環(huán)境：centos7.6.1810
歸類：database/oracle/11.2.0.4.0/users
簡介：整理記錄一些與Oracle用戶密碼相關(guān)的知識阱州。如密碼過期、密碼存儲廊营、dblink復(fù)制等
1.安裝完數(shù)據(jù)庫后
1.1.PROFILE文件
-
安裝完Oracle11G數(shù)據(jù)庫后，由于忘記更改數(shù)據(jù)庫用戶密碼策略痕钢，180天后用戶密碼被鎖挑童，導(dǎo)致數(shù)據(jù)庫訪問異常
--查看用戶使用的profile文件 select du.profile from dba_users du where du.username = 'SYS'; --查看profile文件中關(guān)于密碼的管理策略 select * from dba_profiles dp where dp.profile = 'DEFAULT' and dp.resource_name like 'PASSWORD_%';20210825&001
其中：
PASSWORD_LIFE_TIME：該參數(shù)設(shè)定密碼過期時(shí)間。
PASSWORD_REUSE_TIME：該參數(shù)設(shè)定指定了密碼不能重用前的天數(shù)糕非。
PASSWORD_REUSE_MAX：該參數(shù)設(shè)定為相同密碼被重用之前密碼改變的次數(shù)蒙具。
三者的關(guān)系：
- PASSWORD_REUSE_TIME=UNLIMITED
PASSWORD_REUSE_MAX=UNLIMITED
密碼可以隨意重用，沒有任何限制朽肥。- PASSWORD_REUSE_TIME=值
PASSWORD_REUSE_MAX=值
必須同時(shí)滿足兩者的條件時(shí)才可以重用密碼- PASSWORD_REUSE_TIME=UNLIMITED
PASSWORD_REUSE_MAX=值
或
PASSWORD_REUSE_TIME=值
PASSWORD_REUSE_MAX=UNLIMITED
密碼永遠(yuǎn)不能重用
PASSWORD_VERIFY_FUNCTION：認(rèn)證函數(shù)
FAILED_LOGIN_ATTEMPTS：錯(cuò)誤口令登錄的次數(shù)禁筏，達(dá)到這個(gè)次數(shù)之后賬戶被自動(dòng)鎖定
PASSWORD_LOCK_TIME：接著FAILED_LOGIN_ATTEMPTS參數(shù)，口令被自動(dòng)鎖定的天數(shù)衡招，達(dá)到這個(gè)時(shí)間之后篱昔，下次登錄時(shí)系統(tǒng)自動(dòng)解除對這個(gè)賬戶的鎖定
PASSWORD_GRACE_TIME：對口令生命周期的一個(gè)grace(寬限或者延續(xù))，口令到期之后始腾，繼續(xù)可以使用的天數(shù)州刽，在這段時(shí)間內(nèi)如果我們登錄系統(tǒng)，會(huì)有提示窘茁，提示系統(tǒng)在幾天內(nèi)過期
- 安裝完Oracle11G數(shù)據(jù)庫創(chuàng)建完用戶怀伦，建議調(diào)整密碼過期策略脆烟，取消180天過期
--將default對應(yīng)的profile中的密碼過期策略調(diào)整為永不過期山林，不用重啟數(shù)據(jù)庫，自動(dòng)生效 alter profile default limit password_life_time unlimited;
1.2.登錄報(bào)警
- 如果登錄用戶邢羔，提示ORA-28002: the password will expire within 7 days驼抹。此時(shí)能夠正常登錄，但是需要盡快修改密碼或者調(diào)整profile文件中password_life_time拜鹤。如果提示ORA-28001: the password has expired框冀，則需要重新設(shè)置密碼后才能登錄。如果提示ORA-28000: the account is locked敏簿，則密碼已經(jīng)被鎖定了明也，不允許登錄。需要管理員對用戶賬戶解鎖惯裕，才能正常登錄温数。
--修改用戶密碼 alter user scott identified by tiger1; --解鎖用戶，使用原密碼 alter user scott account unlock; --密碼為原密碼 --解鎖用戶蜻势，使用新設(shè)置的密碼 alter user scott identified by tiger2 account unlock; --修改密碼為tiger2
1.3.賬戶的幾種狀態(tài)
dba_users中的account_status表示用戶賬戶的狀態(tài)撑刺，具體有9種，通過查看user_astatus_map握玛，其中分為基礎(chǔ)狀態(tài)和組合狀態(tài)够傍。
從要實(shí)現(xiàn)的效果上看主要有3種甫菠，分別是正常狀態(tài)、過期狀態(tài)冕屯、鎖定狀態(tài)寂诱。
select * from user_astatus_map;
/*
0 OPEN
1 EXPIRED
2 EXPIRED(GRACE)
4 LOCKED(TIMED)
8 LOCKED
5 EXPIRED & LOCKED(TIMED)
6 EXPIRED(GRACE) & LOCKED(TIMED)
9 EXPIRED & LOCKED
10 EXPIRED(GRACE) & LOCKED
*/
- OPEN：正常狀態(tài)
- EXPIRED/EXPIRED(GRACE)：后者是profile中密碼到期后，處于PASSWORD_GRACE_TIME寬限日期時(shí)的賬戶狀態(tài)愕撰。等PASSWORD_GRACE_TIME過后刹衫，賬戶狀態(tài)變更為前者的狀態(tài)。同時(shí)前者可以被管理員手動(dòng)設(shè)置搞挣。
- LOCKED/LOCKED(TIMED)：后者是profile中超過登錄口令錯(cuò)誤重試次數(shù)（FAILED_LOGIN_ATTEMPTS）后带迟，處于PASSWORD_LOCK_TIME密碼鎖定時(shí)的賬戶狀態(tài)，等PASSWORD_LOCK_TIME時(shí)間過后會(huì)自動(dòng)解鎖囱桨。前者可以被管理員手動(dòng)設(shè)置仓犬。
--設(shè)置用戶賬戶密碼過期狀態(tài)
alter user testa password expire;
--設(shè)置用戶賬戶鎖定狀態(tài)
alter user testa account lock;
--解鎖用戶賬戶鎖定
alter user testa account unlock;
- 組合狀態(tài)，就是過期和鎖定兩種狀態(tài)組合舍肠，共有2×2=4種搀继。例如：EXPIRED & LOCKE：用戶賬戶密碼過期并且被管理員手動(dòng)鎖定后，再次登錄將會(huì)產(chǎn)生報(bào)錯(cuò)翠语，用戶被鎖定叽躯。通過賬戶解鎖后變成EXPIRED，還是不能連接肌括，需要重新設(shè)置密碼点骑。
2.密碼存儲方式
在Oracle10g中，對于密碼的管理相對較松谍夭。
--查詢密碼的hash值
select username,account_status,password from dba_users where username = 'TESTA';
但是在Oracle11g中黑滴，用戶安全得到加強(qiáng)，隱藏了密碼紧索，不過還是可以查詢到：
--查詢密碼的hash值
select USER#,name,PASSWORD from user$ where name = 'TESTA';
這里密碼的hash值應(yīng)用場景袁辈，比如應(yīng)用連接了數(shù)據(jù)庫，等發(fā)現(xiàn)密碼過期時(shí)珠漂，想要重新設(shè)置密碼晚缩，但是為了對應(yīng)用影響較小，還需要應(yīng)用以前的密碼媳危，直接通過查詢密碼的hash值荞彼，然后就可以重新設(shè)置原有密碼：
--設(shè)置用戶
create user testa identified by testa;
grant connect to testa;
--查詢密碼testa的hash值，Oracle11g中hash值為：EE65C0E0B6E5C4B7
select USER#,name,PASSWORD from user$ where name = 'TESTA';
--設(shè)置密碼
alter user testa identified by values 'EE65C0E0B6E5C4B7';
更進(jìn)一步济舆，分析dba_users視圖中用戶狀態(tài)與user$表的關(guān)系卿泽，我們發(fā)現(xiàn)user$的astatus會(huì)影響dba_users中的account_status，從而影響用戶賬戶狀態(tài)：
--讓用戶testa密碼過期
alter user testa password expire;
--此時(shí)查詢dba_users，testa用戶的account_status='EXPIRED'
select * from dba_users t where t.username = 'TESTA';
--查詢user$時(shí)签夭，testa用戶的astatus='1'
select * from user$ t where t.name ='TESTA';
--變更user$的astatus齐邦，會(huì)直接影響dba_users
update user$ t set t.astatus = '0' where t.name ='TESTA';
--此時(shí)再看dba_users，account_status='OPEN'
select * from dba_users t where t.username = 'TESTA';
3.DBLINK復(fù)制
有時(shí)候忘記了dblink的密碼第租，但是又想在別的地方重建此dblink措拇，該如何做，按照下列步驟操作即可：
-
Oracle10g
--get_ddl中第一個(gè)參數(shù)'DB_LINK'慎宾，第二個(gè)參數(shù)是 DBLINK的名稱丐吓，第三個(gè)是創(chuàng)建此DBLINK的用戶，全部大寫 select dbms_metadata.get_ddl('DB_LINK','TO130TESTA','SCOTT') from sys.dual; --如果沒有權(quán)限趟据，需要管理員賦予以下權(quán)限 grant select_catalog_role to scott;獲得的是一個(gè)CLOB字段券犁，將中間的dblink創(chuàng)建腳本復(fù)制粘貼到別的數(shù)據(jù)庫即可重建成功。
identified by values '0547D8.....'中顯示的是dblink遠(yuǎn)程連接用戶的密碼的密文汹碱，不用修改粘衬，原樣復(fù)制即可。 Oracle11g
oracle11g加強(qiáng)了安全咳促，此時(shí)執(zhí)行上面的dbms_metadata.get_ddl獲取的遠(yuǎn)程用戶密碼密文已經(jīng)隱藏稚新，變成了IDENTIFIED BY VALUES ':1'，需要借助sys.link$中passwordx
--先使用上面的clob中dblink創(chuàng)建sql
/*需要注意的是跪腹，需要將DENTIFIED BY VALUES ':1'中的':1'換成'1'*/
CREATE DATABASE LINK "TO130TESTA"
CONNECT TO "TESTA" IDENTIFIED BY VALUES '1'
USING '(DESCRIPTION =
(ADDRESS = (PROTOCOL = TCP)(HOST = "192.168.20.130")(PORT = 1521))
(LOAD_BALANCE = yes)
(CONNECT_DATA =
(SERVER = DEDICATED)
(SERVICE_NAME = "master")
)
)'
--查詢當(dāng)前數(shù)據(jù)庫中sys.link$褂删，獲取dblink遠(yuǎn)程用戶的flag,passwordx
select * from sys.link$ s where s.name = 'TO130TESTA';
--獲取的 flag=2,passwordx=06E077A0010ED4C81E4F3BFB5A055CB23A1CDAE24214E4E3B206D4515F38152E2F3E664534D864C8AA2B950E9617EABC7657326427F88FF1077CE19283D95BC08A14F6B9A3F9DF6A8283B4180AF7A691B0E2EBC562DE0858CEF051001F891E4C2C8D54AC5DDC827117B1648E7088DC84209D41870E174F657F8C88D23AFB741B
--將復(fù)制端的數(shù)據(jù)庫的sys.link$也進(jìn)行變更
update sys.link$ s set s.flag ='2',s.passwordx = '06E077A0010ED4C81E4F3BFB5A055CB23A1CDAE24214E4E3B206D4515F38152E2F3E664534D864C8AA2B950E9617EABC7657326427F88FF1077CE19283D95BC08A14F6B9A3F9DF6A8283B4180AF7A691B0E2EBC562DE0858CEF051001F891E4C2C8D54AC5DDC827117B1648E7088DC84209D41870E174F657F8C88D23AFB741B'
where s.name = 'TO130TESTA';
--此時(shí)訪問即可正常訪問
