DBセキュリティ入門【認証編】

認証編 DB Security 入門 2026年4月日本オラクル株式会社クラウド事業統括製品事業統括 OCI Platform
COE本部 Security & Management ソリューション部石井宏一郎

全体のセキュリティ対策データ漏洩が起きるリスクパターンと対策 2 Copyright © 2026, Oracle and/or its affiliates
リスク対策分野第三者のバイパスしたアクセスによる不当なデータ奪取例）ディスク盗難、通信の盗聴、など正規ユーザーの業務範囲外のデータ持ち出し例）ユーザー乗っ取り、内部不正、など正規ユーザーの業務範囲内のデータ持ち出し例）ユーザー乗っ取り、内部不正、など運用において後から発生する潜在的なリスク例）権限設定の不備、システムの脆弱性など・暗号化・データ・マスキング・認証・ユーザ管理・認可 (アクセス制御) ・監査・ログ監視・定期的なセキュリティ評価・パッチ適用 1 2 3 4

全体のセキュリティ対策データ漏洩が起きるリスクパターンと対策 3 Copyright © 2026, Oracle and/or its affiliates
リスク対策分野第三者のバイパスしたアクセスによる不当なデータ奪取正規ユーザーの業務範囲外のデータ持ち出し正規ユーザーの業務範囲内のデータ持ち出し構成変更等によって後から発生する潜在的なリスク・暗号化・データ・マスキング・認証・ユーザ管理・認可・監査・ログ監視・定期的なセキュリティ評価・パッチ適用機能・サービス TDE（透過的データ暗号化）ネットワーク暗号化 Data Redaction 統合監査 DB Vault SQL Firewall Label Security VPD DBSAT CMU クラウドIAM 認証 Data Masking and Subsetting 1 2 3 4 Oracle Data Safe OCI Log Analytics Oracle Data Safe Autonomous Database ファイングレイン監査暗号化編アクセス制御編監査編本資料の対象

目次 4 Copyright © 2026, Oracle and/or its affiliates 1
2 3 4 5 Oracle Database がサポートする認証方式パスワード認証外部認証グローバル認証まとめ

1. Oracle Database がサポートする認証方式 ✓ 認証の概要 ✓ Oracle Databaseにおける認証の種類

認証とは • サービスまたはシステムへ接続しようとするユーザーなどのエンティティの身元を検証し、正当性を確認する仕組み • アクセス可否の判定そのものではなく、認可の前提となるプロセス 6 Copyright © 2026, Oracle
and/or its affiliates 1. 識別 2. 認証 3. 認可利用者がだれかを宣言ユーザーが本人であることを確認認証が完了したユーザーがどの操作ができるか決定 ID/Password 確認アクセス許可今回は一部ここも絡んでくる

Oracle Databaseにおける認証 • データベース・ユーザーと非データベース・ユーザーの両方の認証が可能 • 認証後、権限やロールに基づく許可設定によって実行可能な操作を制御 • Oracle Databaseでは、認証および認可付与に関して次の３つのタイプに分類 1.
ローカル・データベース認証およびローカル・データベース認可 → パスワード認証 2. 外部認証およびローカル・データベース認可 → 外部認証 3. 外部認証および外部認可 → グローバル認証 • 1つのデータベース環境で、要件に応じて複数の認証方式を併用可能 7 Copyright © 2026, Oracle and/or its affiliates 認証とは、データ、リソースまたはアプリケーションの使用を希望するユーザーやデバイスなどのエンティティの身元を検証することです。 Release 26 – セキュリティ・ガイドより

認証の種類 Oracle Database がサポートする認証方法 ◼ パスワード認証 • データベース内部に保持された認証情報を用いてユーザーを認証する方式 • 追加で多要素認証も対応
◼ 外部認証 • OS やネットワークサービスなど、データベース外部の仕組みを用いて認証する方式 ◼ グローバル認証 • ディレクトリサービスやクラウド認証基盤を利用して、ユーザー情報と認可情報を一元管理する方式 • 認証基盤が持つ認証機能が利用可能 8 Copyright © 2026, Oracle and/or its affiliates 方式認証認可パスワード認証ローカルローカル外部認証外部ローカルグローバル認証外部外部

認証の種類 SQL リファレンスより 9 Copyright © 2026, Oracle and/or its
affiliates パスワード認証外部認証グローバル認証 Oracle AI Database SQL言語リファレンス, 26ai https://docs.oracle.com/cd/G47991_01/sqlrf/CREATE-USER.html 認証無しのスキーマ限定アカウントもできる (18c~)

2. パスワード認証 ✓ 概要 ✓ 補助機能 ✓ 多要素認証

パスワード認証 Oracle Database 内に定義されたユーザー名とパスワードで認証 • 接続時に「ユーザー名/パスワード」を提示する • 最もシンプルな接続方法
• データベース単体で完結するため、設計や障害切り分けが単純 • パスワードの複雑性、期限、失敗回数などのルールはユーザー・プロファイルで設定 • パスワードの最大長 • (~21c ) 30 バイト • (23ai~) 1,024 バイト • パスワード・ハッシュは Oracle Database 内にて管理・保存 • 19c よりデフォルト・ユーザーはパスワードレスに • 使用する際にはじめてパスワードを設定 • 多要素認証による認証強化も可能 * 11 Copyright © 2026, Oracle and/or its affiliates * 使用できる方式はADBか非ADBかで少し異なる $ sql user/pass@db

パスワードの保護・管理を行うための機能パスワードの保護パスワード・ポリシーパスワードの変更パスワードの保管 12 Copyright © 2026, Oracle
and/or its affiliates パスワード・バージョンユーザー・プロファイルパスワード検証関数外部パスワード・ストア OCI シークレット管理サービス（旧 OCI Vault シークレット）段階的パスワード・ロールオーバーデータベース・パスワード・ファイル

パスワード・バージョンパスワードハッシュ（検証子）の生成と保存 • パスワードは指定のパラメータに従いハッシュ化したのち SYS.USER$ 表に保存 • 使用される認証プロトコルなどは、sqlnet.ora のパラメータで制御 •
SQLNET.ALLOWED_LOGON_VERSION_SERVER：DBへの接続時に許可する下限の認証プロトコルを設定 • SQLNET.ALLOWED_LOGON_VERSION_CLIENT：クライアントとしてのDB接続時に許可される下限の設定値 • バージョン10G は大文字小文字を区別しないため、設定値は 12 以上を推奨 • バージョン 10G は 23ai より非サポート • 各ユーザーにて生成されているバージョンは DBA_USER ビューの他、DBSAT や Data Safe から確認が可能 13 Copyright © 2026, Oracle and/or its affiliates 設定値パスワード・バージョンの生成対応するクライアント 10G 11G 12C 12a ✕ ✕ ◦ 12.1.0.2 ~ 12 (default) ✕ ◦ ◦ 11.2.0.4 ~, 12.1 ~ 11 ◦ ◦ ◦ 10g ~ (*) 8 ◦ ◦ ◦ 10g ~ (*) (*) 11.2.0.3以降のクライアントは2012年10月のCPUがあてられていない場合、10gパスワードバージョンを使用

データベース・パスワード・ファイル管理権限を持つユーザーのパスワード管理 • 管理権限 (SYSDBA, SYSOPERなど) を持つユーザーは、データベース・パスワード・ファイルを使用することができる • V$PASSWORDFILE_INFO：パスワード・ファイルに関する情報 •
V$PWFILE_USERS：パスワード・ファイルに格納されている全ユーザーの一覧 • パスワード・ファイルの作成、管理は orapwd ユーティリティを使用 • パスワード・ファイルの使用については、REMOTE_LOGIN_PASSWORDFILE パラメータで設定 • shared：複数データベースでパスワード・ファイルを共有 • exclusive：１つのデータベースのみでパスワード・ファイルを使用 • none：パスワード・ファイルを無視。管理ユーザーはOS認証にて接続する必要がある • Data Guard の REDO転送における認証要素としても使用される 14 Copyright © 2026, Oracle and/or its affiliates 管理者アクセス検証

ユーザー・プロファイルパスワードの長さなどのポリシーを設定 • ユーザーアカウントに適用されるリソース制限やパスワード・ポリシーをまとめて適用・管理するための仕組み • 作成したプロファイルは ALTER USER ...
PROFILE でユーザーに割り当て • パスワードの有効期限や複雑性などを設定できる • 複数ユーザーに一括で割り当てることで、パスワードポリシーを統一 • ユーザーには1つだけプロファイルを割り当て • 外部ユーザーまたはグローバル・ユーザーに割り当てる場合、パスワードのパラメータは無効に • OCI Database サービスでは一部パラメータが設定済み 15 Copyright © 2026, Oracle and/or its affiliates DB管理ユーザー開発者DBユーザーアプリケーション DBユーザー DB利用者用プロファイルアプリケーション用プロファイルパスワード • ９文字以上 • 数字記号を１つ以上 • ５回失敗するとロックパスワード • １２文字以上 • 数字記号を２つ以上 • ２回失敗するとロック

ユーザープロファイルのパスワード制限項目 password_parameters（RESOURCE_TYPE = PASSWORD） 16 Copyright © 2026, Oracle and/or
its affiliates 制限デフォルト値 * 説明 FAILED_LOGIN_ATTEMPTS 10 ログインに連続して失敗できる回数。超えるとロックされる PASSWORD_GRACE_TIME 7 パスワードの有効期限後、ログインできる猶予日数 PASSWORD_LIFE_TIME 180 同じパスワードを使用できる日数 PASSWORD_LOCK_TIME 1 FAILED_LOGIN_ATTEMPTSの後、ロックされる日数 PASSWORD_REUSE_MAX UNLIMITED パスワードを再利用する前に必要なパスワードの変更回数 PASSWORD_REUSE_TIME UNLIMITED パスワードを再利用できない日数 INACTIVE_ACCOUNT_TIME UNLIMITED ロックされるまでの連続非ログイン日数の許容数 PASSWORD_VERIFY_FUNCTION NULL パスワードの複雑性を検証する PL/SQL ファンクションを指定デフォルトのスクリプトもあるが、独自に作成することも可能 PASSWORD_ROLLOVER_TIME 0 パスワード・ロールオーバーとして有効な日数 1秒単位で設定が可能 * Base Database 26ai の DEFAULT プロファイルの値

ユーザープロファイルのリソース制限項目 resource_parameters（RESOURCE_TYPE = KERNEL） 17 Copyright © 2026, Oracle and/or
its affiliates 制限デフォルト値 * 説明 CONNECT_TIME UNLIMITED 1セッション当たりの経過時間制限（分単位） IDLE_TIME UNLIMITED 許容される非アクティブ時間（分単位） SESSIONS_PER_USER UNLIMITED ユーザーが同時に利用できるセッション数 COMPOSITE_LIMIT UNLIMITED セッションの総リソースコストをサービス単位で指定 CPU_PER_SESSION UNLIMITED 1セッションのCPU時間制限を、100分の1秒単位で指定 CPU_PER_CALL UNLIMITED 1呼び出し（パース、実行、またはフェッチ）あたりのCPU時間制限を、100分の1秒単位で指定 LOGICAL_READS_PER_SESSION UNLIMITED 1セッション中に読み取ることができるデータブロックの許容数 LOGICAL_READS_PER_CALL UNLIMITED SQL文を処理する1呼び出し（パース、実行、またはフェッチ）で読み取ることができるデータブロックの許容数 PRIVATE_SGA UNLIMITED 1セッションでSGAの共有プール内で割り当てることができるプライベート領域の大きさ（バイト単位） * Base Database 26ai の場合 DEFAULT プロファイルの値

パスワード検証関数（PVF）パスワード要件を適用するための関数 • パスワード変更時に、長さ、文字の種類、旧パスワードとの差分などの条件をチェックする PL/SQL 関数 • ユーザー・プロファイルの PASSWORD_VERIFY_FUNCTION に設定して利用する
• 以下の事前定義が用意 * • 独自の検証関数を作成して、業務要件に合わせたパスワード・ポリシーを実装することも可能 • 詳しくは $ORACLE_HOME/rdbms/admin/catpvf.sql を参照 18 Copyright © 2026, Oracle and/or its affiliates 関数名長さパスワード要件 * ora12c_verify_function 8 文字以上英字と数字、特殊文字が１つ以上 ora12c_strong_verify_function 9 文字以上大文字、小文字、数字と特殊文字が２つ以上 ora12c_stig_verify_function 15 文字以上大文字、小文字、数字と特殊文字が１つ以上 CLOUD_VERIFY_FUNCTION ** 12 文字以上大文字、小文字、数字と特殊文字が１つ以上 * パスワード要件の詳細はドキュメントを参照 Release 23 - 3.2.1 Oracle AI Databaseの組込みパスワード保護の概要 ** ADBのデフォルトパスワード検証関数。詳細は以下ドキュメントを参照 Autonomous AI Databaseによるユーザー・プロファイルの管理

段階的パスワード・ロールオーバー一定時間のみ旧パスワードも利用可能に • パスワードの変更時、旧パスワードを一定期間だけ有効とし、新旧どちらのパスワードでも接続可能に • DBパスワードをローテーションするときのや、DBパスワード変更を即時に全アプリへ反映しづらい環境で有用 • ユーザー・プロファイルの PASSWORD_ROLLOVER_TIME を
0 以外に設定し有効化 • 値は日単位で指定 • 時間は分数で表現（例：4 時間の場合、4/24） • ALTER USER <user> EXPIRE PASSWORD ROLLOVER PERIOD; にて古いパスワードの強制失効 • 旧パスワードでログインしたかは監査ログで確認可能 19 Copyright © 2026, Oracle and/or its affiliates パスワードA パスワードB パスワード更新

外部パスワード・ストア Secure External Password Store（SEPS） • データベース接続用のパスワードを「Wallet」ファイルとして保存し、クライアントがログイン時にアクセスして使用 • アプリケーション・コード、スクリプトなどへのユーザー名やパスワードのハードコードを抑止 •
wallet は PKCS#12* ファイルを含む一式で管理 • 管理には mkstore ユーティリティを使用 • CONNECT /@db_connect_string で接続 20 Copyright © 2026, Oracle and/or its affiliates DBクライアント ① 資格情報を取得 ② 接続 Wallet $ sql /@db * Public-Key Cryptography Standards #12 ユーザー名/パスワードを格納

外部パスワード・ストアの使用（1/3）ウォレットの作成 21 Copyright © 2026, Oracle and/or its affiliates
$ orapki wallet create -wallet <Wallet Path> -pwd <Wallet Password> -auto_login Oracle PKI Tool Release 23.0.0.0.0 – Production Version 23.0.0.0.0 Copyright (c) 2004, 2025, Oracle and/or its affiliates. All rights reserved. Operation is successfully completed. $ ls cwallet.sso cwallet.sso.lck ewallet.p12 ewallet.p12.lck ウォレットにシークレットを格納 $ mkstore -wrl <Wallet Path> -createCredential <接続文字列> <DB Username> <Password> Oracle Secret Store Tool Release 23.0.0.0.0 - Production Version 23.0.0.0.0 Copyright (c) 2004, 2025, Oracle and/or its affiliates. All rights reserved. Enter wallet password: <Wallet Password> TNSエイリアスまたはサービス名

外部パスワード・ストアの使用（2/3）シークレットの確認 22 Copyright © 2026, Oracle and/or its affiliates
$ mkstore -wrl <Wallet Path> -listCredential Oracle Secret Store Tool Release 23.0.0.0.0 - Production Version 23.0.0.0.0 Copyright (c) 2004, 2025, Oracle and/or its affiliates. All rights reserved. Enter wallet password: List credential (index: connect_string username) 1: <接続記述子> <DB Username> 接続 $ sql /@<接続記述子> SQLcl: Release 25.3 Production on Thu Dec 18 01:54:56 2025 … SQL> WALLET_LOCATION = (SOURCE = (METHOD = FILE) (METHOD_DATA = (DIRECTORY = /path/to/wallet) ) ) SQLNET.WALLET_OVERRIDE = TRUE

外部パスワード・ストアの使用（3/3）パスワードの更新 23 Copyright © 2026, Oracle and/or its affiliates
SQL> alter user <DB Username> identified by <New Password>; User <DB Username> altered. $ mkstore -wrl <Wallet Path> -modifyCredential <接続記述子> <DB Username> <New Password> Oracle Secret Store Tool Release 23.0.0.0.0 - Production Version 23.0.0.0.0 Copyright (c) 2004, 2025, Oracle and/or its affiliates. All rights reserved. Enter wallet password: <Wallet Password>

OCI シークレット管理サービスサービス概要/特徴 • パスワード、APIキー、トークン、証明書などのシークレットを保管/取得/管理 • OCI リソースとして IAM
ポリシーでアクセス制御 • バージョン管理とローテーション（運用自動化）に対応 • テンプレートによるシークレット自動生成 • 暗号化には OCI Vault の鍵を利用ユース・ケース • DB接続情報・APIトークン等のハードコーディングを禁止し、中央管理 • 安全に資格情報を配布と、定期ローテーション • 監査/統制のため「誰がいつ取得したか」の追跡サービス価格 • 無償（5,000 シークレットまで） 24 Copyright © 2026, Oracle and/or its affiliates アプリの資格情報・APIキー等を安全に保管/配布シークレット管理サービスシークレットアプリケーション取得管理者保管

import oci secrets_client = oci.secrets.SecretsClient(oci.config.from_file()) get_secret_bundle_response = secrets_client.get_secret_bundle(secret_id="<secretId>") print(get_secret_bundle_response.data) OCI
シークレット管理サービスの利用（1/2）シークレット取得の例 REST API 25 Copyright © 2026, Oracle and/or its affiliates GET /20190301/secretbundles/<secretId> Host: https://secrets.vaults.<region>.oci.oraclecloud.com … OCI CLI oci secrets secret-bundle get --secret-id <secretId> Python SDK API Ref：https://docs.oracle.com/en-us/iaas/api/#/en/secretretrieval/20190301/SecretBundle/GetSecretBundle OCI CLI Ref：https://docs.oracle.com/en-us/iaas/tools/oci-cli/latest/oci_cli_docs/cmdref/secrets/secret-bundle/get.html

OCI シークレット管理サービスの利用（2/2）パスワードローテーションに伴う DBパスワードの自動変更 • OCI Functions との連携により、シークレット管理サービスのパスワードローテーション時に Function
を起動 • データベースへのパスワード変更までを自動で実施 26 Copyright © 2026, Oracle and/or its affiliates 参考 • Oracle Cloud Infrastructureドキュメント - ウォレット関数を使用しないデータベース・シークレット・ローテーション • Oracle Cloud Infrastructureドキュメント -ウォレット関数を使用するデータベース・シークレット・ローテーションシークレット管理サービス OCI Functions Oracle Database ランダム文字列を生成し、新しいバージョンを作成 Oracle Databaseへ接続し新しく生成された文字列へパスワードを変更以下を格納 • ユーザー名 • パスワード • 接続文字列 alter user xxx identified by…

外部パスワード・ストアとシークレット管理サービスの違いパスワードをセキュアに保存し、ログやコードからパスワードを隠蔽することで、コピペや個人端末の侵害などからの意図しない漏洩を緩和する点は同じ 27 Copyright © 2026, Oracle and/or its
affiliates 外部パスワード・ストアシークレット管理サービスアクセス制御 OS のファイル権限 OCI IAM ポリシーシークレットを取得するクライアント Oracle Database クライアント OCI クライアントパスワードの保管場所各クライアント上のローカル Wallet OCI サービス上更新・ローテーション Wallet 内の資格情報を更新手動または Function サービスと連携した自動ローテーション可用性 OSファイルとしてバックアップ最大３リージョンにレプリケーション管理ツール mkstore/orapki ユーティリティ * OCI コンソール / CLI / SDK / API * Instant Client にはこれらは梱包されていないため、 Full Clientを使用する必要がある

多要素認証非ADB の場合 • Oracle Databaseのネイティブ・ユーザーに対して、多要素認証 (MFA) を構成 • 認証要素
• Oracle Mobile Authenticator (OMA) プッシュ通知 • Cisco Duo プッシュ通知 • 証明書ベース認証 • MFAの失敗は統合監査ログの additional_info 列に記録 • 対応バージョン • 19.28 以降 29 Copyright © 2026, Oracle and/or its affiliates ② プッシュ通知 ③ 許可 ① アクセス $ sql user/pass@db

多要素認証 ADB の場合 • ADB の場合も同様に多要素認証をサポート • 併用可能な２つの認証方式 1. ログイン時MFA（Login-Time
MFA） - ログイン時に追加の認証を実施 - OMA または Cisco Duo Mobile のプッシュ通知 2. SQLアクセス時MFA（SQL Access Token MFA） - 保護されたSQL実行前に追加の要素を要求 - Email/Slack のワンタイムパスワード、または OMA のプッシュ通知 • 対応バージョン • 19c • 26ai 30 Copyright © 2026, Oracle and/or its affiliates 認証要素方式ログイン時MFA SQLアクセス時MFA 電子メールワンタイムパスワード ✕ ◦ Slack ワンタイムパスワード ✕ ◦ Oracle Mobile Authenticator (OMA) プッシュ通知 ◦ ◦ Cisco Duo Mobile app プッシュ通知 ◦ ✕

ログイン時MFA（Login-Time MFA）実行イメージ: OMA（1/1）ログイン 31 Copyright © 2026, Oracle
and/or its affiliates ❯ ./sqlcl/bin/sql /nolog SQLcl: Release 25.1 Production on Sat Mar 07 17:56:56 2026 Copyright (c) 1982, 2026, Oracle. All rights reserved. SQL> set cloudconfig tns_files/adb_wallet/Wallet_ADBTPNRTDEV.zip SQL> connect mfa_user@adbtpnrtdev_medium Password? (**********?) ****************** Connected. プッシュ通知が届く「許可」を選択 ※ OMAの場合

SQLアクセス時MFA（SQL Access Token MFA）実行イメージ: メール（1/3） ① SQLを実行 32 Copyright
© 2026, Oracle and/or its affiliates SQL> select count(*) from sh.sales; Error starting at line : 1 in command - select count(*) from sh.sales Error at Command Line : 1 Column : 1 Error report - SQL Error: ORA-64660: Token Authorization is not complete for the user or the session. https://docs.oracle.com/error-help/db/ora-64660/ More Details : https://docs.oracle.com/error-help/db/ora-64660/

SQLアクセス時MFA（SQL Access Token MFA）実行イメージ: メール（2/3） ② OTP発行を依頼 33 Copyright
© 2026, Oracle and/or its affiliates BEGIN DBMS_MFA.INITIALIZE_SESSION( email => '<mail_address>' ); END; / ③ OTPを受信する ※ メールの場合

SQLアクセス時MFA（SQL Access Token MFA）実行イメージ: メール（3/3） ④ 受信したOTPを設定 34 Copyright
© 2026, Oracle and/or its affiliates BEGIN DBMS_MFA.SET_TOKEN( token => '<otp>' ); END; / ⑤ SQLを実行する SQL> select count(*) from sh.sales; COUNT(*) ___________ 918843

3. 外部認証 ✓ 概要 ✓ OS認証

• アカウント自体は Oracle Database 内部に存在するが、認証の実行やパスワード管理は外部で行う方式 • データベース外の認証メカニズムを使用
• データベースのパスワードを使わずにログインを実施 • データベース側では外部ユーザーを使用 • CREATE USER ... IDENTIFIED EXTERNALLY で作成 • クライアントの侵害がそのままデータベース侵害につながる可能性があるため注意が必要 • 使用できる外部サービスの例 • OS 認証 • Kerberos 認証 • RADIUS 認証 • PKI 証明書認証外部認証 OSやネットワークサービスなど、データベース外部の仕組みを用いて認証 36 Copyright © 2026, Oracle and/or its affiliates 外部ユーザー DB 権限 DB ユーザー外部で認証を実施済み

OS認証 OS が保持しているユーザー情報を使って認証一般ユーザーの外部OS認証 • DB ユーザー名を OS ユーザー名にマップ •
OS_AUTHENT_PREFIX でOSユーザー名とDBユーザー名の対応を定義（デフォルト: OPS$） • OSユーザー名にこの接頭辞を付けDBユーザー名と照合 • リモートOS認証は 21c より非サポート • REMOTE_OS_AUTHENT パラメータは廃止 DBAのOS認証 • DBサーバーのローカルで実施 • OSの専用グループに加えることで管理者として操作 • Linux： - OSDBAグループ (dba) - OSOPERグループ (oper) • Windows： - ORA_DBA - ORA_OPER など • CDBルートのみで有効 37 Copyright © 2026, Oracle and/or its affiliates

4. グローバル認証 ✓ 概要 ✓ Microsoft Entra ID を用いた認証（MS-EI認証） ✓
OCI IAM を用いた認証

グローバル認証企業内のID管理サービスを用いて、ユーザー情報や認可情報を集中管理する方式 • 各データベースのローカルごとにユーザーを管理するのではなく、企業で使用する ID 基盤にて認証を実施 • 複数データベース環境にわたるユーザーや権限を一元管理 •
ID 基盤のユーザーやグループの情報にマッピングする形で、DB ユーザーや DB ロールを使用 • データベース側ではグローバル・ユーザーを使用 • CREATE USER GLOBALLY <username> … で作成 • 対象 IDサービスディレクトリサービス - OID、OUD、OVD （Enterprise User Security: EUS） - Active Directory（Centrally Managed Users: CMU） Cloudサービス - OCI IAM - Microsoft Entra ID（旧Azure AD） 39 Copyright © 2026, Oracle and/or its affiliates 認証接続ディレクトリ・サービス / クラウドユーザーとロールを管理

エンタープライズ・ユーザー・セキュリティとMicrosoft Active Directoryによる集中管理ユーザーエンタープライズ・ユーザー・セキュリティ(EUS) • Oracle8i〜 • Enterprise Edition機能 •
認証方式 - パスワード、Kerberos、PKI証明書 • Oracle Identity Management Directory Services Plusライセンスが別途必要 - Oracle Internet Directory(OID)を別途構築 Microsoft Active Directoryによる集中管理ユーザー (Centrally Managed Users: CMU) • Oracle Database 18.1〜 • Enterprise Edition機能 • 認証方式 - パスワード、Kerberos、PKI証明書 • Microsoft Active Directory(AD)に、データベース・ユーザーの認証と認可を統合 - EUSにくらべてシンプルな構成グローバル・ユーザーとして利用可能な仕組み(1) Copyright © 2026, Oracle and/or its affiliates 40 エンタープライズ・ユーザー・セキュリティ・ガイド: 5.5 エンタープライズ・ドメインの管理セキュリティ・ガイド: 6 Microsoft Active Directoryによる集中管理ユーザーの構成 user2 user1 role_a role2 Oracle Internet Directory Oracle Database エンタープライズ・ユーザー user1 role1 グローバル・ロールグローバル・ユーザーエンタープライズ・ロール Domain エンタープライズ・ドメイン user1 group1 Active Directory Oracle Database ユーザーグループ user2 user3 group2 user1 role1 グローバル・ロールグローバル・ユーザー user2 排他マッピング(1:1) 共有マッピング(n:1) EUSは 23/26ai より非推奨、 CMU、またはクラウドプロバイダへの移行を推奨【Oracle DbaseCamp】第15回_【基本】Oracle Database データベース・ユーザー・セキュリティ入門資料より

OAuth2トークンによるOracle Databaseの認証と認可 OCI IAM Identity DomainsおよびEntra ID(Azure AD)による統合的なユーザー管理 •
Oracle Databaseのグローバル・ユーザおよびグローバル・ロールとのマッピングの考え方は、CMUと同様。 • JDBC-thinドライバ、ODP.NETはネイティブクラウド認証対応 • 以下のOracle Database環境で利用可能 • Oracle Autonomous Database Serverless • Oracle Autonomous Database on Dedicated Exadata • Oracle Exadata Database Service on Dedicated Infrastructure • Oracle Base Database Service • オンプレミスOracle Databaseリリース19.18以降 (Entra IDのみ) OAuth2トークンによるOracle Databaseの認証と認可グローバル・ユーザーとして利用可能な仕組み(2) Copyright © 2026, Oracle and/or its affiliates 41 セキュリティ・ガイド: 7 Oracle DBaaSデータベースに対するIAMユーザーの認証と認可 8 Oracle DatabaseのMicrosoft Azure Active Directoryユーザーの認証および認可 user1 group1 OCI IAM / Entra ID Oracle Database ユーザーグループ user2 user3 group2 user1 role1 グローバル・ロールグローバル・ユーザー user2 排他マッピング(1:1) 共有マッピング(n:1) OAuth2 token token ユーザー情報にアクセスするためのアクセス権のリクエストアクセストークンからユーザー情報を取得してログイン OCI、Entra IDユーザー Oracle Databaseと IAM/Entra ID間の通信はTLSにより暗号化されセキュアにトークンを受け渡す Request Send OCI IAM / Entra ID(Azure AD) Blog記事: Oracle Databaseの外部認証 Oracle DatabaseのTLS暗号化を設定する OCI IAMとBaseDBのトークン・ベースの認証連携① OCI IAMとBaseDBのトークン・ベースの認証連携② OCI IAMとAutonomous Databaseのトークン・ベースの認証連携【Oracle DbaseCamp】第15回_【基本】Oracle Database データベース・ユーザー・セキュリティ入門資料より

クラウド ID サービスとの連携 • クラウド ID プロバイダにて認証したのち、発行したトークンをデータベース接続に利用可能 • 外部 ID
プロバイダでのグループ紐づけがそのまま Oracle Database 内のロール・ユーザーの紐づけに対応 • データベース環境におけるユーザー管理および権限管理を一括化 • 外部管理のユーザーとDBユーザーのマッピング方法は次の２種類 - 共有スキーマ・マッピング - 排他的マッピング • データベースへの接続は TLSで保護されている必要あり • 対応 ID プロバイダ • Microsoft Entra ID • OCI IAM 42 Copyright © 2026, Oracle and/or its affiliates ユーザーロール/ グループグローバル・ロールグローバル・ユーザー割り当て共有スキーマ・マッピングロール：DBユーザー外部の割り当て状況により動的に変化するため、 DB内での割り当て操作は行わない排他的マッピング個別ユーザー：DBユーザー

Microsoft Entra ID を用いた認証（MS-EI認証） OAuth 2.0 アクセス・トークンによる外部認証と権限連携 • Microsoft Entra
ID（旧 Azure AD）を外部 ID プロバイダーとして利用し、Entra ID の発行するトークンで Oracle Database へ接続 • ユーザーは Entra ID にサインインするため、Entra ID の認証機能をそのまま活用 • Entra ID 側では、データベース用のアプリケーションを作成し、アプリ・ロールを定義および割り当て • Oracle Database 側は、アプリ・ロールをスキーマやロールにマッピングし、接続後の権限を制御 • 対応環境 • Oracle Database 19.18〜（21cを除く） • Autonomous AI Database（Serverless, Dedicated, Cloud@Customer） • Exadata Database Service（Dedicated, Exacales, Cloud@Customer） • Base Database Service 44 Copyright © 2026, Oracle and/or its affiliates 認証を実施トークンを発行トークンを提示してアクセスアクセス Entra ID アプリケーション

トークンの取得方法 Entra ID がサポートするトークン取得フローフロー説明ユースケース認可コード人間ユーザー向けの代表的な方式ブラウザを使って対話的にログインし、認可コードを経由して
トークンを取得ネイティブアプリケーションまたは Webアプリケーション（例：SQL Developerなど）クライアント・クレデンシャルアプリケーション自身が、ユーザーなしで自分の ID でトークンを取得して API に接続する方式サービス間通信、デーモン、バッチ、バックエンド処理、接続ツールなどインプリシット旧来のブラウザアプリケーション向け方式。ー ROPC アプリがユーザー名とパスワードを直接扱ってトークンを取得する方式。非推奨ーデバイス・コードクライアント側に十分な入力手段やブラウザがないとき、別の端末のブラウザでユーザーがサインインしてトークンを取得する方式 CUI 環境、CLI ツールなど（例：シェル、SQLcl など） On Behalf Of (OBO) 上流のアプリケーションがユーザーのコンテクストを使って下流のアプリケーションにアクセスする方式 API を中継する構成のアプリケーション 45 Copyright © 2026, Oracle and/or its affiliates

認可コードフロー概要 46 Copyright © 2026, Oracle and/or its affiliates
ユーザーアプリケーション（OAuthクライアント） Entra ID （認可サーバー）接続要求認可リクエスト認証を要求認可コード返却トークンリクエストトークンを返却 Oracle Database トークン提示トークン検証認可エンドポイント /oauth2/v2.0/authorize トークンエンドポイント /oauth2/v2.0/token アクセス許可認証を実施

デバイス・コードフロー概要 48 Copyright © 2026, Oracle and/or its affiliates
ユーザーアプリケーション（OAuthクライアント） Entra ID （認可サーバー）接続要求認証リクエスト検証リンクを提示トークンリクエストトークンを返却 Oracle Database トークン提示トークン検証デバイスエンドポイント /oauth2/v2.0/devicecode トークンエンドポイント /oauth2/v2.0/token デバイスコード検証URI https://login.microsoft.com/device loop 認証を実施コードを入力アクセス許可

On-Behalf-Of (OBO) フロー概要 49 Copyright © 2026, Oracle and/or its
affiliates アプリケーションA （フロントエンドなど）アプリケーションB （バックエンドなど） Entra ID （認可サーバー）トークンを提示（aud: アプリケーションB） OBO要求（w/ AT） Oracle Database トークン提示トークン検証トークンエンドポイント /oauth2/v2.0/token （前段フロー省略）トークン発行トークン発行アクセス許可

OCI IAM を用いた認証ユーザーやグループをOCI IAM側で集中管理 • ユーザーやグループを OCI IAM で集中管理
• OCI IAM の資格情報を使用して OCI Database Service へ接続する • OCI IAM ポリシーが追加の認可として機能 • 接続方式は２つ • IAM トークン • IAM DBパスワード • 対応環境 ※ • Autonomous AI Database（Serverless, Dedicated, Cloud@Customer） • Exadata Database Service（Dedicated, Exacales, Cloud@Customer） • Base Database Service 51 Copyright © 2026, Oracle and/or its affiliates ※ OCI 環境のみアクセス OCI IAM 資格情報を発行

OCI IAM を用いた認証併用可能な２つの接続方式 IAM データベース・パスワード • データベースにはユーザー名とパスワードを提示
• 既存ツールを大きく変えずに IAM 統合 IAM トークン • OCIの資格情報を使用してトークンを取得し、データベースに提示することで接続 • 例：APIキー、インスタンスプリンシパルなど • OCI Functions やコンピュート、OKE などOCIサービスはプリンシパル認証を使用することでクレデンシャルなしの DBアクセスが可能 52 ※ 非Default ドメインの場合、ユーザー名は ‘<domain>/<user>’ になりますトークンの要求トークンを発行トークンを提示してアクセス OCI IAM Copyright © 2026, Oracle and/or its affiliates

Oracle Database Client からトークンを取得する JDBC Thin ドライバー / ODP.NET •
一部のDBクライアントではEntra ID / OCI IAM のトークン認証をサポートし、アプリに組み込みやすく • ODP.NET • managed/core バージョン23 よりトークンの自動取得取得および管理をサポート • JDBC Thin + ojdbc-extensions • 拡張機能により、Azure / OCI の config provider・token provider が利用可能 • SQLcl • SDKをインストールすることで、依存関係含めたソフトウェアを簡単に導入 53 Copyright © 2026, Oracle and/or its affiliates Entra ID SQL Developer 参考： • Release 26 JDBC開発者ガイド – 10 JDBCサービス・プロバイダ拡張機能 • Release 26 Oracle Data Provider for .NET開発者ガイド - 20 Oracle Data Provider for .NETの Microsoft Entra IDクラス • GitHub - oracle/ojdbc-extensions • A-Team Chronicles - Seamless authentication to the Oracle Database with SQLDeveloper, 23ai JDBC drivers and an OCI Identity Domain • Developers Blogs - 23c JDBC seamless authentication with OCI IAM and Azure AD

まとめ

Oracle Database 認証機能まとめ Oracle Database のサポートする3タイプの認証方式 ✓ パスワード認証 • データベースに作成されたユーザー名とパスワードを使ってログインする、最も基本的な方式
• 必要に応じて多要素認証を設定し、認証を強化 ✓ 外部認証 • データベース外の仕組みで認証された利用者を Oracle Database が受け入れる方式 • データベース側で個別のパスワード管理を低減 ✓ グローバル認証 • クラウドIDプロバイダなどでユーザー状況を一元管理する方式 • 認証強化及び複数データベースにまたがるユーザー管理を企業の中で統一化しやすい 55 Copyright © 2026, Oracle and/or its affiliates

26ai FREE では従来の無償版 XE では使えなかった機能含め、セキュリティの機能の多くが解放されており、簡単にお試しいただくことが可能です • Deep Data Security
• Data Redaction • Oracle Label Security • Virtual Private Vault • Database Vault • SQL Firewall • ファイングレイン監査 …などその他 FREE で使用できる機能は以下リンクよりご確認いただけます。 https://apex.oracle.com/database-features/ また、簡単試していただくためのデモ手順を以下サイトで公開しています。ご興味がありましたら是非ご覧ください。 https://koi141.github.io/dbsec-tutorials/ Oracle Database 26ai FREE でセキュリティ機能を試す Copyright © 2026, Oracle and/or its affiliates 56

DBセキュリティ入門【認証編】

DBセキュリティ入門【認証編】

More Decks by oracle4engineer

Featured

Transcript