権限の委譲

権限の委譲は、権限を付与する者が集中する問題を解決できます。権限付与時に with admin/grant option を指定することで、ユーザーに対して当該権限を他のユーザーに委譲する権限も同時に付与できます。オブジェクトの権限を取り消す際には、そのユーザーが他のユーザーに委譲した対応する権限も同時に取り消されます。例えば、AがBに権限を付与し、BがCに権限を付与した場合、AがBの権限を取り消せば、Cの権限も取り消されます。システム権限を取り消す場合、委譲された権限は連鎖して取り消されません。

権限の委譲例

1. SYS ユーザーでクラスタのOracleテナントにログインし、A、B、Cの3人のユーザーを作成します。それぞれに CREATE SESSION システム権限を付与し、Aユーザーには GRANT ANY PRIVILEGE 権限を個別に付与します。

   obclient > CREATE USER A IDENTIFIED BY ******;
   obclient > CREATE USER B IDENTIFIED BY ******;
   obclient > CREATE USER C IDENTIFIED BY ******;
   obclient > GRANT CREATE SESSION TO A;
   obclient > GRANT CREATE SESSION TO B;
   obclient > GRANT CREATE SESSION TO C;
   obclient > GRANT GRANT ANY PRIVILEGE TO A;
   

2. SYS ユーザーでtestテーブルを作成します。

   obclient > CREATE TABLE test (id number(10),name varchar2(10));
   Query OK, 0 rows affected (0.050 sec)
   

3. Aユーザーに SYS ユーザーのtestテーブルをクエリする権限を付与します。

   obclient > GRANT SELECT ON sys.test TO A;
   

4. Aユーザーにログインし、Bユーザーにtestテーブルをクエリする権限を付与します。with grant option を指定することで、Bユーザーも権限を付与できるようになります。

   obclient > GRANT SELECT ON sys.test TO B with grant option;
   

5. Bユーザーに切り替えて、testテーブルをクエリできることを確認します。

   obclient > SELECT * FROM sys.test
   

6. Bユーザーにログインし、testテーブルをクエリする権限をCユーザーに付与します。

   obclient > GRANT SELECT ON sys.test TO C ;
   

   Bユーザーに権限を付与する際に with grant option パラメータを指定しなかった場合、BユーザーがCユーザーに同じ権限を委譲しようとすると、次のようなエラーが表示されます。

   obclient > GRANT SELECT on sys.test TO C ;
   OBE-01031: insufficient privileges
   

7. Cユーザーに切り替えて、testテーブルをクエリできることを確認します。これで権限の委譲は成功しました。

   obclient > SELECT * FROM sys.test;