【Oracle】ORA-28040: No matching authentication protocol の原因と解決方法｜パスワードバーニファイア・SQLNET.ORA設定・クライアント別対処まで解説

ORA-28040: No matching authentication protocol

-- 全ユーザーのパスワードバーニファイアを確認
SELECT username, account_status, password_versions
FROM dba_users
WHERE username NOT IN ('SYS','SYSTEM','ANONYMOUS','XDB')
ORDER BY username;

-- 12C バーニファイアを持たないユーザーを検出（要パスワード再設定）
SELECT username, account_status, password_versions
FROM dba_users
WHERE password_versions NOT LIKE '%12C%'
  AND account_status = 'OPEN'
ORDER BY username;

-- 特定ユーザーのパスワードを再設定（同じパスワードでもOK）
ALTER USER app_user IDENTIFIED BY new_password;

-- 再設定後にバーニファイアを確認
SELECT username, password_versions FROM dba_users WHERE username = 'APP_USER';
-- 結果: 11G 12C（新しいバーニファイアが追加される）

-- 古いバーニファイアしか持たない全ユーザーを一覧（要対応リスト）
SELECT 'ALTER USER ' || username || ' IDENTIFIED BY <new_password>;' AS alter_stmt
FROM dba_users
WHERE password_versions NOT LIKE '%12C%'
  AND account_status = 'OPEN';

# サーバー側: $ORACLE_HOME/network/admin/sqlnet.ora

# 値を下げると古いクライアントからの接続を許可する
# ---- 11g クライアントを許可する場合 ----
SQLNET.ALLOWED_LOGON_VERSION_SERVER = 11
SQLNET.ALLOWED_LOGON_VERSION_CLIENT = 11

# ---- 10g クライアントまで許可する場合 ----
# SQLNET.ALLOWED_LOGON_VERSION_SERVER = 10
# SQLNET.ALLOWED_LOGON_VERSION_CLIENT = 10

# ---- 8i クライアントまで許可する場合（非推奨: DESベース認証を許可）----
# SQLNET.ALLOWED_LOGON_VERSION_SERVER = 8
# SQLNET.ALLOWED_LOGON_VERSION_CLIENT = 8

-- sqlnet.ora を編集した後、リスナーを再起動
$ lsnrctl stop
$ lsnrctl start

-- データベースインスタンスは再起動不要
-- （sqlnet.ora は接続ごとに読み込まれるため）

-- ただし ALLOWED_LOGON_VERSION を下げた場合は
-- パスワードの再設定が必要になることがある
ALTER USER app_user IDENTIFIED BY same_password;

-- Linux / Unix
$ echo $ORACLE_HOME/network/admin/sqlnet.ora
# 例: /u01/app/oracle/product/19c/dbhome_1/network/admin/sqlnet.ora

-- Windows
# %ORACLE_HOME%\network\admin\sqlnet.ora
# 例: C:\app\oracle\product\19c\dbhome_1\network\admin\sqlnet.ora

-- TNS_ADMIN 環境変数で別の場所を指定している場合
$ echo $TNS_ADMIN
# TNS_ADMIN が設定されていれば、そのディレクトリの sqlnet.ora が使われる

-- sqlnet.ora が存在しない場合は新規作成して上記パラメータを記述

-- ORA-28040 が出る場合、ojdbc ドライバが古い
-- 推奨ドライババージョン:
--   ojdbc8.jar  (JDK 8+)  → Oracle 12c / 19c / 21c に対応
--   ojdbc11.jar (JDK 11+) → Oracle 19c / 21c に対応
--   ojdbc14.jar (JDK 1.4) → Oracle 10g 用（非推奨）
--   ojdbc6.jar  (JDK 6)   → Oracle 11g 用（非推奨）

-- Maven の場合（ojdbc8 の例）:
-- <dependency>
--   <groupId>com.oracle.database.jdbc</groupId>
--   <artifactId>ojdbc8</artifactId>
--   <version>21.9.0.0</version>
-- </dependency>

-- 接続 URL は変更不要
-- jdbc:oracle:thin:@//hostname:1521/service_name

-- SQL*Plus のバージョン確認
$ sqlplus -V
# SQL*Plus: Release 19.0.0.0.0

-- 古い SQL*Plus（10g / 11g）の場合:
-- ① Oracle Instant Client 19c をインストール
-- ② 新しい sqlplus を使用して接続
-- ③ 古い ORACLE_HOME が PATH に残っていないか確認

-- NuGet でマネージドドライバをアップグレード
-- Install-Package Oracle.ManagedDataAccess -Version 21.12.0

-- .NET Core / .NET 6+ の場合
-- Install-Package Oracle.ManagedDataAccess.Core -Version 23.3.0

-- マネージドドライバは Oracle Client のインストール不要
-- sqlnet.ora の代わりに接続文字列で制御する

# python-oracledb（推奨: cx_Oracle の後継）
# pip install oracledb
# Thin モード（デフォルト）は Oracle Client 不要で最新プロトコル対応
import oracledb
conn = oracledb.connect(user='app_user', password='pw',
                        dsn='hostname:1521/service_name')

# cx_Oracle は非推奨（python-oracledb に移行推奨）
# cx_Oracle は Oracle Instant Client に依存するため、
# Instant Client のバージョンが古いと ORA-28040 が発生する