資格証明を指定するかを選択できます。ただし、パフォーマンス・ハブのオンデマンドADDM実行タスクまたはパフォーマンス・ハブのセッション停止タスクに対して管理優先資格証明が設定されている場合は、管理優先資格証明が自動的に選択されます。
• セッション資格証明が設定され、別のユーザー資格証明を使用して優先資格証明も設定されている場合、セッション資格証明は優先資格証明よりも優先され、タスクの実行時に自動的に選択され、セッション資格証明の使用、優先資格証明の選択または新しい資格証明の指定のオプションがあります。セッション資格証明が設定されている場合は、オンデマンドADDMタスクの実行またはパフォーマンス・ハブのセッションの強制終了に使用されます。セッション資格証明の詳細は、セッション資格証明の設定を参照してください。
• 優先資格証明が設定されていない場合:
  • モニタリング・ユーザーは、基本モニタリングに使用されます。
  • セッション資格証明は、特定のセッションで使用するように設定できます。
  • 書込み操作の実行時には、データベース資格証明を指定する必要があります。

次に、優先資格証明の使用に必要な権限を付与するIAMポリシーをリストするサンプル・シナリオをいくつか示します。シナリオでは、次のことを前提としています:

• 優先資格証明は、必要な権限を持つOracle Cloud Infrastructureユーザーによって設定されました。
• 次のデータベース・ユーザーに優先資格証明が設定されており、これらのユーザーには、優先資格証明を表示し、データベース管理で関連する一連の診断および管理タスクを実行するためのOracle Cloud Infrastructure権限を付与する必要があります。
  • 高度な診断ユーザー
  • 管理ユーザー

  優先資格証明の設定に必要な前提条件タスクおよび権限の詳細は、前提条件タスクの実行および必要な権限の取得を参照してください。

シナリオ1: 高度な診断ユーザーに高度な診断の優先資格証明が設定されている場合、このユーザーが優先資格証明を表示して関連する一連のタスクを実行するには次の権限が必要です:

• 診断および管理タスクを実行するためのデータベース管理権限。たとえば、表領域を表示するには、高度な診断ユーザーにDBMGMT_MANAGED_DB_READ権限が必要です。

  表領域を表示する権限をユーザー・グループに付与するポリシーの例を次に示します:

  Allow group DB-MGMT-USER to read dbmgmt-managed-databases in compartment ABC

• 高度な診断ユーザーのパスワードを含むシークレットを読み取るためのVaultサービス権限。

  シークレットの読取り権限をユーザー・グループに付与するポリシーの例を次に示します:

  Allow group DB-MGMT-USER to read secrets in compartment ABC

シナリオ2: 管理ユーザーに管理優先資格証明が設定されている場合、このユーザーが優先資格証明を表示して関連する一連のタスクを実行するには次の権限が必要です:

• 診断および管理タスクを実行するためのデータベース管理権限。たとえば、表領域を作成するには、管理者ユーザーにDBMGMT_MANAGED_DB_CONTENT_WRITE権限が必要です。

  表領域を作成する権限をユーザー・グループに付与するポリシーの例を次に示します:

  Allow group DB-MGMT-USER to use dbmgmt-managed-databases in compartment ABC

• 管理者ユーザーのパスワードを含むシークレットを読み取るためのVaultサービス権限。

  シークレットの読取り権限をユーザー・グループに付与するポリシーの例を次に示します:

  Allow group DB-MGMT-USER to read secrets in compartment ABC

各タスクの実行に必要なデータベース管理権限の詳細は、データベース管理のポリシー詳細を参照してください。

次の表に、高度な診断および管理の優先資格証明で実行できる診断および管理タスクを示します。