Oracle系列---【Oracle中密码的策略如何设置】

在 Oracle 数据库中，profile 是一个与用户关联的配置集合，用于控制用户账户的资源使用情况和密码策略。例如，profile 可以定义用户的密码过期时间、账户锁定策略、并发会话数限制等。

简单来说，profile 是一组规则的集合，这些规则可以应用到一个或多个数据库用户，从而限制或管理他们的行为。

1. profile 的作用

每个数据库用户都可以被分配到一个特定的 profile，这些 profile 决定了用户使用数据库资源的限制以及密码策略。例如：

• 资源限制：控制用户的 CPU 时间、会话数、I/O 操作等。
• 密码策略：设置密码的有效期、复杂性要求、失败登录后的锁定策略等。

2. 查询语句中 profile 的含义

在以下查询中：

SELECT profile, resource_name, limit
FROM dba_profiles
WHERE resource_name IN ('PASSWORD_LIFE_TIME', 'FAILED_LOGIN_ATTEMPTS', 'PASSWORD_LOCK_TIME');

• profile：表示某个用户使用的配置集合名称。例如，可能的值包括 DEFAULT（系统默认的配置）或自定义的 profile 名称。
• resource_name：表示资源或密码策略的名称。例如：
  • PASSWORD_LIFE_TIME：密码的有效期。
  • FAILED_LOGIN_ATTEMPTS：允许的最大登录失败次数。
  • PASSWORD_LOCK_TIME：账户被锁定后的解锁时间。
• limit：表示对应的资源或策略的具体限制值。例如：
  • PASSWORD_LIFE_TIME 的值可以是 30（天数）或 UNLIMITED。
  • FAILED_LOGIN_ATTEMPTS 的值可以是 5（允许的失败次数）。
  • PASSWORD_LOCK_TIME 的值可以是 1（1天）或 UNLIMITED。

3. DEFAULT Profile

Oracle 默认提供一个名为 DEFAULT 的 profile，系统中所有新创建的用户都会自动分配到这个 profile，除非明确指定了其他 profile。

在默认配置下：

• PASSWORD_LIFE_TIME：通常为 UNLIMITED（密码不会过期）或者根据安全策略调整。
• FAILED_LOGIN_ATTEMPTS：通常默认为 10（超过 10 次失败会锁定用户账户）。
• PASSWORD_LOCK_TIME：通常为 1（1天后解锁），但也可能是 UNLIMITED（手动解锁）。

要查看 DEFAULT profile 的配置，可以执行以下查询：

SELECT profile, resource_name, limit
FROM dba_profiles
WHERE profile = 'DEFAULT';

4. 用户与 profile 的关联

每个数据库用户都被分配到一个 profile，可以通过以下查询查看用户所属的 profile：

SELECT username, profile
FROM dba_users;

5. 管理 profile

a. 创建自定义 Profile

如果需要创建一个自定义的 profile，可以使用以下命令：

CREATE PROFILE my_profile LIMIT
  PASSWORD_LIFE_TIME 30
  FAILED_LOGIN_ATTEMPTS 5
  PASSWORD_LOCK_TIME 1;

这会创建一个名为 my_profile 的配置，设置以下限制：

• 密码有效期为 30 天。
• 登录失败 5 次后账户会被锁定。
• 锁定账号 1 天后自动解锁。

b. 分配 Profile 给用户

可以通过以下命令将用户分配到指定的 profile：

ALTER USER username PROFILE my_profile;

c. 修改 Profile

如果需要调整现有 profile 的配置，可以使用以下命令：

ALTER PROFILE my_profile LIMIT
  PASSWORD_LIFE_TIME 60;

这会将 my_profile 的密码有效期改为 60 天。

d. 删除 Profile

只有当没有用户使用一个 profile 时，才能删除它。删除一个 profile 的命令如下：

DROP PROFILE my_profile CASCADE;

CASCADE 表示同时删除与该 profile 相关联的所有限制。

6. 示例输出解释

假设执行以下查询：

SELECT profile, resource_name, limit
FROM dba_profiles
WHERE resource_name IN ('PASSWORD_LIFE_TIME', 'FAILED_LOGIN_ATTEMPTS', 'PASSWORD_LOCK_TIME');

可能的结果为：

解释：

• DEFAULT 是系统默认配置，密码不会过期（UNLIMITED），登录失败 10 次会锁定账户，锁定 1 天后自动解锁。
• MY_PROFILE 是自定义的 profile，密码有效期为 30 天，登录失败 5 次后锁定账户，账户 1 天后解锁。

7. 总结

• profile 是用户的一组配置规则，用于管理数据库资源使用和密码策略。
• 每个用户可以分配到一个 profile，如果未指定，则默认使用 DEFAULT profile。
• 通过查询 DBA_PROFILES 和 DBA_USERS，可以查看 profile 的配置和用户分配情况。
• 可以创建、修改或删除自定义 profile，以满足特定的安全和资源管理需求。

如果有进一步的问题，请随时告诉我！