データ移行ユーザー権限

ソース側の権限に関する説明

OceanBaseデータベースのOracle互換モードで、**クラスタインスタンス（トランザクション型）**タイプをソースとして使用する場合は、OceanBaseデータベースのユーザーを作成する必要があります。

OceanBaseデータベースのOracle互換モードで、**自己構築データベース**タイプをソースとして使用する場合は、OceanBaseデータベースのユーザーとsysテナントのユーザー（オプション）を作成する必要があります。

• OceanBaseデータベースユーザーの作成と権限付与

  ここで作成するOceanBaseデータベースユーザーは、**インスタンスタイプをクラスタインスタンス（トランザクション型）または自己構築データベースに設定したOceanBase Oracle Compatible Modeデータソースを作成する際に、データベースアカウント**に入力するために使用されます。

  システム管理者としてOceanBaseデータベースにログインし、以下のコマンドを実行します。

  -- ソース側のビジネステナント内に、データ移行用のユーザーを作成します。
  CREATE USER '<user_name>' IDENTIFIED BY <password>;
  
  -- GRANTステートメントを使用して、作成したデータベースユーザーにDBA権限を付与します。
  GRANT DBA TO '<user_name>";
  
  -- OceanBaseデータベースのOracle互換モードV4.0.0以降では、ソース側の移行ユーザーはDBA_OB_ARCHIVELOGのSELECT権限も必要です。
  GRANT SELECT ON DBA_OB_ARCHIVELOG TO '<user_name'>
  
  -- OceanBaseデータベースのOracle互換モードV4.2.0以降では、ソース側の移行ユーザーはDBA_OB_TABLE_LOCATIONSのSELECT権限も必要です。
  GRANT SELECT ON DBA_OB_TABLE_LOCATIONS TO '<user_name>';
  

• sysテナントユーザーの作成と権限付与

  OceanBaseのオンプレミスデータベースを選択し、増分ログデータとデータベースオブジェクト構造情報を読み取る必要がある場合は、ソース側のsysテナント内にユーザーを作成してください。

  ここで作成するsysテナントユーザーは、インスタンスタイプを自己構築データベースに設定したOceanBase Oracle Compatible Modeデータソースを作成する際に、詳細設定 > **システムテナントアカウントを有効にした後に、システムアカウント**に入力するために使用されます。

  システム管理者としてOceanBaseデータベースにログインし、以下のコマンドを実行します。

  -- sysテナント内にユーザーを作成し、OceanBaseデータベースの増分ログデータとデータベースオブジェクト構造情報を読み取ります。
  CREATE USER <drc_user> IDENTIFIED BY '<drc_password'>
  
  -- GRANTステートメントを使用して、作成したデータベースユーザーにSELECT ON *.*権限を付与します。
  GRANT SELECT ON <database_name>.* TO <drc_user>;
  

ターゲット側の権限について

移行ユーザーに権限を付与する方法は以下の2つです：

• 方法1

  以下のステートメントを実行します。操作は簡単ですが、付与されるユーザー権限は高くなります。

  GRANT DBA TO '<user_name>';
  

• 方法2

  ユーザーに対して業務データベースの各種テーブルに対する権限を付与します。複数の業務データベースが存在する場合は、それぞれに対して権限を付与してください。

  GRANT CONNECT TO '<user_name>';
  GRANT CREATE SESSION, ALTER SESSION, SELECT ANY TABLE, SELECT ANY DICTIONARY TO '<user_name>';
  GRANT CREATE ANY TABLE, CREATE ANY INDEX, CREATE ANY VIEW, INSERT ANY TABLE, UPDATE ANY TABLE, ALTER ANY TABLE, DELETE ANY TABLE TO '<user_name>';
  

ソース側の権限について

-- データベースユーザーは、移行対象のデータベースに対する読み取り権限が必要です。MySQLデータベースV8.0の場合は、SHOW VIEW権限も追加で付与してください。
GRANT SELECT ON <database_name>.* TO '<user_name'>

-- MySQLデータベースの増分同期時には、データベースユーザーにREPLICATION CLIENT、REPLICATION SLAVE、SELECT *.*権限が必要です。
-- 増分同期時に、ソース側のすべてのテーブルに対する読み取り権限が欠けていると、タスクが異常終了する可能性があります。以下のコマンドにおける[WITH GRANT OPTION]はオプションパラメータです。
GRANT REPLICATION CLIENT, REPLICATION SLAVE ON *.* TO '<user_name>' [WITH GRANT OPTION];
GRANT SELECT ON *.* TO '<user_name>';

ターゲット側の権限説明

MySQLデータベースがターゲット側となる場合、移行ユーザーはターゲット側データベースに対する CREATE、CREATE VIEW、INSERT、UPDATE、および DELETE 権限を持っている必要があります。

GRANT <privilege_type> ON <database_name>.<table_name> TO '<user_name>'@'<host_name>' [WITH GRANT OPTION];

Oracleデータベースがソース側としての正方向移行時とターゲット側としての逆方向戻り時で必要な権限は一致しています。

12C以前のDBAユーザー権限付与説明

ユーザーの環境が許す場合、移行ユーザーにデータベース管理者（DBA）ロールを付与し、かつOracleデータベースのバージョンが12C以前であれば、以下のステートメントを実行するだけで、移行ユーザーにDBA権限を付与できます。

GRANT DBA TO <user_name>;

12C以前のOracleデータベースにおける非DBAユーザー権限付与の説明

ユーザー環境で移行ユーザーへの権限付与が慎重な場合、かつOracleデータベースのバージョンが12C以前の場合、操作は以下のとおりです：

1. CONNECT権限を付与します。

   GRANT CONNECT TO <user_name>;
   

2. 移行ユーザーにCREATE SESSION、ALTER SESSION、SELECT ANY TRANSACTION、SELECT ANY TABLE、SELECT ANY DICTIONARY権限を付与します。

   GRANT CREATE SESSION, ALTER SESSION,
   SELECT ANY TRANSACTION, SELECT ANY TABLE, SELECT ANY DICTIONARY TO <user_name>;
   

3. 移行ユーザーにLOGMINER関連権限を付与します。

   GRANT EXECUTE ON SYS.DBMS_LOGMNR TO <user_name>;
   

4. 移行ユーザーにCREATE TABLEおよびUNLIMITED TABLESPACE権限を付与します。

   GRANT CREATE TABLE, UNLIMITED TABLESPACE TO <user_name>;
   

5. 移行するスキーマ名とuser_nameが一致する場合、以下のステートメントを実行します。

   GRANT CREATE SEQUENCE,CREATE VIEW TO <user_name>;
   

   移行するスキーマ名とuser_nameが一致しない場合、以下のステートメントを実行します。

   GRANT CREATE ANY TABLE,CREATE ANY INDEX,DROP ANY TABLE,ALTER ANY TABLE,COMMENT ANY TABLE,
   DROP ANY INDEX,ALTER ANY INDEX,CREATE ANY SEQUENCE,ALTER ANY SEQUENCE,DROP ANY SEQUENCE,
   CREATE ANY VIEW,DROP ANY VIEW,INSERT ANY TABLE,DELETE ANY TABLE,UPDATE ANY TABLE TO <user_name>;
   

   以下のステートメントを実行することもできます。

   GRANT CREATE ANY TABLE,CREATE ANY INDEX,DROP ANY TABLE,ALTER ANY TABLE,COMMENT ANY TABLE,
   DROP ANY INDEX,ALTER ANY INDEX,CREATE ANY SEQUENCE,ALTER ANY SEQUENCE,DROP ANY SEQUENCE,
   CREATE ANY VIEW,DROP ANY VIEW TO <user_name>;
   # Oracleデータベースに移行する指定テーブルを追加します。
   GRANT DELETE, INSERT, UPDATE ON <データベース名>.<テーブル名> TO <user_name>;
   

12C以降のDBAユーザー権限付与に関する説明

ユーザーの環境が移行ユーザーにデータベース管理者（DBA）ロールを付与できる場合、かつOracleデータベースのバージョンが12C以降である場合は、12C/18C/19Cのプラガブルデータベース（PDB）を使用しているかどうかを区別する必要があります。

• 非PDB

  1. 以下の権限付与ステートメントを実行し、移行ユーザーにDBA権限を付与します。

     GRANT DBA TO <user_name>;
     

  2. 以下のステートメントを実行し、移行ユーザーにSYS.USER$テーブルの読み取り権限を付与します。

     GRANT SELECT ON SYS.USER$ TO <user_name>;
     

• PDB

  OracleデータベースからOceanBaseデータベースのOracle互換モードへの移行元が12C/18C/19Cのプラガブルデータベース（PDB）の場合、PDBを取得するアカウントはCommonユーザーである必要があります。

  1. 以下のステートメントを実行し、CDB$ROOTに切り替えます。

     ALTER SESSION SET CONTAINER=CDB$ROOT;
     

     すべてのCommonユーザーはRootコンテナ（CDB$ROOTという名前で呼ばれる）や、接続権限を持つ任意のPDBに接続し、関連する操作を実行できます。

  2. 以下のステートメントを実行し、移行ユーザーにDBA権限を付与します。

     GRANT DBA TO C##XXX CONTAINER=ALL;
     

  3. 以下のステートメントを実行し、移行ユーザーにSYS.USER$テーブルの読み取り権限を付与します。

     GRANT SELECT ON SYS.USER$ TO C##XXX CONTAINER=ALL;
     

12C以降の非DBAユーザー権限付与に関する説明

ユーザー環境で移行ユーザーへの権限付与が慎重な場合、かつOracleデータベースのバージョンが12C以降の場合、操作は以下のとおりです：

• 非PDB

  1. CONNECT権限を付与します。

     GRANT CONNECT TO <user_name>;
     

  2. 以下のステートメントを実行し、移行ユーザーにSYS.USER$テーブルの読み取り権限を付与します。

     GRANT SELECT ON SYS.USER$ TO <user_name>;
     

  3. 移行ユーザーにCREATE SESSION、ALTER SESSION、SELECT ANY TRANSACTION、SELECT ANY TABLE、SELECT ANY DICTIONARY権限を付与します。

     GRANT CREATE SESSION, ALTER SESSION, SELECT ANY TRANSACTION, SELECT ANY TABLE, SELECT ANY DICTIONARY TO <user_name>;
     

  4. 移行ユーザーにLOGMINER関連権限を付与します。

     GRANT LOGMINING TO <user_name>;
     GRANT EXECUTE ON SYS.DBMS_LOGMNR TO <user_name>;
     

  5. 移行ユーザーにCREATE TABLEおよびUNLIMITED TABLESPACE権限を付与します。

     GRANT CREATE TABLE, UNLIMITED TABLESPACE TO <user_name>;
     

  6. 移行するSchema名がuser_nameと一致する場合、以下のステートメントを実行します。

     GRANT CREATE SEQUENCE,CREATE VIEW TO <user_name>;
     

     移行するSchema名がuser_nameと一致しない場合、以下のステートメントを実行します。

     GRANT CREATE ANY TABLE,CREATE ANY INDEX,DROP ANY TABLE,ALTER ANY TABLE,COMMENT ANY TABLE,
     DROP ANY INDEX,ALTER ANY INDEX,CREATE ANY SEQUENCE,ALTER ANY SEQUENCE,DROP ANY SEQUENCE,
     CREATE ANY VIEW,DROP ANY VIEW,INSERT ANY TABLE,DELETE ANY TABLE,UPDATE ANY TABLE TO <user_name>;
     

• PDB

  OracleデータベースからOceanBaseデータベースのOracle互換モードへ移行する際、ソース側が12C/18C/19Cのプラガブルデータベース(Pluggable DataBase、PDB)である場合、PDBからデータを取得するアカウントはCommonユーザーである必要があります。

  1. CONNECT権限を付与します。

     GRANT CONNECT TO <C##XXX> CONTAINER=ALL;
     

  2. 以下のステートメントを実行し、移行ユーザーにSYS.USER$テーブルの読み取り権限を付与します。

     GRANT SELECT ON SYS.USER$ TO <C##XXX> CONTAINER=ALL;
     

  3. 移行ユーザーにCREATE SESSION、ALTER SESSION、SELECT ANY TRANSACTION、SELECT ANY TABLE、SELECT ANY DICTIONARY権限を付与します。

     GRANT CREATE SESSION, ALTER SESSION,
     SELECT ANY TRANSACTION, SELECT ANY TABLE, SELECT ANY DICTIONARY TO <C##XXX> CONTAINER=ALL;
     

  4. 移行ユーザーにLOGMINER関連権限を付与します。

     GRANT LOGMINING TO <C##XXX> CONTAINER=ALL;
     GRANT EXECUTE ON SYS.DBMS_LOGMNR TO <C##XXX> CONTAINER=ALL;
     

  5. 移行ユーザーにCREATE TABLEおよびUNLIMITED TABLESPACE権限を付与します。

     GRANT CREATE TABLE, UNLIMITED TABLESPACE TO <C##XXX> CONTAINER=ALL;
     

  6. 移行するSchema名がC##XXXと一致する場合、以下のステートメントを実行します。

     GRANT CREATE SEQUENCE, CREATE VIEW TO <C##XXX> CONTAINER=ALL;
     

     移行するSchema名がC##XXXと一致しない場合、以下のステートメントを実行します。

     GRANT CREATE ANY TABLE, CREATE ANY INDEX, DROP ANY TABLE, ALTER ANY TABLE, COMMENT ANY TABLE,
     DROP ANY INDEX, ALTER ANY INDEX,CREATE ANY SEQUENCE,ALTER ANY SEQUENCE, DROP ANY SEQUENCE,
     CREATE ANY VIEW, DROP ANY VIEW, INSERT ANY TABLE, DELETE ANY TABLE, UPDATE ANY TABLE TO <C##XXX> CONTAINER=ALL;
     

ソース側の権限説明

PostgreSQLデータベースをソースとしてデータ移行を行う場合、増分同期が必要かどうかに応じて、データベースユーザーが持つ必要がある権限も異なります。

• 構造移行またはフル移行のみ

  データ移行タスクに増分同期のステップが含まれない場合、移行ユーザーは移行対象のデータベースに対する読み取り権限を持っている必要があります。権限付与ステートメントは以下のとおりです。

  GRANT CONNECT ON DATABASE <database_name> TO <user_name>;
  GRANT USAGE ON SCHEMA <schema_name> TO <user_name>;
  GRANT SELECT ON ALL TABLES IN SCHEMA <schema_name> TO <user_name>;
  

• 増分同期を含む場合

  データ移行タスクに増分同期のステップが含まれる場合、移行ユーザーは以下のいずれかの条件を満たしている必要があります。

  方法1：スーパーユーザー（オンプレミスのPostgreSQLに推奨）。

  -- ユーザーの作成
  CREATE USER <user_name> WITH PASSWORD '<password'>;
  
  -- スーパーユーザー権限の付与
  ALTER USER <user_name> WITH SUPERUSER;
  

  方法2：クラウドベンダーの高権限アカウント（RDS PostgreSQL用）。

  異なるクラウドベンダーのRDS PostgreSQLインスタンスでは、実際のスーパーユーザーを作成することはできませんが、同等の権限を持つ高権限アカウントを提供しています。

  • アリババクラウドRDS PostgreSQL：データベースユーザーはpg_rds_superuserロールを持っている必要があります。以下のステートメントで確認できます。

    SELECT pg_has_role('<user_name>', 'pg_rds_superuser', 'member');
    

  • AWS RDS PostgreSQL：データベースユーザーはrds_superuserロールを持っている必要があります。

  • テンセントクラウドTencentDB PosrgreSQL：データベースユーザーはpg_tencentdb_superuserロールを持っている必要があります。

  • 华為クラウドRDS PostgreSQL：データベースユーザーは、デフォルトで提供される高権限アカウントrootです。

  説明

  • 増分同期では、PostgreSQLインスタンスの論理レプリケーション機能にアクセスする必要があるため、ユーザーにはスーパーユーザー権限またはクラウドベンダーが提供する同等の高権限が必要です。
  • クラウドベンダーのRDS PostgreSQLインスタンスの場合、一部の設定は該当するクラウドコンソールで変更する必要があります。

ターゲット側の権限説明

PostgreSQLデータベースをターゲットとする場合、移行ユーザーは以下の権限を持っている必要があります。

• データベース接続権限

  GRANT CONNECT ON DATABASE <database_name> TO <user_name>;
  

• ターゲットスキーマの使用権限

  GRANT USAGE ON SCHEMA <schema_name> TO <user_name>;
  

• ターゲットテーブルへの書き込み権限

  -- 既存のテーブルに権限を付与
  GRANT SELECT, INSERT, UPDATE, DELETE ON ALL TABLES IN SCHEMA <schema_name> TO <user_name>;
  
  -- 将来作成されるテーブルに対する自動権限付与
  ALTER DEFAULT PRIVILEGES IN SCHEMA <schema_name>
  GRANT SELECT, INSERT, UPDATE, DELETE ON TABLES TO <user_name>;
  

TiDBデータベースユーザーの作成

1. TiDBデータベースにログインします。

2. CREATE USER ステートメントを使用して新しいユーザーを作成します。

   CREATE USER '<user_name>'@'<host_name>' IDENTIFIED BY '<user_password>';
   

   パラメータ	説明
   user_name	作成するユーザー名。
   host_name	このユーザーがログインできるホスト。任意のホストからデータベースにログインを許可する場合は、パーセント記号（%）を使用します。
   user_password	作成するユーザーのパスワード。

   例えば、test という名前のユーザーを作成します。このユーザーは任意のホストからTiDBデータベースにログインでき、ログインパスワードは password に設定されます。

   CREATE USER 'test'@'%' IDENTIFIED BY 'password';
   

3. GRANT ステートメントを使用して、作成したデータベースユーザーに権限を付与します。

ソース側の権限説明

-- データベースユーザーは、移行対象のデータベースに対する読み取り権限が必要です。
GRANT SELECT ON <database_name>.* TO '<user_name'>

-- TiDBデータベースの増分同期時には、データベースユーザーはREPLICATION CLIENT、REPLICATION SLAVE、およびSELECT *.*権限が必要です。
GRANT REPLICATION CLIENT, REPLICATION SLAVE ON *.* TO '<user_name>' [WITH GRANT OPTION];
GRANT SELECT ON *.* TO '<user_name>';

ターゲット側の権限説明

TiDBデータベースがターゲット側の場合、移行ユーザーは CREATE、CREATE VIEW、INSERT、UPDATE、および DELETE 権限が必要です。

GRANT <privilege_type> ON <database_name>.<table_name> TO '<user_name>'@'<host_name>' [WITH GRANT OPTION];

Kafkaに認証が存在する場合は、Kafkaデータソースの作成を参照してください。

Kafkaがターゲット側の場合、移行ユーザーは以下の操作を実行する権限が必要です：

• Topicの作成と表示

• Topic Partition情報の表示

• Recordの書き込み

• Recordの読み取り