【Oracle】プロキシユーザー（PROXY USER）完全ガイド｜ALTER USER GRANT CONNECT THROUGH で共有アカウントを監査可能にする方法・WITH ROLE・DBA_PROXIES・監査ログまで解説

-- ① まずプロキシとターゲットを作成（既存であればスキップ）
CREATE USER tanaka     IDENTIFIED BY "Tanaka#Pass_2026";
CREATE USER app_owner  IDENTIFIED BY "App#Owner_2026";

GRANT CREATE SESSION TO tanaka;

-- ② tanaka が app_owner として接続できるように認可
ALTER USER app_owner GRANT CONNECT THROUGH tanaka;

-- ③ 解除（やり方は逆に target 側で REVOKE）
ALTER USER app_owner REVOKE CONNECT THROUGH tanaka;

# 基本構文: sqlplus プロキシ[ターゲット]/プロキシのパスワード@接続識別子
sqlplus tanaka[app_owner]/Tanaka#Pass_2026@orclpdb1

# bash/zsh では角括弧を明示クォート（ファイル名展開を防ぐ）
sqlplus "tanaka[app_owner]"/Tanaka#Pass_2026@orclpdb1

# CONNECT コマンドでも同じ書き方
SQL> CONNECT tanaka[app_owner]/Tanaka#Pass_2026@orclpdb1

# 接続後、セッションは app_owner として動く
SQL> SHOW USER
USER は "APP_OWNER"

import java.sql.*;
import java.util.Properties;
import oracle.jdbc.OracleConnection;

// ① プロキシユーザーで普通に接続
Connection conn = DriverManager.getConnection(
    "jdbc:oracle:thin:@//db.example.com:1521/orclpdb1",
    "tanaka",
    "Tanaka#Pass_2026"
);

// ② プロキシセッションに切り替え
Properties prop = new Properties();
prop.put(OracleConnection.PROXY_USER_NAME, "app_owner");
// パスワード認証を要求されている場合のみ
// prop.put(OracleConnection.PROXY_USER_PASSWORD, "App#Owner_2026");

((OracleConnection) conn).openProxySession(
    OracleConnection.PROXYTYPE_USER_NAME, prop);

// ③ この時点からセッションは app_owner として動く
try (Statement st = conn.createStatement();
     ResultSet rs = st.executeQuery("SELECT USER FROM dual")) {
    while (rs.next()) {
        System.out.println(rs.getString(1));   // APP_OWNER
    }
}

ALTER USER app_owner GRANT CONNECT THROUGH tanaka;

-- 接続: プロキシのパスワードだけで OK
-- sqlplus tanaka[app_owner]/Tanaka#Pass@db

ALTER USER app_owner GRANT CONNECT THROUGH tanaka
  AUTHENTICATED USING PASSWORD;

-- 接続: ターゲットのパスワードも送る必要がある
-- sqlplus tanaka[app_owner/App#Owner_2026]/Tanaka#Pass@db
-- ※ Oracle 内部では AUTHENTICATION REQUIRED に変換される

-- ターゲットをグローバルユーザーで作成
CREATE USER jeff IDENTIFIED GLOBALLY AS
  'CN=jeff,OU=americas,O=oracle,L=redwoodshores,ST=ca,C=us';

-- プロキシに DN 認証を設定
ALTER USER jeff GRANT CONNECT THROUGH hr
  AUTHENTICATED USING DISTINGUISHED NAME;

-- ① 特定ロールだけ有効化（read_role のみ）
ALTER USER app_owner GRANT CONNECT THROUGH readonly_user
  WITH ROLE read_role;

-- ② 複数ロールをカンマ区切りで
ALTER USER app_owner GRANT CONNECT THROUGH support_user
  WITH ROLE read_role, support_role;

-- ③ 指定ロール以外すべて（デバッグ用ロールを除外）
ALTER USER app_owner GRANT CONNECT THROUGH admin_user
  WITH ROLE ALL EXCEPT debug_role;

-- ④ すべてのロールを無効化（超最小）
ALTER USER app_owner GRANT CONNECT THROUGH audit_user
  WITH NO ROLES;

SELECT
  proxy,                          -- プロキシユーザー名
  client,                         -- ターゲット（クライアント）ユーザー名
  authentication,                 -- N / Y（AUTHENTICATION REQUIRED か）
  authorization_constraint,       -- PROXY MAY ACTIVATE ALL CLIENT ROLES / NO CLIENT ROLES など
  role,                           -- WITH ROLE で許可されているロール
  flags                           -- PROXY MAY ACTIVATE ROLE 等のフラグ
FROM   dba_proxies
ORDER  BY client, proxy;

-- USER_LEVEL で見るには PROXY_USERS ビュー（自分がプロキシできる相手のみ）

SELECT
  s.sid,
  s.serial#,
  s.username          AS target_user,         -- app_owner
  p.username          AS proxy_user,          -- tanaka
  s.osuser,
  s.machine,
  s.program,
  s.logon_time,
  s.proxy_sessionid   AS proxy_sid            -- プロキシセッションの識別子
FROM   v$session s
LEFT   JOIN v$session p
  ON   s.proxy_sessionid = p.sid
WHERE  s.proxy_sessionid IS NOT NULL
ORDER  BY s.logon_time DESC;

SELECT
  SYS_CONTEXT('USERENV','SESSION_USER')           AS session_user,   -- APP_OWNER（ターゲット）
  SYS_CONTEXT('USERENV','PROXY_USER')             AS proxy_user,     -- TANAKA（プロキシ）
  SYS_CONTEXT('USERENV','AUTHENTICATED_IDENTITY') AS authn_user,     -- TANAKA
  SYS_CONTEXT('USERENV','IDENTIFICATION_TYPE')    AS id_type         -- PROXY 等
FROM dual;

-- プロキシ接続でない時は PROXY_USER が NULL

-- Unified Audit が有効（12c 以降デフォルト）前提
SELECT event_timestamp,
       dbproxy_username    AS proxy_user,     -- 個人（TANAKA）
       dbusername          AS target_user,    -- スキーマ（APP_OWNER）
       os_username,
       action_name,
       SUBSTR(sql_text, 1, 80) AS sql_text
FROM   unified_audit_trail
WHERE  dbproxy_username IS NOT NULL
  AND  event_timestamp > SYSDATE - 1
ORDER  BY event_timestamp DESC
FETCH FIRST 100 ROWS ONLY;

SELECT event_timestamp,
       dbusername,
       action_name,
       object_schema || '.' || object_name AS target_obj,
       SUBSTR(sql_text, 1, 120) AS sql_text
FROM   unified_audit_trail
WHERE  dbproxy_username = 'TANAKA'
  AND  event_timestamp BETWEEN TIMESTAMP '2026-01-01 00:00:00'
                           AND TIMESTAMP '2026-04-01 00:00:00'
ORDER  BY event_timestamp;

-- ① 参照専用ロールを作成
CREATE ROLE app_read_only;
GRANT SELECT ANY TABLE TO app_read_only;     -- または個別テーブル

-- ② BI 接続用のプロキシユーザー
CREATE USER bi_readonly IDENTIFIED BY "BIRead#2026";
GRANT CREATE SESSION TO bi_readonly;

-- ③ app_read_only ロールだけ有効にしてプロキシ
ALTER USER app_owner GRANT CONNECT THROUGH bi_readonly
  WITH ROLE app_read_only;

-- BI ツールは bi_readonly[app_owner] で接続
-- → UPDATE / DELETE はロールに含まれないため実行不可

-- ① 個別解除（target の ALTER USER で REVOKE）
ALTER USER app_owner REVOKE CONNECT THROUGH tanaka;

-- ② 特定ユーザーがプロキシできる相手を全部洗い出し
SELECT proxy, client
FROM   dba_proxies
WHERE  proxy = 'TANAKA';

-- ③ 退職者のプロキシを一括解除（PL/SQL 例）
BEGIN
  FOR r IN (SELECT client FROM dba_proxies WHERE proxy = 'RETIRED_USER') LOOP
    EXECUTE IMMEDIATE 'ALTER USER ' || r.client ||
                      ' REVOKE CONNECT THROUGH retired_user';
  END LOOP;
  EXECUTE IMMEDIATE 'DROP USER retired_user CASCADE';
END;
/