データ移行ユーザー権限

ソース側権限の説明

OceanBase データベース Oracle互換モードの フラッグシップ版インスタンス タイプをソース側として使用する場合、OceanBase データベースユーザーを作成する必要があります。

OceanBase データベース Oracle互換モードの オンプレデータベース タイプをソース側として使用する場合、OceanBase データベースユーザーと sys テナントユーザー（オプション）を作成する必要があります。

• OceanBase データベースユーザーの作成と権限付与

  ここで作成する OceanBase データベースユーザーは、インスタンスタイプ が フラッグシップ版インスタンス または オンプレデータベース の OceanBase Oracle Compatible Mode データソースを作成する際に、データベースアカウント として入力します。

  システム管理者として OceanBase データベースにログインし、以下のコマンドを実行します。

  -- ソース側の業務テナントで、データ移行用のユーザーを作成します。
  CREATE USER '<user_name>' IDENTIFIED BY <password>;
  
  -- GRANT ステートメントを使用して、作成したデータベースユーザーに DBA 権限を付与します。
  GRANT DBA TO '<user_name>';
  
  -- OceanBase データベース Oracle互換モード V4.0.0 以降のバージョンでは、ソース側の移行ユーザーは DBA_OB_ARCHIVELOG の SELECT 権限も必要です。
  GRANT SELECT ON DBA_OB_ARCHIVELOG TO '<user_name>';
  
  -- OceanBase データベース Oracle互換モード V4.2.0 以降のバージョンでは、ソース側の移行ユーザーは DBA_OB_TABLE_LOCATIONS の SELECT 権限も必要です。
  GRANT SELECT ON DBA_OB_TABLE_LOCATIONS TO '<user_name>';
  

• sys テナントユーザーの作成と権限付与

  OceanBase 自己構築データベースを選択し、増分ログデータとデータベースオブジェクト構造情報を読み取る必要がある場合は、ソース側の sys テナントでユーザーを作成してください。

  ここで作成する sys テナントユーザーは、インスタンスタイプ が 自己管理型データベース の OceanBase Oracle Compatible Mode データソースを作成する際に、詳細設定 > システムテナントアカウント を有効にした後、システムアカウント として入力します。

  システム管理者として OceanBase データベースにログインし、以下のコマンドを実行します。

  -- sys テナントで、OceanBase データベースの増分ログデータとデータベースオブジェクト構造情報を読み取るためのユーザーを作成します。
  CREATE USER <drc_user> IDENTIFIED BY '<drc_password>';
  
  -- GRANT ステートメントを使用して、作成したデータベースユーザーに SELECT ON *.* 権限を付与します。
  GRANT SELECT ON *.* TO <drc_user>;
  

ターゲット側権限の説明

移行ユーザーには、以下の2つの方法で権限を付与できます：

• 方法1

  以下のステートメントを実行します。操作は比較的簡単ですが、ユーザーに付与される権限は大きくなります。

  GRANT DBA TO '<user_name>';
  

• 方法2

  ユーザーに業務データベーステーブルに対する各種権限を付与します。複数の業務データベースが存在する場合は、それぞれに権限を付与してください。

  GRANT CONNECT TO '<user_name>';
  GRANT CREATE SESSION, ALTER SESSION, SELECT ANY TABLE, SELECT ANY DICTIONARY TO '<user_name>';
  GRANT CREATE ANY TABLE, CREATE ANY INDEX, CREATE ANY VIEW, INSERT ANY TABLE, UPDATE ANY TABLE, ALTER ANY TABLE, DELETE ANY TABLE TO '<user_name>';
  

ソース側権限の説明

-- データベースユーザーは、移行対象のデータベースに対して読み取り権限が必要です。MySQL データベース V8.0 の場合は、追加で SHOW VIEW 権限を付与してください。
GRANT SELECT ON <database_name>.* TO '<user_name>';

-- MySQL データベースの増分同期時には、データベースユーザーは REPLICATION CLIENT、REPLICATION SLAVE、および SELECT *.* 権限が必要です。
-- 増分同期時に、ソース側のすべてのテーブルに対する読み取り権限が不足している場合、タスクが異常終了する可能性があります。以下のコマンドの [WITH GRANT OPTION] はオプションパラメータです。
GRANT REPLICATION CLIENT, REPLICATION SLAVE ON *.* TO '<user_name>' [WITH GRANT OPTION];
GRANT SELECT ON *.* TO '<user_name>';

ターゲット側権限の説明

• MySQL データベースをターゲット側として使用する場合、移行ユーザーはターゲット側データベースの CREATE、CREATE VIEW、INSERT、UPDATE、および DELETE 権限が必要がです。

  GRANT <privilege_type> ON <database_name>.<table_name> TO '<user_name>'@'<host_name>' [WITH GRANT OPTION];
  

  パラメータ	説明
  privilege_type	このアカウントに CREATE、INSERT、UPDATE などの操作権限を付与します。すべてのアカウントにすべての権限を付与する必要がある場合は、ALL を使用してください。
  database_name	データベースの名前。このアカウントにすべてのデータベースの操作権限を付与する必要がある場合は、アスタリスク（*）を使用してください。
  table_name	テーブルの名前。このアカウントにすべてのテーブルの操作権限を付与する必要がある場合は、アスタリスク（*）を使用してください。
  user_name	権限を付与するアカウント。
  host_name	このアカウントのログインを許可するホストです。このアカウントが任意のホストからのログインを許可する場合は、パーセント記号（%）を使用してください。
  WITH GRANT OPTION	このアカウントに GRANT コマンドを使用する権限を付与します。このパラメータはオプションです。

• 構造移行を行う際、ビューとインデックスの移行にはそれぞれ以下の権限が必要です。

  • 構造移行ビューの場合、データベースの SELECT 権限が必要です。

  GRANT SELECT ON <database_name>.* TO '<user_name>';
  

  • 構造移行インデックスの場合、データベースの INDEX 権限が必要です。

    GRANT INDEX ON <database_name>.* TO '<user_name>';
    

• データベースユーザーはトリガー権限が必要です。

  この権限は、ターゲット側にトリガーが存在するかどうかを確認するために使用されます。存在する場合、データ不整合が発生する可能性があります。

  GRANT TRIGGER ON *.* TO '<user_name>';
  

  または

  GRANT TRIGGER ON <database_name>.* TO '<user_name>';
  

• OceanBase データベース MySQL互換モードから MySQL データベースへの双方向同期タスクでは、ターゲット側は oms データベースの SELECT、CREATE、INSERT、および UPDATE 権限が必要です。

  GRANT SELECT, CREATE, INSERT, UPDATE ON oms.* TO '<user_name>';
  

Oracle データベースをソース側とする順方向移行と、ターゲット側とする逆方向リバース移行に必要な権限は同じです。

12C より前の DBA ユーザー権限付与の説明

ユーザーの環境で移行ユーザーにデータベース管理者（DBA）ロールを付与することが許可されており、Oracle データベースのバージョンが 12C より前のバージョンである場合、以下のステートメントを実行して移行ユーザーに DBA 権限を付与するだけで十分です。

GRANT DBA TO <user_name>;

12C より前の非 DBA ユーザー権限付与の説明

ユーザー環境で移行ユーザーへの権限付与がより慎重に行われる必要があり、Oracle データベースのバージョンが 12C より前のバージョンである場合、操作は以下のとおりです：

1. CONNECT 権限を付与します。

   GRANT CONNECT TO <user_name>;
   

2. 移行ユーザーに CREATE SESSION、ALTER SESSION、SELECT ANY TRANSACTION、SELECT ANY TABLE、および SELECT ANY DICTIONARY 権限を付与します。

GRANT CREATE SESSION, ALTER SESSION,
 SELECT ANY TRANSACTION, SELECT ANY TABLE, SELECT ANY DICTIONARY TO <user_name>;

3. 移行ユーザーに LOGMINER 関連権限を付与します。

   GRANT EXECUTE ON SYS.DBMS_LOGMNR TO <user_name>;
   

4. 移行ユーザーに CREATE TABLE および UNLIMITED TABLESPACE 権限を付与します。

   GRANT CREATE TABLE, UNLIMITED TABLESPACE TO <user_name>;
   

5. 移行するスキーマ名が user_name と一致する場合、以下のステートメントを実行します。

   GRANT CREATE SEQUENCE,CREATE VIEW TO <user_name>;
   

   移行するスキーマ名が user_name と一致しない場合、以下のステートメントを実行します。

   GRANT CREATE ANY TABLE,CREATE ANY INDEX,DROP ANY TABLE,ALTER ANY TABLE,COMMENT ANY TABLE,
   DROP ANY INDEX,ALTER ANY INDEX,CREATE ANY SEQUENCE,ALTER ANY SEQUENCE,DROP ANY SEQUENCE,
   CREATE ANY VIEW,DROP ANY VIEW,INSERT ANY TABLE,DELETE ANY TABLE,UPDATE ANY TABLE TO <user_name>;
   

   または、以下のステートメントを実行することもできます。

   GRANT CREATE ANY TABLE,CREATE ANY INDEX,DROP ANY TABLE,ALTER ANY TABLE,COMMENT ANY TABLE,
   DROP ANY INDEX,ALTER ANY INDEX,CREATE ANY SEQUENCE,ALTER ANY SEQUENCE,DROP ANY SEQUENCE,
   CREATE ANY VIEW,DROP ANY VIEW TO <user_name>;
   # Oracle データベースに移行する必要がある指定されたテーブルを追加します。
   GRANT DELETE, INSERT, UPDATE ON <データベース名>.<テーブル名> TO <user_name>;
   

12C 以降の DBA ユーザー権限付与の説明

ユーザーの環境で移行ユーザーにデータベース管理者（DBA）ロールを付与することが許可されており、Oracle データベースのバージョンが 12C 以降のバージョンである場合、12C/18C/19C のプラガブルデータベース（PDB）を使用するかどうかを区別する必要があります。

• 非 PDB

  1. 以下の承認ステートメントを実行して、移行ユーザーに DBA 権限を付与します。

GRANT DBA TO <user_name>;

2. 以下のステートメントを実行して、移行ユーザーに SYS.USER$ テーブルに対する読み取り権限を付与します。

   GRANT SELECT ON SYS.USER$ TO <user_name>;
   

• PDB

  Oracle データベースを OceanBase データベース Oracle互換モードに移行する際のソース側が 12C/18C/19C のプラガブルデータベース（PDB）である場合、PDB をプルするアカウントは Common ユーザーである必要があります。

  1. 以下のステートメントを実行して、CDB$ROOT に切り替えます。

     ALTER SESSION SET CONTAINER=CDB$ROOT;
     

     各 Common ユーザーは、Root コンテナ（CDB$ROOT と命名）、および接続権限を持つ任意の PDB に接続し、関連操作を実行できます。

  2. 以下のステートメントを実行して、移行ユーザーに DBA 権限を付与します。

     GRANT DBA TO C##XXX CONTAINER=ALL;
     

  3. 以下のステートメントを実行して、移行ユーザーに SYS.USER$ テーブルに対する読み取り権限を付与します。

     GRANT SELECT ON SYS.USER$ TO C##XXX CONTAINER=ALL;
     

12C 以降の非 DBA ユーザー権限付与の説明

ユーザー環境で移行ユーザーへの権限付与がより慎重に行われる必要があり、Oracle データベースのバージョンが 12C 以降のバージョンである場合、操作は以下のとおりです：

• 非 PDB

  1. CONNECT 権限を付与します。

  GRANT CONNECT TO <user_name>;
  

  2. 以下のステートメントを実行して、移行ユーザーに SYS.USER$ テーブルに対する読み取り権限を付与します。

     GRANT SELECT ON SYS.USER$ TO <user_name>;
     

  3. 移行ユーザーに CREATE SESSION、ALTER SESSION、SELECT ANY TRANSACTION、SELECT ANY TABLE、および SELECT ANY DICTIONARY 権限を付与します。

  GRANT CREATE SESSION, ALTER SESSION, SELECT ANY TRANSACTION, SELECT ANY TABLE, SELECT ANY DICTIONARY TO <user_name>;
  

  4. 移行ユーザーに LOGMINER 関連権限を付与します。

     GRANT LOGMINING TO <user_name>;
     GRANT EXECUTE ON SYS.DBMS_LOGMNR TO <user_name>;
     

  5. 移行ユーザーに CREATE TABLE および UNLIMITED TABLESPACE 権限を付与します。

  GRANT CREATE TABLE, UNLIMITED TABLESPACE TO <user_name>;
  

  6. 移行するスキーマ名が user_name と一致する場合、以下のステートメントを実行します。

  GRANT CREATE SEQUENCE,CREATE VIEW TO <user_name>;
  

  移行するスキーマ名が user_name と一致しない場合、以下のステートメントを実行します。

  GRANT CREATE ANY TABLE,CREATE ANY INDEX,DROP ANY TABLE,ALTER ANY TABLE,COMMENT ANY TABLE,
  DROP ANY INDEX,ALTER ANY INDEX,CREATE ANY SEQUENCE,ALTER ANY SEQUENCE,DROP ANY SEQUENCE,
  CREATE ANY VIEW,DROP ANY VIEW,INSERT ANY TABLE,DELETE ANY TABLE,UPDATE ANY TABLE TO <user_name>;
  

• PDB

  Oracle データベースを OceanBase データベース Oracle互換モードに移行する際のソース側が 12C/18C/19C のプラガブルデータベース（PDB）である場合、PDB をプルするアカウントは Common ユーザーである必要があります。

  1. CONNECT権限を付与します。

     GRANT CONNECT TO <C##XXX> CONTAINER=ALL;
     

  2. 以下のステートメントを実行して、移行ユーザーに SYS.USER$ テーブルに対する読み取り権限を付与します。

     GRANT SELECT ON SYS.USER$ TO <C##XXX> CONTAINER=ALL;
     

  3. 移行ユーザーに CREATE SESSION、ALTER SESSION、SELECT ANY TRANSACTION、SELECT ANY TABLE、および SELECT ANY DICTIONARY 権限を付与します。

  GRANT CREATE SESSION, ALTER SESSION,
     SELECT ANY TRANSACTION, SELECT ANY TABLE, SELECT ANY DICTIONARY TO <C##XXX> CONTAINER=ALL;
  

  4. 移行ユーザーに LOGMINER 関連権限を付与します。

     GRANT LOGMINING TO <C##XXX> CONTAINER=ALL;
     GRANT EXECUTE ON SYS.DBMS_LOGMNR TO <C##XXX> CONTAINER=ALL;
     

  5. 移行ユーザーに CREATE TABLE および UNLIMITED TABLESPACE 権限を付与します。

  GRANT CREATE TABLE, UNLIMITED TABLESPACE TO <C##XXX> CONTAINER=ALL;
  

  6. 移行するスキーマ名が C##XXX と一致する場合、以下のステートメントを実行します。

     GRANT CREATE SEQUENCE, CREATE VIEW TO <C##XXX> CONTAINER=ALL;
     

     移行するスキーマ名が C##XXX と一致しない場合、以下のステートメントを実行します。

  GRANT CREATE ANY TABLE, CREATE ANY INDEX, DROP ANY TABLE, ALTER ANY TABLE, COMMENT ANY TABLE,
     DROP ANY INDEX, ALTER ANY INDEX,CREATE ANY SEQUENCE,ALTER ANY SEQUENCE, DROP ANY SEQUENCE,
     CREATE ANY VIEW, DROP ANY VIEW, INSERT ANY TABLE, DELETE ANY TABLE, UPDATE ANY TABLE TO <C##XXX> CONTAINER=ALL;
  

ソース側権限の説明

PostgreSQL データベースをソース側としてデータ移行を行う際、増分同期が必要かどうかに応じて、データベースユーザーが必要とする権限も異なります。

• 構造移行のみ、または全量移行

  データ移行タスクが増分同期ステップを含まない場合、移行ユーザーは移行対象データベースに対して読み取り権限が必要がです。承認ステートメントは以下のとおりです。

  GRANT CONNECT ON DATABASE <database_name> TO <user_name>;
  GRANT USAGE ON SCHEMA <schema_name> TO <user_name>;
  GRANT SELECT ON ALL TABLES IN SCHEMA <schema_name> TO <user_name>;
  

• 増分同期を含む

  データ移行タスクが増分同期ステップを含む場合、移行ユーザーは以下のいずれかの条件を満たす必要があります。

  方法1：スーパーユーザー（自己構築 PostgreSQL に推奨）。

  -- ユーザーを作成します
  CREATE USER <user_name> WITH PASSWORD '<password>';
  
  -- スーパーユーザー権限を付与します
  ALTER USER <user_name> WITH SUPERUSER;
  

  方法2：クラウドベンダーの高権限アカウント（RDS PostgreSQL に使用）。

  異なるクラウドベンダーの RDS PostgreSQL インスタンスでは、正式なスーパーユーザーの作成は許可されていませんが、類似の権限を持つ高権限アカウントが提供されています。

  • Alibaba Cloud RDS PostgreSQL：データベースユーザーは pg_rds_superuser ロールが必要です。以下のステートメントで検証できます。

    SELECT pg_has_role('<user_name>', 'pg_rds_superuser', 'member');
    

  • AWS RDS PostgreSQL：データベースユーザーは rds_superuser ロールが必要です。

  • Tencent Cloud TencentDB PostgreSQL：データベースユーザーは pg_tencentdb_superuser ロールが必要です。

  • Huawei Cloud RDS PostgreSQL：データベースユーザーはデフォルトで提供される高権限アカウント root です。

ターゲット側権限の説明

PostgreSQL データベースをターゲット側として使用する場合、移行ユーザーは以下の権限が必要です。

• データベース接続権限

  GRANT CONNECT ON DATABASE <database_name> TO <user_name>;
  

• ターゲットスキーマの使用権限

  GRANT USAGE ON SCHEMA <schema_name> TO <user_name>;
  

• ターゲットテーブルへの書き込み権限

  -- 既存のテーブルに権限を付与
  GRANT SELECT, INSERT, UPDATE, DELETE ON ALL TABLES IN SCHEMA <schema_name> TO <user_name>;
  
  -- 将来作成されるテーブルに自動的に権限を付与
  ALTER DEFAULT PRIVILEGES IN SCHEMA <schema_name>
  GRANT SELECT, INSERT, UPDATE, DELETE ON TABLES TO <user_name>;
  

TiDB データベースユーザーの作成

1. TiDB データベースにログインします。

2. CREATE USER ステートメントを使用して新しいユーザーを作成します。

   CREATE USER '<user_name>'@'<host_name>' IDENTIFIED BY '<user_password>';
   

   パラメータ	説明
   user_name	作成するユーザー名。
   host_name	このユーザーのログインを許可するホストです。このユーザーが任意のホストからデータベースにログインすることを許可する場合は、パーセント記号（%）を使用してください。
   user_password	作成するユーザーのパスワード。

   例えば、test という名前のユーザーを作成し、このユーザーが任意のホストから TiDB データベースにログインできるようにし、ログインパスワードを password に設定します。

   CREATE USER 'test'@'%' IDENTIFIED BY 'password';
   

3. GRANT ステートメントを使用して、作成したデータベースユーザーに権限を付与します。

ソース側権限の説明

-- データベースユーザーは、移行対象のデータベースに対して読み取り権限が必要です。
GRANT SELECT ON <database_name>.* TO '<user_name>';

-- TiDB データベースの増分同期時には、データベースユーザーは REPLICATION CLIENT、REPLICATION SLAVE、および SELECT *.* 権限が必要です。
GRANT REPLICATION CLIENT, REPLICATION SLAVE ON *.* TO '<user_name>' [WITH GRANT OPTION];
GRANT SELECT ON *.* TO '<user_name>';

ターゲット側権限の説明

TiDB データベースをターゲット側として使用する場合、移行ユーザーは CREATE、CREATE VIEW、INSERT、UPDATE、および DELETE 権限が必要です。

GRANT <privilege_type> ON <database_name>.<table_name> TO '<user_name>'@'<host_name>' [WITH GRANT OPTION];

Kafka で認証が有効になっている場合は、新しいKafkaデータソースの作成 をご参照ください。

Kafka をターゲット側として使用する場合、移行ユーザーは以下の操作を行う権限が必要です。

• Topic の作成と表示

• Topic Partition 情報の表示

• Record の書き込み

• Record の読み取り