转:Oracle 角色、配置文件

--================================

--Oracle 角色、配置文件

--================================

 

一、角色

    1.角色

           权限的集合，可以分配给一个用户或其他角色，但角色不能授予自己，也不能循环授予

       角色的优点

           可以先创建角色，向该角色赋予一系列权限，然后再将该角色授予多个用户或角色

           增加或删除角色中的某一权限，被授予该角色的所有用户或角色自动地获得新增权限或删除旧的权限

           可以为角色设置密码

          

    2.创建修改角色

       CREATE ROLE role_name

       [NOT IDENTIFIED(默认) | IDENTIFIED BY password | EXTERNALLY |GLOBALLY];

 

       注：同一个数据库中角色名称必须唯一，且不能使用已存在的用户名称

           不支持with grant option 为角色授予对象权限

           支持with admin option 为角色授予系统权限或另一个角色

           使用Enterprise Manager创建某个用户时，该用户被自动授予了CONNECT角色，

           即同时具有了该角色的所有权限

          

       IDENTIFIED BY EXTERNALLY

           意味着了启用一个角色，用户必须是某个操作系统组的一个成员，该操作系统组的名称应当与角色相对应。

           当希望通过操作系统对角色进行身份认证，则需要设置OS_ROLE参数为TRUE

           且当设定了使用IDENTIFIED BY EXTERNALLY身份验证，必须在数据库驻留的服务器上按以下格式创建组

              ora_<SID>_<ROLE>[_[d][a]]

           d:指示<ROLE>部分指定的角色为用于用户的默认角色

           a:指示可以使用with admin option为用户授予<ROLE>部分所指定的角色      

      

       关于外部身份验证，请参考：Oracle 密码文件

      

       常用的角色

          

           角色                               被授予的权限

           DBA                                 几乎所有系统权限

           SELECT_CATALOG_ROLE                 数据字典上的对象权限，未被授予任何系统权限

           EXECUTE_CATALOG_ROLE                数据字典上的程序包、过程、函数的对象权限

           DELETE_CATALOG_ROLE                 DELETE ON SYS.AUD$

                                          DELETE ON SYS.FGA_LOG$

           EXP_FULL_DATABASE                从数据库中导出数据时查询任何表或序列、执行任何过程或类型以及修改

                                          数据字典对象的权限

           IMP_FULL_DATABASE               执行导入时，在数据库内除了sys模式之外的任何模式中创建对象的权限   

           CONNECT                             ALTER SESSION

                                          CREATE CLUSTER

                                          CREATE DATABASE LINK

                                          CREATE SEQUENCE

                                           CREATE SESSION

                                          CREATE SYNONYM

                                          CREATE TABLE

                                          CREATE VIEW

           RESOURCE                            CREATE CLUSTER

                                          CREATE INDEXTYPE

                                          CREATE OPERATOR

                                          CREATE PROCEDURE

                                          CREATE SEQUENCE

                                          CREATE TABLE

                                          CREATE TRIGGER

                                          CREATE TYPE

                                          UNLIMITED TABLESPACE (when granted)

           AQ_ADMINISTRATOR_ROLE               Advanced Queuing 对象上的对象权限

                                          CREATE EVALUATION CONTEXT

                                          CREATE RULE

                                          CREATE RULE SET

                                          DEQUEUE ANY QUEUE

                                          ENQUEUE ANY QUEUE

                                          MANAGE ANY QUEUE

           AQ_USER_ROLE                        EXECUTE ON SYS.DBMS_AQ

                                          EXECUTE ON SYS.DBMS_AQIN

                                          EXECUTE ON SYS.DBMS_AQJMS_INTERNAL

                                          EXECUTE ON SYS.DBMS_TRANSFORM

           SCHEDULER_ADMIN                     CREATE ANY JOB

                                          CREATE JOB

                                          EXECUTE ANY CLASS

                                          EXECUTE ANY PROGRAM

                                          MANAGE SCHEDULE

                                          (使用WITH ADMIN OPTION授予上述所有权限)

           PUBLIC                      不具有特殊的权限，不过为public角色授予权限时，所有用户都会继承该权限

          

           --创建不要口令的角色clerk

              SQL> CREATE ROLE clerk;

 

           --创建要口令的角色sales

              SQL> CREATE ROLE sales IDENTIFIED BY money;

 

           --创建一个需要使用外部标识（如操作系统）的角色manager

              SQL> CREATE ROLE manager IDENTIFIED EXTERNALLY;

 

           --创建后查看角色：

 

              SQL> SELECT role,password_required FROM dba_roles;

 

              ROLE                           PASSWORD

              ------------------------------ --------

              CLERK                          NO

              SALES                          YES

              MANAGER                        EXTERNAL

 

       角色修改：

           ALTER ROLE rolename

           [NOT IDENTIFIED | IDENTIFIED

           BY password | EXTERNALLY | GLOBALLY];

      

           一个角色在创建后可以修改，但只能修改它的验证方法。

      

           但只有角色是使用带有with ADMIN option 选项的GRANT 语句授予的或者具

           有ALTER ANY ROLE 系统权限的用户时，才可以修改这个角色

 

           --将角色clerk 的验证方法改为使用外部（如操作系统）标识

              SQL> ALTER ROLE clerk IDENTIFIED EXTERNALLY;

 

           --将角色sales 的验证方法改为不使用任何标识方法

              SQL> ALTER ROLE sales NOT IDENTIFIED;

 

           --将角色manager 的验证方法改为使用口令标识，口令为vampire

              SQL> ALTER ROLE manager IDENTIFIED BY vampires;

 

           --再查询后即可看到变化

              SELECT role,password_required FROM dba_roles

 

    3.为角色授予和取消权限

       a.角色授权 

           为角色授予系统权限语法

              GRANT system_priv [, system_priv, ...]

              TO role | PUBLIC [, role | PUBLIC, ...]

              [WITH ADMIN OPTION];

          

           为角色授予对象权限语法

              GRANT ALL [PRIVILEGES] | object_priv [(column, column, ...)]

              [, object_priv [(column, column, ...(] , ...]

              ON [schema_name.]object_name

              TO role | PUBLIC [, role | PUBLIC, ...];

          

           --为角色赋予权限（GRANT）：

              SQL> show user;

              USER is "SYSTEM"

              SQL> CREATE ROLE manager;

 

              Role created.

             

              --赋予系统权限

              SQL> GRANT CREATE TABLE,CREATE VIEW,CREATE SESSION TO manager WITH ADMIN OPTION;

 

              Grant succeeded.

             

              --赋予对象权限

              SQL> GRANT SELECT ,INSERT ,UPDATE ON scott.emp TO manager;

 

              Grant succeeded.

 

           --查看角色的系统权限（role_sys_privs）

              SQL> SELECT * FROM role_sys_privs WHERE role = 'MANAGER';

             

              ROLE                           PRIVILEGE            ADM

              ------------------------------ -------------------- ---

              MANAGER                        CREATE SESSION       YES

              MANAGER                        CREATE TABLE         YES

              MANAGER                        CREATE VIEW          YES

          

           --查看角色的对象权限(role_tab_privs)

              SQL> SELECT * FROM role_tab_privs WHERE role = 'MANAGER';

 

              ROLE                      OWNER                TABLE_NAME           COLUMN_NAME PRIVILEGE            GRA

              ------------------------- -------------------- -------------------- ----------- -------------------- ---

              MANAGER                   SCOTT                EMP                              UPDATE               NO

              MANAGER                   SCOTT                EMP                              INSERT               NO

              MANAGER                   SCOTT                EMP

 

       b.取消角色所拥有的权限

           取消角色拥有的系统权限语法

              REVOKE system_priv | role_name [, system_priv | role_name, ...]

              FROM role | PUBLIC [,role | PUBLIC, ...];

             

           取消角色用户的对象权限语法

              REVOKE ALL [PRIVILEGES] | object_priv [, object_priv, ...]

              ON [schema_name.]object_name

              FROM role | PUBLIC [,role | PUBLIC, ...]

              [CASCADE CONSTRAINTS]

          

           --取消角色的系统权限

              SQL> REVOKE CREATE VIEW FROM manager;

 

              Revoked succeeded.  

          

           --取消角色的对象权限

              SQL> REVOKE INSERT ,UPDATE ON scott.emp FROM manager;

 

              Revoked succeeded.  

          

           --查看被取消权限后所剩余的权限的集合

              SQL> SELECT role,'System_privs' owner,privilege

                2  FROM role_sys_privs

                3  WHERE role = 'MANAGER'

                4  UNION                

                5  SELECT role,owner,privilege

                6  FROM role_tab_privs

                7  WHERE role = 'MANAGER';

 

              ROLE                           OWNER                PRIVILEGE

              ------------------------------ -------------------- --------------------

              MANAGER                        SCOTT                SELECT

              MANAGER                        System_privs         CREATE SESSION

              MANAGER                        System_privs         CREATE TABLE

          

     4.角色赋予与角色取消

     

       a.将角色赋予用户（grant）：

           语法：

              GRANT role_name [, role_name, ...]

              TO user_name | role | PUBLIC [, user_name | role | PUBLIC, ...]

              [WITH ADMIN OPTION];

          

           --将角色赋予robinson且使用了WITH ADMIN OPTION

              SQL> GRANT manager TO robinson WITH ADMIN OPTION;

 

              Grant succeeded.

           --robinson有权将角色授予john，如下

              SQL> CONN robinson/lion;

              Connected.

              SQL> GRANT manager TO john;

 

              Grant succeeded.

 

           --查看角色授予了哪些用户(dba_role_privs)

              SQL> SELECT * FROM dba_role_privs WHERE granted_role = 'MANAGER';

 

              GRANTEE              GRANTED_ROLE                   ADM DEF

              -------------------- ------------------------------ --- ---

              SYSTEM               MANAGER                        YES YES

              JOHN                 MANAGER                        NO  YES

              ROBINSON             MANAGER                        YES YES

             

           --查看用户拥有哪些角色

              SQL> CONN scott/tiger;

              Connected.

              SQL> SELECT * FROM user_role_privs;

 

              USERNAME                       GRANTED_ROLE                   ADM DEF OS_

              ------------------------------ ------------------------------ --- --- ---

              SCOTT                          CONNECT                        NO  YES NO

              SCOTT                          RESOURCE                       NO  YES NO

      

           --查看用户拥有哪些角色(使用session_roles)

              SQL> SELECT * FROM session_roles;

 

              ROLE

              ------------------------------

              CONNECT

              RESOURCE

             

       b.取消用户拥有的角色

           语法：

              REVOKE role_name [, role_name, ...]

              FROM user_name | role | PUBLIC [, user_name | role | PUBLIC, ...];

          

           --取消用户角色

              SQL> REVOKE resource FROM scott;

 

              Revoke succeeded.

          

           --查看resource 角色已被取消

              SQL> CONN scott/tiger;        

              Connected.

              SQL> SELECT * FROM user_role_privs;

 

              USERNAME                       GRANTED_ROLE                   ADM DEF OS_

              ------------------------------ ------------------------------ --- --- ---

              SCOTT                          CONNECT                        NO  YES NO

          

           --对于使用WITH ADMIN OPTION参数，收回robinson角色，并不影响john的级联角色，如下：

              SQL> select * from dba_role_privs where grantee='JOHN';

 

              GRANTEE              GRANTED_ROLE                   ADM DEF

              -------------------- ------------------------------ --- ---

              JOHN                 MANAGER                        NO  YES

 

              SQL> revoke manager from robinson;

 

              Revoke succeeded.

 

              SQL> select * from dba_role_privs where grantee='JOHN';

 

              GRANTEE              GRANTED_ROLE                   ADM DEF

              -------------------- ------------------------------ --- ---

              JOHN                 MANAGER                        NO  YES

 

              SQL> select * from dba_role_privs where grantee='ROBINSON';

 

              no rows selected

             

    5.设置默认角色

       可以将多个角色授予一个用户。默认角色是这些角色的一个子集，默认角色在用户登录系统时

       自动激活（开启）。在默认情况下，所有赋予用户的角色在用户登录时不需要口令就被激活。

       可以使用ALTER USER语句来限制用户有的默认角色。

 

       语法：

           ALTER USER username DEFAULT ROLE

           role [, role, ...] | ALL [EXCEPT role [, role, ...]] | NONE;

          

       ALTER USER语句中的DEFAULT ROLE子句只适用于那些使用GRANT语句直接授予用户的角色。

       DEFAULT ROLE子句在下列情况下是不能使用的：

           通过其它角色授予的角色

           没有直接授予该用户的角色

           通过外部服务（如操作系统）管理的角色

 

       --创建用户martin并授予resource,connect角色

           SQL> CREATE USER martin IDENTIFIED BY abc;

 

           User created.

 

           SQL> GRANT RESOURCE,CONNECT TO martin;

 

           Grant succeeded.

 

           SQL> CONN martin/abc;

           Connected.

           SQL> CONN system/redhat

           Connected.

          

       --设置缺省的角色为NONE后，无法登陆

           SQL> ALTER USER martin DEFAULT ROLE NONE;

 

           User altered.

 

           SQL> CONN martin/abc;

           ERROR:

           ORA-01045: user MARTIN lacks CREATE SESSION privilege; logon denied

 

 

           Warning: You are no longer connected to ORACLE.

           SQL> CONN system/redhat;

           Connected.

          

       --重置角色后可以正常登陆

           SQL> ALTER USER martin DEFAULT ROLE ALL;

 

           User altered.

 

           SQL> CONN martin/abc;

           Connected.

      

       --默认角色为除resource之外的所有角色

           SQL> ALTER USER martin DEFAULT ROLE ALL EXCEPT RESOURCE;

 

           User altered.

 

 

    6.激活和禁止角色（SET ROLE）

       语法：

           SET ROLE ALL [EXCEPT role_name [,role_name]] | NONE |

           role_name [IDENTIFIED BY password] [, role_name [IDENTIFIED BY password, ...];

      

       SQL> CONN robinson/lion

       Connected.

      

       --查看用户拥有的所有角色

           SQL> SELECT * FROM user_role_privs;

 

           USERNAME                       GRANTED_ROLE                   ADM DEF OS_

           ------------------------------ ------------------------------ --- --- ---

           ROBINSON                       MANAGER                        NO  YES NO

           ROBINSON                       RESOURCE                       NO  YES NO

 

       --查看用户拥有的所有权限

           SQL> SELECT * FROM session_privs;

 

           PRIVILEGE

           ----------------------------------------

           CREATE SESSION

           CREATE TABLE

           CREATE CLUSTER

           CREATE SEQUENCE

           CREATE PROCEDURE

           CREATE TRIGGER

           CREATE TYPE

           CREATE OPERATOR

           CREATE INDEXTYPE

 

           9 rows selected.

      

       --禁用所有的角色后，用户的权限无显示记录

           SQL> SET ROLE NONE;

 

           Role set.

 

           SQL> SELECT * FROM session_privs;

 

           no rows selected

 

      

       --用户重新启用所有角色

           SQL> SET ROLE ALL  

 

           Role set.

      

       --启用一个manager角色

           SQL> SET ROLE manager;

 

           Role set.

 

           SQL> SELECT * FROM session_roles;

 

           ROLE

           ------------------------------

           MANAGER

 

       在这里不象一般的ALTER 命令，没有用到ENABLE 和DISABLE 之类的选项。

 

    7.角色删除：

           DROP ROLE role_name

 

       --角色的删除需要适当的权限，如下提示没有权限删除角色     

           SQL> SHOW USER;

           USER is "ROBINSON"

           SQL> DROP ROLE manager;

           DROP ROLE manager

           *

           ERROR at line 1:

           ORA-01031: insufficient privileges

 

       --使用system帐户删除角色

           SQL> CONN system/redhat;

           Connected.

           SQL> DROP ROLE manager;

      

       --帐户robisnon唯一的角色被删除后，再次使用该帐户登陆已提示没有权限

       --即角色的删除，原来所关联的用户会自动分离该角色及所有相关权限

           SQL> CONN robinson/lion;

           ERROR:

           ORA-01045: user ROBINSON lacks CREATE SESSION privilege; logon denied

 

 

           Warning: You are no longer connected to ORACLE.

           Role dropped.

      

       关于connect和resource预定义角色：

 

           connect, resoure 是role,包含很多的权限的

           其中resource具有创建表，索引，视图和其他的Oracle对象的能力，

           同时默认带有unlimited tablespace权限

 

           一般将connect授予所有的普通用户

           connect和resource授予开发人员

 

           oracle声称connect和resource角色是为了与它早期的版兼容而保留的，

           劝告用户尽可能不要使用这两个角色，以避免产生安全漏洞。

 

二、用户配置文件

    配置文件实现中几类安全控制措施：

       帐户上锁

       资源限制

       直接权限

       角色权限

 

    1.资源限制：

       利用配置文件来实现，可用以下两种方法之一来开启资源限制：

           a.在初始化参数文件中将RESOURCE_LIMIT 设为TRUE

           b.使用ALTER SYSTEM 命令将RESOURCE_LIMIT 设为TRUE

              ALTER SYSTEM SET RESOURCE_LIMIT=TRUE;

 

       配置文件的资源限制既可加在会话一级，也可加在调用一级，会话级设置的资源限制是强加在每一个

       连接上的。当超过了会话级的资源限制时，ORACLE系统将返回出错信息。服务器与用户的连接断开

       在会话级可以设置的资源限制如下：

           SESSION_PER_USER:          每个用户所允许的并行会话数

           CPU_PER_SESSION:           总共的CPU时间，其单位是%s

           IDLE_TIME:                 没有活动的时间，单位是分钟

           CONNECT_TIME:              连接时间

           LOGICAL_READS_PER_SESSION:  物理和逻辑读的数据块数。

 

       创建资源限制文件：

           CREATE PROFILE profile_name LIMIT

              [SESSION_PER_USER max_value]

              [CPU_PER_SESSION max_value]

              [CPU_PER_CALL max_value]

              [CONNECT_TIME max_value]

              [IDLE_TIME max_value]

              [LOGICAL_READS_PER_SESSION max_value]

              [LOGICAL_READS_PER_CALL max_value]

 

       --演示创建资源限制配置文件

           SQL> CREATE PROFILE luckly_prof LIMIT

              2  SESSIONS_PER_USER 8                  --同一用户可打开个会话（连接）

              3  CPU_PER_SESSION 168000               --每个会话最多可以使用的CPU时间为个%s

              4  LOGICAL_READS_PER_SESSION 21888      --每个会话最多可以读个数据块

              5  CONNECT_TIME 180                     --每个会话的连接时间最多为分钟

              6  IDLE_TIME 10 ;                       --每个会话的没有活动时间不能超分钟

 

           Profile created.

      

       --查看刚刚创建的配置文件

           SQL> SELECT * FROM dba_profiles WHERE profile = 'LUCKLY_PROF';

 

           PROFILE                        RESOURCE_NAME                    RESOURCE LIMIT

           ------------------------------ -------------------------------- -------- -----------------------

           LUCKLY_PROF                    COMPOSITE_LIMIT                  KERNEL   DEFAULT

           LUCKLY_PROF                    SESSIONS_PER_USER                KERNEL   8

           LUCKLY_PROF                    CPU_PER_SESSION                  KERNEL   168000

           LUCKLY_PROF                    CPU_PER_CALL                     KERNEL   DEFAULT

           LUCKLY_PROF                    LOGICAL_READS_PER_SESSION        KERNEL   21888

           LUCKLY_PROF                    LOGICAL_READS_PER_CALL           KERNEL   DEFAULT

           LUCKLY_PROF                    IDLE_TIME                        KERNEL   10

           LUCKLY_PROF                    CONNECT_TIME                     KERNEL   180

           LUCKLY_PROF                    PRIVATE_SGA                      KERNEL   DEFAULT

           LUCKLY_PROF                    FAILED_LOGIN_ATTEMPTS            PASSWORD DEFAULT

           LUCKLY_PROF                    PASSWORD_LIFE_TIME               PASSWORD DEFAULT

 

           PROFILE                        RESOURCE_NAME                    RESOURCE LIMIT

           ------------------------------ -------------------------------- -------- ------------------------

           LUCKLY_PROF                    PASSWORD_REUSE_TIME              PASSWORD DEFAULT

           LUCKLY_PROF                    PASSWORD_REUSE_MAX               PASSWORD DEFAULT

           LUCKLY_PROF                    PASSWORD_VERIFY_FUNCTION         PASSWORD DEFAULT

           LUCKLY_PROF                    PASSWORD_LOCK_TIME               PASSWORD DEFAULT

           LUCKLY_PROF                    PASSWORD_GRACE_TIME              PASSWORD DEFAULT

      

    2.口令限制

       FAILED_LOGIN_ATTEMPTS    帐户被锁之前可以尝试登录失败的次数

       PASSWORD_LOCK_TIME       尝试指定次数失败后，账户被锁的天数

 

       PASSWORD_LIFE_TIME       口令的生命周期（可使用的天数）

       PASSWORD_GRACE_TIME      口令过期之后第一次成功地使用原口令登录后要改变口令的宽限天数

 

       PASSWORD_REUSE_TIME 在一个口令可以重用之前的天数

       PASSWORD_REUSE_MAX       在一个口令可以重用之前的最大变化数

 

       PASSWORD_VERIFY_FUNCTION    在一个新的口令赋予一个用户之前，要验证口令的复杂性是否满足

                     安全要求的一个PL/SQL函数（该函数要sys用户运行utlpwdmg.sql

                     脚本来生成）

 

       在执行utlpwdmg.sql脚本文件期间，ORACLE服务器将创建VERIFY_FUNCTION函数，并且使用如下

       的ALTER PROFILE 命令来修改luckly_prof概要文件：

 

       --为luckly_prof配置文件增加口令限制

           SQL> ALTER PROFILE luckly_prof LIMIT

           2  PASSWORD_LIFE_TIME 60

           3  PASSWORD_GRACE_TIME 10

           4  PASSWORD_REUSE_TIME 1800

           5  PASSWORD_REUSE_MAX UNLIMITED

           6  FAILED_LOGIN_ATTEMPTS 3

           7  PASSWORD_LOCK_TIME 1/1440;

 

           Profile altered.

      

       之后，ORACLE服务器就要对所有用户提供的口令进行如下检查：

           口令的最小长度为个字符

           口令不应该与用户名相同

           口令应该包含至少一个字符、一个数字和一个特殊字符

           口令应该至少有个字母与以前的口令不同。除了ORACLE提供的默认复杂性检验函数外，

       数据库管理员也可以自己写一个PL/SQL函数进行口令的复杂性检验。

 

       用户提供的口令函数一定要在SYS模式下创建并且必须使用以下函数说明（即函数接口）

           function_name (userid_parameter IN VARCHAR2(30),

                  password_parmeter IN VARCHAR2(30),

                  old_password_parmeter IN VARCHAR2(30)

                  RETURN BOOLEAN

 

       创建口令限制的概要文件：

           同创建资源限制文件一样，只要把口令限制方面的内容加到profile_name中即可。

           如：

           CREATE PROFILE unluck_prof LIMIT

           FAILED_LOGIN_ATTEMPTS 7

           PASSWORD_LOCK_TIME UNLIMITED

           PASSWORD_LIFE_TIME 44

           PASSWORD_REUSE_TIME 24

           PASSWORD_GRACE_TIME 4;

 

 

       --查看资源限制(dba_profiles)：

           SQL> SELECT * FROM dba_profiles WHERE profile = 'LUCKLY_PROF';

 

           PROFILE                        RESOURCE_NAME                    RESOURCE LIMIT

           ------------------------------ -------------------------------- -------- ----------------------

           LUCKLY_PROF                    COMPOSITE_LIMIT                  KERNEL   DEFAULT

           LUCKLY_PROF                    SESSIONS_PER_USER                KERNEL   8

           LUCKLY_PROF                    CPU_PER_SESSION                  KERNEL   168000

           LUCKLY_PROF                    CPU_PER_CALL                     KERNEL   DEFAULT

           LUCKLY_PROF                    LOGICAL_READS_PER_SESSION        KERNEL   21888

           LUCKLY_PROF                    LOGICAL_READS_PER_CALL           KERNEL   DEFAULT

           LUCKLY_PROF                    IDLE_TIME                        KERNEL   10

           LUCKLY_PROF                    CONNECT_TIME                     KERNEL   180

           LUCKLY_PROF                    PRIVATE_SGA                      KERNEL   DEFAULT

           LUCKLY_PROF                    FAILED_LOGIN_ATTEMPTS            PASSWORD 3

           LUCKLY_PROF                    PASSWORD_LIFE_TIME               PASSWORD 60

 

           PROFILE                        RESOURCE_NAME                    RESOURCE LIMIT

           ------------------------------ -------------------------------- -------- -----------------------

           LUCKLY_PROF                    PASSWORD_REUSE_TIME              PASSWORD 1800

           LUCKLY_PROF                    PASSWORD_REUSE_MAX               PASSWORD UNLIMITED

           LUCKLY_PROF                    PASSWORD_VERIFY_FUNCTION         PASSWORD DEFAULT

           LUCKLY_PROF                    PASSWORD_LOCK_TIME               PASSWORD .0006

           LUCKLY_PROF                    PASSWORD_GRACE_TIME              PASSWORD 10

 

           16 rows selected.       

 

           RESOURCE_TYPE为KERNEL表示这是一个资源限制，为PASSWORD表示为口令限制。

 

    3.修改配置文件：

       ALTER PROFILE profile_name LIMIT

           ......

 

       例：ALTER PROFILE luck_prof LIMIT

           IDLE_TIME 40

 

    4.将PROFILE赋予用户：

       CREATE USER user_name [PROFILE { profile_name | DEFAULT }]

       ALTER USER user_name [PROFILE { profile_name | DEFAULT }]

      

       请参照：Oracle 用户、对象权限、系统权限        

      

       SQL> CREATE USER andy IDENTIFIED BY oracle PROFILE luckly_prof;

 

       User created.

 

       SQL> ALTER USER robinson PROFILE luckly_prof;

 

       User altered.    

      

    5.删除配置文件：

       DROP PROFILE profile_name [CASCADE]

 

       如果一个概要文件已经赋予了用户，那么在DROP PROFILE时要用CASCADE

       无法删除DEFAULT配置文件，也无法删除MONITORING_PROFILE配置文件

   

       --已被赋予给用的profile删除时需要使用cascade，如下：

           SQL> DROP PROFILE luckly_prof;

           DROP PROFILE luckly_prof

           *

           ERROR at line 1:

           ORA-02382: profile LUCKLY_PROF has users assigned, cannot drop without CASCADE

 

 

           SQL> DROP PROFILE luckly_prof CASCADE;

 

           Profile dropped.