暂无图片
暂无图片
暂无图片
暂无图片
暂无图片

Oracle 19c 新特性:Schema Only Account详解

老张拉呱 2019-02-27
1533

点击▲关注 “数据和云”   给 标星置顶

更多精彩 第一时间直达



老张拉呱:thomas zhang,甲骨文云平台事业部资深技术顾问,2008年加入甲骨文公司数据库咨询部门,10+年甲骨文解决方案咨询支持经验,资深系统工程师、Oracle OCM认证专家,具有丰富的Cloud IT项目经验。目前主要负责甲骨文中国北方区(医院/卫生、交通、制造、教育、政府、证券、媒体、金融、零售等行业)客户的数据库、中间件、IaaS/PaaS、集成系统等相关技术解决方案咨询工作。


签名:我为人人,人人为我,三人行,必有我师

新浪微博: http://weibo.com/tomszrp



从 Database 18c 开始,可以创建 Schema Only Account(可以拥有对象、权限/角色,但不允许直接连接的 Schema),不过可以通过 single session proxy 的方式连接访问。

 

这种类型的 account 设计既是为了满足 Oracle-provided schemas 同时也适用于客户应用设计的需要,创建用户的时候不需要指定密码或授权方式。除非使用 ALTER USER 语句分配身份验证方法,否则无法对 Schema Only Account 进行身份验证。DBA_USERS_WITH_DEFPWD数据字典视图中不再包含Schema Only Account 信息。

 

从19c开始,大部分Oracle-providedschemas,除了SYS,SYSTEM以及Sample Schema User Accounts(比如HR)都是Schema Only Account。也就是说,这些帐户都是在没有密码的情况下创建的,好处是管理员无需周期性的维护这些密码,同时也降低了攻击者使用默认密码侵入这些帐户的安全风险。我们可以通过dba_users数据字典的authentication_type字段来判断,如果是NONE,表示该account是Schema Only的。当然了,当我们确实有需要的时候,可以为这些帐户分配密码,但是为了更好的安全性,Oracle 建议您使用完毕后将它们再设置为Schema Only。

 

•关于Schema Only Account的一些说明:

     1)可以是 administrator 和 non-administratoraccounts

     2)这种account只能在data base instance中创建,不支持 ASM instance

     3)可以授予 system privileges (比如CREATE ANY TABLE)和管理员角色(比如DBA)

     4)可以创建对象比如tables 、procedures等(根据所授权限决定)

     5)可以配置通过 single session proxy的方式连接访问

     6)不能通过 data base link 使用


tips:18c中Schema Only Account不能拥有SYSDBA,SYSOPER, SYSBACKUP, SYSKM, SYSASM, SYSRAC, SYSDG这些管理权限,19c中取消了这一限制。

 

下面是在18.3和19.2综合体验的一个笔记,希望能给大家一点启发,后面大部分都是脚本,介绍性的话语很少,我想大家应该能看明白。

 

1)创建一个Schema-Only Account


CDB$ROOT@SYS>conn sys/Alpha2019#@pdb1 as sysdba;

  Connected.

  PDB1@SYS>CREATE USER study NO AUTHENTICATION;

  User created.

  PDB1@SYS>CREATE USER toms IDENTIFIED BY toms default tablespace users;

  User created.

  PDB1@SYS>SELECT username, password, password_versions, account_status, authentication_type

           FROM dba_users 

           WHERE username in ('STUDY','TOMS');


     CREATE USER "STUDY" NO AUTHENTICATION

        DEFAULT TABLESPACE "USERS"

        TEMPORARY TABLESPACE "TEMP"


  PDB1@SYS>

 

2)AUTHENTICATION 和 NO AUTHENTICATION之间的转换


通过如下命令可以很容易的在Schema Only Account和Normal Account之间转换:

       ALTER USER ... IDENTIFIED BY ...;

       ALTER USER ... NO AUTHENTICATION;


说明:18c的时候Schema only accounts可以被授予所有的normal database roles和privileges,但不能是administrative privileges(比如SYSDBA, SYSOPER, SYSRAC等),否则会遇到类似如下的错误:


       CDB$ROOT@cdb1>grant sysdba to study;

       grant sysdba to study

       *

       ERROR at line 1:

       ORA-40366: Administrative privilege cannot be granted to this user.

      

 但19.2中是可以的,比如


       CDB$ROOT@demo>grant sysdba to study;

       Grant succeeded.

       CDB$ROOT@demo>


  PDB1@SYS>ALTER USER study IDENTIFIED BY study quota unlimited on users;

  User altered.

  PDB1@SYS>grant create session, create table to study;

  Grant succeeded.

  PDB1@SYS>conn study/study@pdb1

  Connected.


  PDB1@STUDY>

  PDB1@STUDY>create table a (no int);

  Table created.

  PDB1@STUDY>create table b (str varchar2(32));

  Table created.

  PDB1@STUDY>conn sys/Alpha2019#@pdb1 as sysdba

  Connected.

  PDB1@SYS>grant sysdba to study;

  Grant succeeded.


注意:在18c测试的时候,会遇到类似如下错误,所以必须先通过V$PWFILE_USERS 视图找到那些administrative privileges并收回。


       PDB1@pdb1>ALTER USER study no authentication;

       ALTER USER study no authentication

       *

       ERROR at line 1:

       ORA-40367: An Administrative user cannot be altered to have no authentication type.


       CDB$ROOT@cdb1>revoke sysdba from study;

       Revoke succeeded.

       CDB$ROOT@cdb1>ALTER USER study no authentication;

       User altered.

       CDB$ROOT@cdb1>

  

说明:19c(19.2)测试中,是支持administrative privileges的,所以可以直接ALTER USER study no authentication;


这个时候,study用户就不能直接连接访问了,因为已经切换为Schema Only Account了 ,示例如下:


     PDB1@pdb1>conn study/study@pdb1

       ERROR:

       ORA-01017: invalid username/password; logon denied


       Warning: You are no longer connected to ORACLE.

       PDB1@>


3)通过single session proxy方式访问


我这里用之前创建的toms用户来做proxy user,下面先在toms用户下创建个测试表

  PDB1@SYS>conn sys/Alpha2019#@pdb1 as sysdba

  Connected.

  PDB1@SYS>grant connect, resource to toms;

  Grant succeeded.

  PDB1@SYS>conn toms/toms@pdb1

  Connected.

  PDB1@TOMS>create table test (no int );

  Table created.

  PDB1@TOMS>


设置study(Scheam Only Account)通过toms代理连接(简单示例,详细语法参见相关手册)

  PDB1@TOMS>conn sys/Alpha2019#@pdb1 as sysdba

  Connected.

  PDB1@SYS>ALTER USER study GRANT CONNECT through toms;

  User altered.


  连接测试

  PDB1@SYS>CONNECT toms[study]/toms@pdb1

  Connected.


  PDB1@STUDY>show user

  USER is "STUDY"

  PDB1@STUDY>SELECT sys_context('USERENV','SESSION_USER') AS session_user,

                   sys_context('USERENV','SESSION_SCHEMA') AS session_schema,

                   sys_context('USERENV','PROXY_USER') AS proxy_id,

                   USER

            FROM dual;


  SESSION_USER    SESSION_SCHEMA     PROXY_ID    USER

  --------------- ------------------ ----------- ------------

  STUDY           STUDY              TOMS        STUDY


  PDB1@STUDY>select table_name from tabs;  ##看到的是study用户下的对象

  TABLE_NAME

  -----------------

  B

  A

  PDB1@STUDY>insert into a values(1);

  1 row created.

  PDB1@STUDY>commit;

  Commit complete.

  PDB1@STUDY>select * from a;

          NO

  ----------

           1

  PDB1@STUDY>  

  

4)回收single session proxy访问设置


  PDB1@STUDY>conn sys/Alpha2019#@pdb1 as sysdba

  Connected.

  PDB1@SYS>select * from proxy_users;

  PROXY  CLIENT     AUT     FLAGS 

  ------ ---------- ------- -------------------------------------

  TOMS   STUDY      NO      PROXY MAY ACTIVATE ALL CLIENT ROLES

  PDB1@SYS>ALTER USER study revoke CONNECT through toms;

  User altered.

  PDB1@SYS>select * from proxy_users;

  no rows selected

  PDB1@SYS>CONNECT toms[study]/toms@pdb1

  ERROR:

  ORA-01017: invalid username/password; logon denied


  Warning: You are no longer connected to ORACLE.

  PDB1@>


好了,本小节的简单示例就到这里,希望能给大家起到一点简单的引导示范作用,不当之处,请以实际环境和当前文档说明为准。



最后修改时间:2020-05-07 22:23:57
文章转载自老张拉呱,如果涉嫌侵权,请发送邮件至:contact@modb.pro进行举报,并提供相关证据,一经查实,墨天轮将立刻删除相关内容。

评论