SAP IQ 移行ガイド

Transcription

1 PUBLIC 文書バージョン: /07/07 SAP IQ 移行ガイド Linux および UNIX

2 目 次 x インストールの 手 順...4 最 初 の 手 順...4 インストール....5 データベースのアップグレード ポイントインタイムリカバリの 変 更 x インストールの 手 順... 7 作 業 を 始 める 前 に....7 最 初 の 手 順...8 インストール....9 データベースのアップグレード アップグレード 後 のデータベースステータス...10 システムプロシージャ 論 理 サーバ ロールベースのセキュリティモデル SAP IQ データベース 管 理 ツール SAP IQ 12.7 データベース 移 行 移 行 の 準 備 移 行 ユーティリティ iqunload ユーティリティ iqlsunload ユーティリティ サポートプロセス 移 行 の 問 題...70 サポートされないオブジェクト 構 文 変 更...71 スキーマサイズ 出 力 ログ データ 記 憶 域 の 変 更 移 行 後 のファイル レガシスキーマのアンロード レガシデータベースの 移 行...79 シンプレックスの 移 行...79 マルチプレックスの 移 行 SAP SE or an SAP affiliate company. All rights reserved. 目 次

3 3.6 移 行 後 の 作 業 ハードウェアの 変 更 ビットデータベースの 64 ビットプラットフォームへの 移 動 新 しいハードウェアプラットフォームへの 移 行 目 次 2015 SAP SE or an SAP affiliate company. All rights reserved. 3

4 1 このサポートパッケージには 現 在 システムにインストールされている 機 能 に 対 する 更 新 が 含 まれています SAP IQ16.0 SP 10 は 完 全 なインストールパッケージです このサポートパッケージの 適 用 に 以 前 のリリースは 必 要 あ りません 強 化 機 能 のリストは このリリースの 一 部 として 付 属 するカバーレターを 参 照 してください x インストールの 手 順 SAP IQ16.0.x を 実 行 するサイトのためのダウンロードとインストールの 手 順 最 初 の 手 順 シンプレックスサーバとマルチプレックスサーバで 手 順 の 一 部 が 異 なる 場 合 があります リリース 別 の 指 示 については カ バーレターを 参 照 してください 手 順 1. SAP ソフトウェアダウンロードセンター からサポートパッケージをダウンロードします 2. 現 在 のインストール 環 境 をバックアップして デフォルトのログインスクリプトとポストログインスクリプトに 加 えた 変 更 のコピーを 保 存 します バックアップが 読 み 込 み 可 能 であることを 確 認 してください 3. 最 新 のオペレーティングシステムのパッチの 詳 細 については オペレーティングシステムのベンダに 確 認 してくださ い オペレーティングシステムの 推 奨 されるパッチを 使 用 してください 該 当 するオペレーティングシステム 用 に 示 されてい るバージョンよりも 古 いパッチは 使 用 しないでください 4. Interactive SQL で データベースごとに sp_iqcheckoptions を 実 行 し 出 力 を 取 得 します sp_iqcheckoptions を 実 行 すると 現 在 のデータベースの 値 とオプションのリストが 生 成 されます これらの 値 を 使 用 して アップグレード 後 にデータベースの 設 定 をリストアします 5. 各 データベースのライセンスを 検 証 し ライセンスのメンテナンスサポート 対 象 に (ほぼ) 適 合 するようにします 保 全 契 約 されていない 期 間 が 1 年 を 超 えるサーバは 動 作 しません ライセンスを 検 証 することで SP をインストー ルした 後 にデータベース 機 能 を 確 実 に 正 常 動 作 させることができます 検 証 の 手 順 については SySAM のマニュア ルを 参 照 してください 6. SAP IQ をアンインストールします SAP SE or an SAP affiliate company. All rights reserved.

5 1.1.2 インストール シンプレックスおよびマルチプレックスでのインストール 手 順 手 順 1. 適 切 なユーティリティを 使 用 して サポートパッケージをファイルシステム 上 のディレクトリに 取 り 出 します 2. 次 のいずれかを 実 行 します 表 1: サーバ シンプレックス マルチプレックス アクション サーバを 停 止 します すべてのマルチプレックスノードを 停 止 します 3. サポートパッケージをインストールします マルチプレックスサーバでは 各 ノードのソフトウェアを 個 別 に 更 新 します 4. ターミナルで $IQDIR16/bin64 に 移 動 します 5. サーババージョン 文 字 列 を 確 認 します start_iq -v2 確 認 した 結 果 がカバーレターのバージョン 文 字 列 と 一 致 している 必 要 があります データベースのアップグレード データベースの 読 み 書 き 操 作 を 実 行 する 前 に データベースをアップグレードします 手 順 1. 次 のいずれかを 実 行 します 表 2: サーバ シンプレックス マルチプレックス アクション 起 動 フラグ -gm 1 および -iqro 1 を 使 用 して SAP IQ16.0 SP 10 サーバを 起 動 しま す 起 動 フラグ -iqmpx_sn 1 -gm 1 および -iqro 1 を 使 用 して SAP IQ16.0 SP 10 マルチプレックスのコーディネータを 起 動 します 2015 SAP SE or an SAP affiliate company. All rights reserved. 5

6 2. Interactive SQL を 起 動 して データベースに 接 続 します 3. ALTER DATABASE UPGRADE を 使 用 して データベースをアップグレードします ALTER DATABASE UPGRADE によって すべてのバイナリおよびスキーマ 変 更 がインスタンス 化 されます 前 のバ ージョンにロールバックするには バックアップからリストアする 必 要 があります 4. sp_iqcheckdb ( 'allocation database' ) を 実 行 して エラーがないことを 確 認 します 5. 次 のいずれかを 実 行 します 表 3: サーバ シンプレックス アクション サーバを 停 止 し 通 常 の 方 法 で ( 起 動 フラグ -gm 1 および -iqro 1 を 指 定 せずに) 再 起 動 します マルチプレックス コーディネータを 停 止 し 通 常 の 方 法 で ( 起 動 フラグ -iqmpx_sn 1 -gm 1 および - iqro 1 を 指 定 せずに) 再 起 動 します すべてのマルチプレックスセカンダリサーバを 同 期 させて 再 起 動 します 6. データベースをバックアップします ポイントインタイムリカバリの 変 更 ポイントインタイムリカバリのログやログのバックアップは バージョン 固 有 のものです SP 10 ポイントインタイムリカバリ のログとログのバックアップには SP 10 エンジンが 必 要 です SP 08 リカバリのログを SP 10 エンジンで 使 用 することは できません SP 10 のログのフォーマット 変 更 に 対 応 するには それまでのポイントインタイムリカバリのログを 閉 じて 新 しいログを 開 きます コンテキスト データベースを SP 10 に 移 行 すると 自 動 的 にポイントインタイムリカバリは 無 効 になります ポイントインタイムリカバリを 再 び 有 効 にするには FULL INCREMENTAL INCREMENTAL SINCE FULL バックアップを 含 め このプロシージャ 内 のすべての 手 順 を 行 います 手 順 1. IQ_POINT_IN_TIME_RECOVERY_LOGGING オプションを ON に 設 定 します SET OPTION PUBLIC.IQ_POINT_IN_TIME_RECOVERY_LOGGING = 'ON' 2. 新 しいポイントインタイムリカバリログを 開 くディレクトリを 指 定 します ALTER DBSPACE IQ_SYSTEM_LOG RENAME <new-directory-specification>/file-prefix SAP SE or an SAP affiliate company. All rights reserved.

7 <new-directory-specification> は 存 在 するディレクトリを 指 す 必 要 があります また 既 存 のログとは 別 の 場 所 でなければなりません マルチプレックスサーバの 場 合 このディレクトリは 共 有 ファイルシステム 上 になければ ならず すべてのマルチプレックスノードから 書 き 込 み 可 能 である 必 要 があります ALTER DBSPACE は <newdirectory-specification> の 中 のスラッシュで 終 わる 文 字 列 (Windows の 場 合 ) またはバックスラッシュで 終 わる 文 字 列 (UNIX の 場 合 ) をディレクトリ 名 と 見 なします スラッシュやバックスラッシュの 付 かない 文 字 列 の 終 わ りが ログ 名 のプレフィクスとなります 3. フルデータバックアップを 実 行 します BACKUP DATABASE... TO archive_device... マルチプレックスの 設 定 変 更 後 にポイントインタイムリカバリを 再 び 有 効 にするため すべてのサーバを 停 止 します コーディネータまたは 新 しいフェイルオーバーコーディネータを 起 動 し 次 に ALTER DBSPACE IQ_SYSTEM_LOG RENAME コマンドを 使 用 して ポイントインタイムリカバリのログ 名 を 変 更 します フルデータバックアップを 実 行 しま す セカンダリノードを 同 期 し 再 起 動 します x インストールの 手 順 SAP IQ 15.x を 実 行 するサイトのためのダウンロードとインストールの 手 順 作 業 を 始 める 前 に このサポートパッケージには システムテーブルとデータベーススキーマの 変 更 が 含 まれています SAP IQ 16.0 でサポ ートされなくなったオブジェクトは データベースのアップグレードの 前 に 削 除 または 変 更 しておく 必 要 があります 前 提 条 件 SAP IQ 16.0 では 継 続 的 な NBit ディクショナリ 圧 縮 が FP(1) FP(2) および FP(3) バイトのディクショナリ 圧 縮 の 代 わ りに 使 用 されます フラット FP インデックスは アーキテクチャが 異 なるため 以 前 のリリースより 多 くの 記 憶 領 域 を 必 要 とし ます 増 加 した 記 憶 領 域 要 件 への 対 応 を 計 画 してください 手 順 1. すべてのユーザを 15.x サーバから 切 断 します 2. すべての JOIN インデックスおよびすべての LD インデックスを 15.x データベースから 削 除 します 3. 時 間 要 素 を 含 む DATE カラムを 更 新 します 時 間 要 素 を 含 む DATE カラムで 定 義 されたパーティションのすべてに 影 響 する 既 知 の 問 題 が 存 在 します 2015 SAP SE or an SAP affiliate company. All rights reserved. 7

8 ALTER TABLE MERGE を 使 用 して そのパーティションと 隣 のパーティションを 結 合 します ALTER TABLE SPLIT を 使 用 し 結 合 したパーティションを 同 じ 条 件 で 時 刻 要 素 を 含 まない 定 義 に 分 割 します 4. バージョン 15.2 ESD アップブレードの 一 環 として 削 除 および 再 作 成 が 実 行 されていない SAP IQ 15.2 のすべての TEXT インデックスを 削 除 して 再 作 成 します SAP IQ 15.2 で 作 成 された TEXT インデックスは それより 新 しいバージョンの SAP IQ とは 互 換 性 がありません 5. SAP IQ 15.x サーバまたはマルチプレックスを 停 止 します サーバが 停 止 中 に 応 答 しなくなった 場 合 は 次 の 手 順 に 進 まないでください データベースを 再 起 動 して 再 度 停 止 し ます 正 常 に 停 止 できた 場 合 にのみ 次 の 作 業 に 進 んでください 最 初 の 手 順 シンプレックスサーバとマルチプレックスサーバで 手 順 の 一 部 が 異 なる 場 合 があります リリース 別 の 指 示 については カ バーレターを 参 照 してください 手 順 1. SAP ソフトウェアダウンロードセンター からサポートパッケージをダウンロードします 2. 現 在 のインストール 環 境 をバックアップして デフォルトのログインスクリプトとポストログインスクリプトに 加 えた 変 更 のコピーを 保 存 します バックアップが 読 み 込 み 可 能 であることを 確 認 してください 3. 最 新 のオペレーティングシステムのパッチの 詳 細 については オペレーティングシステムのベンダに 確 認 してくださ い オペレーティングシステムの 推 奨 されるパッチを 使 用 してください 該 当 するオペレーティングシステム 用 に 示 されてい るバージョンよりも 古 いパッチは 使 用 しないでください 4. Interactive SQL で データベースごとに sp_iqcheckoptions を 実 行 し 出 力 を 取 得 します sp_iqcheckoptions を 実 行 すると 現 在 のデータベースの 値 とオプションのリストが 生 成 されます これらの 値 を 使 用 して アップグレード 後 にデータベースの 設 定 をリストアします 5. 各 データベースのライセンスを 検 証 し ライセンスのメンテナンスサポート 対 象 に (ほぼ) 適 合 するようにします 保 全 契 約 されていない 期 間 が 1 年 を 超 えるサーバは 動 作 しません ライセンスを 検 証 することで SP をインストー ルした 後 にデータベース 機 能 を 確 実 に 正 常 動 作 させることができます 検 証 の 手 順 については SySAM のマニュア ルを 参 照 してください 6. SAP IQ をアンインストールします SAP SE or an SAP affiliate company. All rights reserved.

9 1.2.3 インストール シンプレックスおよびマルチプレックスでのインストール 手 順 手 順 1. 適 切 なユーティリティを 使 用 して サポートパッケージをファイルシステム 上 のディレクトリに 取 り 出 します 2. 次 のいずれかを 実 行 します 表 4: サーバタイプ シンプレックス マルチプレックス アクション サーバを 停 止 します すべてのマルチプレックスノードを 停 止 します 3. サポートパッケージをインストールします マルチプレックスサーバでは 各 ノードのソフトウェアを 個 別 に 更 新 します マルチプレックスサーバでは 各 ノードのソフトウェアを 個 別 に 更 新 します 4. ターミナルで $IQDIR16/bin64 に 移 動 します 5. サーババージョン 文 字 列 を 確 認 します start_iq -v2 確 認 した 結 果 がカバーレターのバージョン 文 字 列 と 一 致 している 必 要 があります 6. サーバまたはマルチプレックスを 再 起 動 します データベースのアップグレード データベースの 読 み 書 き 操 作 を 実 行 する 前 に データベースをアップグレードします 手 順 1. 次 のいずれかを 実 行 します 表 5: サーバタイプ シンプレックス アクション SAP IQ16.0 SP 10 サーバを 起 動 します 起 動 フラグ -gm 1 および -iqro 1 を 使 用 し ます 2015 SAP SE or an SAP affiliate company. All rights reserved. 9

10 サーバタイプ アクション マルチプレックス SAP IQ16.0 SP 10 マルチプレックス 上 のコーディネータを 起 動 します 起 動 フラグ - iqmpx_sn 1 -gm 1 および -iqro 1 を 使 用 します 2. Interactive SQL を 起 動 して データベースに 接 続 します 3. データベースをアップグレードします ALTER DATABASE UPGRADE によって すべてのバイナリおよびスキーマ 変 更 がインスタンス 化 されます 前 のバ ージョンにロールバックするには バックアップからリストアする 必 要 があります 4. sp_iqcheckdb ( 'allocation database' ) を 実 行 して エラーがないことを 確 認 します 5. 次 のいずれかを 実 行 します 表 6: サーバタイプ シンプレックス アクション サーバを 停 止 し 通 常 の 方 法 で ( 起 動 フラグ -gm 1 および -iqro 1 を 指 定 せずに) 再 起 動 します マルチプレックス コーディネータを 停 止 し 通 常 の 方 法 で ( 起 動 フラグ -iqmpx_sn 1 -gm 1 および - iqro 1 を 指 定 せずに) 再 起 動 します すべてのマルチプレックスセカンダリサーバを 同 期 させて 再 起 動 します 6. データベースをバックアップします アップグレード 後 のデータベースステータス 15.x からアップグレードされた SAP IQ16.0 データベースは 15.x 互 換 モードで 動 作 するように 初 期 設 定 されています 16.0 へのアップグレードを 完 了 するには いくつかの 互 換 性 設 定 を 明 示 的 に 変 更 する 必 要 があります インデックス 継 続 的 な NBit ディクショナリ 圧 縮 が FP(1) FP(2) および FP(3) バイトのディクショナリ 圧 縮 の 代 わりに 使 用 されま す FP(1) FP(2) および FP(3) のインデックスは それぞれ NBit(8) NBit(16) NBit(24) にロールオーバーされ ます LOB ( 文 字 型 とバイナリの 両 方 ) データ 型 と BIT データ 型 を 除 くすべてのデータ 型 は NBit カラムにすることが できます FP_NBIT_IQ15_COMPATIBILITY がオフになっている 場 合 IQ UNIQUE はカラムを Flat FP または NBit のどちら としてロードするかを 決 定 します IQ UNIQUE が 0 に 設 定 されている 場 合 カラムは Flat FP としてロードされます IQ UNIQUE 制 約 が 設 定 されていない 場 合 カラムは NBit 自 動 サイズ 制 限 値 に 達 するまで NBit としてロードされま す 新 しい 多 層 HG インデックス 構 造 によって ロードパフォーマンスは HG インデックスサイズから 切 り 離 されます 15.x では HG インデックスのデータ 量 の 増 加 にともなって ロードスループットが 低 下 することがありました インデックス が 大 きくなるほど 同 じ 量 のデータのロードにかかる 時 間 が 増 えていました 新 しい 多 層 構 造 によって HG インデック スサイズからロードパフォーマンスが 切 り 離 され スループットが 向 上 します SAP SE or an SAP affiliate company. All rights reserved.

11 CREATE_HG_WITH_EXACT_DISTINCTS オプションは 新 しく 作 成 された HG インデックスが 多 層 であるか 単 層 で あるかを 決 定 します このオプションが ON の 場 合 新 しい HG インデックスはすべて 単 層 になります 新 しい 構 造 を 利 用 するには このオプションを OFF に 設 定 します 単 層 HG インデックスから 多 層 HG への 変 換 (およびこの 逆 の 変 換 ) には sp_iqrebuildindex を 使 用 します カラム 制 約 IQ UNIQUE はカラムを Flat FP または NBit のどちらとしてロードするかを 決 定 します 表 7:カラム 制 約 制 約 IQ UNIQUE 説 明 SAP IQ16.0 では IQ UNIQUE でカラムの 予 期 されるカーディナリティを 明 示 的 に 定 義 し カラ ムをフラット FP または NBit FP のどちらとしてロードするかを 決 定 します 15.x から 16.0 への データベースアップグレード 時 にも カラムに 設 定 された IQ UNIQUE 値 は 保 持 されます IQ UNIQUE が 0 に 設 定 されている 場 合 カラムは Flat FP としてロードされます IQ UNIQUE 制 約 のないカラムや FP_NBIT_AUTOSIZE_LIMIT オプションで 定 義 されている 制 限 値 より 小 さい IQ UNIQUE <n> 値 が 指 定 されたカラムは 必 要 ありません 自 動 サイズ 機 能 によって カー ディナリティが 低 いか 中 程 度 のカラムはすべて NBit としてサイズ 決 定 されます カラムを Flat FP としてロードする 場 合 や NBit としてロードする 際 に 個 別 値 の 数 が 自 動 サイズ 制 限 値 を 超 え る 場 合 は IQ UNIQUE を 使 用 します データベースオプション 新 しいデータベースオプションによって NBit の 動 作 や HG インデックスを 制 御 できます 表 8:データベースオプション FP_NBIT_IQ15_COMPATIB ILITY 15.x で 提 供 されていたものと 同 様 トークン 化 された FP をサポートします このオプションは 15.x からアップグレードされたすべての 16.0 データベースではデフォルトで ON 新 しく 作 成 され たすべての 16.0 データベースではデフォルトで OFF になります このオプションが ON の 場 合 データベースエンジンは MINIMIZE_STORAGE FP_LOOKUP_SIZE および FP_LOOKUP_SIZE_PPM オプションを 使 用 して カラム 保 管 を 最 適 化 します これらのオプションは 16.0 では 無 視 されます このオプションが OFF の 場 合 データベースエンジンは 15.x のオプションと SAP IQ16.0 の NBit 保 管 オプションに 従 ったカラムを 無 視 します NBit カラム 圧 縮 を 利 用 するには このオプションを OFF に 設 定 します 2015 SAP SE or an SAP affiliate company. All rights reserved. 11

12 CREATE_HG_WITH_EXACT_ DISTINCTS 新 しい HG インデックス (CREATE INDEX コマンドを 使 用 して 明 示 的 に 作 成 されるものと PRIMARY KEY または FOREIGN KEY 宣 言 に 基 づくテーブルの 暗 黙 的 な 作 成 または 変 更 によっ て 作 成 されるもの) が 多 層 であるか 単 層 であるかを 決 定 します このオプションは 15.x からアッ プグレードされた 16.0 データベースと 新 しく 作 成 されたすべての 16.0 データベースで ON にな ります このオプションが ON の 場 合 新 しい HG インデックスはすべて 単 層 になります 新 しい 多 層 HG インデックス 構 造 を 利 用 するには このオプションを OFF に 設 定 します 単 層 HG インデックスから 多 層 HG への 変 換 (およびこの 逆 の 変 換 ) には sp_iqrebuildindex を 使 用 します CREATE_HG_AND_FORCE_P HYSICAL_DELETE 16.0 の 多 層 HG インデックス 削 除 動 作 を 制 御 します このオプションは SAP IQ が 物 理 的 な 削 除 を 直 ちに 実 行 するか それともロードでの 後 の 時 点 まで 遅 らせて 削 除 を 実 行 するかを 決 定 しま す CREATE_HG_AND_FORCE_PHYSICAL_DELETE はデフォルトで ON になります ON の 場 合 SAP IQ は 物 理 的 な 削 除 を 実 行 します REVERT_TO_V15_OPTIMIZ ER SAP IQ 15.x の 動 作 を 模 倣 するようにクエリオプティマイザに 強 制 します REVERT_TO_V15_OPTIMIZER は 15.x からアップグレードされたすべての 16.0 データベース で デフォルトで ON となります REVERT_TO_V15_OPTIMIZER は 新 たに 作 成 されたすべて の SAP IQ16.0 データベースで デフォルトで OFF となります SAP IQ16.0 ハッシュ 分 割 機 能 を 使 用 する 予 定 がある 場 合 REVERT_TO_V15_OPTIMIZER を OFF にします 起 動 オプション 一 部 のロード 操 作 では デフォルトの 2 GB よりも 多 くのメモリが 必 要 になることがあります デフォルトのメモリ 量 よりも 多 くのメモリが 必 要 な 場 合 は -iqlm 起 動 オプションを 使 用 して SAP IQ が OS に 動 的 に 要 求 できるメモリの 量 を 増 やしま す -iqlm は サーバを 起 動 するコマンドまたは 設 定 ファイルの 一 部 として 使 用 し スイッチとして 指 定 します 原 則 として ラージメモリ 所 要 量 は SAP IQ に 割 り 付 けた 利 用 可 能 な 総 物 理 メモリの 3 分 の 1 を 表 します IQ のメインス トアとテンポラリストアに 十 分 なメモリを 確 保 するために 起 動 パラメータ -iqlm -iqtc および -iqmc の 値 をそれぞ れ SAP IQ に 割 り 当 てられた 利 用 可 能 な 総 物 理 メモリの 3 分 の 1 の 量 に 設 定 してください ほとんどの 場 合 SAP IQ プロセスがスワップアウトされないようにするため 総 物 理 メモリの 80% を SAP IQ に 割 り 当 て ます 同 じシステム 上 で 稼 働 する 他 のプロセスを 考 慮 して 実 際 のメモリ 割 り 付 けを 調 整 してください たとえば コア 数 が 32 利 用 可 能 な 総 物 理 メモリが 128 GB のマシンでは 100 GB ( 総 メモリ 128 GB のおよそ 80%) を SAP IQ プロセスに 割 り 付 けます 上 記 の 原 則 に 従 って -iqlm -iqtc および -iqmc パラメータの 値 をそれぞれ 33 GB に 設 定 します オブジェクト 名 予 約 語 をオブジェクト 名 として 使 用 することはできません SAP IQ 15.x データベースには row という 名 前 のテーブル カラム および 他 のオブジェクトを 格 納 できました SAP IQ16.0 では row は 予 約 語 であり オブジェクト 名 として 使 用 することはできません SAP SE or an SAP affiliate company. All rights reserved.

13 予 約 語 をオブジェクト 名 として 使 用 するには オブジェクト 名 を 角 カッコ (QUOTED_IDENTIFIER の 設 定 に 関 係 なく) また は 二 重 引 用 符 (QUOTED_IDENTIFIER='ON' [デフォルト] の 場 合 ) で 囲 みます サンプルコード // QUOTED_IDENTIFIER ON OFF select * from [row]; alter table row2 rename [row] to col_row; // QUOTED_IDENTIFIER='ON' select "row" from row2; alter table "row" rename rownew; ストアドプロシージャ 次 のストアドプロシージャは カラム 制 約 やインデックスを 確 認 したり 変 更 したりする 場 合 に 使 用 します 表 9:ストアドプロシージャ sp_iqcolumnmetadata 1 つまたは 複 数 のテーブルのすべてのカラムのインデックスメタデータを 返 します sp_iqindexmetadata インデックスタイプ (Flat FP NBit HG および 多 層 HG) 個 別 カウント IQ UNIQUE 値 NBit ディクショナリサイズなど カラムインデックスに 関 する 詳 細 を 返 します sp_iqrebuildindex FP インデックス (フラット FP を NBit として または NBit をフラット FP として) や HG インデッ クス ( 単 層 HG を 多 層 HG として または 多 層 HG を 単 層 HG として) を 再 構 築 します 新 しい データを 挿 入 または 更 新 する 前 に 255 バイト 幅 より 大 きいカラムをすべて 再 構 築 する 必 要 が あります index_clause は IQ UNIQUE <n> を 0 (NBit カラムを Flat FP に 再 キャスト) から FP_NBIT_AUTOSIZE_LIMIT および FP_NBIT_LOOKUP_MB オプションで 定 義 されている 制 限 値 までの 間 の 明 示 的 な 値 にリセットできます また sp_iqrebuildindex は ラージオブジェクト (LOB) データが 含 まれるカラムに 対 する 読 み 書 きアクセスを 有 効 にします 15.x データベースから 移 行 された LOB カラムは sp_iqrebuildindex を 実 行 するまでは 読 み 込 み 専 用 となります FP_NBIT_AUTOSIZE_LIMIT 以 下 の IQ UNIQUE 値 が 指 定 された NBit カラムの 推 定 カーデ ィナリティは FP_NBIT_IQ15_COMPATIBILITY の 設 定 にかかわらず 0 として 格 納 されます これは sp_iqindexmetadata から 返 される 値 に 影 響 します sp_iqindexrebuildwideda ta 事 前 に 再 構 築 しないと 読 み 込 み/ 書 き 込 みアクティビティに 利 用 できない 幅 の 広 いカラムを 識 別 します sp_iqindexrebuildwidedata も カラムの 再 構 築 に 使 用 できる 文 のリス トを 生 成 します 幅 が 225 文 字 を 超 える CHAR VARCHAR BINARY および VARBINARY のカラムと す べての Long Varchar および Long Binary のカラムに 適 用 されます 2015 SAP SE or an SAP affiliate company. All rights reserved. 13

14 1.2.6 システムプロシージャ 拡 張 されたロールベースのセキュリティによって 権 限 付 きシステムプロシージャの 実 行 方 法 が 変 更 されます システムプロシージャの 変 更 点 SAP IQ16.0 以 前 には 権 限 付 きシステムプロシージャはその 所 有 者 ( 多 くの 場 合 dbo システムロール) の 権 限 で 実 行 さ れました これは SYSTEM PROCEDURE DEFINER モデルと 呼 ばれます 16.0 では 権 限 付 きシステムプロシージャは その 実 行 者 の 権 限 で 実 行 されます これは SYSTEM PROCEDURE INVOKER モデルと 呼 ばれます 注 記 この 動 作 変 更 は SAP IQ の 権 限 付 きシステムプロシージャのみに 適 用 され ユーザ 定 義 のストアドプロシージャには 適 用 されません SYSTEM PROCEDURE DEFINER モデルでは システムプロシージャに 対 する 明 示 的 な EXECUTE オブジェクトレベル 権 限 をユーザに 付 与 するときに システムプロシージャに 関 連 付 けられた 承 認 済 みタスクの 実 行 に 必 要 なすべての 権 限 が 所 有 者 (システムプロシージャの 定 義 者 ) から 自 動 的 に 継 承 されます SYSTEM PROCEDURE INVOKER モデルでは 各 システムプロシージャの EXECUTE オブジェクトレベル 権 限 が PUBLIC ロールに 付 与 されます すべてのユーザがデフォルトで PUBLIC ロールのメンバーになるため すべてのユーザ が 必 要 な EXECUTE オブジェクトレベル 権 限 を 自 動 的 に 継 承 することになります システムプロシージャの 実 行 に 必 要 な 追 加 のシステム 権 限 は 継 承 されません 直 接 的 または 間 接 的 にユーザに 付 与 する 必 要 があります この 動 作 の 変 更 によって システムプロシージャに 対 する EXECUTE 権 限 を 明 示 的 に 付 与 したカスタムストアドプロシージ ャとアプリケーションの 機 能 が 失 われる 場 合 があります このため 16.0 より 前 のデータベースのデフォルトのアップグレ ードプロセスでは 2 つのモデルの 結 合 が 使 用 されます 16.0 より 前 の IQ バージョンに 存 在 する 権 限 付 きシステムプロシ ージャは 引 き 続 き SYSTEM PROCEDURE DEFINER モデルを 使 用 して 実 行 できますが 16.0 以 降 で 導 入 される 権 限 付 きシステムプロシージャは SYSTEM PROCEDURE INVOKER モデルを 使 用 します 機 能 の 消 失 の 可 能 性 が 問 題 ではない 場 合 は デフォルトのアップグレード 動 作 を 上 書 きして 全 バージョンのすべての 権 限 付 きシステムプロシージャで SYSTEM PROCEDURE INVOKER モデルのみを 使 用 するようにすることができます 機 能 が 失 われることが 確 実 である 場 合 は デフォルトの 動 作 を 使 用 するようにデータベースをアップグレードして 調 査 しま す 問 題 ないことが 確 定 し すべてのシステムプロシージャを SYSTEM PROCEDURE INVOKER モデルを 使 用 して 実 行 することになった 場 合 は ALTER DATABASE 文 を 使 用 してデフォルトのセキュリティモデルを 変 更 します デフォルトのア ップグレード 動 作 を 上 書 きする 場 合 は 権 限 付 きシステムプロシージャを 実 行 するための EXECUTE オブジェクトレベル 権 限 をすべてのユーザとロールから 取 り 消 して PUBLIC ロールに 付 与 します セキュリティモデルを 指 定 するには CREATE DATABASE 文 ALTER DATABASE UPGRADE 文 または Initialization ユーティリティ (iqinit) を 使 用 します データベースが SAP IQ16.0 にアップグレードされると 後 続 のアップグレード (16.0 SP2 SP3 など) に 対 するデフォルト のアップグレード 動 作 はすべて 現 在 のセキュリティモデルを 引 き 続 き 使 用 します 16.0 以 前 の 権 限 付 きシステムプロシージャのなかには 所 有 者 の 権 限 ではなく 常 にプロシージャを 実 行 するユーザの 権 限 を 使 用 して 実 行 するサブセットが 存 在 します システムプロシージャに 対 する EXECUTE オブジェクトレベル 権 限 のほ かに このシステムプロシージャ 専 用 の 追 加 システム 権 限 が 必 要 です SAP SE or an SAP affiliate company. All rights reserved.

15 SYSTEM PROCEDURE DEFINER モデルを 使 用 した 権 限 付 きシステムプロシージャの 実 行 では 通 常 DBO システムロ ールがプロシージャの 所 有 者 になります デフォルトの 場 合 dbo システムロールは SYS_AUTH_DBA_ROLE 互 換 ロー ルに 付 与 されます これにより システムプロシージャの 実 行 に 必 要 なすべての 権 限 が 間 接 的 に 付 与 されることが 保 証 さ れます SYS_AUTH_DBA_ROLE 互 換 ロールを 移 行 すると dbo システムロールの 権 限 付 きシステムプロシージャの 実 行 能 力 が 失 われる 場 合 があります 詳 細 については 互 換 性 ロールの 移 行 がシステムロールに 及 ぼす 影 響 を 参 照 して ください より 前 の 権 限 付 きシステムプロシージャ 16.0 より 前 の 権 限 付 きシステムプロシージャのリストです 複 合 セキュリティモデルを 使 用 する 権 限 付 きシステムプロシージャ これらの 権 限 付 きシステムプロシージャの 場 合 SYSTEM PROCEDURE DEFINER を 使 用 するようにデータベースが 設 定 されていると 実 行 するプロシージャに 対 する EXECUTE オブジェクトレベル 権 限 のみが 必 要 になります データベース が SYSTEM PROCEDURE INVOKER を 使 用 するように 設 定 されている 場 合 は 各 プロシージャで 必 要 とされる 個 別 のシ ステム 権 限 も 必 要 です 各 システムプロシージャの 実 行 に 必 要 なシステム 権 限 については リファレンス: ビルディングブ ロック テーブル およびプロシージャ ガイドを 参 照 してください 2015 SAP SE or an SAP affiliate company. All rights reserved. 15

16 表 10: sa_audit_string sa_checkpoint_execute sa_disable_auditing_type sa_disk_free_space sa_enable_auditing_type sa_external_library_unload sa_flush_cache sa_list_external_library sa_server_option sa_procedure_profile sa_procedure_profile_summary sa_table_page_usage sa_validate sp_iq_reset_identity sp_iqaddlogin sp_iqbackupdetails sp_iqbackupsummary sp_iqcardinality_analysis sp_iqcheckdb sp_iqcheckoptions sp_iqclient_lookup sp_iqcolumn sp_iqcolumnuse sp_iqconnection sp_iqconstraint sp_iqcontext sp_iqconstraint sp_iqcontext sp_iqcursorinfo sp_iqdatatype sp_iqdbsize sp_iqdbspace sp_iqdbspaceinfo sp_iqdbspaceobjectinfo sp_iqdbstatistics sp_iqdroplogin sp_iqemptyfile sp_iqestdbspaces sp_iqestspace sp_iqevent sp_iqfile sp_iqhelp sp_iqindex sp_iqindex_alt sp_iqindexadvice sp_iqindexfragmentation sp_iqindexinfo sp_iqindexmetadata sp_iqindexsize sp_iqindexuse sp_iqlmconfig sp_iqlocks sp_iqmodifyadmin sp_iqmodifylogin sp_iqmpxcheckdqpconfig sp_iqmpxdumptlvlog sp_iqmpxfilestatus sp_iqmpxincconnpoolinfo sp_iqmpxincheartbeatinfo sp_iqcopyloginpolicy sp_iqmpxincconnpoolinfo sp_iqmpxincheartbeatinfo sp_iqmpxinfo sp_iqmpxversioninfo sp_iqobjectinfo sp_iqpkeys sp_iqprocedure sp_iqprocparm sp_iqrebuildindex sp_iqrename sp_iqrestoreaction sp_iqrowdensity sp_iqsetcompression sp_iqsharedtempdistrib sp_iqshowcompression sp_iqshowpsexe sp_iqspaceinfo sp_iqspaceused sp_iqstatistics sp_iqstatus sp_iqsysmon sp_iqtable sp_iqtablesize sp_iqtableuse Name,Userid,TxnID,CmtID,Version ID,State,ConnHandle,IQConnID,M aintablekbcr,maintablekbdr,te mptablekbcr,temptablekbdr,te mpworkspacekb,txncreatetime, CursorCount,SpCount,SpNumber, MPXServerName,GlobalTxnID,Ver sioningtype,blocking,blockingtim eout 'SQL_DBC_13cd6038','DBA', 1008,0,0,'ACTIVE', 3,92,0,0,0,0,0,' :00:39.511',0,4,36,,0,'Rowlevel','True',0 sp_iqunusedcolumn sp_iqunusedindex sp_iqunusedtable sp_iqversionuse sp_iqview sp_iqwho sp_iqworkmon 呼 び 出 し 側 の 権 限 を 使 用 する 権 限 付 きシステムプロシージャ これらの 16.0 より 前 の 権 限 付 きシステムプロシージャは セキュリティモデルの 設 定 に 関 係 なく そのプロシージャの 所 有 者 ではなくそのプロシージャを 実 行 するユーザの 権 限 で 実 行 されます したがって システムプロシージャに 対 する EXECUTE オブジェクトレベル 権 限 (デフォルトでは PUBLIC ロールのメンバーシップによって 付 与 ) のほかに そのシス SAP SE or an SAP affiliate company. All rights reserved.

17 テムプロシージャに 必 要 な 追 加 のシステム 権 限 が 付 与 されている 必 要 があります 各 システムプロシージャの 実 行 に 必 要 なシステム 権 限 については リファレンス: ビルディングブロック テーブル およびプロシージャ ガイドを 参 照 してください sa_describe_shapefile sa_get_user_status sa_locks sa_performance_diagnostics sa_report_deadlocks sa_text_index_stats EXECUTE 権 限 の 再 付 与 データベースをアップグレードするときに アップグレードされたデータベースで 引 き 続 き SYSTEM PROCEDURE DEFINER セキュリティモデルを 使 用 する 場 合 は EXECUTE 権 限 の 再 付 与 が 必 要 な 権 限 付 きシステムプロシージャが 存 在 します 権 限 を 再 付 与 する 必 要 のあるシステムプロシージャ: sa_audit_string sa_checkpoint_execute sa_disable_auditing_type sa_disk_free_space sa_enable_auditing_type sa_external_library_unload sa_flush_cache sa_list_external_library sa_server_option sa_procedure_profile sa_procedure_profile_summary sa_table_page_usage sa_validate アップグレードしたデータベースのセキュリティモデルを 確 認 する 際 に 実 行 する 文 : select IF ((HEXTOINT(substring(db_property('Capabilities'), 1,length(db_property('Capabilities'))-20)) & 8) = 8) THEN 1 ELSE 0 END IF 値 1 は データベースが SYSTEM PROCEDURE INVOKER モデルを 使 用 していることを 示 します 値 0 は データベー スが SYSTEM PROCEDURE DEFINER モデルを 使 用 していることを 示 します EXECUTE オブジェクトレベル 権 限 を 付 与 するには MANAGE ANY OBJECT PRIVILEGE システム 権 限 が 必 要 です 権 限 を 付 与 するには 次 のように 実 行 します GRANT EXECUTE ON [ owner.] {<procedure-name> <user-defined-function-name> } TO <userid [,...]> 2015 SAP SE or an SAP affiliate company. All rights reserved. 17

18 関 連 情 報 16.0 より 前 の 権 限 付 きシステムプロシージャ [15 ページ] 論 理 サーバ SAP IQ 16.0 にマルチプレックスデータベースをアップグレードすると ユーザがマルチプレックスサーバにアクセスする 方 法 が 変 わります SAP IQ 15.4 以 降 は 論 理 サーバによってのみマルチプレックスサーバノードへのアクセスが 可 能 になり ます マルチプレックスデータベースをアップグレードすると 各 サーバ 固 有 のログインポリシーに 応 じた 適 切 な 論 理 サーバが 作 成 されます ログインポリシーは 論 理 サーバ 設 定 を 使 用 するように 更 新 されます そのため アップグレード 前 と 同 じマル チプレックスサーバセットへのアクセスが 可 能 になります ログインポリシーがすべてのノードへのアクセスを 禁 止 している 場 合 ( 基 本 設 定 LOCKED が ON で マルチプレックスサー バレベルの 上 書 きがない 場 合 など) は 新 しい 論 理 サーバを 作 成 するのではなく ログインポリシーにシステム 定 義 の 論 理 サーバ NONE が 設 定 されます NONE は ログインポリシーですべてのマルチプレックスサーバへのアクセスを 禁 止 し ていることを 示 します ベースレベルまたはマルチプレックスサーバレベルの 上 書 きのいずれかで ログインポリシーに LOCKED オプションが 明 示 的 に 設 定 されていない 場 合 このポリシーに 対 して 論 理 サーバは 作 成 されません このようなログインポリシーは 論 理 サーバ 割 り 当 てをルートログインポリシーから 継 承 します 論 理 サーバのメンバーシップを 設 定 すると 対 応 する 15.x ログインポリシーと 同 じマルチプレックスノードにアクセス できます ログインポリシーが 現 在 のコーディネータサーバへのアクセスを 許 可 している 場 合 コーディネータの 論 理 メンバーシップも 論 理 サーバに 追 加 されます 論 理 サーバ 名 はログインポリシー 名 から 導 出 されます ログインポリシー 名 が 126 文 字 未 満 の 場 合 論 理 サーバは 命 名 規 則 LS_<login policy name> に 従 います たとえば ログインポリシーの 名 前 が mpx_grp1 である 場 合 論 理 サーバ LS_mpx_grp1 が 作 成 され そのログインポリシーに 割 り 当 てられます ログインポリシー 名 が 125 文 字 を 超 えている 場 合 は ログインポリシーと 同 じ 名 前 の 論 理 サーバが 作 成 され プレフィ クス LS_ は 追 加 されません アップグレード 時 には 一 部 のログインポリシーオプションの 設 定 やマルチプレックスサーバレベルの 上 書 きがリセット または 削 除 されます ルートログインポリシーでは LOCKED および MAX_CONNECTIONS の 上 書 きがデフォルト 値 (それぞれ 'OFF' と 10) にリセットされます LOCKED と MAX_CONNECTIONS の 設 定 は ユーザ 定 義 のログインポリシーから 削 除 されます マルチプレックスサ ーバレベルの 上 書 きは すべてのログインポリシーから 削 除 されます 既 存 のアプリケーションでアップグレード 前 の 動 作 を 保 持 するには ルート 論 理 サーバポリシーにログインポリシーオ プション LOGIN_REDIRECTION を 追 加 して 値 を off に 設 定 します 注 記 管 理 :マルチプレックス > 論 理 サーバによるリソースの 管 理 を 参 照 してください SAP SE or an SAP affiliate company. All rights reserved.

19 1.2.8 ロールベースのセキュリティモデル SAP IQ16.0 では 権 限 ベースのセキュリティモデルに 代 わり 新 しくロールベースのセキュリティモデルとなります 権 限 パーミッション グループの 変 更 SAP IQ 16.0 には ロールベースのセキュリティモデルが 導 入 されています これまでのバージョンでは 権 限 パーミッシ ョン オブジェクトレベルのパーミッション グループが 使 用 されていました ロールベースのセキュリティモデルでは ロー ル システム 権 限 オブジェクトレベル 権 限 およびユーザ 拡 張 ロールが 使 用 されます 注 記 SAP IQ 16.0 以 降 のサーバを 古 いバージョン (16.0 より 前 ) の IQ データベースとともに 使 用 することができます この 場 合 は そのデータベースに 対 して 完 全 な 下 位 互 換 性 が 提 供 され そのセキュリティモデルは 変 更 されません 16.0 より 前 の 権 限 はデータベースレベルのパーミッションでした たとえば BACKUP 権 限 を 持 つユーザはデータベース をバックアップすることができます 一 部 の 権 限 には オブジェクトレベルのパーミッションが 付 属 しています たとえば PROFILE 権 限 を 持 つユーザは アプリケーションプロファイリングやデータベーストレーシングのタスクを 実 行 できます こ れにはシステムプロシージャが 使 用 されますが この 権 限 がないと 使 用 できません 新 しい 権 限 の 作 成 権 限 を 構 成 する パーミッションの 変 更 と 削 除 は 実 行 できません 管 理 権 限 を 付 与 する (WITH GRANT) ことはできますが 管 理 者 権 限 の みに 限 定 して 付 与 することはできません 16.0 以 降 権 限 に 代 わりロールが 使 用 され 新 規 ロールの 作 成 付 与 されたシステム 権 限 の 変 更 と 削 除 を 実 行 できる 利 点 があります ロールと 権 限 によって システム 権 限 をユーザに 付 与 する 際 に 詳 細 に 制 御 できるようになりました また ユーザに 管 理 権 限 のみでロールを 付 与 することもできます これが 付 与 された 場 合 は ロールの 付 与 と 取 り 消 しを 実 行 で きますが 基 礎 となる 権 限 の 実 行 はできません 16.0 より 前 は パーミッションがあれば テーブル ビュー ユーザなどのデータベースオブジェクトの 作 成 変 更 クエリ 使 用 または 削 除 を 実 行 することができました 16.0 のシステム 権 限 は 機 能 上 パーミッションに 代 わるものです データベースオブジェクトに 対 して 実 行 できる 権 限 が 必 要 な 操 作 のすべてに 付 与 可 能 な 権 限 があります システム 権 限 はユーザに 個 別 に 付 与 することも ロールに 付 与 すること もできます 16.0 ではパーミッションの 意 味 が 変 更 されています 16.0 より 前 のバージョンのパーミッションは 付 与 可 能 な 機 能 を 意 味 していました 現 在 パーミッションは 操 作 を 実 行 できるかどうかを 評 価 した 結 果 を 意 味 しています たとえば テーブル の 所 有 者 であるか ALTER ANY TABLE システム 権 限 が 付 与 されている 場 合 は テーブルを 変 更 することができます 16.0 より 前 のグループは 権 限 とパーミッションがグループレベルで 決 定 される 1 人 以 上 のユーザの 集 合 でした あるユ ーザにグループステータスが 付 与 され その 後 に そのグループのメンバーシップが 他 のユーザに 付 与 されていました 16.0 では ユーザ 拡 張 ロールを 使 用 して グループのパラダイムが 実 現 されます あるユーザが 持 っている 一 連 の 権 限 を 他 のユーザに 付 与 する 場 合 は ユーザをユーザ 拡 張 ロールに 拡 張 し そのロールを 他 のユーザに 付 与 します 16.0 より 前 のデータベースをアップグレードすると 既 存 の 権 限 パーミッションおよびグループ 階 層 が 同 等 のロール 権 限 およびユーザ 拡 張 ロール 階 層 に 自 動 的 に 変 換 されます 16.0 より 前 の 権 限 のすべてに 互 換 ロールが 存 在 します これ らのロールは 名 前 の 先 頭 が SYS_AUTH であるため 容 易 に 識 別 できます 互 換 ロールには 対 応 する 以 前 の 権 限 と 同 じ 操 作 の 実 行 に 必 要 権 限 が 組 み 込 まれています 2015 SAP SE or an SAP affiliate company. All rights reserved. 19

20 ロールベースのセキュリティで 提 供 される 権 限 の 制 御 と 詳 細 度 の 利 点 を 完 全 に 生 かすため 移 行 後 に 各 ユーザの 互 換 ロ ールの 付 与 を 確 認 して 必 要 に 応 じてメンバーシップとシステム 権 限 の 付 与 を 調 整 することをおすすめします 権 限 の 互 換 ロールへの 変 更 16.0 にアップグレードすると 以 前 のバージョンで 権 限 が 付 与 されていたユーザには 同 等 の 互 換 ロールが 自 動 的 に 付 与 されます アップグレード 前 に 権 限 を 管 理 する 能 力 を 保 持 していたユーザは 16.0 の 互 換 ロールを 管 理 する 能 力 を 保 持 し ます 各 互 換 ロールの 命 名 規 則 では 元 の 権 限 名 が 保 持 されますが プレフィクス "SYS_AUTH" とサフィックス "_ROLE" が 使 用 されます たとえば 権 限 BACKUP は ロール SYS_AUTH_BACKUP_ROLE になり 権 限 RESOURCE はロール SYS_AUTH_RESOURCES_ROLE というようになります 互 換 ロールを 変 更 することはできません ただし それらをユーザ 定 義 ロールに 移 行 してから 変 更 することはできます 互 換 ロールをユーザ 定 義 ロールに 移 行 すると その 互 換 ロールを 付 与 されていたすべてのユーザに 新 しいユーザ 定 義 ロ ールが 付 与 されます 基 礎 となるシステム 権 限 のすべてが 1 つ 以 上 の 他 のロールに 付 与 されると 互 換 ロールは 削 除 す ることができます 互 換 ロールをリストアするには CREATE ROLE 文 を 使 用 します SQL 文 に 下 位 互 換 性 があり 権 限 を 付 与 または 取 り 消 すアプリケーションがサポートされます ただし 古 い 構 文 は 使 用 されなくなるため アプリケーションを 変 更 してロールに 新 しい 構 文 を 使 用 することを 推 奨 します 次 の 表 は 権 限 とその 同 等 の 互 換 ロールのそれぞれを 示 しています 表 11: 権 限 互 換 ロール 説 明 BACKUP DBA PROFILE SYS_AUTH_BACKUP_ROL E SYS_AUTH_DBA_ROLE SYS_AUTH_SA_ROLE SYS_AUTH_SSO_ROLE SYS_AUTH_PROFILE_ROL E ユーザは BACKUP DATABASE 文 または dbbackup ユーティ リティを 使 用 して データベースとトランザクションログをアーカイブバ ックアップまたはイメージバックアップでバックアップできます このロールでユーザは 権 限 (privilege) が 必 要 で 実 行 可 能 な 操 作 をすべて 実 行 できます SYS_AUTH_DBA_ROLE システムロールを が 付 与 されたユーザは データベースオブジェクトの 作 成 とこれらの オブジェクトの 所 有 権 の 他 のユーザ ID への 割 り 当 て テーブル 構 造 の 変 更 新 規 ユーザ ID の 作 成 ユーザからのパーミッションの 取 り 消 し データベースのバックアップなどを 実 行 できます SYS_AUTH_DBA_ROLE 互 換 ロールで 実 行 できる 権 限 の 必 要 な 操 作 のうち ユーザは SYS_AUTH_SA_ROLE 互 換 ロールで テー ブルの 作 成 やデータのバックアップなど データベース 管 理 関 連 作 業 をすべて 実 行 できます SYS_AUTH_DBA_ROLE 互 換 ロールで 実 行 できる 権 限 の 必 要 な 操 作 のうち ユーザは SYS_AUTH_SSO_ROLE 互 換 ロールで ユ ーザの 作 成 やオブジェクトに 関 する 権 限 の 付 与 など セキュリティお よびアクセス 関 連 の 管 理 作 業 を 実 行 できます このロールでユーザは プロファイリング トレーシング 診 断 の 各 操 作 を 実 行 できます SAP SE or an SAP affiliate company. All rights reserved.

21 権 限 互 換 ロール 説 明 READCLIENTFILE READFILE REMOTE DBA RESOURCE VALIDATE WRITECLIENTFILE WRITEFILE SYS_AUTH_READCLIENT FILE_ROLE SYS_AUTH_READFILE_R OLE SYS_RUN_REPLICATION_ ROLE システムロール SYS_REPLICATION_ADMI N_ROLE システムロール SYS_AUTH_RESOURCE_R OLE SYS_AUTH_VALIDATE_R OLE SYS_AUTH_WRITECLIEN TFILE_ROLE SYS_AUTH_WRITEFILE_R OLE このロールでユーザは クライアントコンピュータ 上 のファイルを 読 み 込 めます たとえば クライアントコンピュータ 上 のファイルからデータ をロードできます 文 で OPENSTRING 句 を 使 用 してファイルを 読 み 込 めます SQL Remote ユーザが dbremote ユーティリティおよび dbmisync ユーティリティを 使 用 して レプリケーションアクティビテ ィを 実 行 できます ただし レプリケーションの 管 理 はできません SYS_REPLICATION_ADMIN_ROLE システムロールは レプリケー ション 管 理 に 使 用 されます ユーザはテーブル ビュー ストアドプロシージャ トリガなどのデータ ベースオブジェクトを 作 成 できます 文 または dbvalid ユーティリティを 使 用 して データベース テー ブル インデックス チェックサムの 検 証 を 実 行 できます たとえば UNLOAD TABLE 文 を 使 用 してクライアントコンピュータ にデータを 書 き 込 むなど クライアントコンピュータ 上 にファイルを 書 き 込 めます システムプロシージャを 実 行 できます 権 限 ベースのセキュリティモデルでは 権 限 に 帰 属 するパーミッションのなかに 必 要 でないものが 存 在 しても 付 与 を 限 定 する 方 法 がありませんでした このため ユーザに 必 要 以 上 のパーミッションが 付 与 されることが 多 く 潜 在 的 なセキュリテ ィ 上 の 問 題 になっていました ロールベースのセキュリティモデルは システム 権 限 を 詳 細 なレベルで 付 与 できるようにす ることで この 問 題 を 解 決 します 移 行 プロセスによって ユーザおよびグループレベルで 既 存 のすべての 権 限 が 保 持 されることが 保 証 されるため SAP で は 移 行 後 に 各 ユーザに 対 する 互 換 ロールの 付 与 の 確 認 を 行 い 必 要 に 応 じてメンバーシップを 調 整 することをおすすめ します パーミッションから 権 限 への 変 更 16.0 より 前 のバージョンの SAP IQ では テーブルおよびビューに ALTER SELECT などのオブジェクトレベルのパーミ ッションが 使 用 されていました これらのパーミッションは オブジェクトレベルの 権 限 と 呼 ばれるようになりました データベースをアップグレードするときに パーミッションが 付 与 されていたユーザには 同 等 のオブジェクトレベルの 権 限 が 自 動 的 に 付 与 されます オブジェクトレベルのパーミッション/ 権 限 を 付 与 または 取 り 消 す SQL 文 は 引 き 続 き 機 能 します オブジェクトレベルの 権 限 に 加 え 承 認 済 み 操 作 のすべてに 付 与 可 能 なシステム 権 限 が 存 在 します 2015 SAP SE or an SAP affiliate company. All rights reserved. 21

22 グループからロールへの 変 更 16.0 より 前 の IQ データベースをアップグレードすると グループのそれぞれが 同 名 で 同 等 のユーザ 拡 張 ロールに 変 換 さ れます 元 のグループのメンバーには 新 しいロールとその 基 礎 となるシステム 権 限 のすべてが 自 動 的 に 付 与 されます 元 のグループに 付 与 されていた 権 限 とオブジェクトレベルのパーミッションは 同 等 の 互 換 ロールとシステム 権 限 に 変 換 さ れ ユーザ 拡 張 ロールに 付 与 されます 権 限 が 継 承 不 可 であった 場 合 新 しいユーザ 拡 張 ロールの 被 付 与 者 は 同 等 の 互 換 ロールの 基 礎 となるシステム 権 限 を 継 承 します 権 限 が 継 承 可 能 であった 場 合 ユーザ 拡 張 ロールの 被 付 与 者 は 同 等 の 互 換 ロールの 基 礎 となるシステム 権 限 を 継 承 しません レガシーグループにパスワードが 存 在 した 場 合 は ユーザ 拡 張 ロールの 拡 張 ユーザのみが 継 承 不 可 の 互 換 ロールの 基 礎 となるシステム 権 限 を 継 承 します システムグループは 同 名 のシステムロールになります 表 12: グループ/システムロール dbo diagnostics PUBLIC ra_systabgroup SYS SYS_SPATIAL_ADMIN_ROLE 説 明 このロールは 多 数 のシステムストアドプロシージャ ビューおよびテーブルを 所 有 します このロールは 診 断 テーブルおよびビューを 所 有 しており それらに 操 作 を 実 行 できます このロールには システムテーブルに 対 する SELECT パーミッションがあります 新 しいユーザ ID にはいずれも PUBLIC ロールが 自 動 的 に 付 与 されます このロールを 持 つユーザは レプリケーションサーバ 機 能 を 実 行 できます このロールは データベースのシステムテーブルとビュー (IQ カタログ) を 所 有 し それらに 対 す る 操 作 を 実 行 できます このロールでユーザは 空 間 オブジェクトの 作 成 変 更 削 除 が 可 能 になります スーパーユーザ (DBA 権 限 ) の 概 念 への 変 更 16.0 より 前 のバージョンの SAP IQ では 多 くの 場 合 DBA ユーザは DBA 権 限 が 付 与 されているためにスーパーユー ザであるとみなされていました 16.0 でも 引 き 続 き DBA ユーザは 存 在 しますが 概 念 は 変 更 されています 16.0 より 前 のバージョンの SAP IQ では ユーザに DBA 権 限 を 付 与 することによって スーパーユーザを 作 成 しました DBA 権 限 を 持 つユーザは システムで 権 限 の 必 要 なあらゆるタスクを 実 行 できました データベースを 16.0 にアップグレ ードするときに DBA 権 限 が 付 与 されていたユーザのすべてに 同 等 の SYS_AUTH_DBA_ROLE 互 換 ロールが 付 与 さ れ スーパーユーザになります 移 行 後 に スーパーユーザ 能 力 を 保 持 するにはスーパーユーザ 自 体 を 管 理 する 必 要 が あります 管 理 者 の 指 定 なしで 新 規 ロールを 作 成 するときに MANAGE_ROLES システム 権 限 (グローバル 管 理 者 ) を 持 つユーザ はロールを 管 理 することができます MANAGE ROLES は SYS_AUTH_DBA_ROLE 互 換 ロールに 付 与 されるシステム 権 限 の 1 つであるため スーパーユーザは 新 しいロールを 管 理 できることになります ただし 新 しいロールを 作 成 して 管 理 者 を 割 り 当 てた 場 合 管 理 はその 管 理 者 のみに 限 定 されます グローバル 管 理 者 つまりスーパーユーザはそのロールを 管 理 できません スーパーユーザをロールの 管 理 者 として 明 示 的 に 割 り 当 てる 必 要 があります SYS_AUTH_DBA_ROLE 互 換 ロールは ユーザ 定 義 ロールに 移 行 して 最 終 的 に 削 除 することができます スーパーユ ーザが 権 限 付 きのタスクを 実 行 する 能 力 は SYS_AUTH_DBA_ROLE 互 換 ロールに 依 存 するため SAP SE or an SAP affiliate company. All rights reserved.

23 SYS_AUTH_DBA_ROLE を 削 除 する 前 にスーパーユーザのメンバーシップを 新 しいユーザ 定 義 ロールに 付 与 するか 基 礎 となるシステム 権 限 のそれぞれを 直 接 的 または 間 接 的 にスーパーユーザに 付 与 する 必 要 があります GRANT 文 の 構 文 の 変 更 権 限 パーミッション グループに 使 用 される GRANT 構 文 は サポートされていますが 廃 止 される 予 定 です アプリケー ションで 16.0 より 前 のバージョンの GRANT 文 の 構 文 を 使 用 している 場 合 は ロールと 権 限 に 新 しい 構 文 を 使 用 するよ うに 変 更 してください 16.0 より 前 のバージョンの SAP IQ では DBA REMOTE DBA RESOURCE および VALIDATE の 権 限 が 継 承 可 能 で はありませんでした データベースを 16.0 にアップグレードするときに WITH NO SYSTEM PRIVILEGE INHERITANCE 句 を 使 用 して 継 承 動 作 が 古 いリリースと 一 貫 するように 保 証 してください DBA 権 限 と REMOTE DBA 権 限 を 付 与 されたユーザは 自 動 的 に これらの 権 限 を 他 のユーザに 付 与 することができまし た 16.0 では WITH ADMIN 句 が 導 入 され 以 前 のリリースと 一 貫 した 管 理 権 限 動 作 が 保 証 されます 表 13: 継 承 不 可 の 権 限 16.0 より 前 の 構 文 新 しい 構 文 GRANT DBA TO <grantee>[,...] > GRANT ROLE SYS_AUTH_DBA_ROLE TO <grantee> [,...]> WITH ADMIN OPTION WITH NO SYSTEM PRIVILEGE INHERITANCE GRANT REMOTE DBA TO <grantee>[,...]> GRANT ROLE SYS_RUN_REPLICATION_ROLE TO <grantee> [,...]> WITH NO ADMIN OPTION WITH NO SYSTEM PRIVILEGE INHERITANCE GRANT BACKUP TO <grantee>[,...]> GRANT ROLE SYS_AUTH_BACKUP_ROLE TO <grantee> [,...] > WITH NO SYSTEM PRIVILEGE INHERITANCE GRANT RESOURCE TO <grantee>[,...] > GRANT ROLE SYS_AUTH_RESOURCE_ROLE TO <grantee> [,...]> WITH NO SYSTEM PRIVILEGE INHERITANCE GRANT VALIDATE TO <grantee>[,...]> GRANT ROLE SYS_AUTH_VALIDATE_ROLE TO <grantee> [,...]> WITH NO SYSTEM PRIVILEGE INHERITANCE 2015 SAP SE or an SAP affiliate company. All rights reserved. 23

24 表 14: 継 承 可 能 な 権 限 16.0 より 前 の 構 文 新 しい 構 文 GRANT Multiplex Admin TO <grantee> [,...]> GRANT Operator TO <grantee> [,...]> GRANT Perms Admin TO <grantee> [,...]> GRANT PROFILE TO <grantee> [,...]> GRANT READCLIENTFILE TO <grantee> [,...]> GRANT READFILE TO <grantee> [,...]> GRANT Space Admin TO <grantee> [,...]> GRANT Spatial Admin TO <grantee> [,...]> GRANT WRITECLIENTFILE TO <grantee> [,...]> GRANT WRITEFILE TO <grantee> [,...]> GRANT CONNECT TO <username> GRANT ROLE SYS_AUTH_MULTIPLEX_ADMIN_ROLE TO <grantee> [,...] > GRANT ROLE SYS_AUTH_OPERATOR_ROLE TO <grantee> [,...]> GRANT ROLE SYS_AUTH_PERMS_ADMIN_ROLE TO <grantee> [,...]> GRANT ROLE SYS_AUTH_PROFILE_ROLE TO <grantee> [,...]> GRANT ROLE SYS_AUTH_READCLIENTFILE_ROLE TO <grantee> [,...]> GRANT ROLE SYS_AUTH_READFILE_ROLE TO <grantee> [,...]> GRANT ROLE SYS_AUTH_SPACE_ADMIN_ROLE TO <grantee> [,...]> GRANT ROLE SYS_AUTH_SPATIAL_ADMIN_ROLE TO <grantee> [,...]> GRANT ROLE SYS_AUTH_WRITECLIENTFILE_ROLE TO <grantee> [,...]> GRANT ROLE SYS_AUTH_WRITEFILE_ROLE TO <grantee> [,...]> 変 更 なし [ IDENTIFIED BY <pwd> ] GRANT GROUP TO <user> CREATE OR REPLACE <rolename> FOR USER <user> GRANT MEMBERSHIP IN GROUP <groupname>[,...]> TO <grantee>[,...]> GRANT PUBLISH TO <grantee> GRANT ROLE <groupname>[,...] > TO <grantee>[,...]> 変 更 なし ただし 新 しい PUBLIC オプションである db_publisher の 設 定 も 可 能 SET OPTION PUBLIC.db_publisher=<grantee_id> SAP SE or an SAP affiliate company. All rights reserved.

25 16.0 より 前 の 構 文 新 しい 構 文 GRANT <permission>[,...]> 変 更 なし ON <[ owner.]object-name> TO <grantee>[,...]> [ WITH GRANT OPTION ] <permission>: ALL [ PRIVILEGES ] ALTER DELETE INSERT REFERENCES [ ( column-name,...) ] SELECT [ ( column-name,... ) ] UPDATE [ ( column-name,... ) ] GRANT EXECUTE ON <[owner.]{ procedure-name user-defined-function >} 変 更 なし TO <grantee>[,...] > GRANT INTEGRATED LOGIN TO <user-profilename>[,...]> 変 更 なし AS USER <user> GRANT KERBEROS LOGIN 変 更 なし TO <client-kerberos-principal [, ] > AS USER <user> GRANT CREATE ON <dbspacename> [,...]> 変 更 なし TO <grantee> [,...]> 2015 SAP SE or an SAP affiliate company. All rights reserved. 25

26 REVOKE 文 の 構 文 の 変 更 権 限 パーミッション グループに 使 用 される REVOKE 構 文 は サポートされていますが 廃 止 される 予 定 です アプリケ ーションで 16.0 より 前 のバージョンの REVOKE 文 の 構 文 を 使 用 している 場 合 は ロールと 権 限 に 新 しい 構 文 を 使 用 す るように 変 更 してください 表 15: 16.0 より 前 の 構 文 新 しい 構 文 REVOKE CONNECT FROM <user> REVOKE GROUP FROM <user> 変 更 なし DROP <rolename> FROM USER <user> WITH REVOKE REVOKE MEMBERSHIP IN GROUP <groupname> [,...]> FROM <grantee> [,...]> REVOKE <authority>[,...]> FROM <grantee> [,...] > REVOKE ROLE <groupname>[,...]> FROM <grantee> [,...]> REVOKE <rolename>[,...]> FROM <grantee> [,...]> <authority>: BACKUP DBA Multiplex Admin Operator Perms Admin PROFILE READCLIENTFILE READFILE REMOTE DBA RESOURCE ALL Space Admin Spatial Admin User Admin VALIDATE WRITECLIENTFILE WRITEFILE REVOKE PUBLISH FROM <grantee> <rolename>: SYS_AUTH_BACKUP_ROLE SYS_AUTH_DBA_ROLE SYS_AUTH_MULTIPLEX_ADMIN_ROLE SYS_AUTH_OPERATOR_ROLE SYS_AUTH_PERMS_ADMIN_ROLE SYS_AUTH_PROFILE_ROLE SYS_READCLIENTFILE_ROLE SYS_AUTH_READFILE_ROLE SYS_RUN_REPLICATION_ROLE SYS_AUTH_RESOURCE_ROLE SYS_AUTH_SPACE_ADMIN_ROLE SYS_AUTH_SPATIAL_ADMIN_ROLE SYS_AUTH_USER_ADMIN_ROLE SYS_AUTH_VALIDATE_ROLE SYS_AUTH_WRITECLIENTFILE_ROLE SYS_AUTH_WRITEFILE_ROLE 変 更 なし ただし 新 しい PUBLIC オプションである db_publisher の 設 定 も 可 能 SET OPTION PUBLIC.db_publisher=grantee SAP SE or an SAP affiliate company. All rights reserved.

27 16.0 より 前 の 構 文 新 しい 構 文 REVOKE <permission>[,...]> ON 命 名 規 則 を 除 き 変 更 なし オブジェクトレベルのパーミッションは オブジェクトレベルの 権 限 になる <[ owner.]object-name> FROM <grantee>[,...]> <permission>: ALL [ PRIVILEGES ] ALTER DELETE INSERT REFERENCES [ ( column-name,...) ] SELECT [ ( column-name,... ) ] UPDATE [ ( column-name,... ) ] REVOKE EXECUTE ON [ <owner.]{ procedure-name user-defined-function> } 変 更 なし FROM <grantee> <[,...] > REVOKE INTEGRATED LOGIN FROM <user> REVOKE KERBEROS LOGIN FROM <user> <[,...] > 変 更 なし 変 更 なし AS USER <user> REVOKE CREATE ON <dbspacename> [,...]> FROM <grantee> [,...] > 変 更 なし REMOTE DBA への 変 更 REMOTE DBA 権 限 に 代 わって SYS_RUN_REPLICATION_ROLE システムロールが 使 用 されます このロールを 持 つ ユーザは レプリケーションを 管 理 できます GRANT REMOTE DBA 文 の 構 文 は 引 き 続 きサポートされますが 廃 止 される 予 定 です この 新 しいロールを 付 与 するよ うにアプリケーションを 変 更 してください 継 承 動 作 の 変 更 16.0 より 前 のバージョンの SAP IQ では DBA REMOTE DBA BACKUP RESOURCE および VALIDATE の 各 権 限 をグループに 付 与 した 場 合 グループのメンバーには 基 礎 となるパーミッションが 継 承 されませんでした 16.0 では SYS_AUTH_DBA_ROLE SYS_RUN_REPLICATION_ROLE SYS_AUTH_BACKUP_ROLE SYS_AUTH_RESOURCE_ROLE および SYS_AUTH_VALIDATE_ROLE ( 以 前 の DBA REMOTE DBA BACKUP 2015 SAP SE or an SAP affiliate company. All rights reserved. 27

28 RESOURCE および VALIDATE) をユーザ 定 義 ロールに 付 与 する 際 に デフォルトの 動 作 としてユーザ 定 義 ロールのメ ンバーがそのロールの 基 礎 となるシステム 権 限 を 継 承 することができます 非 継 承 動 作 は WITH NO SYSTEM INHERITANCE 句 によって 保 持 されます アップグレード 後 も 新 しい GRANT 構 文 を 使 用 するように 変 更 したアプリケーションが 存 在 し 非 継 承 動 作 を 保 持 する 必 要 がある 場 合 これらのロールの 非 継 承 動 作 を 保 持 するには GRANT ROLE 文 に WITH NO SYSTEM PRIVILEGE INHERITANCE 句 を 組 み 込 みます 注 記 WITH NO SYSTEM PRIVILEGE INHERITANCE 句 は 当 該 のロールについてのみサポートされます これら 以 外 に 使 用 するとエラーが 発 生 します たとえば User1 に ALTER ANY OBJECT システム 権 限 を 付 与 するとします User1 を 拡 張 してロールにし User1 を User2 に 付 与 します User1 には SYS_AUTH_DBA_ROLE ロールを 付 与 しますが SYS_AUTH_DBA_ROLE に 帰 属 するシステム 権 限 は User2 に 継 承 させたくないとします 次 のように 実 行 します GRANT ROLE SYS_AUTH_DBA_ROLE TO User1 WITH NO SYSTEM PRIVILEGE INHERITANCE; データベースパブリッシャの 管 理 における 変 更 16.0 では PUBLISH 権 限 が PUBLIC.db_publisher データベースオプションに 置 き 換 えられています パブリッシャは データベースオプションの 変 更 によって 変 更 することができます 16.0 より 前 の IQ バージョンでは データベースパブリッシャが GRANT PUBLISH 文 と REVOKE PUBLISH 文 を 使 用 して 制 御 されていました 現 在 のパブリッシャは CURRENT PUBLISHER 特 別 値 のクエリによって 決 定 します GRANT PUBLISH 構 文 と REVOKE PUBLISH 構 文 は 引 き 続 きサポートされますが 廃 止 される 予 定 です また 現 在 のパブリッシャの 決 定 には 引 き 続 き CURRENT PUBLISHER のクエリを 実 行 することができます PUBLIC.db_publisher を 設 定 するには SET ANY SYSTEM OPTION システム 権 限 が 必 要 です 互 換 ロール 互 換 ロールは 権 限 ベースのセキュリティをサポートする 16.0 より 前 のバージョンの SAP IQ との 下 位 互 換 性 を 保 持 する ために 存 在 します 互 換 ロールの 付 与 取 消 および 特 定 の 条 件 下 での 削 除 を 行 うことができます 基 礎 となるシステム 権 限 を 変 更 すること はできません ただし 互 換 ロールをユーザ 定 義 ロールに 移 行 してから 基 礎 となるシステム 権 限 を 変 更 することは 可 能 で す 互 換 ロールを 移 行 すると 互 換 ロールの 被 付 与 者 のすべてに 移 行 したユーザ 定 義 ロールが 自 動 的 に 付 与 されます 互 換 ロール SYS_AUTH_SA_ROLE および SYS_AUTH_SSO_ROLE を 使 用 して 新 しいデータベースの 個 別 システム 権 限 すべての 管 理 と 付 与 を 行 います この 2 つのロールのシステム 権 限 の 共 用 体 が 互 換 ロール SYS_AUTH_DBA_ROLE に 付 与 されます デフォルトでは SYS_AUTH_DBA_ROLE が 管 理 権 限 を 持 つ DBA ユーザに 付 与 されます このため 当 初 はシステム 権 限 のすべてが DBA ユーザに 付 与 されています ユーザを 互 換 ロールに 付 与 したり ユーザを 互 換 ロールから 取 り 消 すことができます SAP SE or an SAP affiliate company. All rights reserved.

29 互 換 ロールの 付 与 互 換 ロールの 付 与 は 基 礎 となるシステム 権 限 およびロールのそれぞれを 付 与 することとセマンティック 上 同 じです SYS_AUTH_SA_ROLE の 付 与 データとシステム 管 理 責 任 に 関 連 する 承 認 済 みタスクの 実 行 をユーザに 許 可 します 前 提 条 件 SYS_AUTH_SA_ROLE ロールに 対 する 管 理 権 限 コンテキスト このロールは 管 理 権 限 付 きまたはなしで 付 与 できます 管 理 権 限 付 きで 付 与 した 場 合 は そのロールを 管 理 ( 付 与 および 取 り 消 し) でき 加 えて 基 礎 となるシステム 権 限 も 使 用 することもできます 管 理 権 限 のみが 付 与 された 場 合 は ロール の 管 理 はできますが その 基 礎 となるシステム 権 限 を 使 用 することはできません 最 後 に 管 理 権 限 なしの 場 合 は 基 礎 となるシステム 権 限 の 使 用 のみを 実 行 できます 手 順 SYS_AUTH_SA_ROLE ロールを 付 与 するには 次 の 文 のいずれかを 実 行 します 管 理 オプション 文 完 全 管 理 権 限 付 きで 付 与 GRANT ROLE SYS_AUTH_SA_ROLE TO <grantee [,...]> WITH ADMIN OPTION 管 理 権 限 のみの 付 与 GRANT ROLE SYS_AUTH_SA_ROLE TO <grantee [,...]> WITH ADMIN ONLY OPTION 管 理 権 限 なしの 付 与 GRANT ROLE SYS_AUTH_SA_ROLE TO <grantee [,...]> WITH NO ADMIN OPTION 2015 SAP SE or an SAP affiliate company. All rights reserved. 29

30 SYS_AUTH_SA_ROLE に 付 与 されるシステム 権 限 各 システム 権 限 は 完 全 管 理 権 限 付 きで 付 与 されます ACCESS SERVER LS ALTER ANY INDEX ALTER ANY MATERIALIZED VIEW ALTER ANY OBJECT ALTER ANY PROCEDURE ALTER ANY SEQUENCE ALTER ANY TEXT CONFIGURATION ALTER ANY TABLE ALTER ANY TRIGGER ALTER ANY VIEW ALTER DATABASE ALTER DATATYPE BACKUP DATABASE CHECKPOINT COMMENT ANY OBJECT CREATE ANY INDEX CREATE ANY MATERIALIZED VIEW CREATE ANY OBJECT CREATE ANY PROCEDURE CREATE ANY SEQUENCE CREATE ANY TABLE CREATE ANY TEXT CONFIGURATION CREATE ANY TRIGGER CREATE ANY VIEW CREATE DATATYPE CREATE EXTERNAL REFERENCE CREATE MATERIALIZED VIEW CREATE MESSAGE CREATE PROCEDURE CREATE PROXY TABLE CREATE TABLE CREATE TEXT CONFIGURATION CREATE VIEW DEBUG ANY PROCEDURE DELETE ANY TABLE DROP ANY INDEX DROP ANY MATERIALIZED VIEW DROP ANY OBJECT DROP ANY PROCEDURE DROP ANY SEQUENCE DROP ANY TABLE SAP SE or an SAP affiliate company. All rights reserved.

31 DROP ANY TEXT CONFIGURATION DROP ANY VIEW DROP DATATYPE DROP MESSAGE EXECUTE ANY PROCEDURE INSERT ANY TABLE LOAD ANY TABLE MANAGE ANY DBSPACE MANAGE ANY EVENT MANAGE ANY EXTERNAL ENVIRONMENT MANAGE ANY EXTERNAL OBJECT MANAGE ANY MIRROR SERVER MANAGE ANY SPATIAL OBJECT MANAGE ANY STATISTICS MANAGE ANY WEB SERVICE MANAGE MULTIPLEX MANAGE PROFILING MANAGE REPLICATION MONITOR READ CLIENT FILE READ FILE REORGANIZE ANY OBJECT SELECT ANY TABLE SERVER OPERATOR SET ANY PUBLIC OPTION SET ANY SYSTEM OPTION SET ANY USER DEFINED OPTION TRUNCATE ANY TABLE UPDATE ANY TABLE UPGRADE ROLE USE ANY SEQUENCE VALIDATE ANY OBJECT WRITE CLIENT FILE WRITE FILE SYS_AUTH_SSO_ROLE の 付 与 セキュリティおよびアクセス 制 御 責 任 に 関 連 する 承 認 済 みタスクの 実 行 をユーザに 許 可 します 前 提 条 件 SYS_AUTH_SSO_ROLE ロールに 対 する 管 理 権 限 2015 SAP SE or an SAP affiliate company. All rights reserved. 31

32 コンテキスト このロールは 管 理 権 限 付 きまたはなしで 付 与 できます 管 理 権 限 付 きで 付 与 した 場 合 は そのロールを 管 理 ( 付 与 および 取 り 消 し) でき 加 えて 基 礎 となるシステム 権 限 も 使 用 することもできます 管 理 権 限 のみが 付 与 された 場 合 は ロール の 管 理 はできますが その 基 礎 となるシステム 権 限 を 使 用 することはできません 最 後 に 管 理 権 限 なしの 場 合 は 基 礎 となるシステム 権 限 の 使 用 のみを 実 行 できます 手 順 このロールを 付 与 するには 次 の 文 のいずれかを 実 行 します 管 理 オプション 文 完 全 管 理 権 限 付 きで 付 与 GRANT ROLE SYS_AUTH_SSO_ROLE TO <grantee [,...]> WITH ADMIN OPTION 管 理 権 限 のみの 付 与 GRANT ROLE SYS_AUTH_SSO_ROLE TO <grantee [,...]> WITH ADMIN ONLY OPTION 管 理 権 限 なしの 付 与 GRANT ROLE SYS_AUTH_SSO_ROLE TO <grantee [,...]> WITH NO ADMIN OPTION SYS_AUTH_SSO_ROLE に 付 与 されるシステム 権 限 各 システム 権 限 は 特 に 注 記 がない 限 り 完 全 管 理 権 限 付 きで 付 与 されます ALTER ANY OBJECT OWNER ANY USER CHANGE PASSWORD DROP CONNECTION MANAGE ANY OBJECT PRIVILEGES MANAGE ANY LDAP SERVER MANAGE ANY LOGIN POLICY MANAGE ANY USER MANAGE AUDITING MANAGE ROLES SET ANY SECURITY OPTION SET USER ( 管 理 権 限 のみで 付 与 ) SAP SE or an SAP affiliate company. All rights reserved.

33 SYS_AUTH_DBA_ROLE の 付 与 すべての 承 認 済 みタスクの 実 行 をユーザに 許 可 します 前 提 条 件 SYS_AUTH_DBA_ROLE ロールに 対 する 管 理 権 限 コンテキスト このロールは すべての 互 換 ロール および 一 部 のシステムロールをユーザに 間 接 的 に 付 与 します このロールは SYS_AUTH_DBA_ROLE ロールを "スーパー" ロールとして 構 成 する 各 ロールの 基 礎 となるシステム 権 限 の 結 合 です このロールは 管 理 権 限 付 きまたはなしで 付 与 できます 管 理 権 限 付 きで 付 与 した 場 合 は そのロールを 管 理 ( 付 与 および 取 り 消 し) でき 加 えて 基 礎 となるシステム 権 限 も 使 用 することもできます 管 理 権 限 のみが 付 与 された 場 合 は ロール の 管 理 はできますが その 基 礎 となるシステム 権 限 を 使 用 することはできません 最 後 に 管 理 権 限 なしの 場 合 は 基 礎 となるシステム 権 限 の 使 用 のみを 実 行 できます 注 記 SAP IQ 15.4 以 前 から 移 行 する 場 合 SAP IQ 16.0 以 降 での 動 作 では このシステムロールの 基 礎 となるシステム 権 限 の 継 承 の 概 念 が 変 更 されています SAP IQ 15.4 以 前 の 動 作 に 対 しては WITH NO SYSTEM PRIVILEGE INHERITANCE 句 を 使 用 してください WITH ADMIN ONLY OPTION 句 は WITH NO SYSTEM PRIVILEGE INHERITANCE 句 を 使 用 した 場 合 は 無 効 になり ます WITH NO ADMIN OPTION 句 は 有 効 ですが WITH NO SYSTEM PRIVILEGE INHERITANCE 句 とセマンティッ ク 上 同 じであるため 必 要 ありません 手 順 SYS_AUTH_DBA_ROLE ロールを 付 与 するには 次 の 文 のいずれかを 実 行 します 文 文 完 全 管 理 権 限 付 きで 付 与 GRANT ROLE SYS_AUTH_DBA_ROLE TO <grantee [,...]> WITH ADMIN OPTION 管 理 権 限 のみの 付 与 GRANT ROLE SYS_AUTH_DBA_ROLE TO <grantee [,...]> WITH ADMIN ONLY OPTION 2015 SAP SE or an SAP affiliate company. All rights reserved. 33

34 文 文 管 理 権 限 なしで 付 与 GRANT ROLE SYS_AUTH_DBA_ROLE TO <grantee [,...]> WITH NO ADMIN OPTION 完 全 管 理 権 限 付 きで 付 与 ただし システム 権 限 の 継 承 はしません GRANT ROLE SYS_AUTH_REMOTE_DBA_ROLE TO <user_id> WITH ADMIN OPTION WITH NO SYSTEM PRIVILEGE INHERITANCE SYS_AUTH_DBA_ROLE に 付 与 されるロール SYS_AUTH_DBA_ROLE ロールに 付 与 されるシステムロールと 互 換 ロール 次 の 互 換 ロールは 完 全 管 理 権 限 付 きで 付 与 されます SYS_AUTH_SA_ROLE SYS_AUTH_SSO_ROLE 次 の 互 換 ロールは 管 理 権 限 のみで 付 与 されます SYS_AUTH_RESOURCE_ROLE SYS_AUTH_BACKUP_ROLE SYS_AUTH_VALIDATE_ROLE SYS_AUTH_READFILE_ROLE SYS_AUTH_PROFILE_ROLE SYS_AUTH_READCLIENTFILE_ROLE SYS_AUTH_WRITECLIENTFILE_ROLE SYS_AUTH_WRITEFILE_ROLE SYS_AUTH_USER_ADMIN_ROLE SYS_AUTH_SPACE_ADMIN_ROLE SYS_AUTH_MULTIPLEX_ADMIN_ROLE SYS_AUTH_OPERATOR_ROLE SYS_AUTH_PERMS_ADMIN_ROLE 次 のシステムロールは 管 理 権 限 のみで 付 与 されます SYS_SPATIAL_ADMIN_ROLE diagnostics rs_systabgroup SYS DBO PUBLIC SAP SE or an SAP affiliate company. All rights reserved.

35 SYS_AUTH_DBA_ROLE に 付 与 されるシステム 権 限 すべての 互 換 ロールと 選 択 システムロールの 付 与 によって システム 権 限 が 間 接 的 に SYS_AUTH_DBA_ROLE ロール に 付 与 されます SYS_AUTH_SA_ROLE ロールと SYS_AUTH_SSO_ROLE ロールの 基 礎 となるシステム 権 限 は 間 接 的 に 完 全 管 理 権 付 きで 付 与 されます 他 の 互 換 ロールとシステムロールはすべて 間 接 的 に 管 理 権 限 のみで 付 与 されま す ACCESS SERVER LS ALTER ANY INDEX ALTER ANY MATERIALIZED VIEW ALTER ANY OBJECT ALTER ANY OBJECT OWNER ALTER ANY PROCEDURE ALTER ANY SEQUENCE ALTER ANY TABLE ALTER ANY TEXT CONFIGURATION ALTER ANY TRIGGER ALTER ANY VIEW ALTER DATABASE ALTER DATATYPE BACKUP DATABASE CHANGE PASSWORD CHECKPOINT COMMENT ANY OBJECT CREATE ANY INDEX CREATE ANY MATERIALIZED VIEW CREATE ANY OBJECT CREATE ANY PROCEDURE CREATE ANY SEQUENCE CREATE ANY TABLE CREATE ANY TEXT CONFIGURATION CREATE ANY TRIGGER CREATE ANY VIEW CREATE DATATYPE CREATE EXTERNAL REFERENCE CREATE MATERIALIZED VIEW CREATE MESSAGE CREATE PROCEDURE CREATE PROXY TABLE CREATE TABLE CREATE TEXT CONFIGURATION CREATE VIEW DEBUG ANY PROCEDURE DELETE ANY TABLE DROP ANY INDEX 2015 SAP SE or an SAP affiliate company. All rights reserved. 35

36 DROP ANY MATERIALIZED VIEW DROP ANY OBJECT DROP ANY PROCEDURE DROP ANY SEQUENCE DROP ANY TABLE DROP ANY TEXT CONFIGURATION DROP ANY VIEW DROP CONNECTION DROP DATATYPE DROP MESSAGE EXECUTE ANY PROCEDURE LOAD ANY TABLE INSERT ANY TABLE MANAGE ANY DBSPACE MANAGE ANY EVENT MANAGE ANY EXTERNAL ENVIRONMENT MANAGE ANY EXTERNAL OBJECT MANAGE ANY LDAP SERVER MANAGE ANY LOGIN POLICY MANAGE ANY MIRROR SERVER MANAGE ANY OBJECT PRIVILEGES MANAGE ANY SPATIAL OBJECT MANAGE ANY STATISTICS MANAGE ANY USER MANAGE ANY WEB SERVICE MANAGE AUDITING MANAGE MULTIPLEX MANAGE PROFILING MANAGE REPLICATION MANAGE ROLES MONITOR READ CLIENT FILE READ FILE REORGANIZE ANY OBJECT SELECT ANY TABLE SERVER OPERATOR SET ANY PUBLIC OPTION SET ANY SECURITY OPTION SET ANY SYSTEM OPTION SET ANY USER DEFINED OPTION SET USER ( 管 理 権 限 のみで 付 与 ) TRUNCATE ANY TABLE UPDATE ANY TABLE UPGRADE ROLE USE ANY SEQUENCE SAP SE or an SAP affiliate company. All rights reserved.

37 VALIDATE ANY OBJECT WRITE CLIENT FILE WRITE FILE SYS_AUTH_BACKUP_ROLE の 付 与 すべてのバックアップの 実 行 をユーザに 許 可 します 前 提 条 件 SYS_AUTH_BACKUP_ROLE に 対 する 管 理 権 限 コンテキスト このロールは 管 理 権 限 付 きまたはなしで 付 与 できます 管 理 権 限 付 きで 付 与 した 場 合 は そのロールを 管 理 ( 付 与 および 取 り 消 し) でき 加 えて 基 礎 となるシステム 権 限 も 使 用 することもできます 管 理 権 限 のみが 付 与 された 場 合 は ロール の 管 理 はできますが その 基 礎 となるシステム 権 限 を 使 用 することはできません 最 後 に 管 理 権 限 なしの 場 合 は 基 礎 となるシステム 権 限 の 使 用 のみを 実 行 できます 注 記 SAP IQ 15.4 以 前 から 移 行 する 場 合 SAP IQ 16.0 以 降 での 動 作 では このシステムロールの 基 礎 となるシステム 権 限 の 継 承 の 概 念 が 変 更 されています SAP IQ 15.4 以 前 の 動 作 に 対 しては WITH NO SYSTEM PRIVILEGE INHERITANCE 句 を 使 用 してください WITH ADMIN ONLY OPTION 句 と WITH ADMIN OPTION 句 は WITH NO SYSTEM PRIVILEGE INHERITANCE 句 を 使 用 した 場 合 は 無 効 になります WITH NO ADMIN OPTION 句 は 有 効 ですが WITH NO SYSTEM PRIVILEGE INHERITANCE 句 とセマンティック 上 同 じであるため 必 要 ありません 手 順 SYS_AUTH_BACKUP_ROLE ロールを 付 与 するには 次 の 文 のいずれかを 実 行 します 管 理 オプション 完 全 管 理 権 限 付 きで 付 与 文 GRANT ROLE SYS_AUTH_BACKUP_ROLE TO <user_id> WITH ADMIN OPTION 2015 SAP SE or an SAP affiliate company. All rights reserved. 37

38 管 理 オプション 管 理 権 限 のみの 付 与 文 GRANT ROLE SYS_AUTH_BACKUP_ROLE TO <user_id> WITH ADMIN ONLY OPTION 管 理 権 限 なしの 付 与 GRANT ROLE SYS_AUTH_BACKUP_ROLE TO <user_id> WITH NO ADMIN OPTION システム 権 限 の 継 承 なしで 付 与 GRANT ROLE SYS_AUTH_BACKUP_ROLE TO <user_id> WITH NO SYSTEM PRIVILEGE INHERITANCE 例 例 : この 例 では Mary に 管 理 権 限 付 き およびロールの 基 礎 となるシステム 権 限 の 継 承 ありで SYS_AUTH_BACKUP_ROLE を 付 与 します GRANT ROLE SYS_AUTH_BACKUP_ROLE TO Mary WITH ADMIN OPTION この 例 では Joe に SYS_AUTH_BACKUP_ROLE を 管 理 権 限 なし ロールの 基 礎 となるシステム 権 限 の 継 承 なしで 付 与 します GRANT ROLE SYS_AUTH_BACKUP_ROLE TO Joe WITH NO SYSTEM PRIVILEGE INHERITANCE SYS_AUTH_BACKUP_ROLE に 付 与 されるシステム 権 限 BACKUP DATABASE システム 権 限 は 管 理 権 限 なしで 付 与 されます SYS_AUTH_MULTIPLEX_ADMIN_ROLE の 付 与 マルチプレックス 管 理 の 承 認 済 みタスクの 実 行 をユーザに 許 可 します 前 提 条 件 SYS_AUTH_MULTIPLEX_ADMIN_ROLE に 対 する 管 理 権 限 SAP SE or an SAP affiliate company. All rights reserved.

39 コンテキスト このロールは 管 理 権 限 付 きまたはなしで 付 与 できます 管 理 権 限 付 きで 付 与 した 場 合 は そのロールを 管 理 ( 付 与 および 取 り 消 し) でき 加 えて 基 礎 となるシステム 権 限 も 使 用 することもできます 管 理 権 限 のみが 付 与 された 場 合 は ロール の 管 理 はできますが その 基 礎 となるシステム 権 限 を 使 用 することはできません 最 後 に 管 理 権 限 なしの 場 合 は 基 礎 となるシステム 権 限 の 使 用 のみを 実 行 できます 手 順 SYS_AUTH_MULTIPLEX_ADMIN_ROLE ロールを 付 与 するには 次 の 文 のいずれかを 実 行 します 管 理 オプション 完 全 管 理 権 限 付 きで 付 与 文 GRANT ROLE SYS_AUTH_MULTIPLEX_ADMIN_ROLE TO <user_id> WITH ADMIN OPTION 管 理 権 限 のみの 付 与 GRANT ROLE SYS_AUTH_MULTIPLEX_ADMIN_ROLE TO <user_id> WITH ADMIN ONLY OPTION 管 理 権 限 なしの 付 与 GRANT ROLE SYS_AUTH_MULTIPLEX_ADMIN_ROLE TO <user_id> WITH NO ADMIN OPTION 例 例 : この 例 では Mary に 管 理 権 限 なしで SYS_AUTH_MULTIPLEX_ADMIN_ROLE を 付 与 します GRANT ROLE SYS_AUTH_MULTIPLEX_ADMIN_ROLE TO Mary WITH NO ADMIN OPTION 2015 SAP SE or an SAP affiliate company. All rights reserved. 39

40 SYS_AUTH_MULTIPLEX_ADMIN_ROLE に 付 与 さ れるシステム 権 限 ACCESS SERVER LS システム 権 限 と MANAGE MULTIPLEX システム 権 限 は 管 理 権 限 なしで 付 与 されます SYS_AUTH_OPERATOR_ROLE の 付 与 データベースのチェックポイントの 設 定 接 続 の 削 除 (SYS_AUTH_DBA_ROLE を 持 つユーザの 接 続 を 含 む) データベ ースのバックアップ システムのモニタをユーザに 許 可 します 前 提 条 件 SYS_AUTH_OPERATOR_ROLE に 対 する 管 理 権 限 コンテキスト このロールは 管 理 権 限 付 きまたはなしで 付 与 できます 管 理 権 限 付 きで 付 与 した 場 合 は そのロールを 管 理 ( 付 与 および 取 り 消 し) でき 加 えて 基 礎 となるシステム 権 限 も 使 用 することもできます 管 理 権 限 のみが 付 与 された 場 合 は ロール の 管 理 はできますが その 基 礎 となるシステム 権 限 を 使 用 することはできません 最 後 に 管 理 権 限 なしの 場 合 は 基 礎 となるシステム 権 限 の 使 用 のみを 実 行 できます 注 記 SAP IQ 15.4 以 前 から 移 行 する 場 合 SAP IQ 16.0 以 降 での 動 作 では このシステムロールの 基 礎 となるシステム 権 限 の 継 承 の 概 念 が 変 更 されています SAP IQ 15.4 以 前 の 動 作 に 対 しては WITH NO SYSTEM PRIVILEGE INHERITANCE 句 を 使 用 してください WITH ADMIN ONLY OPTION 句 と WITH ADMIN OPTION 句 は WITH NO SYSTEM PRIVILEGE INHERITANCE 句 を 使 用 した 場 合 は 無 効 になります WITH NO ADMIN OPTION 句 は 有 効 ですが WITH NO SYSTEM PRIVILEGE INHERITANCE 句 とセマンティック 上 同 じであるため 必 要 ありません 手 順 SYS_AUTH_OPERATOR_ROLE ロールを 付 与 するには 次 の 文 のいずれかを 実 行 します SAP SE or an SAP affiliate company. All rights reserved.