13518219792
编者按: 验证口令 获得访问授权 这是目前最常用的访问控制手段 Oracle数据库也采用这样的安全策略 在这一策略中 口令的管理是关键 然而要做好这项工作 既保证数据的安全也保证用户使用方便却并非易事 在Oracle数据库中 若要访问数据 必须先具有该数据库的一个账户 这个访问可以是直接访问（通过一个数据库的用户连接）或间接访问（通过在数据库链接中预设权限的访问） 每个账户必须有一个与其相关的口令 一个数据库账户可以连接到一个操作系统账户上 口令是在创建用户账户时为每一用户设置的 并可在该账户创建后对它们进行变更 用户变更账户口令的能力受他访问工具权限的限制 数据库以加密的形式将口令存储在一个数据字典表中 如果账户直接与操作系统账户相关 就可以旁路口令检查 在Oracle i中 口令可以无效 数据库管理员可以建立能重复使用口令的条件(通过一个数据库口令历史设置值) 也可以使用环境文件为口令制定标准 如最小长度 或如果连续多次与账户连接不成功 就可以自动锁定账户 环境文件 可以使用环境文件来限制用户能使用的系统和数据库资源 并管理口令限制 如果数据库中没有创建环境文件 将使用缺省环境文件（Default） 缺省环境文件对于所有用户资源没有限制 表 列出了可以通过环境文件限制的资源 (注: PASSWORD_REUSE_MAX和PASSWORD_REUSE_TIME互不相容 如果其中一个资源设置成一个值 另一个必须设置成Unlimited ) 如表 所示 许多资源都可以被限制 在用户超过资源限制前不会发生任何动作 一旦到达限值 SQL语句就被停止 环境文件是通过 create profile 命令创建的 可以用 alter profile 命令修改 下例所示的 alter profile 命令用于修改现有的环境文件 在这个例子中 数据库的缺省环境文件被修改成允许最大空闲时间为 小时 alter profile DEFAULT limit idle_time ; 在Oracle i中 可以使用环境文件来管理口令的终止 重新使用和复杂性 例如 可以限制一个口令的寿命 锁定口令过旧的账户 也可以强制一个口令至少有一定程度的复杂性 并锁定一个多次注册失败的账户 口令的锁定与过期 FAILED_LOGIN_ATTEMPTS用于设定账户允许的尝试次数 可以防止恶意人员无限制地尝试账户口令来破解口令 例如 如果设置用户环境文件的FAILED_LOGIN_ATTEMPTS资源为 该账户允许连续注册失败 次 第 次失败就会引起账户被锁定 在下面的例子中 创建一个供用户TestUser使用的TEST_PROFILE环境文件 create profile TEST_PROFILE limit FAILED_LOGIN_ATTEMPTS ; create user TESTUSER identified by abcd profile TEST_PROFILE; grant CREATE SESSION to TESTUSER; 如果连续 次与TestUser账户的连接失败 该账户将自动被Oracle锁定 此后当输入TestUser账户的正确口令时 会收到一条错误信息 ERROR:ORA : the account is locked 要对账户解锁 可在数据库管理员账户中使用 alter user 命令的account unlock子句 如下所示 alter user TESTUSER account unlock; 账户解锁后 TestUser账户再一次被允许连接 可以通过 alter user 命令的account lock子句来手动锁定一个账户 alter user TESTUSER account lock; 若一个账户由于多次连接失败而被锁定 当超过其环境文件的PASSWORD_LOCK_TIME值时将自动解锁 例如 如果PASSWORD_LOCK_TIME设为 前面例子中的TestUser账户就被锁定 天 过后账户即被自动解锁 可以通过环境文件中的PASSWORD_LIFE_TIME资源建立一个口令的最大期限 例如 可以强制TEST_PROFILE环境文件的用户每 天改变一次口令 alter profile TEST_PROFILE limit PASSWORD_LIFE_TIME ; 在这个例子中 alter profile 命令用于修改TEST_PROFILE环境文件 PASSWORD_LIFE_TIME值设为 因此使用这个环境文件的每个账户在 天后口令就会过期 如果口令过期 就必须在下次注册时修改它 除非环境文件对过期的口令有一特定的宽限期 宽限期参数叫做PASSWORD_GRACE_TIME 如果在宽限期内没有修改口令 账户就会过期 (注: 如果使用PASSWORD_LIFE_TIME参数 就必须为用户提供一种便于其改变口令的方法 ) 过期 账户与 锁定 账户不同 锁定账户会随着时间的推移自动解锁 而过期账户需要通过数据库管理员人工干预才能重新激活 （注 如果使用口令过期特性 就要确保拥有应用程序的账户具有不同的环境文件设置值 否则它们会被锁定 使得应用程序不能使用 ） 如前面例子所述 若要重新恢复一个过期账户 需使用 alter user 命令 在这个例子中 用户TestUser首先由数据库管理员手工使其口令过期 alter user TESTUSER password expire; 接着 TestUser试图连接其账户 当他输入口令时 立即被提示输入账户的新口令 也可以使用 create user 命令的 password expire 子句 强制用户在第一次访问时修改口令 不过 create user 命令不允许对用户设置的新口令设置限期日期 要设置的话 必须使用前面例子中的PASSW??????餀???? ??ORD_LIFE_TIME环境文件参数 若要查看任一账户的口令限期 可查询DBA_USERS数据字典视图的Expire_Date列 若用户自己想查看 可查询USER_USERS数据字典视图的Expiry_Date列(通过SQL*Plus或一个基于客户机的查询工具) 防止口令重新使用 若要防止一个口令被重新使用 可以使用两个环境文件参数的其中一个: PASSWORD_REUSE_MAX或PASSWORD_REUSE_TIME 这两个参数互不相容 如果给其中的一个设置了值 另一个就必须设为Unlimited PASSWORD_REUSE_TIME参数规定一个口令可以重新使用前必须经过的天数 例如 如果设置PASSWORD_REUSE_TIME为 天 则在 天内不能使用同一个口令 PASSWORD_REUSE_MAX参数指定一个口令可以重新使用前必须对其改变的次数 如果试图在这个限制到达前重新使用该口令 Oracle会拒绝口令的修改 例如 可以为本章前面创建的TEST_PROFILE环境文件设置一个PASSWORD_REUSE_MAX参数 alter profile TEST_PROFILE limit PASSWORD_REUSE_MAX PASSWORD_REUSE_TIME UNLIMITED; 如果用户TestUser现在试图重新使用一个最近的口令 修改口令就会失败 例如 如下修改口令 alter user TESTUSER identified by eye ; 然后再次改变它 alter user TESTUSER identified by eye ; 在下次修改口令时 试图重新使用最近的口令 就会失败 他不能重新使用任何他最近用过口令 必须提供一个新口令 口令历史被存储在SYS模式下一个叫USER_HISTORY$的表中 在这个表中 Oracle存储了用户资源识别符 加密的口令值和创建该口令的日期/时间标记 当PASSWORD_REUSE_TIME值已过期或口令修改次数超过PASSWORD_REUSE_MAX值时 这个老的口令记录就从SYS USER_HISTORY$表中删除 如果一个新的密码与现有的密码一样 这个新口令就被拒绝 由于老口令存储在SYS拥有的一个表中 所以数据存储在System表空间中 因此 如果要为频繁修改口令的大量用户保留非常大的口令历史 口令历史表SYS HISTORY$所需的空间就会影响System表空间的空间需求 设置口令复杂度 可以强制用户的口令符合复杂度标准 例如 可以要求口令的最小长度 限制不能是一些简单的词 至少包括一个数字或标点符号等 create profile 和 alter profile 命令的PASSWORD_VERIFY_FUNCTION参数指定用于评估口令的函数名 如果用户提出的口令不符合要求 就不会被接受 例如 可以拒绝 abcde 和 eye 作为口令 因为它们未包含任何数字值 为简化实施口令复杂度的过程 Oracle提供了一个函数VERIFY_FUNCTION 在缺省情况下 不创建这个函数 只有在运行utlpwdmg sql脚本文件(该文件位于Oracle软件主目录下的/rdbms/admin子目录中)时才创建VERIFY_FUNCTION函数（注意这个函数应当在SYS模式下创建） 函数中的前三个条件子句检查口令是否与用户名相同 是否少于 个字符 是否是一组特定的词之一 可以任意修改这些检查或增加你的要求 例如 安全原则可能要求口令最少有六个字符 运行前要简单地更新部分utlpwdmg sql文件 函数的下一个主要部分是对口令字符串内容的三段检查 要通过这些检查 口令中至少要包含一个字符 一个数字和一个标点符号 同前面的检查一样 它们是可以编辑的 例如 可以不要求用户在其口令中使用标点符号 只要简单地绕过那部分口令检查就可以 函数的下一部分是将新口令与老口令逐字符进行比较 如果它们之间的不同之处少于三处 新口令将不予接受 这个脚本文件中最后一条命令不属于该函数 它是一条改变缺省环境文件的 alter profile 命令 如果改变了缺省环境文件 那么数据库中所有使用缺省环境文件的用户都会受到影响 要注意 lishixinzhi/Article/program/Oracle/201311/17911
创新互联公司是创新、创意、研发型一体的综合型网站建设公司，自成立以来公司不断探索创新，始终坚持为客户提供满意周到的服务，在本地打下了良好的口碑，在过去的10多年时间我们累计服务了上千家以及全国政企客户，如成都餐厅设计等企业单位，完善的项目管理流程，严格把控项目进度与质量监控加上过硬的技术实力获得客户的一致赞赏。
如果是初学者，就把所有用户的密码统一设置成为一个密码，方便记忆和管理。包括sys、system、scott和自己新建的用户.scott用户默认是被锁住的，安装完成之后，再用下面的命令解锁。\x0d\x0a原因：默认Oracle10g的scott不能登陆。\x0d\x0a解决：\x0d\x0a（1）conn sys/sys as sysdba;//以DBA的身份登录\x0d\x0a（2）alter user scott account unlock;// 然后解锁
应该填写登陆数据库的密码。
在ORALCE数据库系统中，用户如果要以特权用户身份(SYS/SYSDBA/SYSOPER)登录ORALCE数据库可以有两种身份验证的方法：即使用与操作系统集成的身份验证或使用ORALCE数据库的密码文件进行身份验证。因此，管理好密码文件，对于控制授权用户从服务器本机或远端登录Oracle数据库系统，执行数据库管理工作，具有重要的意义.
ORALCE口令文件用于存储拥有部分特权用户（sys等用户）的口令(注意：普通账号密码是不会存储在口令文件的)。允许用户通过口令文件验证，在数据库未启动之前登陆，从而启动数据库。如果没有口令文件，在数据库未启动之前就只能通过操作系统认证.口令文件存放在$ORACLE_HOME/dbs目录下（linux,window放在database），默认名称是orapw$ORACLE_SID。即密码文件位置：
Linux下的存放位置：$ORACLE_HOME/dbs/orapwsid.ora
Windows下的存放位置:$ORACLE_HOME/database/PW%ORACLE_SID%.ora
1、首先，需要启动安装程序，弹出黑色窗口，静候片刻。
2、然后安全配置更新：无需填写电子邮箱，也无需更新，忽略警告。
3、然后安装选项、系统类：直接点击下一步即可。
4、然后修改安装路径，管理口令为了好记可填写：orcl，忽略警告。
5、等待大约二分钟，点击完成。
6、口令管理：找到SCOTT，√去掉，口令为：tiger，忽略警告
7、然后等待安装完成即可。
安装时的口令管理不需要管理，只是需要输入一个密码（这里称之为口令管理）
管理口令就是给登录用户设置登录密码用的，等安装完毕后，通过口令才能连接oracle数据库。
Oracle Database，又名Oracle RDBMS，或简称Oracle。是甲骨文公司的一款关系数据库管理系统。它是在数据库领域一直处于领先地位的产品。可以说Oracle数据库系统是目前世界上流行的关系数据库管理系统，系统可移植性好、使用方便、功能强，适用于各类大、中、小、微机环境。它是一种高效率、可靠性好的 适应高吞吐量的数据库解决方案。
normal 、sysdba、 sysoper 、sys,sysdba,dba概念—区别
sys和system用户的区别
【system】用户只能用normal身份登陆em。
【sys】用户具有“SYSDBA”或者“SYSOPER”权限，登陆em也只能用这两个身份，不能用normal。
“SYSOPER”权限，即数据库操作员权限，权限包括：
打开数据库服务器 关闭数据库服务器
备份数据库 恢复数据库
日志归档 会话限制
“SYSDBA”权限，即数据库管理员权限，权限包括：
打开数据库服务器 关闭数据库服务器
备份数据库 恢复数据库
日志归档 会话限制
管理功能 创建数据库
normal 、sysdba、 sysoper有什么区别
normal 是普通用户
另外两个，你考察他们所具有的权限就知道了
sysdba拥有最高的系统权限
sysoper主要用来启动、关闭数据库，sysoper 登陆后用户是 public
sysdba登陆后是 sys
SQL conn / as sysdba
已连接。
SQL grant sysoper to test;
授权成功。
SQL conn test/test as sysoper;
已连接。
SQL show user
USER 为"PUBLIC"
SQL conn test/test as sysdba
已连接。
SQL show user
USER 为"SYS"
SQL
dba和sysdba的区别
dba、sysdba这两个系统角色有什么区别呢
在说明这一点之前我需要说一下oracle服务的创建过程
·创建实例
·启动实例
·创建数据库(system表空间是必须的)
启动过程
·实例启动
·装载数据库
·打开数据库
sysdba，是管理oracle实例的，它的存在不依赖于整个数据库完全启动，
只要实例启动了，他就已经存在，以sysdba身份登陆，装载数据库、打开数据库
只有数据库打开了，或者说整个数据库完全启动后，dba角色才有了存在的基础！
