ユーザー管理と役割管理

テクニカルデータベースユーザーは、データベースでの新しいオブジェクトの作成、他のユーザーへの特権の割り当て、パッケージ、アプリケーションなどの管理目的でのみ使用されます。

SAPHANAユーザー管理アクティビティ

ビジネスニーズとHANAシステムの構成に応じて、HANAスタジオなどのユーザー管理ツールを使用して実行できるさまざまなユーザーアクティビティがあります。

最も一般的な活動は次のとおりです。

ユーザーの作成
ユーザーに役割を付与する
役割の定義と作成
ユーザーの削除
ユーザーパスワードのリセット
ログオン試行の失敗が多すぎた後のユーザーの再アクティブ化
必要に応じてユーザーを非アクティブ化する

HANA Studioでユーザーを作成するにはどうすればよいですか？

HANAスタジオでユーザーとロールを作成できるのは、システム権限ROLEADMINを持つデータベースユーザーのみです。HANAスタジオでユーザーとロールを作成するには、HANA管理者コンソールに移動します。システムビューにセキュリティタブが表示されます-

[セキュリティ]タブを展開すると、ユーザーとロールのオプションが表示されます。新しいユーザーを作成するには、[ユーザー]を右クリックして、[新しいユーザー]に移動します。ユーザーとユーザーパラメータを定義する新しいウィンドウが開きます。

ユーザー名（委任）を入力し、[認証]フィールドにパスワードを入力します。新しいユーザーのパスワードを保存しながら、パスワードが適用されます。制限付きユーザーを作成することもできます。

指定するロール名は、既存のユーザーまたはロールの名前と同じであってはなりません。パスワードルールには、パスワードの最小の長さと、パスワードの一部にする必要のある文字タイプ（下位、上位、数字、特殊文字）の定義が含まれています。

SAML、X509証明書、SAPログオンチケットなど、さまざまな認証方法を構成できます。データベース内のユーザーは、さまざまなメカニズムで認証できます。

パスワードを使用した内部認証メカニズム。

Kerberos、SAML、SAPログオンチケット、SAPアサーションチケット、X.509などの外部メカニズム。

ユーザーは、一度に複数のメカニズムで認証できます。ただし、Kerberosの1つのパスワードと1つのプリンシパル名のみが一度に有効になります。ユーザーがデータベースインスタンスに接続して操作できるようにするには、1つの認証メカニズムを指定する必要があります。

また、ユーザーの有効性を定義するオプションもあります。日付を選択することで、有効性の間隔を指定できます。有効性の指定は、オプションのユーザーパラメーターです。

デフォルトでSAPHANAデータベースとともに提供される一部のユーザーは、-SYS、SYSTEM、_SYS_REPO、_SYS_STATISTICSです。

これが完了したら、次のステップはユーザープロファイルの特権を定義することです。ユーザープロファイルに追加できる特権にはさまざまな種類があります。

ユーザーに付与された役割

これは、組み込みのSAP.HANAロールをユーザープロファイルに追加したり、[ロール]タブで作成されたカスタムロールを追加したりするために使用されます。カスタムロールを使用すると、アクセス要件に従ってロールを定義でき、これらのロールをユーザープロファイルに直接追加できます。これにより、さまざまなアクセスタイプで毎回オブジェクトを覚えてユーザープロファイルに追加する必要がなくなります。

PUBLIC−これは汎用ロールであり、デフォルトですべてのデータベースユーザーに割り当てられます。このロールには、システムビューへの読み取り専用アクセスと、一部のプロシージャの実行権限が含まれています。これらの役割を取り消すことはできません。

モデリング

SAPHANAスタジオで情報モデラーを使用するために必要なすべての権限が含まれています。

システム権限

ユーザープロファイルに追加できるシステム権限にはさまざまな種類があります。システム権限をユーザープロファイルに追加するには、+記号をクリックします。

システム権限は、バックアップ/復元、ユーザー管理、インスタンスの開始と停止などに使用されます。

コンテンツ管理者

これには、MODELINGロールと同様の特権が含まれていますが、このロールが他のユーザーにこれらの特権を付与できることに加えて。また、インポートされたオブジェクトを操作するためのリポジトリ権限も含まれています。

データ管理者

これは、オブジェクトからユーザープロファイルにデータを追加するために必要な特権の一種です。

以下に、サポートされている一般的なシステム権限を示します-

デバッガーをアタッチ

別のユーザーによって呼び出されたプロシージャコールのデバッグを許可します。さらに、対応するプロシージャのDEBUG特権が必要です。

監査管理者

次の監査関連コマンドの実行を制御します-CREATEAUDIT POLICY、DROP AUDIT POLICY、ALTER AUDIT POLICY、および監査構成の変更。AUDIT_LOGシステムビューへのアクセスも許可します。

監査オペレーター

次のコマンドの実行を許可します-ALTERSYSTEM CLEAR AUDITLOG。AUDIT_LOGシステムビューへのアクセスも許可します。

バックアップ管理者

バックアップおよびリカバリ手順を定義および開始するためのBACKUPおよびRECOVERYコマンドを許可します。

バックアップオペレーター

BACKUPコマンドがバックアッププロセスを開始することを許可します。

カタログを読む

これは、すべてのシステムビューへのフィルタリングされていない読み取り専用アクセスをユーザーに許可します。通常、これらのビューのコンテンツは、アクセスするユーザーの権限に基づいてフィルタリングされます。

スキーマの作成

CREATESCHEMAコマンドを使用してデータベーススキーマの作成を許可します。デフォルトでは、各ユーザーは1つのスキーマを所有し、この特権を使用して、ユーザーは追加のスキーマを作成できます。

構造化された特権を作成する

構造化特権（分析特権）の作成を許可します。分析特権の所有者のみが、他のユーザーまたはロールにその特権をさらに付与または取り消すことができます。

資格情報管理者

資格情報コマンド-CREATE / ALTER / DROPCREDENTIALを承認します。

データ管理者

システムビュー内のすべてのデータの読み取りを許可します。また、SAP HANAデータベース内の任意のデータ定義言語（DDL）コマンドの実行を可能にします

この権限を持つユーザーは、アクセス権限を持たないデータ格納テーブルを選択または変更することはできませんが、テーブルを削除したり、テーブル定義を変更したりすることはできます。

データベース管理者

これは、CREATE、DROP、ALTER、RENAME、BACKUP、RECOVERYなど、マルチデータベース内のデータベースに関連するすべてのコマンドを許可します。

書き出す

EXPORTTABLEコマンドを介してデータベースでのエクスポートアクティビティを許可します。

この特権のほかに、ユーザーはエクスポートされるソーステーブルに対するSELECT特権を必要とすることに注意してください。

インポート

IMPORTコマンドを使用して、データベース内のインポートアクティビティを承認します。

この特権のほかに、ユーザーはインポートするターゲットテーブルに対するINSERT特権を必要とすることに注意してください。

Inifile管理者

システム設定の変更を許可します。

ライセンス管理者

これは、SET SYSTEMLICENSEコマンドが新しいライセンスをインストールすることを許可します。

ログ管理者

これは、ALTER SYSTEM LOGGING [ON | OFF]コマンドが、ログフラッシュメカニズムを有効または無効にすることを許可します。

管理者の監視

EVENTのALTERSYSTEMコマンドを許可します。

オプティマイザー管理者

これは、クエリオプティマイザの動作に影響を与えるSQL PLANCACHEおよびALTERSYSTEM UPDATESTATISTICSコマンドに関するALTERSYSTEMコマンドを許可します。

リソース管理者

この特権は、システムリソースに関するコマンドを許可します。たとえば、ALTER SYSTEM RECLAIMDATAVOLUMEやALTERSYSTEM RESET MONITORINGVIEWなどです。また、管理コンソールで使用できるコマンドの多くを承認します。

役割管理者

この特権は、CREATEROLEおよびDROPROLEコマンドを使用した役割の作成と削除を許可します。また、GRANTコマンドとREVOKEコマンドを使用してロールの付与と取り消しを許可します。

アクティブ化されたロール、つまり作成者が事前定義されたユーザー_SYS_REPOであるロールは、他のロールまたはユーザーに付与したり、直接ドロップしたりすることはできません。ROLEADMIN権限を持つユーザーでさえそうすることはできません。アクティブ化されたオブジェクトに関するドキュメントを確認してください。

セーブポイント管理者

これは、ALTER SYSTEMSAVEPOINTコマンドを使用してセーブポイントプロセスの実行を許可します。

SAP HANAデータベースのコンポーネントは、新しいシステム権限を作成できます。これらの特権は、システム特権の最初の識別子としてcomponent-nameを使用し、2番目の識別子としてcomponent-privilege-nameを使用します。

オブジェクト/ SQL権限

オブジェクト特権は、SQL特権とも呼ばれます。これらの権限は、テーブル、ビュー、スキーマの選択、挿入、更新、削除などのオブジェクトへのアクセスを許可するために使用されます。

以下に、オブジェクト特権の可能なタイプを示します-

実行時にのみ存在するデータベースオブジェクトに対するオブジェクト権限
計算ビューなど、リポジトリで作成されたアクティブ化されたオブジェクトに対するオブジェクト権限
リポジトリで作成されたアクティブ化されたオブジェクトを含むスキーマに対するオブジェクト権限、
オブジェクト/ SQL特権は、データベースオブジェクトに対するすべてのDDLおよびDML特権のコレクションです。

以下に示すのは、一般的にサポートされているオブジェクト特権です。

HANAデータベースには複数のデータベースオブジェクトがあるため、すべての権限がすべての種類のデータベースオブジェクトに適用できるわけではありません。

オブジェクト特権とデータベースオブジェクトへの適用性-

分析特権

同じビューのデータに、そのデータに関連する要件がない他のユーザーがアクセスできないようにする必要がある場合があります。

分析権限は、オブジェクトレベルでHANA情報ビューへのアクセスを制限するために使用されます。分析権限で行および列レベルのセキュリティを適用できます。

分析特権は次の目的で使用されます-

特定の値の範囲に対する行および列レベルのセキュリティの割り当て。
ビューをモデル化するための行および列レベルのセキュリティの割り当て。

パッケージ特権

SAP HANAリポジトリでは、特定のユーザーまたはロールのパッケージ認証を設定できます。パッケージ権限は、データモデル（分析ビューまたは計算ビュー）またはリポジトリオブジェクトへのアクセスを許可するために使用されます。リポジトリパッケージに割り当てられているすべての権限は、すべてのサブパッケージにも割り当てられています。割り当てられたユーザー認証を他のユーザーに渡すことができるかどうかについても言及できます。

パッケージ権限をユーザープロファイルに追加する手順-

HANAスタジオの[ユーザー作成]→[+]を選択して、1つ以上のパッケージを追加する[パッケージ特権]タブをクリックします。Ctrlキーを使用して、複数のパッケージを選択します。
[リポジトリパッケージの選択]ダイアログで、パッケージ名の全部または一部を使用して、アクセスを許可するリポジトリパッケージを見つけます。
アクセスを許可する1つ以上のリポジトリパッケージを選択すると、選択したパッケージが[パッケージ特権]タブに表示されます。

以下に示すのは、ユーザーがオブジェクトを変更することを許可するためにリポジトリパッケージで使用される付与特権です。

REPO.READ −選択したパッケージおよびデザイン時オブジェクト（ネイティブおよびインポートの両方）への読み取りアクセス
REPO.EDIT_NATIVE_OBJECTS −パッケージ内のオブジェクトを変更する権限。
Grantable to Others −これに「はい」を選択すると、割り当てられたユーザー認証を他のユーザーに渡すことができます。

アプリケーション特権

ユーザープロファイルのアプリケーション権限は、HANAXSアプリケーションへのアクセスの承認を定義するために使用されます。これは、個々のユーザーまたはユーザーのグループに割り当てることができます。アプリケーション特権を使用して、データベース管理者に高度な機能を提供したり、通常のユーザーに読み取り専用アクセスを提供したりするなど、同じアプリケーションにさまざまなレベルのアクセスを提供することもできます。

ユーザープロファイルでアプリケーション固有の権限を定義したり、ユーザーのグループを追加したりするには、以下の権限を使用する必要があります-

アプリケーション特権ファイル（.xsprivileges）
アプリケーションアクセスファイル（.xsaccess）
ロール定義ファイル（<RoleName> .hdbrole）