用ORACLE的PROFILE限制ORACLE用户

ORACLE的PROFILE文件是限制数据库用户使用的资源的一种手段。如：控制session或sql能使用的CPU、控制用户的密码管理策略等。
数据库创建后，系统则存在名为DEFAULT的默认PROFILE，若不做特殊指定，创建用户时用户默认使用的PROFILE就是DEFAULT。


查看视图dba_profiles可找出数据库中有哪些PROFILE。
SQL> select distinct profile from dba_profiles;
PROFILE
--------------------
MONITORING_PROFILE
DEFAULT
查看所有的PROFILE
SQL> select * from dba_profiles order by PROFILE;
PROFILE              RESOURCE_NAME                  RESOURCE LIMIT
-------------------- ------------------------------ -------- ----------
DEFAULT              COMPOSITE_LIMIT                KERNEL   UNLIMITED
DEFAULT              PASSWORD_LOCK_TIME             PASSWORD 1
DEFAULT              PASSWORD_VERIFY_FUNCTION       PASSWORD NULL
DEFAULT              PASSWORD_REUSE_MAX             PASSWORD UNLIMITED
DEFAULT              PASSWORD_REUSE_TIME            PASSWORD UNLIMITED
DEFAULT              PASSWORD_LIFE_TIME             PASSWORD 180
DEFAULT              FAILED_LOGIN_ATTEMPTS          PASSWORD UNLIMITED
DEFAULT              PRIVATE_SGA                    KERNEL   UNLIMITED
DEFAULT              CONNECT_TIME                   KERNEL   UNLIMITED
DEFAULT              IDLE_TIME                      KERNEL   UNLIMITED
DEFAULT              LOGICAL_READS_PER_CALL         KERNEL   UNLIMITED
DEFAULT              LOGICAL_READS_PER_SESSION      KERNEL   UNLIMITED
DEFAULT              CPU_PER_CALL                   KERNEL   UNLIMITED
DEFAULT              CPU_PER_SESSION                KERNEL   UNLIMITED
DEFAULT              SESSIONS_PER_USER              KERNEL   UNLIMITED
DEFAULT              PASSWORD_GRACE_TIME            PASSWORD 7
 
参数解释
1、对数据库资源做限制
SESSIONS_PER_USER 每个用户名所允许的并行会话数
CPU_PER_SESSION   一个会话一共可以使用的CPU时间，单位是百分之一秒
CPU_PER_CALL      一次SQL调用(解析、执行和获取)允许使用的CPU时间
CONNECT_TIME      限制会话连接时间，单位是分钟
IDLE_TIME         允许空闲会话的时间，单位是分钟
LOGICAL_READS_PER_SESSION 限制会话对数据块的读取，单位是块
LOGICAL_READS_PER_CALL    限制SQL调用对数据块的读取，单位是块
COMPOSITE_LIMIT   “组合打法”
integer | UNLIMITED | DEFAULT 
PRIVATE_SGA   限制会话在SGA中Shared Pool中私有空间的分配  { size_clause | UNLIMITED | DEFAULT }


2、对密码做限制
FAILED_LOGIN_ATTEMPTS 帐户被锁定之前可以错误尝试的次数
PASSWORD_LIFE_TIME    密码可以被使用的天数，单位是天，默认值180天
PASSWORD_REUSE_TIME   密码可重用的间隔时间(结合PASSWORD_REUSE_MAX)
PASSWORD_REUSE_MAX    密码的最大改变次数(结合PASSWORD_REUSE_TIME)
PASSWORD_LOCK_TIME    超过错误尝试次数后，用户被锁定的天数，默认1天
PASSWORD_GRACE_TIME   当密码过期之后还有多少天可以使用原密码
expr | UNLIMITED | DEFAULT 
PASSWORD_VERIFY_FUNCTION  { function | NULL | DEFAULT }


 
修改profile：alter profile [资源文件名] limit [资源名] unlimited;
如：alter profile default limit failed_login_attempts 100;
 
删除PROFILE：drop profile [资源文件名] [CASCADE] ;
若创建的PROFILE已经授权给了某个用户，使用CASCADE级联收回相应的限制，收回限制信息后将以系统默认的PROFILE对该用户进行限制。
 
设置PROFILE参数的生效时间
1、用户所有拥有的PROFILE中有关密码的限制立即生效，不受限制。从这个可看出Oracle对用户密码的重视程度。
2、用户所有拥有的PROFILE中有关资源的限制与resource_limit参数的设置有关，当为TRUE时生效，当为FALSE时（默认值）设置任何值都无效。
SQL> show parameter resource_limit
NAME                 TYPE        VALUE
-------------------- ----------- -------
resource_limit       boolean     FALSE






1、查看用户用的哪种profile策略，一般是default：






SQL> select username,profile from dba_users; 
USERNAME                PROFILE 
------------------ ----------------- 
MGMT_VIEW             DEFAULT 
SYS                   DEFAULT 
SYSTEM                DEFAULT 
EKPUSER               DEFAULT 


2、查看指定概要文件（如default）的密码有效期设置：






SQL> Select * FROM dba_profiles s Where s.profile='DEFAULT' AND resource_name='PASSWORD_LIFE_TIME'; 
PROFILE                        RESOURCE_NAME           RESOURCE_TYPE LIMIT 
------------------------------ ----------------------- ------------ -------- 
DEFAULT                        PASSWORD_LIFE_TIME        PASSWORD      180 


3、将密码有效期由默认的180天修改成“无限制”：




sql> ALTER PROFILE DEFAULT LIMIT PASSWORD_LIFE_TIME UNLIMITED; 
Profile altered 


修改之后不需要重启动数据库，会立即生效。


4、修改后，还没有被提示ORA-28002警告的帐户不会再碰到同样的提示；已经被提示的帐户必须再改一次密码，举例如下：




sqlplus / as sysdba 
sql> alter user smsc identified by <原来的密码> ----不用换新密码 
sql> alter user system identified by root; 
sql> alter user scott identified by tiger; 


oracle11g启动参数resource_limit无论设置为false还是true，密码有效期都是生效的，所以必须通过以上方式进行修改。以上的帐户名请根据实际使用的帐户名更改。


第二种情况解决方法如下：


1、查看用户的proifle是哪个，一般是default：






sql> SELECT username,PROFILE FROM dba_users; 


2、查看指定概要文件（如default）的密码有效期设置：






sql> SELECT * FROM dba_profiles s WHERE s.profile='DEFAULT' AND resource_name='FAILED_LOGIN_ATTEMPTS'; 


3、将尝试登录失败次数由默认的10次修改成“无限制”：






sql> ALTER PROFILE DEFAULT LIMIT FAILED_LOGIN_ATTEMPTS UNLIMITED; 


4、修改后，还没有被提示ORA-28000警告的用户不会再碰到同样的提示； 
已经被锁定的帐户必须解除锁定，举例如下：




sqlplus / as sysdba 
sql> alter user smsc identified by oracle account unlock; 


5、修改后default profile应该如下：






sql> select * from dba_profiles WHERE dba_profiles.profile='DEFAULT'; 
PROFILE      RESOURCE_NAME            RESOURCE_TYPE   LIMIT 
------------ ----------------------- --------------- ---------------------- 
DEFAULT      FAILED_LOGIN_ATTEMPTS    PASSWORD        UNLIMITED 
DEFAULT      PASSWORD_LIFE_TIME       PASSWORD        UNLIMITED 


修改之后不需要重启动数据库，会立即生效。 
如果出现ORA-28000 the account is locked.错误






alter user 用户名 account unlock;

来自 “ ITPUB博客 ” ，链接：http://blog.itpub.net/29942527/viewspace-2141264/，如需转载，请注明出处，否则将追究法律责任。

转载于:http://blog.itpub.net/29942527/viewspace-2141264/