管理用户和PROFILE ——管理PROFILE——使用PROFILE管理口令

当访问oracle数据库时，必须提供用户名和口令，然后才能连接数据库。为防止其他人员或黑客窃取用户口令，dba必须充分考虑用户口令的安全性，以防止黑客登录到数据库运行非法操作。对于大型数据库管理系统来说，数据库用户众多，并且不用用户担负不同的管理任务，为了有效利用服务器资源，还应该限制不用用户的资源占用。

1.使用PROFILE管理口令

当客户登录到oracle数据库时，需要提供用户名和口令。默认情况下用户名和口令是以明文方式通过网络传输。为了避免黑客通过网络窃取口令，应该在客户端将环境变量ora_encrypt_login设置为true。这样，oracle会自动为口令加密。

1.1账户锁定

账户锁定用于控制用户连续登录失败的最大次数，如果登录失败次数达到限制，那么oracle会自动冻结用户账户。

• failed_login_attempts：用于指定连续登录的最大失败次数。
• password_lock_time：用于指定账户被锁定的天数。

例子：将账户usertemp01的连续登录失败次数控制在三次以内，账户锁定时间控制在10天之内:

create profile  lock_account limit
failed_login_attempts 3 password_lock_time 10;
alter user usertemp01 profile lock_account;

注意：如果没有指定pass_word_time 该选项，oracle会自动使用默认值（unlimited）在这种情况下需要dba手工解锁用户。

conn sys/sys as sysdba
alter user usertemp01 account unlock;

1.2口令有效期和宽限期

口令有效期是指用户账户口令的有效期使用时间，口令宽限期是指在用户账户口令到期之后的宽限使用时间。默认情况下，当建立用户并为其提供口令之后，其口令会一直生效。为了防止其他人和黑客破解用户账户口令，出于口令安全的考虑，dba用户应该强制普通用户定期改变口令。为了强制用户定期改变口令，oracle提供了一下两个选项：

password_life_time:指定用户口令有效期（单位天）。

password_grace_time:用于指定口令宽限期（单位天）。

注意：为了强制用户定期改变口令，二者应该同时设置。

例子：口令有限期10天，口令宽限期2天

create profile password_life_time limit
password_life_time 10 password_grace_time 2;
alter user usertemp01 profile password_life_time;

第十天登录时，会显示ora_28002:the password will expire within 2 days。如果第十天没有改变口令，那么在11，12天也会显示类似的警告信息。如果在12天没有改，在13天登录时，oracle会强制改变口令，否则不允许登录。

1.3口令历史

口令历史用于控制口令的可重用次数或者可重用时间。当使用了口令历史选项之后，oracle会将口令修改信息存放在数据字典中。这样当修改口令时，oracle会对新旧口令进行比较，以确保用户不会重用过去已经用过的口令。为了强制用户使用不同的口令，应该使用口令历史选项。口令历史有这两个选项：

password_reuse_time:用于指定口令可重用的时间。

password_reuse_max：用于指定重用口令之前口令需改变的次数。

注意：当使用口令历史选项时，只能使用其中一个选项。当使用一个选项时，必须将另一个选项设置为unlimited 。

例子：强制用户在口令终止10之内不能重用以前的口令：

create profile password_history limit
password_life_time 10 password_grace_time 2
password_reuse_time 10 password_reuse_max unlimited;
alter user usertemp01 profile password_history;

在第十三天登录时，oracle会强制用户改变口令。但如果仍然采用过去的口令，则口令修改不能生效。

1.4口令复杂度校验

口令校验是指使用pl/sql函数确保用户口令的有效性，以强制用户使用复杂口令。通过使用口令校验函数，dba可以强制用户使用复杂口令。当使用口令校验函数时，既可以使用系统口令校验函数也可以使用自定义口令校验函数。在11g之前。系统口令校验函数名称为verify_function，在11g中系统口令校验函数名称为verify_function_11g，并且该函数定义了一下规则：

• 口令不能少于8个字符
• 口令不能和用户名相同
• 口令不能与数据库名称相同
• 口令至少包含一个字符和一个数字
• 口令至少有3个字符与以前的口令不用
• 口令不能使用字符串welcome1，database1，account1，user1234，password1，oracle123，computer1，abcdefg1，change_on_install,oracle.

1.4.1使用系统口令校验函数verify_function_11g

注意必须以sys用户登录建立口令校验函数。脚本utlkpwdmg.sql 用于建立系统口令校验函数 verify_function_11g当运行该脚本时，不仅会建立口令校验函数verify_function_11g，而且会修改default的口令管理选项。

conn sys/sys as sysdba
@?\rdbms\admin\utlpwdmg.sql

1.4.2禁用口令校验函数

为了禁用口令检验函数，可以将password_verify_function 选项设置为null

conn sys/sys as sysdba
alter profile password_history limit
password_verify_function null;
alter user usertemp01 identified by usertemp01;

---