Oracleの権限分析を検証してみた！やり方や注意点を解説

2025年9月22日 Oracle Database 管理

権限分析とは

みなさん、こんにちは。
Oracle Cloud Infrastructure 検証チームです。

今回は19cの環境で権限分析について検証してみました。
権限分析とは、Oracle 12cより登場した新機能で、アプリケーション・ユーザーが使用している権限をキャプチャーし、必要な権限と不要な権限を視覚化するための機能です。

この機能は、当初 Database Vault オプションがなければ使用できませんでしたが、現在では Enterprise Edition の標準ライセンスで利用できるようになりました。

今回の執筆者は、Oracleに関する最新情報や、Exadataに関する記事をたくさん執筆しています。

以下の環境を用意しました。

OS	Oracle Linux 9(9.4)
DB	19c(19.25)

補足ですが、Oracle Linux9で19.21以上をインストールする際は、バグ対応としてDoc ID 2760289.1をご参照ください。

ここでは、veri1ユーザーを作成し、dba権限を付与しています。

キャプチャー名は「capture」、Typeは「DBMS_PRIVILEGE_CAPTURE.G_DATABASE」です。

キャプチャーのタイプとしては以下の4種類がありますが、今回の検証では一番範囲が広いG_DATABASEを指定します。

データベース分析( G_DATABASE )	SYSユーザーが使用する権限を除いたすべての権限の使用状況を分析。ポリシーの中で最も広範囲の分析を行うポリシーです。
ロール分析( G_ROLE )	指定されたロールの権限の使用状況を分析。
CONTEXT 分析( G_CONTEXT )	conditionパラメータがtrueに評価された場合の権限の使用状況を分析。
ロールとCONTEXT 分析 ( G_ROLE_AND_CONTEXT )	conditionパラメータがtrueに評価された場合に、指定されたロールの権限の使用状況を分析します。

※詳細は以下をご参照ください。
DBMS_PRIVILEGE_CAPTUREの詳細はこちら(公式サイト)
・PL/SQLパッケージおよびタイプ・リファレンス
⇒133 DBMS_PRIVILEGE_CAPTURE
⇒⇒133.3 DBMS_PRIVILEGE_CAPTUREの定数

この状態では、キャプチャーを作成したのみで有効になっていません(ENABLED=Nの状態です)。なので、有効(ENABLED=Y)にします。

キャプチャーを有効にすることで、権限情報が収集できるようになったので先ほど作成した権限対象となるユーザー(veri1)にて操作を行います。

ここでは、テーブルを作成してデータ追加する操作を行っています。

権限分析の操作履歴の収集を終了するため、キャプチャーをDISABLEにします。

権限分析の操作履歴の対象は、EXEC DBMS_PRIVILEGE_CAPTURE.ENABLE_CAPTUREからEXEC DBMS_PRIVILEGE_CAPTURE.DISABLE_CAPTUREまでの間に実行されたオペレーションまでです。

よって、今回の例では任意のテーブルを作成してデータ追加した操作が対象となります。

キャプチャーした情報を表示(レポート生成)するために、以下のコマンドを実行します。

レポートは、AWRのようなファイル形式で取得できるものではなく、DBA_USED_**のディクショナリビュー(今回の例ではDBA_USED_PRIVS)で確認することができます。

以下の画面では複数列を表示した結果、画面が見づらくなってしまいましたがご容赦ください。主に以下のカラムでロール／システム権限／オブジェクト権限が使用されているかを確認できます。