Oracle Database10g データベースのセキュリティ - 版の履歴

2020年2月16日 (日) 04:30にPirotoによる

2020-02-16T04:30:02Z

2020年2月15日 (土) 08:37にPirotoによる

2020-02-15T08:37:59Z

2020年2月15日 (土) 08:21にPirotoによる

2020-02-15T08:21:56Z

2020年2月15日 (土) 08:04にPirotoによる

2020-02-15T08:04:49Z

Piroto: ページの作成:「==Oracle Database10g データベースのセキュリティ== [Oracle][Oracle Database10g] ===管理権限の制限=== ====必要ないユーザーにDBAロールが…」

2020-02-15T07:34:36Z

ページの作成:「==Oracle Database10g データベースのセキュリティ== [Oracle][Oracle Database10g] ===管理権限の制限=== ====必要ないユーザーにDBAロールが…」

新規ページ

==Oracle Database10g データベースのセキュリティ==
[Oracle][Oracle Database10g]
===管理権限の制限===
====必要ないユーザーにDBAロールが付与されていないか確認====
*DBA_ROLE_PRIVSを検索を検索して確認
SQL> select * from dba_role_privs
2 where granted_role = 'DBA'
3 /

GRANTEE GRANTED_ROLE ADM DEF
------------------------------ ------------------------------ --- ---
SYS DBA YES YES
SYSMAN DBA NO YES
SYSTEM DBA YES YES

====SYSDBA、SYSOPER 権限をもつユーザを確認====
*V$PWFILE_USERSを検索
SQL> select * from v$pwfile_users;

USERNAME SYSDBA SYSOPER
--------------------------------------------- ---------- ----------
SYS TRUE TRUE

===データディクショナリの保護===
http://otndnld.oracle.co.jp/document/products/oracle10g/102/doc_cd/network.102/B19269-04/admusers.htm#609631

*システム権限は非常に強力であるため、通常のユーザー（DBA以外のユーザー）がデータ・ディクショナリに対してANYシステム権限（UPDATE ANY TABLEなど）を行使できないようにデータベースを構成する。
*データ・ディクショナリを保護するために、[http://otndnld.oracle.co.jp/document/products/oracle10g/102/doc_cd/server.102/B19228-04/initparams.htm#85701 O7_DICTIONARY_ACCESSIBILITY]初期化パラメータは必ずFALSE（デフォルト値）に設定

<blockquote>O7_DICTIONARY_ACCESSIBILITYは、SYSTEM権限の制限を制御します。このパラメータにtrueを設定すると、SYSTEM権限によるSYSスキーマ内のオブジェクトへのアクセスが許可されます（Oracle7の動作）。falseに設定すると、すべてのスキーマ内のオブジェクトへのアクセスが許可されるSYSTEM権限では、SYSスキーマ内のオブジェクトへアクセスできなくなります。</blockquote>

===PUBLICユーザーの権限管理===
http://otndnld.oracle.co.jp/document/products/oracle10g/102/doc_cd/network.102/B19269-04/admusers.htm#610947

*PUBLICユーザーはすべてのユーザーに影響を与えるために用意されている
*PUBLICユーザーに権限を付与すると、すべてのユーザがその権限を利用可能になる

===パスワードセキュリティ===
====プロファイルの作成====
{|class="wikitable"
!パラメータ
!内容
|-
|PASSWORD_LIFE_TIME
|失効するまでの有効期間
|-
|PASSWORD_GRACE_TIME
|失効後、最初にログインした後からパスワードを変更できる猶予期間
|-
|PASSWORD_REUSE_MAX
|再使用できるようになるまで必要な変更回数
|-
|PASSWORD_REUSE_TIME
|再使用できるようになるまでの期間
|-
|PASSWORD_LOCK_TIME
|ログインを指定回数以上失敗した後、ロックされる期間
|-
|FAILED_LOGIN_ATTEMPTS
|アカウントがロックされるまでのログイン失敗回数
|-
|PASSWORD_VERIFY_FUNCTION
|パスワード複雑さを評価するPL/SQLファンクション
|-
|}

=====作成=====
[[File:0913_ora_profile01.jpg]]
=====パラメータの設定=====
[[File:0914_ora_profile02.jpg]]
=====SQL=====
CREATE PROFILE "STRICT_PASSWD" LIMIT CPU_PER_SESSION DEFAULT
CPU_PER_CALL DEFAULT
CONNECT_TIME DEFAULT
IDLE_TIME DEFAULT
SESSIONS_PER_USER DEFAULT
LOGICAL_READS_PER_SESSION DEFAULT
LOGICAL_READS_PER_CALL DEFAULT
PRIVATE_SGA DEFAULT
COMPOSITE_LIMIT DEFAULT
PASSWORD_LIFE_TIME 1
PASSWORD_GRACE_TIME 1
PASSWORD_REUSE_MAX 1
PASSWORD_REUSE_TIME UNLIMITED
PASSWORD_LOCK_TIME 1
FAILED_LOGIN_ATTEMPTS 1
PASSWORD_VERIFY_FUNCTION DEFAULT

====ユーザにプロファイルを設定====

=====設定=====
[[File:0915_ora_profile03.jpg]]

=====SQL=====
ALTER USER "EXAM2" PROFILE "STRICT_PASSWD"

=====試してみる=====
でたらめなパスワードで接続
SQL> conn exam2/xxxxx@oradb1;
ERROR:
ORA-01017: invalid username/password; logon denied

正しいパスワードで接続
SQL> conn exam2/abc123@oradb1;
ERROR:
ORA-28000: the account is locked

ロックされている

@@ 1行目: / 1行目: @@
-==Oracle Database10g データベースのセキュリティ==
+==[[Oracle Database10g データベースのセキュリティ]]==
 [[Oracle]] | [[Oracle Database10g]] |
 ===管理権限の制限===
 ====必要ないユーザーにDBAロールが付与されていないか確認====
-*DBA_ROLE_PRIVSを検索を検索して確認
+*DBA_[[R]]OLE_P[[R]]IVSを検索を検索して確認
-  SQL&gt; select * from dba_role_privs
+  [[SQL]]&gt; select * from dba_role_privs
   where granted_role = 'DBA'
   /
-  GRANTEE                        GRANTED_ROLE                   ADM DEF
+  GR[[ANT]]EE                        GR[[ANT]]ED_ROLE                   ADM DEF
   ------------------------------ ------------------------------ --- ---
   SYS                            DBA                            YES YES
@@ 14行目: / 14行目: @@
   SYSTEM                         DBA                            YES YES
-====SYSDBA、SYSOPER 権限をもつユーザを確認====
+====SYSDBA、SYSOPE[[R]] 権限をもつユーザを確認====
-*V$PWFILE_USERSを検索
+*V$PWFILE_USE[[R]]Sを検索
-  SQL&gt; select * from v$pwfile_users;
+  [[SQL]]&gt; select * from v$pwfile_users;
-  USERNAME                                      SYSDBA     SYSOPER
+  USE[[R]]NAME                                      SYSDBA     SYSOPE[[R]]
   --------------------------------------------- ---------- ----------
-  SYS                                           TRUE       TRUE
+  SYS                                           T[[R]]UE       T[[R]]UE
 ===データディクショナリの保護===
@@ 28行目: / 28行目: @@
 *データ・ディクショナリを保護するために、[http://otndnld.oracle.co.jp/document/products/oracle10g/102/doc_cd/server.102/B19228-04/initparams.htm#85701 O7_DICTIONARY_ACCESSIBILITY]初期化パラメータは必ずFALSE（デフォルト値）に設定
-&lt;blockquote&gt;O7_DICTIONARY_ACCESSIBILITYは、SYSTEM権限の制限を制御します。このパラメータにtrueを設定すると、SYSTEM権限によるSYSスキーマ内のオブジェクトへのアクセスが許可されます（Oracle7の動作）。falseに設定すると、すべてのスキーマ内のオブジェクトへのアクセスが許可されるSYSTEM権限では、SYSスキーマ内のオブジェクトへアクセスできなくなります。&lt;/blockquote&gt;
+&lt;blockquote&gt;O7_DICTIONARY_ACCESSIBILITYは、SYSTEM権限の制限を制御します。このパラメータにtrueを設定すると、SYSTEM権限によるSYSスキーマ内のオブジェクトへのアクセスが許可されます（[[Oracle]]7の動作）。falseに設定すると、すべてのスキーマ内のオブジェクトへのアクセスが許可されるSYSTEM権限では、SYSスキーマ内のオブジェクトへアクセスできなくなります。&lt;/blockquote&gt;
 ===PUBLICユーザーの権限管理===
@@ 42行目: / 42行目: @@
 !内容
 |-
-|PASSWORD_LIFE_TIME
+|PASSWO[[R]]D_LIFE_TIME
 |失効するまでの有効期間
 |-
-|PASSWORD_GRACE_TIME
+|PASSWO[[R]]D_G[[R]]ACE_TIME
 |失効後、最初にログインした後からパスワードを変更できる猶予期間
 |-
-|PASSWORD_REUSE_MAX
+|PASSWO[[R]]D_[[R]]EUSE_MAX
 |再使用できるようになるまで必要な変更回数
 |-
-|PASSWORD_REUSE_TIME
+|PASSWO[[R]]D_[[R]]EUSE_TIME
 |再使用できるようになるまでの期間
 |-
-|PASSWORD_LOCK_TIME
+|PASSWO[[R]]D_LOCK_TIME
 |ログインを指定回数以上失敗した後、ロックされる期間
 |-
@@ 61行目: / 61行目: @@
 |-
 |PASSWORD_VERIFY_FUNCTION
-|パスワード複雑さを評価するPL/SQLファンクション
+|パスワード複雑さを評価するPL/[[SQL]]ファンクション
 |-
 |}
@@ 69行目: / 69行目: @@
 =====パラメータの設定=====
 [[File:0914_ora_profile02.jpg]]
-=====SQL=====
+=====[[SQL]]=====
-  CREATE PROFILE "STRICT_PASSWD" LIMIT CPU_PER_SESSION DEFAULT
+  C[[R]]EATE P[[R]]OFILE "ST[[R]]ICT_PASSWD" LIMIT CPU_PE[[R]]_SESSION DEFAULT
-  CPU_PER_CALL DEFAULT
+  CPU_PE[[R]]_CALL DEFAULT
   CONNECT_TIME DEFAULT
   IDLE_TIME DEFAULT
-  SESSIONS_PER_USER DEFAULT
+  SESSIONS_PE[[R]]_USE[[R]] DEFAULT
-  LOGICAL_READS_PER_SESSION DEFAULT
+  LOGICAL_[[R]]EADS_PE[[R]]_SESSION DEFAULT
-  LOGICAL_READS_PER_CALL DEFAULT
+  LOGICAL_[[R]]EADS_PE[[R]]_CALL DEFAULT
-  PRIVATE_SGA DEFAULT
+  P[[R]]IVATE_SGA DEFAULT
-  COMPOSITE_LIMIT DEFAULT
+  [[COM]]POSITE_LIMIT DEFAULT
-  PASSWORD_LIFE_TIME 1
+  PASSWO[[R]]D_LIFE_TIME 1
-  PASSWORD_GRACE_TIME 1
+  PASSWO[[R]]D_G[[R]]ACE_TIME 1
-  PASSWORD_REUSE_MAX 1
+  PASSWO[[R]]D_[[R]]EUSE_MAX 1
-  PASSWORD_REUSE_TIME UNLIMITED
+  PASSWO[[R]]D_[[R]]EUSE_TIME UNLIMITED
-  PASSWORD_LOCK_TIME 1
+  PASSWO[[R]]D_LOCK_TIME 1
   FAILED_LOGIN_ATTEMPTS 1
-  PASSWORD_VERIFY_FUNCTION DEFAULT
+  PASSWO[[R]]D_VE[[R]]IFY_FUNCTION DEFAULT
 ====ユーザにプロファイルを設定====
@@ 92行目: / 92行目: @@
 [[File:0915_ora_profile03.jpg]]
-=====SQL=====
+=====[[SQL]]=====
-  ALTER USER "EXAM2" PROFILE "STRICT_PASSWD"
+  ALTE[[R]] USE[[R]] "EXAM2" P[[R]]OFILE "ST[[R]]ICT_PASSWD"
 =====試してみる=====
 でたらめなパスワードで接続
-  SQL&gt; conn exam2/xxxxx@oradb1;
+  [[SQL]]&gt; conn exam2/xxxxx@oradb1;
-  ERROR:
+  E[[R]][[R]]O[[R]]:
-  ORA-01017: invalid username/password; logon denied
+  O[[R]]A-01017: invalid username/password; logon denied
 正しいパスワードで接続
-  SQL&gt; conn exam2/abc123@oradb1;
+  [[SQL]]&gt; conn exam2/abc123@oradb1;
-  ERROR:
+  E[[R]][[R]]O[[R]]:
-  ORA-28000: the account is locked
+  O[[R]]A-28000: the account is locked
 ロックされている