Oracle ロール権限管理の仕組み｜作成・付与・確認の実践手順

Oracle Databaseのロール（Role）とは、複数のシステム権限やオブジェクト権限をひとまとめにして管理する機能です。ユーザー一人ひとりに細かい権限を付与する手間を省き、運用の効率化とセキュリティ向上を実現します。本記事では、ロールの仕組みから、作成・付与・確認の実践的な手順までを解説します。

Oracle Database 19c ユーザー作成と管理

本記事では、oracle データベースで user（データベース利用者）を作成・管理する基本と実務手順を、非CDB構成の19cを前提に整理します。現場で迷いやすい「権限」「ロール」「プロファイル」「表領域とクオータ」まで、一気に把握できます...

oracle-master00000.com

2024.11.14

結論・最短手順（やることリスト）

ロール運用の基本的な流れは以下の通りです。

1. ロールを作成する（CREATE ROLE）
2. ロールに権限を付与する（GRANT ... TO role）
3. ロールをユーザーに付与する（GRANT role TO user）
4. 有効化を確認する（SELECT ... FROM SESSION_ROLES）

Note: 作業は通常、SYS または SYSTEM などの特権ユーザー、もしくは CREATE ROLE 権限を持つユーザーで行います。

Oracle ロールとは？権限管理の仕組み

データベース運用において、ユーザーが増えるたびに「テーブル作成権限」「検索権限」「接続権限」などを個別に付与するのは非効率であり、設定ミスの温床になります。

ロールは、これらをまとめる「権限のパッケージ（袋）」のようなものです。

権限付与のイメージ

ロールを使用しない場合（非推奨）：

各ユーザーに直接権限を渡すため、管理が複雑になります。

[システム権限: CREATE SESSION] ──────┐
                                     ├─> [User: TANAKA]
[オブジェクト権限: SELECT on EMP] ───┘

ロールを使用する場合（推奨）：

権限をロールに入れ、そのロールをユーザーに渡します。

[権限: CREATE SESSION] ──┐
                         ├─> [Role: APP_DEV_ROLE] ──> [User: TANAKA]
[権限: SELECT on EMP] ───┘           │
                                     └──────────────> [User: SUZUKI]

プリデファインド・ロール（既定のロール）

Oracleには、最初から用意されている代表的なロールがあります。

ロール名	特徴と用途
CONNECT	DBへの接続に必要な CREATE SESSION 権限のみを含む（10g R2以降）。
RESOURCE	テーブルやプロシージャを作成・所有するための開発者向け基本セット。
DBA	全てのシステム権限を持つ最強の管理ロール。安易に一般ユーザーへ付与してはいけません。

Oracle DBMS_PRIVILEGE_CAPTUREによる権限チェック入門

Oracleデータベースを安全に運用するには、ユーザーに「必要最小限の権限」だけを与えることが重要です。不要な権限が残っていると、外部からの攻撃に悪用されたり、誤操作で重要なデータが変更されるリスクが高まります。こうしたリスクを避けるための...

oracle-master00000.com

2024.11.16

---

手順と実装：ロールの作成からユーザー付与まで

ここでは、アプリ開発者用のロールを作成し、ユーザーに割り当てる手順を紹介します。

前提条件と環境

• 対象: Oracle Database 19c (Enterprise / Standard Edition 2)
• 環境: PDB（プラガブル・データベース）への接続を推奨
  • ※CDB（ルートコンテナ）で作成する場合は「共通ロール」となり、名前を c## で始める必要がありますが、通常の実務開発ではPDBごとの「ローカルロール」が一般的です。

1. ロールの作成

まず、空のロールを作成します。パスワードを設定することも可能です（今回は省略）。

-- Syntax: CREATE ROLE <role_name>;
CREATE ROLE app_dev_role;

• app_dev_role: 任意のロール名です。

2. ロールへの権限付与

作成したロールに、必要な権限を入れます。ここでは「接続」「テーブル作成」「特定テーブルの参照」を許可します。

-- Grant system privileges to the role
GRANT CREATE SESSION, CREATE TABLE, CREATE VIEW TO app_dev_role;

-- Grant object privileges to the role
-- (Assuming operations are done by the owner of the SCOTT.EMP table or DBA)
GRANT SELECT, INSERT, UPDATE ON scott.emp TO app_dev_role;

• ポイント: ロールに対し、さらに別のロールを付与（継承）することも可能です。

3. ユーザーへのロール付与

作成したロールを対象ユーザー（例: mike）に付与します。

-- Grant the role to a user
GRANT app_dev_role TO mike;

4. デフォルトロールの設定（必要な場合）

通常、ユーザーに付与されたロールはログイン時に自動的に有効になりますが、明示的に制御することも可能です。以下は「ログイン時にすべての付与ロールを有効にする」設定です。

ALTER USER mike DEFAULT ROLE ALL;

---

設定内容の確認方法

設定が正しく反映されているか、データディクショナリビューを使って確認します。

ユーザー側：現在有効なロールを確認

対象ユーザー（mike）でログインし、自身のセッションで有効なロールを確認します。

SELECT * FROM SESSION_ROLES;

SQL> SELECT * FROM SESSION_ROLES;

ROLE
--------------------------------------------------------------------------------
RESOURCE
SODA_APP

2 rows selected.

管理者側：誰にどのロールが付与されているか確認

DBA権限を持つユーザーで実行します。

-- Check roles granted to specific user
SELECT grantee, granted_role, admin_option
FROM dba_role_privs
WHERE grantee = 'MIKE';

管理者側：ロールに含まれる権限を確認

-- Check system privileges within a role
SELECT privilege, admin_option
FROM role_sys_privs
WHERE role = 'APP_DEV_ROLE';

-- Check object privileges within a role
SELECT owner, table_name, privilege
FROM role_tab_privs
WHERE role = 'APP_DEV_ROLE';

CDB構成のユーザー管理とは？共通ユーザーとローカルユーザーの違い・作成・接続方法を徹底解説！

Oracleのマルチテナント構成（CDB + PDB）では、ユーザーの管理方法が従来の構成とは大きく異なります。「共通ユーザー（common user）」と「ローカルユーザー（local user）」という2つの概念を理解することは、セキュ...

oracle-master00000.com

2025.04.25

---

トラブルシューティング

ロール運用時によく遭遇するエラーとその対処法です。

エラーコード	エラーメッセージ	原因と対処
ORA-01924	role ‘string’ not granted or does not exist	SET ROLE 等で指定したロールが、そのユーザーに付与されていない、または存在しません。DBA_ROLE_PRIVS を確認してください。
ORA-01031	insufficient privileges	ロール経由で権限を持っているのに、ストアドプロシージャ（PL/SQL）のコンパイルでエラーになるケースがあります。PL/SQL内では、デフォルトでロール権限が無効化されます。 必要な権限をユーザーに直接付与（Direct Grant）してください。
ORA-01919	role ‘string’ does not exist	削除しようとした、または付与しようとしたロール名が存在しません。スペルミスを確認してください。

---

運用・監視・セキュリティ上の注意

1. WITH ADMIN OPTION の扱いに注意

ロールを付与する際、WITH ADMIN OPTION を付けると、ロールを受け取ったユーザーが、さらに他者へそのロールを付与できるようになります。権限管理が制御不能になるリスクがあるため、原則として付与しません。

-- Avoid this unless absolutely necessary
GRANT app_dev_role TO mike WITH ADMIN OPTION;

2. ストアドプロシージャとロールの罠

前述のトラブルシューティングにもある通り、PL/SQL（定義者権限）を作成する際、ロール経由で得た権限は無視されます。

• 解決策: プロシージャ作成に必要な権限（例: CREATE TABLE や SELECT ON table）は、ユーザーへ直接 GRANT してください。

3. ロールの削除と影響

ロールを削除（DROP ROLE）すると、そのロールを持っていた全ユーザーから即座に権限が剥奪されます。

-- Warning: This affects all users who have this role
DROP ROLE app_dev_role;

CDB/PDB環境で共通ユーザー作成と各コンテナへの接続権限付与方法まとめ

～CONTAINER句の使い分けも完全解説～Oracle 12c以降のマルチテナントアーキテクチャでは、1つのCDB（コンテナ・データベース）に複数のPDB（プラガブル・データベース）が含まれます。この構成下では、共通ユーザー（common...

oracle-master00000.com

2025.04.27

---

FAQ（よくある質問）

Q1: システム権限とオブジェクト権限の違いは？

A. システム権限は「DB全体または特定の操作を行う権利（例：テーブル作成、セッション接続）」です。オブジェクト権限は「特定のデータに対する操作権利（例：SCOTTさんのEMP表を見る）」です。ロールにはこの両方を含めることができます。

Q2: ユーザー作成時に自動で付与されるロールはありますか？

A. 基本的にはありません。作成直後のユーザーは接続すらできません。必ず GRANT CREATE SESSION またはそれを含む CONNECT ロール等を付与する必要があります。

Q3: パスワード付きロールとは何ですか？

A. アプリケーション固有のセキュリティを高めるための機能です。SET ROLE role_name IDENTIFIED BY password; を実行しないと権限が有効になりません。SQL*Plusなどでログインしただけのユーザーによる誤操作を防ぐ目的などで使われます。

---

まとめ

Oracle Databaseにおけるロール活用は、セキュアで効率的なDB管理の第一歩です。

• 効率化: 権限をパッケージ化し、一括管理できる。
• 標準化: CONNECT や RESOURCE などの定義済みロールを理解する。
• 注意点: PL/SQL作成時にはロールが無効になる仕様（19c時点）を忘れない。
• 原則: 必要最小限の権限セット（Principle of Least Privilege）を作成して運用する。

適切なロール設計を行い、堅牢なデータベース環境を構築しましょう。

---

本記事は Oracle Database 19c を対象に解説します（他バージョンは画面や既定値が異なる場合があります）。

[参考]
SQL言語リファレンス – CREATE ROLE
SQL言語リファレンス – GRANT
SQL言語リファレンス – REVOKE

Oracleユーザー作成ガイド：CREATE USERの解説

Oracle Databaseにおけるユーザー管理は、セキュリティ・権限制御・リソース制限において非常に重要な役割を担います。本記事では、CREATE USER文の基本から、表領域・クォータ・権限付与・ロック制御に至るまで、実務に耐えうるレ...

oracle-master00000.com

2024.09.25