Oracle 使用 PROFILE对用户资源限制和密码限制的研究与探索

oracle查询profile策略Oracle查询profile策略概述：在Oracle数据库中，profile策略是用于管理和限制用户对数据库资源的访问的一种机制。

通过为用户分配不同的profile，可以控制他们的资源使用情况，以防止资源滥用和提高数据库的性能和安全性。

本文将介绍如何使用Oracle查询profile策略，并解释其原理和常用的配置选项。

一、查询profile策略的SQL语句要查询Oracle数据库中的profile策略，可以使用如下的SQL语句：SELECT profile, resource_name, limitFROM dba_profilesWHERE resource_type = 'KERNEL' AND profile NOT LIKE 'DEFAULT%';上述SQL语句将从dba_profiles视图中获取所有的profile策略信息，并排除默认的profile。

二、profile策略的原理和作用1. 原理Oracle数据库中的profile策略是通过限制用户对数据库资源的使用来实现的。

每个profile都包含一组资源限制，这些限制可以控制用户对CPU、内存、连接数、并发会话数等数据库资源的使用。

当用户连接到数据库时，会根据其所属的profile来限制其资源使用情况。

2. 作用通过使用profile策略，可以实现以下目标：- 控制用户对数据库资源的滥用，避免某个用户占用过多的资源影响其他用户的正常使用。

- 提高数据库的性能，通过限制用户的资源使用，避免资源争夺和过度消耗。

- 加强数据库的安全性，通过限制用户的并发会话数和连接数，防止恶意用户通过大量连接和会话消耗数据库资源。

三、常用的profile配置选项在使用Oracle查询profile策略时，可以了解以下常用的配置选项：1. PASSWORD_LIFE_TIME：密码有效期限，可以设置为天数或无限期。

Oracle 使用PROFIL管理资源在大而复杂的多用户数据库环境中，因为用户众多，所以系统资源可能会成为影响性能的主要“瓶颈”。

为了有效地利用系统资源，应根据用户所承担任务的不同为其分配合理的资源。

PROFILE不仅可用于管理用户密码，还可用于管理用户资源。

需要注意，如果使用PROFILE管理资源，必须设置RESOURCE_LIMIT参数设置为TRUE以激活用资源限制。

由于该参数是动态参数，所以可以使用ALTER SYSTEM语句进行修改：SQL> show parameter resource_limitNAME TYPE V ALUE------------------------------------ ----------- -------------resource_limit boolean FALSESQL> alter system set resource_limit=true;系统已更改。

利用PROFILE配置文件，可以对以下系统资源进行限制：●CPU时间为了防止无休止地使用CPU时间，限制用户每次调用时使用的CPU时间以及在一次会话期间所使用的CPU时间。

●逻辑读为了防止过多使用系统的I/O操作，限制每次调用及会话时读取的逻辑数据块数目。

●用户的并发会话数。

●会话空闲的限制当一个会话被空闲的时间达到限制值时，当前事务被回滚，会话被终止并且所占用的资源被释放。

●会话可持续的时间如果一个会话的总计连接时间达到该限制值，当前事务被回滚，会话被终止并释放被占用的资源。

●会话的所使用的SGA空间限制。

大部分资源限制都可以在两个级别进行：会话级和调用级。

会话级资源限制是对用户在一个会话过程中所使用的资源进行限制；而调用级资源限制是对一个SQL语句在执行过程中所能使用的资源进行限制。

当一个会话或SQL语句占用的资源超过PROFILE文件中的限制时，Oracle将终止并回退当前的事务，然后向用户返回错误信息。

Oracle使用PROFILE对用户资源限制和密码限制的研究与探索1.用户创建语句PROFILE选项“引发的血案”如果大家细心的话，在创建用户的语法中有这么一个选项“PROFILE profile”。

下面是Oracle 11gR2官方文档中关于创建用户的语法描述（较之10g的文档可读性加强了，当然功能也同样有所增加）：CREATE USER userIDENTIFIED { BY password| EXTERNALLY [ AS 'certificate_DN' | AS 'kerberos_principal_name' ]| GLOBALLY [ AS '[ directory_DN ]' ]}[ DEFAULT TABLESPACE tablespace| TEMPORARY TABLESPACE{ tablespace | tablespace_group_name }| { QUOTA { size_clause | UNLIMITED } ON tablespace }...| PROFILE profile| PASSWORD EXPIRE| ACCOUNT { LOCK | UNLOCK }[ DEFAULT TABLESPACE tablespace| TEMPORARY TABLESPACE{ tablespace | tablespace_group_name }| { QUOTA { size_clause | UNLIMITED } ON tablespace }...| PROFILE profile| PASSWORD EXPIRE| ACCOUNT { LOCK | UNLOCK }| ENABLE EDITIONS]...] ;2.提问：PROFILE选项是做什么用的呢？回答：简要的说，PROFILE在Oracle数据库对数据库用户能够使用的资源做进一步的限制的一种手段，如对连接到某个用户的session或sql所能使用的CPU资源进行控制，又如控制Oracle用户的密码管理策略等等……3.查看系统的默认PROFILE1）通过dba_profiles视图查看一下系统中默认都有哪些PROFILE数据库创建以后，系统中只会存在一个名为DEFAULT的默认PROFILE，在用户创建之后，如果不做特殊指定，每个用户的PROFILE都会默认的使用个默认的PROFILE。

Oracle 使用PROFILE管理密码当操作人员要连接到Oracle数据库时，需要提供用户和密码。

对于黑客或某些人而言，他们可能通过猜想或反复试验来破解密码。

为了加强密码的安全性，可以使用PROFILE文件管理密码。

PROFILE文件提供了一些密码管理选项，它们提供了强大的密码管理功能，从而确保密码的安全。

为了实现密码限制，必须首先建立PROFILE文件。

建立PROFILE 文件是使用CREATE PROFILE语句完成的，一般情况下，该语句是由DBA执行的，如果要以其他用户身份建立PROFILE文件，则要求该用户必须具有CREATE PROFILE系统权限。

使用PROFILE文件可以实现如下四种密码管理：账户锁定、密码的过期时间、密码历史和密码的复杂度。

1．账户锁定账户的锁定策略是指用户在连续输入多少次错误密码后，Oracle会自动锁定用户的账户，并且可以规定账户的锁定时间。

Oracle为锁定账户提供了以下两个参数：●FAILED_LOGIN_A TTEMPTS 该参数限制用户在登录到Oracle数据库时允许失败的次数。

一旦某用户尝试登录数据库达到该值，则系统会将该用户账户锁定。

●PASSWORD_LOCK_TIME 用于指定账户被锁定的天数。

例如，下面创建的PROFILE文件设置连续连接失败次数为3，超过该次数后，账户锁定时间为10天，并使用ALTER USER语句将PROFILE文件分配给用户DEVELOPER。

SQL> create profile lock_account limit2 failed_login_attempts 33 password_lock_time 10;配置文件已创建SQL> alter user developer profile lock_account;用户已更改。

当建立LOCK_ACCOUNT文件后，并将该PROFILE分配给用户DEVELOPER用户后，如果以账户DEVELOPER身份连接到数据库，并且连续连接失败3次后，Oracle将自动锁定该用户账户。

oracleprofile几个参数的解释-liurizhaooracle的日志-...FAILED_LOGIN_ATTEMPTS ：当连续登陆失败次数达到该参数指定值时，用户被加锁；经过DBA解锁(或PASSWORD_LOCK_TIME天)后可继续使用PASSWORD_LIFE_TIME ：口令的有效期（天），默认为UNLIMITEDPASSWORD_LOCK_TIME ：帐户因FAILED_LOGIN_ATTEMPTS 锁定时，加锁天数PASSWORD_GRACE_TIME ：口令修改的宽限期（天）PASSWORD_REUSE_TIME ：口令被修改后原有口令隔多少天被重新使用，默认为UNLIMITEDPASSWORD_REUSE_MAX ：口令被修改后原有口令被修改多少次才允许被重新使用。

PASSWORD_VERIFY_FUNCTION：口令效验函数FAILED_LOGIN_ATTEMPTS:The number of failed attempts to log in to the user account before the account is locked(单位：次数)PASSWORD_LIFE_TIME：The number of days the same password can be used for authentication（单位：天）PASSWORD_LOCK_TIME：the number of days an account will be locked after the specified number of consecutive failed login attempts defined by FAILED_LOGIN_ATTEMPTS（单位：天）PASSWORD_GRACE_TIME：The number of days after the grace period begins during which a warning is issued and login is allowed. If the password is not changed during the grace period, the password expires（单位：天）PASSWORD_REUSE_TIME：The number of days betweenreuses of a password（单位：天）PASSWORD_REUSE_MAX：The number of times a password must be changed before it can be reused(单位：次数)。

公告：Oracle 权限设置一、权限分类：系统权限：系统规定用户使用数据库的权限。

（系统权限是对用户而言)。

实体权限：某种权限用户对其它用户的表或视图的存取权限。

（是针对表或视图而言的）。

二、系统权限管理：1、系统权限分类：DBA: 拥有全部特权，是系统最高权限，只有DBA才可以创建数据库结构。

RESOURCE:拥有Resource权限的用户只可以创建实体，不可以创建数据库结构。

CONNECT:拥有Connect权限的用户只可以登录Oracle，不可以创建实体，不可以创建数据库结构。

对于普通用户：授予connect, resource权限。

对于DBA管理用户：授予connect，resource, dba权限。

2、系统权限授权命令：[系统权限只能由DBA用户授出：sys, system(最开始只能是这两个用户)]授权命令：SQL> grant connect, resource, dba to 用户名1 [,用户名2]...;[普通用户通过授权可以具有与system相同的用户权限，但永远不能达到与sys用户相同的权限，system 用户的权限也可以被回收。

]例：SQL> connect system/managerSQL> Create user user50 identified by user50;SQL> grant connect, resource to user50;查询用户拥有哪里权限：SQL> select * from dba_role_privs;SQL> select * from dba_sys_privs;SQL> select * from role_sys_privs;删除用户：SQL> drop user 用户名cascade; //加上cascade则将用户连同其创建的东西全部删除3、系统权限传递：增加WITH ADMIN OPTION选项，则得到的权限可以传递。

OracleProfile⽂件⼀、Profile⽂件概述:Profiles是Oracle安全策略的⼀个组成部分,当Oracle建⽴数据库时,会⾃动建⽴名称为Default的profile,当建⽴⽤户没有指定profile,那么oracle就将defalut分配给⽤户。

1、默认情况下,⽤户连接数据库,形成回话,使⽤CPU和内存资源是没有限制的。

但是在⼀些⾼并发的应⽤,且多个应⽤部署到同⼀服务器上时,因为服务器的CPU和内存是有限的,所以,⼤多数企业会根据应⽤对于⾃⾝的重要性,来对各个库进⾏内存和CPU的分配。

除此之外,还有⽤户的密码管理,⽤户的登录尝试次数,⽤户的密码锁定后多长时间释放,密码⽣命周期等参数都是通过Profile来设置的,当然这⾥只列举了⼀下部分!2、Profile⽂件主要规定了资源使⽤的限制和密码(也就是⼝令)使⽤的规则,Profile定义之后,可以做⽤到每个⽤户之上,对每个⽤户的安全活动进⾏限制。

3、下⾯Oracle建⽴数据库时,⽣成的名为Default的profile4、配置⽂件创建⽅法create profile 配置⽂件名 limit配置参数1 值1配置参数2 值25、配置⽂件的使⽤⽅法5.1、将配置⽂件中的规则指定给特定的⽤户,这⾥拿Failed_Login_Attempts(在账户被锁定前允许的登录次数)举例,其他的规则也是⼀样,如果要指定个特定的⽤户左图创建了⼀个test规则的profile,允许⽤户在被锁定前,登录三次,如果失败被锁定2天,并将这个profile赋给了scott⽤户,也就是说这个规则只是⽤于scott⽤户连续登录三次,失败后,账户被锁定,如何解锁⽤户请参考5.2、修改默认的profile,使其作⽤于所有的⽤户左图修改了安装数据库默认产⽣的profile⽂件,并修改了其参数,使所有的⽤户必须在13天内修改密码,否则将⽆法登录,如果不理解⼝令,下⾯有介绍。

Oracle 密码复杂度的设置--某些情况下，需要强制Oracle数据库中的某些用户（例如 sys, system, 或者其他）的密码，不能太简单。

--虽然作为数据库管理人员，不会设置太简单的密码。

但是，当需要数据库级别，不允许设置太简单的密码，如果设置太简单的密码，则拒绝本次操作。

首先：先查询一下. 当前数据库中，都有哪些 profileSELECTDISTINCT profileFROMdba_profiles;一般情况下，所有的用户，是使用一个名字叫 DEFAULT 的 profile下面这个语句，查询 DEFAULT 的 profile ，密码方面的设置。

SQL> select2 RESOURCE_NAME,3 LIMIT4 from5 dba_profiles6 where7 profile='DEFAULT'8 AND RESOURCE_TYPE = 'PASSWORD';RESOURCE_NAME LIMIT-------------------------------- ------------FAILED_LOGIN_ATTEMPTS UNLIMITEDPASSWORD_LIFE_TIME UNLIMITEDPASSWORD_REUSE_TIME UNLIMITEDPASSWORD_REUSE_MAX UNLIMITEDPASSWORD_VERIFY_FUNCTION NULLPASSWORD_LOCK_TIME UNLIMITEDPASSWORD_GRACE_TIME UNLIMITED已选择7行。

注意到，那个 PASSWORD_VERIFY_FUNCTION 的 LIMIT 是 NULL也就是没有任何的密码复杂度限制。

由于听说，直接执行那个 utlpwdmg.sql，会修改 DEFAULT 这个 PROFILE，从而导致影响所有的用户。