ユーザの管理

ユーザ管理者は、SAP HANA でユーザを作成および設定します。ユーザ管理者には、すべてのユーザの管理権限を付与するシステム権限 USER ADMIN があります。

SAP HANA では、データベースアカウントの登録時に 2 つの異なるタイプのユーザが存在します。

• 実際のユーザに対応するデータベースユーザ

• テクニカルデータベースユーザ

データベースユーザは、標準ユーザまたは制限付ユーザのいずれかとして登録されます。

データベース管理者は、SAP HANA データベースで作業するすべてのユーザに対してデータベースユーザを登録します。実際のユーザに対応するデータベースユーザは、その個人が企業を退職した場合に削除されます。これは、退職者が所有しているデータベースオブジェクトも自動的に削除され、付与されている権限が自動的に取り消されることを意味します。

制限付ユーザは、最初は標準データベースユーザと比べて以下のように制限されています。

• 独自のデータベーススキーマでオブジェクトを作成する権限がないため、データベースにオブジェクトを作成することはできません。

• 標準 PUBLIC ロールが付与されていない (付与できない) ため、データベース内のデータを表示できません。

• HTTP/HTTPS を使用したデータベースへの接続のみが可能です。

制限されたユーザがアプリケーションを使用できるようにするには、必要なアプリケーション固有のロールを付与します。最初、制限ユーザは HTTP または HTTPS を使用してのみデータベースに接続できます。

テクニカルデータベースユーザは、実際のユーザに対応していないため、ユーザが組織を退職しても削除されません。通常、このタイプのユーザは、オブジェクトの登録や特定のアプリケーションに対する権限の付与など、定期的に実行される管理タスクで使用されます。テクニカルユーザには、ユーザ SYS および _SYS_REPO のように標準で使用できるものもあります。特定のシナリオにアプリケーション固有のユーザが必要な場合、追加の使用ケースを提示することができます。

技術的には、これらのユーザタイプは同じです。異なるのはコンセプトのみです。

実際のユーザに対応するデータベースユーザは、さまざまなタスクに従ってグループ化することができます (この章のレッスン "ユーザグループ" を参照)。

ユーザ管理は、SAP HANA コックピットを使用して設定されます。

ソースシステムからの既存の権限の複製はありません。

すべてのユーザ管理機能は、SQL 要求を使用してコマンドラインから実行することもできます。これは、自動化された処理のスクリプトを使用する場合に便利です。

SAP Identity Management では、SAP HANA データベースでのユーザプロビジョニングの追加サポートが提供されます。

SAP Identity Management 7.2 SP 3 には、SAP HANA データベースへのコネクタ (IDM コネクタ) が含まれています。SAP Identity Management では、SAP HANA データベースで以下のアクションを実行することができます。

• ユーザアカウントの作成および削除

• ロールの割当

• ユーザのパスワードの設定

SAP Identity Management および IDM コネクタの詳細については、SAP Community ()https://www.sap.com/community/topic/identity-management.html を参照してください。

SAP HANA データベースを直接使用するすべてのユーザに対して、標準データベースユーザを登録することができます。ユーザの作成時に、ユーザの認証方法も設定します。これは、SAP HANA コックピットのUserページで実行できます。

ユーザを登録するとき、以下のプロパティを指定します。

• ユーザ名

  一意のユーザ名を入力します。

• オプション: ユーザグループ

  ユーザに割り当てられたユーザグループを入力します。

• オプション: 電子メールアドレス

  ユーザの電子メールアドレスを入力します。

• オプション：有効期間（適切なタイムゾーンを含む）

  ユーザの有効期間を入力します。ユーザアカウントが現在有効期間内にない場合、そのユーザは無効であり、ログオンできません。有効期間が設定されていない場合、ユーザは無期限に有効になります。

• オプション: 独自のスキーマでのオブジェクトの登録

  ユーザが自分のデータベーススキーマでオブジェクトを作成できないようにします。

• オプション: PUBLIC ロール。

  ユーザに標準 PUBLIC ロールが付与されないようにします。

  PUBLIC ロールには、フィルタが適用されたシステムビューへの読込専用アクセスの権限が含まれています。特定のビューのデータを表示するには、そのビューに対する SELECT 権限も必要です。

• オプション: ODBC または JDBC アクセスを無効にします。

  ユーザが ODBC または JDBC 経由でデータベースに接続できるかどうかを示します。デフォルトでは、ODBC および JDBC アクセスは標準ユーザに対して有効になっており、制限付きユーザに対しては無効になっています。つまり、制限付ユーザは HTTP または HTTPS を介してのみ接続できます。

• オプション: コメント

  コメントを入力してください。

• オプション: ユーザの権限が LDAP グループメンバーシップに基づいている場合は、権限モードを LDAP に設定します。

• ユーザの認証方法を指定します。

クライアントアプリケーションの追加のユーザプロパティを設定できます。デフォルトでは、以下のカスタムユーザプロパティを利用できます。

• LOCAL

  これはユーザのロケールです。

• PRIORITY

  これは、スレッドスケジューラがユーザが実行した文を処理する優先度です。優先度は 0-9 の範囲にすることができ、9 が最高の優先度を表します。5 がデフォルトの優先度です。

• ステートメントメモリ制限

  これは、ユーザが実行する文で使用できる最大メモリ (GB 単位) です。

• ステートメントスレッド制限

  ユーザが実行する文で使用できるスレッドの最大数です。

• TIME ZONE

  これはユーザのタイムゾーンです。ロケールおよびタイムゾーンの標準データベース形式がサポートされています。

このパラメータは、force_first_password_change初回ログオン時にユーザが初期パスワードを即時に変更する必要があるかどうかを定義します。

このパラメータが true に設定されている場合でも、ユーザは初期パスワードでログオンすることができます。ただし、アクションを実行するたびに、パスワードを変更する必要があることを示すエラーメッセージが返されます。その場合、次のコマンドのみを実行できます。

1
ALTER USER <current_user> PASSWORD <password>

このパラメータが false に設定されている場合、ユーザは初回ログオン時に初期パスワードをすぐに変更する必要はありません。ただし、ユーザがパラメータmaximum_unused_initial_password_lifetimeで指定された日数の前にパスワードを変更しない場合は、パスワードの有効期限が切れるため、ユーザ管理者がパスワードをリセットする必要があります。

ユーザ管理者 (つまり、システム権限 USER ADMIN を持つユーザ) は、次のコマンドを使用して、いつでもユーザにパスワードの変更を強制できます。

1
ALTER USER <user_name> FORCE PASSWORD CHANGE

ユーザ管理者は、SAP HANA コックピットのユーザ管理アプリまたは以下の SQL コマンドで、個別ユーザに対してこのパスワードポリシー設定を上書きすることができます。

• Code Snippet

  Copy codeSwitch to dark mode

  1
  CREATE USER <user_name> PASSWORD <password> [NO FORCE_FIRST_PASSWORD_CHANGE]

• Code Snippet

  Copy codeSwitch to dark mode

  1
  Alter USER <user_name> PASSWORD <password> [NO FORCE_FIRST_PASSWORD_CHANGE]

このオプションは、以下の状況で役立ちます。

• 生成されたパスワードを持つ新しいテクニカルユーザアカウント (対話的に入力することを意図していません)

• ID 管理システムで生成および管理される新規ユーザ

接続のために、テクニカルユーザを作成する場合があります。このテクニカルユーザのパスワードは絶対に変更しないでください。以下の SQL コマンドを使用して、必須の定期的なパスワード変更を再度有効化することができます。

• Code Snippet

  Copy codeSwitch to dark mode

  1
  ALTER USER <user_name> DISABLE PASSWORD LIFETIME

• Code Snippet

  Copy codeSwitch to dark mode

  1
  ALTER USER <user_name> ENABLE PASSWORD LIFETIME

セキュリティ上の理由でユーザが自動的に無効化されることがあります。たとえば、無効なログオン認証情報を複数回指定することでパスワードポリシールールに違反した場合や、パスワードの有効期限が切れた場合などが挙げられます。ただし、たとえば、従業員が一時的に退職した場合やセキュリティ違反が検出された場合などは、ユーザ管理者としてユーザの無効化が必要になる場合があります。

ユーザアカウントを無効化した後、管理者がユーザのパスワードをリセットするか、ユーザを再度有効化するまで、ユーザは SAP HANA データベースにログオンできません。

ユーザを明示的に無効化した場合や、ユーザによる無効なログオン試行回数が多すぎる場合などに、ユーザ管理者がユーザを再有効化する必要が生じることがあります。

以下のようにユーザを無効化または有効化することができます。

• SAP HANA cockpit User ページで、

• SQL コマンドを使用

システムデータベースとすべてのテナントデータベースには、それぞれ独自の SYSTEM ユーザが存在します。システム管理者は、SYSTEM ユーザのパスワードが回復不能な形で失われた場合、リセットすることができます。