ロール作成時、またはロールの作成後にロール管理者を指定できます。

この例では、myRole というロールが作成され、MaryM と TomS が管理権限を持つロールに付与されます。作成後、MaryM と TomS だけがロールの付与または取り消しを行えます。

CREATE ROLE myRole WITH ADMIN MaryM, TomS;

この例では、myRole というロールが作成され、そこに権限が追加され、さらに PeriW というユーザ ID が管理者として (のみ) 追加されます。

CREATE USER PeriW IDENTIFIED BY PeriW;
CREATE ROLE myRole;
GRANT SELECT ANY TABLE to myRole;
GRANT ROLE myRole to PeriW WITH ADMIN ONLY OPTION;

管理者を指定せずにロールを作成する場合、MANAGE ROLES システム権限は、新しいロールに管理権限 (のみ) が自動的に付与されます。このロールは、MANAGE ROLES システム権限を持つユーザなら誰でも管理できます。

この点で MANAGE ROLES はユニークです—付与されたり (WITH ADMIN ONLY OPTION) 取り消したりするロールを持つ唯一のシステム権限です。

ロール作成時に管理者が指定されない場合—自動的に MANAGE ROLES に付与されることになり—後でそのロールに管理者が指定され、さらに MANAGE ROLES システム権限を持つユーザはロールを管理できます。

ロールを作成し、作成時に管理者を指定する場合、その管理者だけがロールを管理できます—指定した管理者の 1 人が MANAGE ROLES でなければ、グローバル管理者はそのロールを管理できません。ロールを作成し、管理者の 1 人として MANAGE ROLES を含めるには、次のような文を実行します。MANAGE ROLES システム権限を指定するとき、SYS_MANAGE_ROLES_ROLE という内部表現を使用する必要があります。また、MANAGE ROLES システム権限にロールを付与することだけができ、また、管理権限 (WITH ADMIN ONLY) でのみ付与できます。それ以外の場合、エラーが返されます。

CREATE ROLE myRole WITH ADMIN ONLY MaryM, TomS, SYS_MANAGE_ROLES_ROLE;

MaryM、TomS、および MANAGE ROLES システム権限を持つ任意のユーザなら、このロールを管理できます。ただし、MaryM と TomS はロールを行使できません。

また、ロールを作成した後に次のような文を実行し、MANAGE ROLES システム権限に管理者権限を付与することもできます。必ず WITH ADMIN ONLY OPTION を指定する必要があります。

GRANT ROLE myRole TO SYS_MANAGE_ROLES_ROLE WITH ADMIN ONLY OPTION;

ロールを作成し、グローバル管理者の管理機能を削除したい場合、次のような文を実行してロールから MANAGE ROLES を取り消します。

REVOKE ROLE myRole FROM SYS_MANAGE_ROLES_ROLE;

すでに管理者が割り当てられているロールを持ち、その管理者を別のユーザ ID に変更したい場合、ロールを新しい管理者に付与 (WITH ADMIN または WITH ADMIN ONLY を指定) してから最初の管理者から管理者権限を取り消します。

min_role_admins データベースオプションは、ロールが持つべき管理者の最小数を制御します。ユーザから管理権限を取り消そうとすると、min_role_admins オプションで設定された値より管理者が少なくなってしまう場合に文が失敗することがあります。ただし、グローバルロール管理権限 (MANAGE ROLE システム権限) を持つ他のユーザがいれば問題にはなりません。このグローバルロール管理者は、管理者が指定されていないロールを管理することができるためです。

ロールを作成するとき、CREATE ROLE 文の一部として管理者を設定します。設定する場合は、その管理者に MANAGE ROLES システム権限を付与することを検討します。

たとえば、次の文では myRole というロールが作成され、管理者として SallyG と IrisM が設定されます。

CREATE ROLE myRole WITH ADMIN SallyG, IrisM, SYS_MANAGE_ROLES_ROLE;

• CREATE ROLE 文
• GRANT 文
• min_role_admins オプション