【Oracle】ユーザ権限を確認する方法完全ガイド｜システム権限・ロール・オブジェクト権限・スキーマ別・全SQL一覧

Oracleデータベースで「このユーザーはどんな権限を持っているのか」「なぜこのテーブルにアクセスできないのか」と調べる場面は頻繁にあります。

しかしOracleの権限体系はシステム権限・ロール・オブジェクト権限の3層構造で、確認するビューも場面によって使い分けが必要です。さらにロールを経由して付与された権限はそのままでは一覧できないなど、落とし穴も多い。

この記事では、DBA権限がある管理者向けの確認方法から一般ユーザーが自分の権限を確認する方法まで、Oracleの権限確認に必要なSQLをすべて解説します。

Oracleの権限体系：3種類を理解する

Oracleの権限は大きく3種類に分かれています。確認するビューが種類ごとに異なるため、まずこの分類を把握することが重要です。

DBA_ / ALL_ / USER_ ビューの使い分け

権限確認ビューには3つのプレフィックスがあります。どのビューを使えるかはログインユーザーの権限によって異なります。

システム権限を確認する

システム権限とは、データベース全体に対する操作権限です（CREATE TABLE, CREATE SESSION, DROP ANY TABLE など）。

DBA_SYS_PRIVS｜特定ユーザーのシステム権限（DBA用）

DBA権限がある場合、DBA_SYS_PRIVS で任意ユーザーのシステム権限を確認できます。

-- ユーザー SCOTT のシステム権限を確認
SELECT grantee,
       privilege,
       admin_option
FROM   dba_sys_privs
WHERE  grantee = 'SCOTT'
ORDER BY privilege;

実行結果の例：

USER_SYS_PRIVS｜自分自身のシステム権限（DBA権限不要）

一般ユーザーが自分自身のシステム権限を確認する場合は USER_SYS_PRIVS を使います。WHERE句は不要です。

-- 自分自身のシステム権限を確認（WHERE不要）
SELECT username,
       privilege,
       admin_option
FROM   user_sys_privs
ORDER BY privilege;

よく使われるシステム権限の一覧

ロール（付与されたロール）を確認する

ロールとは複数の権限をまとめたものです。ユーザーにロールを付与することで、個々の権限を一つずつ付与する手間を省けます。

DBA_ROLE_PRIVS｜特定ユーザーに付与されたロール（DBA用）

-- ユーザー SCOTT に付与されているロールを確認
SELECT grantee,
       granted_role,
       admin_option,
       default_role
FROM   dba_role_privs
WHERE  grantee = 'SCOTT'
ORDER BY granted_role;

実行結果の例：

USER_ROLE_PRIVS｜自分のロール（DBA権限不要）

-- 自分に付与されているロールを確認
SELECT granted_role,
       admin_option,
       default_role
FROM   user_role_privs
ORDER BY granted_role;

代表的なデフォルトロールの権限内容

ロールに含まれる権限を確認する

ユーザーに付与されているロールの中にどのような権限が含まれているかを確認します。

ROLE_SYS_PRIVS｜ロールに含まれるシステム権限

-- RESOURCE ロールに含まれるシステム権限を確認
SELECT role,
       privilege,
       admin_option
FROM   role_sys_privs
WHERE  role = 'RESOURCE'
ORDER BY privilege;

実行結果の例（Oracle 12c以降）：

ROLE_TAB_PRIVS｜ロールに含まれるオブジェクト権限

-- 特定のロールに含まれるオブジェクト権限を確認
SELECT role,
       owner,
       table_name,
       privilege,
       grantable
FROM   role_tab_privs
WHERE  role = 'ロール名'
ORDER BY owner, table_name;

オブジェクト権限を確認する

オブジェクト権限とは、特定のテーブル・ビュー・プロシージャなどに対する操作権限（SELECT, INSERT, UPDATE, DELETE, EXECUTE など）です。

DBA_TAB_PRIVS｜特定ユーザーのオブジェクト権限（DBA用）

-- ユーザー SCOTT のオブジェクト権限を確認
SELECT grantee,
       owner,
       table_name,
       privilege,
       grantable,
       hierarchy
FROM   dba_tab_privs
WHERE  grantee = 'SCOTT'
ORDER BY owner, table_name, privilege;

実行結果の例：

USER_TAB_PRIVS｜自分のオブジェクト権限（DBA権限不要）

USER_TAB_PRIVS は、自分が付与された権限に加えて、自分が他ユーザーに付与した権限も表示されます。自分が受け取った権限だけに絞るには grantee でフィルタします。

-- 自分に付与されたオブジェクト権限を確認
SELECT owner,
       table_name,
       privilege,
       grantable
FROM   user_tab_privs
WHERE  grantee = USER  -- 自分自身のみ
ORDER BY owner, table_name;

ALL_TAB_PRIVS｜アクセス可能な全オブジェクトの権限

ロール経由も含めて、自分がアクセスできるオブジェクトを網羅的に確認するには ALL_TAB_PRIVS が便利です。

-- 自分がSELECTできるテーブル一覧（ロール経由含む）
SELECT table_schema,
       table_name,
       privilege,
       grantor,
       grantee
FROM   all_tab_privs
WHERE  privilege = 'SELECT'
  AND  type = 'TABLE'
ORDER BY table_schema, table_name;

DBA_COL_PRIVS｜カラム単位の権限確認

特定のカラムだけに権限が付与されている場合は DBA_COL_PRIVS で確認します。

-- ユーザー SCOTT のカラム権限を確認
SELECT grantee,
       owner,
       table_name,
       column_name,
       privilege,
       grantable
FROM   dba_col_privs
WHERE  grantee = 'SCOTT'
ORDER BY table_name, column_name;

現在のセッションで有効な権限を確認する（SESSION_PRIVS）

SESSION_PRIVS は、現在ログインしているユーザーが実際に行使できる権限をすべて表示します。直接付与のシステム権限に加え、有効なロール内の権限も展開されて表示されます。

-- 現在のセッションで使える権限をすべて表示
SELECT privilege
FROM   session_privs
ORDER BY privilege;

SESSION_ROLES｜現在有効なロール

-- 現在のセッションで有効なロールを確認
SELECT role
FROM   session_roles
ORDER BY role;

ロール経由の権限を再帰的に展開して確認する

ロールは入れ子（ロールの中にロール）にできます。CONNECT BY を使った階層クエリで、ネストしたロールも含めてすべての権限を展開して確認できます。

ユーザーのロールを階層的に展開する

-- SCOTT のロールをすべて再帰展開（ロールのネストを含む）
SELECT LEVEL AS depth,
       LPAD(' ', 2*(LEVEL-1)) || granted_role AS role_tree,
       admin_option
FROM   dba_role_privs
START WITH grantee = 'SCOTT'
CONNECT BY PRIOR granted_role = grantee
ORDER SIBLINGS BY granted_role;

特定ユーザーの全権限を階層込みで洗い出す（WITH句）

WITH句の再帰クエリを使ってユーザー→ロール→ロールの中のロールと辿りながら、最終的なシステム権限をすべて展開します。

-- SCOTT のすべてのシステム権限（ロール経由含む）を展開
WITH role_tree (grantee) AS (
    -- アンカー：SCOTT に直接付与されたロール
    SELECT granted_role
    FROM   dba_role_privs
    WHERE  grantee = 'SCOTT'
    UNION ALL
    -- 再帰：ロールの中のロールを展開
    SELECT r.granted_role
    FROM   dba_role_privs r
    JOIN   role_tree rt ON r.grantee = rt.grantee
)
-- 直接付与のシステム権限
SELECT 'DIRECT' AS source, privilege
FROM   dba_sys_privs
WHERE  grantee = 'SCOTT'
UNION ALL
-- ロール経由のシステム権限
SELECT rt.grantee AS source, rsp.privilege
FROM   role_tree rt
JOIN   role_sys_privs rsp ON rsp.role = rt.grantee
ORDER BY 1, 2;

スキーマ全体の権限を一括確認する（権限棚卸しSQL）

セキュリティ監査や権限の棚卸しでは、特定ユーザーが持つすべての権限（システム権限・ロール・オブジェクト権限）を1つのSQLで一覧したい場面があります。

全権限を1クエリで表示するUNION ALL SQL

-- SCOTT の全権限（システム権限・ロール・オブジェクト権限）を一覧
SELECT '1_システム権限'    AS 権限種別,
       privilege          AS 権限名,
       '--'               AS オブジェクト,
       admin_option       AS オプション
FROM   dba_sys_privs
WHERE  grantee = 'SCOTT'
UNION ALL
SELECT '2_ロール',
       granted_role,
       '--',
       admin_option
FROM   dba_role_privs
WHERE  grantee = 'SCOTT'
UNION ALL
SELECT '3_オブジェクト権限',
       privilege,
       owner || '.' || table_name,
       grantable
FROM   dba_tab_privs
WHERE  grantee = 'SCOTT'
ORDER BY 1, 2;

実行結果の例：

スキーマ全ユーザーの権限サマリー

DB全体で「誰がどのオブジェクトにアクセスできるか」を把握するクエリです。権限が過剰に付与されていないか確認できます。

-- DB全ユーザーのオブジェクト権限サマリー（DBA用）
SELECT grantee,
       owner,
       COUNT(*)              AS 権限数,
       LISTAGG(privilege, ',') WITHIN GROUP (ORDER BY privilege) AS 権限一覧
FROM   dba_tab_privs
WHERE  grantee NOT IN ('SYS', 'SYSTEM', 'PUBLIC')
  AND  owner   NOT IN ('SYS', 'SYSTEM')
GROUP BY grantee, owner
ORDER BY grantee, owner;

特定の権限を持つユーザーを逆引きで調べる

「この権限を持っているのは誰か？」を調べるパターンです。セキュリティ調査や不審なアクセス調査に使います。

特定のシステム権限を持つユーザーを検索

-- CREATE TABLE 権限を持つユーザー
SELECT grantee, privilege, admin_option
FROM   dba_sys_privs
WHERE  privilege = 'CREATE TABLE'
ORDER BY grantee;

-- 危険な権限（ANY系）を持つユーザーを確認
SELECT grantee, privilege
FROM   dba_sys_privs
WHERE  privilege LIKE '%ANY%'
  AND  grantee NOT IN ('DBA', 'SYS', 'SYSTEM')
ORDER BY grantee, privilege;

特定のテーブルに権限があるユーザーを検索

-- HR.EMPLOYEES に SELECT 権限を持つユーザー
SELECT grantee, privilege, grantable
FROM   dba_tab_privs
WHERE  owner      = 'HR'
  AND  table_name = 'EMPLOYEES'
  AND  privilege  = 'SELECT'
ORDER BY grantee;

DBAロールを持つユーザーを確認

-- DBA ロールが付与されているユーザーを確認
SELECT grantee, admin_option
FROM   dba_role_privs
WHERE  granted_role = 'DBA'
ORDER BY grantee;

-- 強力なロールを持つユーザー全体
SELECT grantee, granted_role, admin_option
FROM   dba_role_privs
WHERE  granted_role IN ('DBA', 'SYSDBA', 'SYSOPER')
ORDER BY granted_role, grantee;

誰がGRANTしたか（付与者・grantor）を確認する

権限が誰によって付与されたかを調べるには、grantor カラムを使います。セキュリティインシデントの調査や権限の管理責任を追跡する場面で役立ちます。

-- SCOTT への権限の付与者（grantor）を確認
SELECT grantee,
       grantor,
       owner,
       table_name,
       privilege,
       grantable
FROM   dba_tab_privs
WHERE  grantee = 'SCOTT'
ORDER BY grantor, table_name;

特定スキーマへのアクセス権限を確認する

「スキーマAのオブジェクトに誰がアクセスできるか」を確認するシナリオです。マルチスキーマ運用やセキュリティ設計の確認に使います。

特定スキーマのオブジェクトへの権限を保有するユーザー一覧

-- HRスキーマのオブジェクトにアクセス権限を持つユーザーを確認
SELECT grantee,
       table_name,
       privilege,
       grantable
FROM   dba_tab_privs
WHERE  owner = 'HR'
ORDER BY table_name, grantee;

特定スキーマ全体のSELECT権限保有者

-- HRスキーマにSELECT権限を持つ全ユーザーと対象テーブル
SELECT grantee,
       table_name,
       grantable
FROM   dba_tab_privs
WHERE  owner     = 'HR'
  AND  privilege = 'SELECT'
  AND  grantee NOT IN ('SYS', 'SYSTEM', 'PUBLIC')
ORDER BY grantee, table_name;

スキーマ横断で各ユーザーのアクセス可能オブジェクト数を集計

-- ユーザーごとにアクセス可能なスキーマ・テーブル数をサマリー
SELECT grantee,
       owner             AS スキーマ,
       COUNT(DISTINCT table_name) AS テーブル数,
       LISTAGG(DISTINCT privilege, ',') WITHIN GROUP (ORDER BY privilege) AS 権限種別
FROM   dba_tab_privs
WHERE  grantee NOT IN ('SYS', 'SYSTEM', 'PUBLIC')
GROUP BY grantee, owner
ORDER BY grantee, owner;

GRANT文と確認ビューの対応関係

「どのGRANT文で付与した権限がどのビューで確認できるか」の対応表です。付与側と確認側を一致させて理解することで、権限管理がスムーズになります。

SYSDBA・SYSOPER 権限を持つユーザーを確認する

SYSDBA・SYSOPER はOSレベルの特権接続権限で、DBA_SYS_PRIVS には表示されません。V$PWFILE_USERS で確認します。

-- SYSDBA・SYSOPER 権限を持つユーザーを確認
SELECT username,
       sysdba,
       sysoper,
       sysasm,
       sysbackup,
       sysdg,
       syskm
FROM   v\$pwfile_users
ORDER BY username;

実行結果の例：

ORA-01031: insufficient privileges が出たときの調査手順

権限不足エラー（ORA-01031）が発生したとき、どの権限が不足しているかを特定する調査フローです。

ステップ1：現在のセッションで有効な権限を確認

-- まず今の自分の権限を確認
SELECT privilege FROM session_privs ORDER BY privilege;
SELECT role FROM session_roles ORDER BY role;

ステップ2：対象オブジェクトへの権限を確認

-- 対象テーブルへの自分の権限を確認
SELECT owner, table_name, privilege, grantable
FROM   all_tab_privs
WHERE  grantee    IN (USER, 'PUBLIC')
  AND  table_name = 'EMPLOYEES'  -- エラーになったテーブル名
  AND  privilege  = 'SELECT';    -- 実行しようとした権限

ステップ3：DBAに確認・付与を依頼するための情報収集

-- 自分のユーザー名確認
SELECT USER FROM dual;

-- 不足している権限の確認（DBAが実行）
SELECT privilege, admin_option
FROM   dba_sys_privs
WHERE  grantee = 'SCOTT'  -- 自分のユーザー名
  AND  privilege LIKE '%TABLE%';

ステップ4：ロールが無効になっていないか確認

ロールは SET ROLE NONE を実行すると一時的に無効になります。セッション内でロールが無効化されていないかを確認します。

-- 付与されているロールと有効状態を比較
-- 付与ロール
SELECT granted_role FROM user_role_privs ORDER BY granted_role;

-- 現在有効なロール（SESSION_ROLESにないものは無効）
SELECT role FROM session_roles ORDER BY role;

-- ロールを有効化する
SET ROLE resource, connect;  -- 必要なロール名を指定
-- または全ロールを有効化
SET ROLE ALL;

ケース別 ビュー早見表

よくある質問

まとめ

あわせて読みたい

• 【Oracle】新規ユーザー作成と権限付与の完全ガイド
• 【Oracle】ユーザーの情報を変更・削除する方法（ALTER USER / DROP USER / GRANT / REVOKE）
• 【Oracle】ユーザープロファイルの確認方法完全ガイド
• 【Oracle】ユーザーアカウントのロック解除手順
• 【Oracle】表領域ごとにアクセス制御を行う方法
• 【Oracle】データベースのバージョンを確認する方法