Walletの必要性

　クライアント・アプリケーションの認証には一般的にはパスワードを使用します。しかし自動的に定期実行されるバッチ・プログラムの場合、パスワード入力ができない場合がほとんどです。このためデータベース管理者権限を使って OS 認証（OSDBA）を使ったり、パスワードをスクリプトに直接埋め込むなどの手法がとられます。
　しかしこれらの手法はセキュリティ上好ましくないため、パスワードを安全に保存するための仕組みが必要です。ここでは Wallet と呼ばれる Oracle Database の機能を使って、特定のユーザー権限で接続するためにパスワードの入力を不要にする設定を検証します。

Wallet の作成

Walletの実体は特定のディレクトリに保存された複数のファイルです。Walletの作成には mkstore コマンド($ORACLE_HOME/bin/mkstore) にディレクトリを指定します。以下の例では oracle ユーザーのホーム・ディレクトリに wallet1 ディレクトリを作成し、そこに Wallet を作成しています。Wallet 管理のためのパスワードを２回入力します。-wrl オプションがディレクトリの指定、-create オプションが Wallet の作成を指定しています。

$ mkdir wallet1
$ mkstore -wrl $HOME/wallet1 -create
Oracle Secret Store Tool Release 19.0.0.0.0 - Production
Version 19.4.0.0.0
Copyright (c) 2004, 2021, Oracle and/or its affiliates. All rights reserved.

Enter password: **Wallet管理パスワード**
Enter password again: **Wallet管理パスワード**
$
$ ls -l wallet1/
total 8
-rw------- 1 oracle oinstall 194 Jun 29 16:20 cwallet.sso
-rw------- 1 oracle oinstall   0 Jun 29 16:20 cwallet.sso.lck
-rw------- 1 oracle oinstall 149 Jun 29 16:20 ewallet.p12
-rw------- 1 oracle oinstall   0 Jun 29 16:20 ewallet.p12.lck

Wallet作成直後にディレクトリを確認すると、複数のファイルが作成されていることがわかります。

Wallet に認証資格を格納

Wallet に認証情報を格納します。mkstore コマンドに -createCredential オプションを指定します。
このオプションには接続名とユーザー名を指定します。下記の例では接続名として o19a 、接続ユーザー名として scott を指定しています。データベース接続パスワードと、Wallet管理パスワードを入力します。

$ mkstore -wrl $HOME/wallet1 -createCredential o19a scott
Oracle Secret Store Tool Release 19.0.0.0.0 - Production
Version 19.4.0.0.0
Copyright (c) 2004, 2021, Oracle and/or its affiliates. All rights reserved.

Your secret/Password is missing in the command line
Enter your secret/Password: **データベース接続パスワード**
Re-enter your secret/Password: **データベース接続パスワード**
Enter wallet password: **Wallet管理パスワードパスワード**
$

認証資格の確認

Wallet に保存された認証資格を確認します。-listCredential オプションを指定します。Wallet 管理パスワードの入力が必要です。

$ mkstore -wrl $HOME/wallet1 -listCredential
Oracle Secret Store Tool Release 19.0.0.0.0 - Production
Version 19.4.0.0.0
Copyright (c) 2004, 2021, Oracle and/or its affiliates. All rights reserved.

Enter wallet password: **Wallet管理パスワードパスワード**
List credential (index: connect_string username)
1: o19u scott

Wallet の場所を指定

　Oracle Database Client に Wallet の場所を知らせる必要があります。Wallet の場所は sqlnet.ora ファイルで指定します。下記の例では環境変数 TNS_ADMIN を Wallet 用ディレクトリに指定して、sqlnet.ora ファイルと Wallet ファイルを同居させています。
　Wallet の場所は WALLET_LOCATION パラメーターを指定します。SQLNET.WALLET_OVERRIDE パラメーターは、Wallet の資格証明を優先する設定です。

$ export TNS_ADMIN=$HOME/wallet1
$ cat $HOME/wallet1/sqlnet.ora
WALLET_LOCATION =
  (SOURCE =
    (METHOD = FILE)
    (METHOD_DATA =
  (DIRECTORY = /home/oracle/wallet1)
  )
 )
SQLNET.WALLET_OVERRIDE = TRUE

接続情報の格納

Wallet に保存した接続名と対応する名前を tnsnames.ora ファイルに格納します。

$ cat $HOME/wallet1/tnsnames.ora
o19a =
  (DESCRIPTION =
    (ADDRESS = (PROTOCOL = TCP)(HOST = 192.168.1.131)(PORT = 1521))
    (CONNECT_DATA =
      (SERVER = DEDICATED)
      (SERVICE_NAME = o19u)
    )
  )
$

Wallet を使った接続

Wallet を使った認証を行う場合はユーザー名、パスワードを指定せずに tnsnames.ora の接続名のみで接続します。下記の例ではユーザー名とパスワードを指定していませんが、SCOTT ユーザーとして接続できていることがわかります。

$ sqlplus /@o19u

SQL*Plus: Release 19.0.0.0.0 - Production on 木 6月 29 22:49:17 2023
Version 19.14.0.0.0

Copyright (c) 1982, 2021, Oracle.  All rights reserved.

最終正常ログイン時間: 木 6月  29 2023 16:36:42 +09:00


Oracle Database 19c Enterprise Edition Release 19.0.0.0.0 - Production
Version 19.14.0.0.0
に接続されました。
SQL> SELECT USER FROM DUAL;

USER
--------------------------------------------------------------------------------
SCOTT

SQL>

複数の認証資格を保存

Walletには複数の認証情報を格納できます。下記の例では接続名として o19b を、ユーザ名に SCOTT2 を指定して２つ目の認証情報を保存しています。認証情報の一覧を表示すると、２つ目の接続情報が出力されます。

$ mkstore -wrl $HOME/wallet1 -createCredential o19b scott2
Oracle Secret Store Tool Release 19.0.0.0.0 - Production
Version 19.4.0.0.0
Copyright (c) 2004, 2021, Oracle and/or its affiliates. All rights reserved.

Your secret/Password is missing in the command line
Enter your secret/Password: **データベース接続パスワード**
Re-enter your secret/Password: **データベース接続パスワード**
Enter wallet password: **Wallet管理パスワードパスワード**
$
$ mkstore -wrl $HOME/wallet1 -listCredential
Oracle Secret Store Tool Release 19.0.0.0.0 - Production
Version 19.4.0.0.0
Copyright (c) 2004, 2021, Oracle and/or its affiliates. All rights reserved.

Enter wallet password: **Wallet管理パスワードパスワード**
List credential (index: connect_string username)
2: o19b scott2
1: o19u scott
$

接続先としてユーザー名とパスワードを省略し、接続名 o19b を指定します（tnsnames.ora ファイルも修正します）。SCOTT2 ユーザーで接続が成功していることがわかります。

$ sqlplus /@o19b

SQL*Plus: Release 19.0.0.0.0 - Production on 木 6月 29 23:35:14 2023
Version 19.14.0.0.0

Copyright (c) 1982, 2021, Oracle.  All rights reserved.

最終正常ログイン時間: 木 6月  29 2023 23:33:16 +09:00


Oracle Database 19c Enterprise Edition Release 19.0.0.0.0 - Production
Version 19.14.0.0.0
に接続されました。
SQL> SELECT USER FROM DUAL;

USER
--------------------------------------------------------------------------------
SCOTT2

SQL>

Author: Noriyoshi Shinoda / Date: Jun 29, 2023