ORACLE DATABASEへの接続パスワードをWallet化してハードコードをやめる！

スクリプトから Oracle Database に接続して何かしらの処理を実行させる際、パスワードをスクリプト内に記載したり、外部定義にパスワードをそのまま書いたりしていませんか？
平文でパスワードを記載するのはセキュリティの観点から非常に危険です。
そこで、パスワードを外部に保存し、安全に接続することのできる Oracle Wallet 機能を紹介します。

Oracle Walletとは

パスワードを外部ファイル(ウォレット)に保存しておき、ユーザー名/パスワードを指定せずにデータベースに接続することができます。
ウォレットは暗号化され、パスワードで保護されています。(パスワードがないと保存した情報が参照できません)

Oracle Wallet 使用方法

tnsnames.oraの作成

まずはDBアクセスに使用するために、tnsnames.oraを作成します。
ネットサービス名を”hogehoge”、接続するDBサービス名を”hoge”として作成します。

$ mkdir /home/oracle/wallet
  ※DB接続するスクリプト専用として作成するので、$ORACLE_HOME/network/admin 配下にあるtnsnames.oraとは別で作成します
$ vi /home/oracle/wallet/tnsnames.ora
hogehoge =
  (DESCRIPTION =
    (ADDRESS = (PROTOCOL = TCP)(HOST = localhost)(PORT = 1521))
    (CONNECT_DATA =
      (SERVER = DEDICATED)
      (SERVICE_NAME = hoge)
    )
  )
$

sqlnet.oraの作成

sqlnet.oraにWalletで必要になるパラメータを記載します。

$ vi /home/oracle/wallet/sqlnet.ora
WALLET_LOCATION=(SOURCE=(METHOD=FILE)(METHOD_DATA=(DIRECTORY=/home/oracle/wallet)))
SQLNET.WALLET_OVERRIDE=TRUE
$

Oracle Walletの作成

書式: mkstore -wrl <Walletファイルを保存するディレクトリ> -create

$ mkstore -wrl /home/oracle/wallet -create
Enter password: Wallet本体のパスワードを入力
Enter password again: Wallet本体のパスワードを入力(確認用)
$
以下のファイルが作成されます。
$ ls -l /home/oracle/wallet/
-rw------- 1 oracle oinstall 120 Jul 9 23:33 cwallet.sso
-rw-rw-rw- 1 oracle oinstall 0 Jul 9 23:33 cwallet.sso.lck
-rw------- 1 oracle oinstall 75 Jul 9 23:33 ewallet.p12
-rw-rw-rw- 1 oracle oinstall 0 Jul 9 23:33 ewallet.p12.lck$

Oracle Walletに接続DBユーザとパスワードを登録

書式: mkstore -wrl <Walletファイルディレクトリ> -createCredential <ネットサービス名> <接続DBユーザ名>

今回はdbsnmpユーザに対してwalletを作成してみます。

$ mkstore -wrl //home/oracle/wallet -createCredential hogehoge dbsnmp
Your secret/Password is missing in the command line
Enter your secret/Password: 接続DBユーザ(dbsnmp)のパスワード
Re-enter your secret/Password: 接続DBユーザ(dbsnmp)のパスワード
Enter wallet password: Wallet本体のパスワード
Create credential oracle.security.client.connect_string1
$

$ mkstore -wrl /home/oracle/wallet -listCredential
Enter wallet password: Wallet本体のパスワード
List credential (index: connect_string username)
1: hogehoge dbsnmp ←登録したネットサービス名と接続DBユーザが表示される
$

$ export TNS_ADMIN=/home/oracle/wallet
$ sqlplus /@hogehoge
SQL> show user
USER is "DBSNMP"
SQL>