Amazon Redshift は、パッチ 198 以降、新しい Python UDF の作成をサポートしなくなります。既存の Python UDF は、2026 年 6 月 30 日まで引き続き機能します。詳細については、[ブログ記事](https://aws.amazon.com/blogs/big-data/amazon-redshift-python-user-defined-functions-will-reach-end-of-support-after-june-30-2026/)を参照してください。

# CREATE USER
<a name="r_CREATE_USER"></a>

新しいデータベースユーザーを作成します。データベースユーザーは、権限とロールに応じて、データベースでデータを取得したり、コマンドを実行したり、その他のアクションを実行したりできます。このコマンドを実行するには、データベースのスーパーユーザー権限を持つ必要があります。

## 必要な権限
<a name="r_CREATE_USER-privileges"></a>

以下に、CREATE USER に必要な権限を示します。
+ スーパーユーザー
+ CREATE USER の権限を持つユーザー

## 構文
<a name="r_CREATE_USER-synopsis"></a>

```
CREATE USER name [ WITH ]
PASSWORD { 'password' | 'md5hash' | 'sha256hash' | DISABLE }
[ option [ ... ] ]

where option can be:

CREATEDB | NOCREATEDB
| CREATEUSER | NOCREATEUSER
| SYSLOG ACCESS { RESTRICTED | UNRESTRICTED }
| IN GROUP groupname [, ... ]
| VALID UNTIL 'abstime'
| CONNECTION LIMIT { limit | UNLIMITED }
| SESSION TIMEOUT limit
| EXTERNALID external_id
```

## パラメータ
<a name="r_CREATE_USER-parameters"></a>

 *.name*   
作成するユーザーの名前。ユーザー名を `PUBLIC` にすることはできません。有効な名前の詳細については、「[名前と識別子](r_names.md)」を参照してください。

WiTH  
オプションキーワード Amazon Redshift では WITH は無視されます

PASSWORD \$1 '*password*' \$1 '*md5hash*' \$1 '*sha256hash*' \$1 DISABLE \$1  
ユーザーのパスワードを設定します。  
デフォルトでは、ユーザーはパスワードが無効になっていない限り、自分のパスワードを変更できます。ユーザーのパスワードを無効にするには、DISABLE を指定します。ユーザーのパスワードが無効になると、パスワードはシステムから削除され、ユーザーは AWS Identity and Access Management (IAM) ユーザーの一時的認証情報を使用してのみログオンできます。詳細については、「[IAM 認証を使用したデータベースユーザー認証情報の生成](https://docs.aws.amazon.com/redshift/latest/mgmt/generating-user-credentials.html)」を参照してください。スーパーユーザーのみが、パスワードを有効または無効にできます。スーパーユーザーのパスワードを無効にすることはできません。パスワードを有効にするには、[ALTER USER](r_ALTER_USER.md)を実行し、パスワードを指定します。  
パスワードの指定は、クリアテキスト、MD5 ハッシュ文字列、もしくは SHA256 ハッシュ文字列の形式で行うことができます。  
 AWS マネジメントコンソール、AWS CLI、または Amazon Redshift API を使用して新しいクラスターを起動する場合、初期データベースユーザーのパスワードはクリアテキストで指定する必要があります。[ALTER USER](r_ALTER_USER.md) を使用して、パスワードを後で変更できます。
クリアテキストでは、パスワードは以下の制約を満たす必要があります:  
+ 8 から 64 文字の長さにする必要があります。
+ 少なくとも 1 つの大文字、1 つの小文字、および 1 つの数字を使用する必要があります。
+ ASCII 文字 (ASCII コード 33～126) のうち、' (一重引用符)、" (二重引用符)、\$1、/、@ を除く任意の文字を使用できます。
クリアテキストで CREATE USER パスワード パラメータを通過するための安全な代替方法として、パスワードとユーザー名を含む文字列の MD5 ハッシュを指定できます。  
MD5 ハッシュ文字列を指定すると、CREATE USER コマンドが MD5 ハッシュ文字列の有効性を確認しますが、パスワード部分の文字列は検証されません。この場合、データベースにログインするために利用できないパスワード (空の文字列など) を作成することができます。
MD5 パスワードを指定するには、以下のステップに従います:   

1. パスワードとユーザー名を連結します。

   例えば、パスワードが `ez`、ユーザーが `user1` の場合、連結した文字列は `ezuser1` です。

1. 連結した文字列を 32 文字の MD5 ハッシュ文字列に変換します。ハッシュ文字列を作成するために任意の MD5 ユーティリティを使用できます。次の例では、Amazon Redshift [MD5 関数](r_MD5.md) と連結演算子 ( \$1\$1 ) を使用し、32 文字の MD5 ハッシュ文字列を使用しています。

   ```
   select md5('ez' || 'user1');
                           
   md5
   --------------------------------
   153c434b4b77c89e6b94f12c5393af5b
   ```

1. MD5 ハッシュ文字列の前に「`md5`」を連結し、*md5hash* 引数として連結した文字列を指定します。

   ```
   create user user1 password 'md5153c434b4b77c89e6b94f12c5393af5b';
   ```

1. サインイン認証情報を使用してデータベースにログオンします。

   この例では、パスワード `ez` を使用して `user1` としてログオンします。
もう 1 つの安全な方法は、パスワード文字列の SHA-256 ハッシュを指定することです。または、ダイジェストの作成に使用された、独自の有効な SHA-256 ダイジェストと 256 ビットのソルトを指定することもできます。  
+ Digest – ハッシュ関数の出力。
+ Salt – ハッシュ関数の出力のパターンを減らすために、パスワードと組み合わされて、ランダムに生成されたデータ。

```
'sha256|Mypassword'
```

```
'sha256|digest|256-bit-salt'
```
次の例では、Amazon Redshift によりソルトの生成および管理を行っています。  

```
CREATE USER admin PASSWORD 'sha256|Mypassword1';
```
次の例では、ダイジェストの作成に使用された有効な SHA-256 ダイジェストと 256 ビットのソルトが提供されます。  
パスワードを指定して独自のソルトでハッシュするには、次の手順に従います。  

1. 256 ビットのソルトを作成します。ソルトを取得するには、任意の 16 進文字列ジェネレータを使用して 64 文字の文字列を生成します。この例で、ソルトは `c721bff5d9042cf541ff7b9d48fa8a6e545c19a763e3710151f9513038b0f6c6` です。

1.  FROM\$1HEX 関数を使用して、ソルトをバイナリに変換します。SHA2 関数にはソルトのバイナリ表現が必要であるためです。次のステートメントをご覧ください。

   ```
   SELECT FROM_HEX('c721bff5d9042cf541ff7b9d48fa8a6e545c19a763e3710151f9513038b0f6c6');
   ```

1.  CONCAT 関数を使用して、パスワードにソルトを追加します。この例で、パスワードは `Mypassword1` です。次のステートメントをご覧ください 

   ```
   SELECT CONCAT('Mypassword1',FROM_HEX('c721bff5d9042cf541ff7b9d48fa8a6e545c19a763e3710151f9513038b0f6c6'));
   ```

1. SHA2 関数を使用して、パスワードとソルトの組み合わせからダイジェストを作成します。次のステートメントをご覧ください。

   ```
   SELECT SHA2(CONCAT('Mypassword1',FROM_HEX('c721bff5d9042cf541ff7b9d48fa8a6e545c19a763e3710151f9513038b0f6c6')), 0);
   ```

1.  これまでの手順のダイジェストとソルトを使用して、ユーザーを作成します。次のステートメントをご覧ください。

   ```
   CREATE USER admin PASSWORD 'sha256|821708135fcc42eb3afda85286dee0ed15c2c461d000291609f77eb113073ec2|c721bff5d9042cf541ff7b9d48fa8a6e545c19a763e3710151f9513038b0f6c6';
   ```

1. サインイン認証情報を使用してデータベースにログオンします。

    この例では、パスワード `Mypassword1` を使用して `admin` としてログオンします。
ハッシュ関数を指定せずにプレーンテキストによりパスワードを設定した場合は、ユーザーネームをソルトとして使用して MD5 ダイジェストの生成が行われます。

CREATEDB \$1 NOCREATEDB   
CREATEDB オプションを使用すると、新規ユーザーはデータベースを作成できます。デフォルトは NOCREATEDB です。

CREATEUSER \$1 NOCREATEUSER   
CREATEUSER オプションを使用すると、CREATE USER を含め、データベースに関するすべての権限を持つスーパーユーザーが作成されます。デフォルトは NOCREATEUSER です。詳細については、「[スーパーユーザー](r_superusers.md)」を参照してください。

SYSLOG ACCESS \$1 RESTRICTED \$1 UNRESTRICTED \$1  <a name="create-user-syslog-access"></a>
Amazon Redshift のシステムテーブルとビューに対するユーザーのアクセスレベルを指定する句です。  
SYSLOG ACCESS RESTRICTED アクセス許可を持つ通常のユーザーは、ユーザーが表示できるシステムテーブルとビューで自分が生成した行のみを表示できます。デフォルトは RESTRICTED です。  
SYSLOG ACCESS UNRESTRICTED アクセス許可を持つ通常のユーザーは、ユーザーが表示できるシステムテーブルとビューのすべての行 (別のユーザーが生成した行を含む) を表示できます。UNRESTRICTED を指定しても、スーパーユーザーが表示可能なテーブルへのアクセス権が、通常のユーザーに付与されるわけではありません。スーパーユーザーが表示可能なテーブルを表示できるのはスーパーユーザーだけです。  
システムテーブルに対する無制限のアクセス権限を付与されたユーザーは、別のユーザーが生成したデータへの可視性が提供されます。例えば、STL\$1QUERY と STL\$1QUERYTEXT には INSERT、UPDATE、および DELETE ステートメントのフルテキストが含まれており、ユーザーが生成した機密データがこれらに含まれている可能性があります。
SVV\$1TRANSACTIONS のすべての行は、すべてのユーザーが表示可能です。  
詳細については、「[システムテーブルとビューのデータの可視性](cm_chap_system-tables.md#c_visibility-of-data)」を参照してください。

IN GROUP *groupname*   
ユーザーが属する既存のグループ名を指定します。複数のグループ名を指定できます。

VALID UNTIL *abstime*   
VALID UNTIL オプションでは、ユーザーのパスワードが無効になるまでの絶対時間を設定します。デフォルトでは、パスワードには期限がありません。

CONNECTION LIMIT \$1 *limit* \$1 UNLIMITED \$1   
ユーザーが同時に開けるデータベース接続の最大数。この制限はスーパーユーザーには適用されません。同時接続の最大数を許可するには、UNLIMITED キーワードを使用します。データベースごとの接続数の制限が適用される場合もあります。詳細については、「[CREATE DATABASE](r_CREATE_DATABASE.md)」を参照してください。デフォルトは UNLIMITED です。現在の接続を確認するには、[STV\$1SESSIONS](r_STV_SESSIONS.md)システムビューに対してクエリを実行します。  
ユーザーとデータベースの両方の接続制限が適用される場合は、ユーザーが接続しようとしたときに、両方の制限内に未使用の接続スロットがなければなりません。

SESSION TIMEOUT *limit*  
セッションが非アクティブまたはアイドル状態を維持する最大時間 (秒) です。指定できる範囲は 60 秒 (1 分) から 1,728,000 秒 (20 日) です。ユーザーに対しセッションタイムアウトが設定されていない場合は、クラスターの設定値が適用されます。詳細については、「*Amazon Redshift 管理ガイド*」の「[Amazon Redshift のクォータと制限](https://docs.aws.amazon.com/redshift/latest/mgmt/amazon-redshift-limits.html)」を参照してください。  
設定されたセッションタイムアウトは、新しいセッションにのみ適用されます。  
開始時刻、ユーザー名、セッションタイムアウトなど、アクティブなユーザーセッションに関する情報を表示するには、[STV\$1SESSIONS](r_STV_SESSIONS.md)システムビューを参照します。ユーザーセッションの履歴に関する情報を表示するには、[STL\$1SESSIONS](r_STL_SESSIONS.md)ビューを参照します。セッションタイムアウト値など、データベースユーザーに関する情報を取得するには、[SVL\$1USER\$1INFO](r_SVL_USER_INFO.md)ビューを参照します。

EXTERNALID *external\$1id*  
ID プロバイダーに関連付けられているユーザーの識別子。ユーザーはパスワードを無効にする必要があります。詳細については、「[Amazon Redshift 用のネイティブ ID プロバイダー (IdP) フェデレーション](https://docs.aws.amazon.com/redshift/latest/mgmt/redshift-iam-access-control-native-idp.html)」を参照してください。

### 使用に関する注意事項
<a name="create_user-usage-notes"></a>

デフォルトでは、すべてのユーザーは PUBLIC スキーマに対して、CREATE 権限と USAGE 権限を所有しています。ユーザーがデータベースの PUBLIC スキーマにオブジェクトを作成できないようにするには、REVOKE コマンドを使用してその権限を削除します。

IAM 認証情報を使用してデータベースのユーザー認証情報を作成する場合、一時的認証情報を使用してのみログオンできるスーパーユーザーを作成することをお勧めします。スーパーユーザーのパスワードを無効にすることはできませんが、ランダムに生成された MD5 ハッシュ文字列を使って不明なパスワードを作成することはできます。

```
create user iam_superuser password 'md5A1234567890123456780123456789012' createuser;
```

二重引用符で囲まれた*ユーザーネーム*の大文字と小文字は、`enable_case_sensitive_identifier`設定オプションの設定にかかわらず、常に保持されます。詳細については、「[enable\$1case\$1sensitive\$1identifier](r_enable_case_sensitive_identifier.md)」を参照してください。

## 例
<a name="r_CREATE_USER-examples"></a>

次のコマンドでは、パスワード (abcD1234)、データベース作成権限、接続制限 (30) の dbuser という名前のユーザーを作成します。

```
create user dbuser with password 'abcD1234' createdb connection limit 30;
```

 PG\$1USER\$1INFO カタログテーブルに対してクエリを実行し、データベースユーザーに関する詳細を表示します。

```
select * from pg_user_info;
         
 usename   | usesysid | usecreatedb | usesuper | usecatupd | passwd   | valuntil | useconfig | useconnlimit
-----------+----------+-------------+----------+-----------+----------+----------+-----------+-------------
 rdsdb     |        1 | true        | true     | true      | ******** | infinity |           |
 adminuser |      100 | true        | true     | false     | ******** |          |           | UNLIMITED
 dbuser    |      102 | true        | false    | false     | ******** |          |           | 30
```

次の例では、アカウントのパスワードは 2017 年 6 月 10 日まで有効です。

```
create user dbuser with password 'abcD1234' valid until '2017-06-10';
```

 次の例では、特殊文字を含む、大文字と小文字が区別されるパスワードを持つユーザーを作成します。

```
create user newman with password '@AbC4321!';
```

 MD5 パスワードにバックスラッシュ (「\$1」) を使用するには、ソースとなる文字列のバックスラッシュをバックスラッシュでエスケープします。次の例では、`slashpass`という名前のユーザーを作成し、バックスラッシュ一つ ( '`\`') をパスワードとして使用しています。

```
select md5('\\'||'slashpass');
         
md5
--------------------------------
0c983d1a624280812631c5389e60d48c
```

md5 パスワードでユーザーを作成します。

```
create user slashpass password 'md50c983d1a624280812631c5389e60d48c';
```

次の例では、アイドルセッションのタイムアウトを 120 秒に設定しながら、`dbuser`という名前のユーザーを作成します。

```
CREATE USER dbuser password 'abcD1234' SESSION TIMEOUT 120;
```

次の例では、`bob` という名前のユーザーを作成します。名前空間は `myco_aad` です。これはサンプルのみです。コマンドを正常に実行するには、ID プロバイダーが登録されている必要があります。詳細については、「[Amazon Redshift 用のネイティブ ID プロバイダー (IdP) フェデレーション](https://docs.aws.amazon.com/redshift/latest/mgmt/redshift-iam-access-control-native-idp.html)」を参照してください。

```
CREATE USER myco_aad:bob EXTERNALID "ABC123" PASSWORD DISABLE;
```