【Oracle】新規ユーザー作成と権限付与の完全ガイド｜CREATE USER・GRANT文の基本から実務活用まで

ユーザーとスキーマの違い

• ユーザー：データベースに接続するためのアカウント（認証情報）
• スキーマ：ユーザーが所有するオブジェクト（テーブル、ビュー等）の集合
• Oracleではユーザーを作成すると同名のスキーマが自動的に作られます
• 1ユーザー＝1スキーマの関係です（MySQLのように複数DBを自由に切り替える設計ではありません）

注意：SYSユーザーで接続する場合は AS SYSDBA を付けて接続する必要があります。SYSTEMユーザーは通常のログインで操作できます。

CREATE USER ユーザー名
IDENTIFIED BY パスワード
[DEFAULT TABLESPACE 表領域名]
[TEMPORARY TABLESPACE 一時表領域名]
[QUOTA サイズ ON 表領域名]
[PROFILE プロファイル名]
[ACCOUNT LOCK | ACCOUNT UNLOCK]
[PASSWORD EXPIRE];

-- 最もシンプルなユーザー作成
CREATE USER test_user
IDENTIFIED BY MyPassword123;

実行結果

User created.

ポイント：QUOTAのデフォルトは0バイトです。つまりテーブルやインデックスを作成するには、必ずQUOTAを明示的に設定するか、UNLIMITED TABLESPACE 権限を付与する必要があります。初心者がつまずきやすいポイントなので注意しましょう。

-- 開発用ユーザーの作成
CREATE USER dev_user
IDENTIFIED BY DevPass2026#
DEFAULT TABLESPACE users
TEMPORARY TABLESPACE temp
QUOTA UNLIMITED ON users;

-- 開発に必要な権限を付与
GRANT connect, resource TO dev_user;
GRANT create view, create synonym TO dev_user;

-- アプリケーション接続用ユーザー
CREATE USER app_user
IDENTIFIED BY AppSecure#2026
DEFAULT TABLESPACE app_data
TEMPORARY TABLESPACE temp
QUOTA 500M ON app_data
PROFILE app_profile;

-- 接続権限のみ
GRANT create session TO app_user;

-- 必要なテーブルへの操作権限を個別に付与
GRANT SELECT, INSERT, UPDATE, DELETE
ON schema_owner.orders TO app_user;

-- 読み取り専用ユーザー
CREATE USER readonly_user
IDENTIFIED BY ReadOnly#2026
DEFAULT TABLESPACE users
TEMPORARY TABLESPACE temp
QUOTA 0 ON users
PASSWORD EXPIRE;

-- 接続権限のみ付与（QUOTA 0なのでオブジェクト作成不可）
GRANT create session TO readonly_user;

注意：SELECT ANY TABLE はすべてのスキーマのテーブルを参照できる強力な権限です。本番環境では個別テーブルへの SELECT 権限を推奨します。

-- パスワード変更を強制するユーザー作成
CREATE USER new_employee
IDENTIFIED BY TempPass123
PASSWORD EXPIRE;

GRANT create session TO new_employee;

接続時の表示

ERROR:
ORA-28001: the password has expired

Changing password for new_employee
New password: ********
Retype new password: ********
Password changed

-- 専用表領域を作成してユーザーに割り当て
CREATE TABLESPACE app_data
DATAFILE 'app_data01.dbf'
SIZE 500M
AUTOEXTEND ON NEXT 100M
MAXSIZE 5G;

CREATE USER app_owner
IDENTIFIED BY SecurePass#1
DEFAULT TABLESPACE app_data
QUOTA UNLIMITED ON app_data;

-- 100MBの制限付き
CREATE USER limited_user
IDENTIFIED BY LimitPass#1
DEFAULT TABLESPACE users
QUOTA 100M ON users;

-- 複数の表領域にQUOTAを設定
CREATE USER multi_ts_user
IDENTIFIED BY MultiPass#1
DEFAULT TABLESPACE users
QUOTA 200M ON users
QUOTA 50M ON app_data;

-- 作成後にQUOTAを変更
ALTER USER limited_user QUOTA 500M ON users;

ポイント：通常はデータベース作成時に作られる TEMP 表領域で十分です。大規模な分析処理を行うユーザーには専用の一時表領域を割り当てることもあります。

-- パスワード認証（最も一般的）
CREATE USER normal_user IDENTIFIED BY Pass#2026;

-- OS認証（OSユーザー名と連携）
CREATE USER ops$oracle_user IDENTIFIED EXTERNALLY;

-- スキーマ専用アカウント（Oracle 18c以降）
-- ログインできないがオブジェクトは保持可能
CREATE USER data_schema NO AUTHENTICATION
DEFAULT TABLESPACE app_data
QUOTA UNLIMITED ON app_data;

-- セキュリティ重視のプロファイルを作成
CREATE PROFILE secure_profile LIMIT
  -- パスワードポリシー
  PASSWORD_LIFE_TIME       90        -- 90日で期限切れ
  PASSWORD_GRACE_TIME      7         -- 猶予期間7日
  PASSWORD_REUSE_TIME      365       -- 365日間は同じパスワード再利用不可
  PASSWORD_REUSE_MAX       12        -- 過去12回分は再利用不可
  FAILED_LOGIN_ATTEMPTS    5         -- 5回失敗でロック
  PASSWORD_LOCK_TIME       1/24      -- 1時間ロック
  -- リソース制限
  SESSIONS_PER_USER        3         -- 同時セッション数
  IDLE_TIME                30        -- 30分アイドルで切断
  CONNECT_TIME             480;      -- 最大接続時間8時間

-- プロファイルを指定してユーザーを作成
CREATE USER secure_user
IDENTIFIED BY SecPass#2026
PROFILE secure_profile;

-- DEFAULTプロファイルの設定値を確認
SELECT resource_name, resource_type, limit
FROM dba_profiles
WHERE profile = 'DEFAULT'
ORDER BY resource_type, resource_name;

実行結果

RESOURCE_NAME                RESOURCE_TYPE    LIMIT
---------------------------- ---------------- ----------
FAILED_LOGIN_ATTEMPTS        PASSWORD         10
PASSWORD_GRACE_TIME          PASSWORD         7
PASSWORD_LIFE_TIME           PASSWORD         180
PASSWORD_LOCK_TIME           PASSWORD         1
PASSWORD_REUSE_MAX           PASSWORD         UNLIMITED
PASSWORD_REUSE_TIME          PASSWORD         UNLIMITED
CONNECT_TIME                 KERNEL           UNLIMITED
IDLE_TIME                    KERNEL           UNLIMITED
SESSIONS_PER_USER            KERNEL           UNLIMITED

プロファイルの注意点

• リソース制限を有効にするには ALTER SYSTEM SET RESOURCE_LIMIT = TRUE が必要です
• パスワードポリシーは RESOURCE_LIMIT の設定に関係なく常に有効です
• プロファイルを変更すると、そのプロファイルを使用するすべてのユーザーに即座に反映されます

-- 管理者が他ユーザーのパスワードを変更
ALTER USER test_user IDENTIFIED BY NewPass#2026;

-- ユーザー自身がパスワードを変更
PASSWORD
-- Changing password for test_user
-- Old password: ********
-- New password: ********
-- Retype new password: ********

-- パスワードを期限切れにする
ALTER USER test_user PASSWORD EXPIRE;

-- アカウントをロック（一時的に無効化）
ALTER USER test_user ACCOUNT LOCK;

-- アカウントをアンロック
ALTER USER test_user ACCOUNT UNLOCK;

-- ロック状態の確認
SELECT username, account_status, lock_date, expiry_date
FROM dba_users
WHERE username = 'TEST_USER';

-- システム権限の付与
GRANT 権限名 [, 権限名...] TO ユーザー名;

-- オブジェクト権限の付与
GRANT 権限名 ON スキーマ名.オブジェクト名 TO ユーザー名;

-- ロールの付与
GRANT ロール名 TO ユーザー名;

-- 接続権限（最低限必要）
GRANT create session TO test_user;

-- 複数のシステム権限をまとめて付与
GRANT create table, create view, create sequence, create procedure
TO dev_user;

-- WITH ADMIN OPTION: 権限の再付与を許可
GRANT create session TO team_lead WITH ADMIN OPTION;
-- team_leadは他ユーザーにもCREATE SESSIONを付与できる

注意：WITH ADMIN OPTION は強力な機能です。この権限を持つユーザーは、他のユーザーにも同じ権限を付与できます。セキュリティの観点から、管理者以外には使用しないことを推奨します。

-- テーブルへのSELECT権限
GRANT SELECT ON hr.employees TO report_user;

-- 複数の権限をまとめて付与
GRANT SELECT, INSERT, UPDATE, DELETE
ON hr.employees TO app_user;

-- 特定カラムのみUPDATE可能にする
GRANT UPDATE (salary, commission_pct)
ON hr.employees TO payroll_user;

-- プロシージャの実行権限
GRANT EXECUTE ON hr.calc_bonus TO app_user;

-- シーケンスの使用権限
GRANT SELECT ON hr.emp_seq TO app_user;

-- 全ユーザーに権限を付与（PUBLICロール）
GRANT SELECT ON hr.departments TO PUBLIC;

-- WITH GRANT OPTION: 権限の再付与を許可
GRANT SELECT ON hr.employees TO team_lead
WITH GRANT OPTION;

WITH ADMIN OPTION と WITH GRANT OPTION の違い

• WITH ADMIN OPTION：システム権限の再付与を許可。取り消し時に連鎖しない
• WITH GRANT OPTION：オブジェクト権限の再付与を許可。取り消し時に連鎖する（付与した権限もすべて取り消される）

注意：Oracle 12c以降、CONNECT ロールには CREATE SESSION のみが含まれます。以前のバージョンではCREATE TABLEなど複数の権限が含まれていましたが、セキュリティ強化のために縮小されました。RESOURCE ロールには UNLIMITED TABLESPACE が含まれるため、本番環境では注意が必要です。

-- カスタムロールの作成
CREATE ROLE app_readonly_role;
CREATE ROLE app_readwrite_role;
CREATE ROLE app_admin_role;

-- 読み取り専用ロールに権限を付与
GRANT create session TO app_readonly_role;
GRANT SELECT ON app_owner.customers TO app_readonly_role;
GRANT SELECT ON app_owner.orders TO app_readonly_role;
GRANT SELECT ON app_owner.products TO app_readonly_role;

-- 読み書きロール（読み取りロールを含む）
GRANT app_readonly_role TO app_readwrite_role;
GRANT INSERT, UPDATE, DELETE ON app_owner.orders TO app_readwrite_role;

-- ユーザーにロールを付与
GRANT app_readonly_role TO report_user;
GRANT app_readwrite_role TO app_user;

ポイント：ロールの階層化（ロールの中にロールを含める）を活用すると、権限管理がシンプルになります。上記の例では app_readwrite_role に app_readonly_role を含めることで、読み取り権限の重複定義を避けています。

-- システム権限の取り消し
REVOKE create table FROM dev_user;

-- オブジェクト権限の取り消し
REVOKE SELECT ON hr.employees FROM report_user;

-- ロールの取り消し
REVOKE app_readonly_role FROM report_user;

-- 全権限を一括取り消し（ALL PRIVILEGES）
REVOKE ALL ON hr.employees FROM app_user;

REVOKEの連鎖動作

• オブジェクト権限：WITH GRANT OPTION で付与した権限をREVOKEすると、そのユーザーが他に付与した権限も連鎖的に取り消されます
• システム権限：WITH ADMIN OPTION で付与した権限をREVOKEしても、連鎖しません

-- ユーザーに直接付与されたシステム権限
SELECT privilege, admin_option
FROM dba_sys_privs
WHERE grantee = 'DEV_USER'
ORDER BY privilege;

-- ユーザーに付与されたロール
SELECT granted_role, admin_option, default_role
FROM dba_role_privs
WHERE grantee = 'DEV_USER'
ORDER BY granted_role;

-- ユーザーに付与されたオブジェクト権限
SELECT owner, table_name, privilege, grantable
FROM dba_tab_privs
WHERE grantee = 'DEV_USER'
ORDER BY owner, table_name;

実行結果例（dba_sys_privs）

PRIVILEGE              ADMIN_OPTION
---------------------- ------------
CREATE PROCEDURE       NO
CREATE SEQUENCE        NO
CREATE SESSION         NO
CREATE TABLE           NO
CREATE VIEW            NO

-- パスワードの変更
ALTER USER test_user IDENTIFIED BY NewPass#2026;

-- デフォルト表領域の変更
ALTER USER test_user DEFAULT TABLESPACE new_ts;

-- QUOTAの変更
ALTER USER test_user QUOTA 1G ON users;

-- プロファイルの変更
ALTER USER test_user PROFILE secure_profile;

-- デフォルトロールの設定
ALTER USER test_user DEFAULT ROLE app_readonly_role;

-- 複数の変更を同時に実行
ALTER USER test_user
IDENTIFIED BY NewPass#2026
DEFAULT TABLESPACE app_data
QUOTA 500M ON app_data
PROFILE secure_profile
ACCOUNT UNLOCK;

-- オブジェクトを持たないユーザーの削除
DROP USER test_user;

-- オブジェクトを含むユーザーの削除（CASCADE必須）
DROP USER test_user CASCADE;

注意：CASCADE を指定すると、そのユーザーが所有するすべてのオブジェクト（テーブル、ビュー、プロシージャ等）が一緒に削除されます。本番環境では十分注意してください。また、現在接続中のユーザーは削除できません。

-- 1. ユーザーが所有するオブジェクトの確認
SELECT object_type, COUNT(*) AS cnt
FROM dba_objects
WHERE owner = 'TEST_USER'
GROUP BY object_type
ORDER BY cnt DESC;

-- 2. アクティブセッションの確認
SELECT sid, serial#, status, program
FROM v$session
WHERE username = 'TEST_USER';

-- 3. 接続中のセッションを強制切断（必要な場合）
ALTER SYSTEM KILL SESSION 'sid,serial#' IMMEDIATE;

-- 全ユーザーの一覧と状態
SELECT username,
       account_status,
       default_tablespace,
       temporary_tablespace,
       profile,
       created,
       expiry_date
FROM dba_users
WHERE oracle_maintained = 'N'  -- ユーザー作成分のみ（12c以降）
ORDER BY created DESC;

実行結果例

USERNAME     ACCOUNT_STATUS  DEFAULT_TABLESPACE  PROFILE          CREATED
------------ --------------- ------------------- ---------------- -----------
APP_USER     OPEN            APP_DATA            APP_PROFILE      2026-03-01
DEV_USER     OPEN            USERS               DEFAULT          2026-02-15
REPORT_USER  EXPIRED         USERS               SECURE_PROFILE   2026-01-10

-- ユーザーのQUOTA使用状況
SELECT tablespace_name,
       bytes/1024/1024 AS used_mb,
       max_bytes/1024/1024 AS max_mb,
       CASE max_bytes
         WHEN -1 THEN 'UNLIMITED'
         ELSE TO_CHAR(ROUND(bytes/max_bytes*100,1)) || '%'
       END AS usage_pct
FROM dba_ts_quotas
WHERE username = 'APP_USER';

-- DBMS_METADATAでユーザーのDDLを取得
SELECT dbms_metadata.get_ddl('USER', 'APP_USER') AS ddl
FROM dual;

実行結果例

CREATE USER "APP_USER" IDENTIFIED BY VALUES 'S:xxxx...'
  DEFAULT TABLESPACE "APP_DATA"
  TEMPORARY TABLESPACE "TEMP"
  PROFILE "APP_PROFILE"
  QUOTA 524288000 ON "APP_DATA"

-- CDBルートで共通ユーザーを作成
ALTER SESSION SET container = CDB$ROOT;
CREATE USER C##admin_user
IDENTIFIED BY AdminPass#1
CONTAINER = ALL;
GRANT create session TO C##admin_user CONTAINER = ALL;

-- PDBに切り替えてローカルユーザーを作成
ALTER SESSION SET container = my_pdb;
CREATE USER local_user
IDENTIFIED BY LocalPass#1
DEFAULT TABLESPACE users
QUOTA UNLIMITED ON users;
GRANT connect, resource TO local_user;

-- 現在のコンテナを確認
SHOW con_name;

ポイント：Oracle 12c以降では、多くの場合PDB内にローカルユーザーを作成します。共通ユーザーは全PDBを管理する必要があるDBA向けです。非CDB環境（従来型）では、これまで通り C## プレフィクスなしで作成できます。

-- ユーザーを作成しただけの状態で接続しようとする
CONNECT test_user/MyPassword123
-- ERROR: ORA-01045: user TEST_USER lacks CREATE SESSION privilege

-- 対処：CREATE SESSION権限を付与
GRANT create session TO test_user;

-- 再度接続 → 成功
CONNECT test_user/MyPassword123
-- Connected.

-- QUOTA 0の状態でテーブルを作成しようとする
CREATE TABLE my_table (id NUMBER);
-- ERROR: ORA-01950: no privileges on tablespace 'USERS'

-- 対処1：QUOTAを設定
ALTER USER test_user QUOTA 100M ON users;

-- 対処2：UNLIMITED TABLESPACEを付与
GRANT unlimited tablespace TO test_user;

-- ロック状態の確認
SELECT username, account_status, lock_date
FROM dba_users
WHERE username = 'TEST_USER';

-- アンロック + パスワードリセット
ALTER USER test_user ACCOUNT UNLOCK;
ALTER USER test_user IDENTIFIED BY NewPass#2026;

最小権限の原則とは

• ユーザーには業務に必要最小限の権限のみを付与する
• DBA ロールや SELECT ANY TABLE のような広範な権限は安易に使わない
• オブジェクト権限は個別テーブル単位で付与する
• 定期的に不要な権限を棚卸し・取り消しする

-- 本番環境向けプロファイル
CREATE PROFILE prod_user_profile LIMIT
  PASSWORD_LIFE_TIME       90
  PASSWORD_GRACE_TIME      7
  PASSWORD_REUSE_TIME      365
  PASSWORD_REUSE_MAX       12
  FAILED_LOGIN_ATTEMPTS    5
  PASSWORD_LOCK_TIME       1/24
  PASSWORD_VERIFY_FUNCTION ora12c_verify_function;

-- アプリケーション用プロファイル（パスワード期限なし）
CREATE PROFILE app_service_profile LIMIT
  PASSWORD_LIFE_TIME       UNLIMITED
  FAILED_LOGIN_ATTEMPTS    10
  PASSWORD_LOCK_TIME       1/24
  SESSIONS_PER_USER        50;

注意：アプリケーションの接続ユーザーには PASSWORD_LIFE_TIME = UNLIMITED を設定するのが一般的です。パスワードが期限切れになるとアプリケーションが接続できなくなり、障害の原因になります。

-- DBAロールを持つユーザーの一覧
SELECT grantee
FROM dba_role_privs
WHERE granted_role = 'DBA'
ORDER BY grantee;

-- 強力な権限を持つユーザーの一覧
SELECT grantee, privilege
FROM dba_sys_privs
WHERE privilege IN (
  'SELECT ANY TABLE',
  'INSERT ANY TABLE',
  'UPDATE ANY TABLE',
  'DELETE ANY TABLE',
  'DROP ANY TABLE'
)
ORDER BY grantee;

-- 長期間ログインしていないユーザーの確認
SELECT username, account_status,
       last_login, created
FROM dba_users
WHERE oracle_maintained = 'N'
  AND (last_login IS NULL
       OR last_login < SYSDATE - 90)
ORDER BY last_login NULLS FIRST;

-- ============================================
-- OrderSystem データベースユーザー構築
-- ============================================

-- 1. 表領域の作成
CREATE TABLESPACE order_data
DATAFILE 'order_data01.dbf'
SIZE 1G AUTOEXTEND ON NEXT 200M MAXSIZE 10G;

-- 2. プロファイルの作成
CREATE PROFILE order_app_profile LIMIT
  PASSWORD_LIFE_TIME UNLIMITED
  FAILED_LOGIN_ATTEMPTS 10
  SESSIONS_PER_USER 30;

-- 3. スキーマオーナー
CREATE USER order_owner
IDENTIFIED BY Owner#Secure2026
DEFAULT TABLESPACE order_data
QUOTA UNLIMITED ON order_data;
GRANT connect, resource TO order_owner;

-- 4. ロールの作成
CREATE ROLE order_ro_role;
CREATE ROLE order_rw_role;

-- 5. アプリ接続用ユーザー
CREATE USER order_app
IDENTIFIED BY App#Secure2026
DEFAULT TABLESPACE order_data
QUOTA 500M ON order_data
PROFILE order_app_profile;
GRANT create session TO order_app;
GRANT order_rw_role TO order_app;

-- 6. 読み取り専用ユーザー
CREATE USER order_ro
IDENTIFIED BY ReadOnly#2026
DEFAULT TABLESPACE order_data
QUOTA 0 ON order_data;
GRANT create session TO order_ro;
GRANT order_ro_role TO order_ro;

ポイント：テーブル作成後に GRANT SELECT ON order_owner.orders TO order_ro_role のようにロールへ権限を付与します。ロール経由の権限管理により、新しいテーブルを追加した際もロールへの1行のGRANTで全ユーザーに反映できます。

ユーザー管理の3原則

• 最小権限の原則：必要最小限の権限のみを付与する
• ロールによる一元管理：権限はロールにまとめ、ユーザーにはロールを付与する
• 定期的な監査：不要な権限やユーザーを定期的に棚卸しする