oracle dba_profile,Oracle DBA应知应会 -- Profile

使用脚本utlpwdmg.sql可以方便地启动数据库的密码管理。该脚本位于$ORACLE_HOME/rdbms/admin目录下

启用密码管理：

SQL> @?/rdbms/admin/utlpwdmg.sql

Function created

Profile altered

启动后：

SQL> select * from dba_profiles where resource_type='PASSWORD';

PROFILE RESOURCE_NAME RESOURCE LIMIT

DEFAULT FAILED_LOGIN_ATTEMPTS PASSWORD 3

DEFAULT PASSWORD_LIFE_TIME PASSWORD 90

DEFAULT PASSWORD_REUSE_TIME PASSWORD 1800

DEFAULT PASSWORD_REUSE_MAX PASSWORD UNLIMITED

DEFAULT PASSWORD_VERIFY_FUNCTION PASSWORD VERIFY_FUNCTION

DEFAULT PASSWORD_LOCK_TIME PASSWORD .0006

DEFAULT PASSWORD_GRACE_TIME PASSWORD 10

取消密码管理：

SQL>alter profile DEFAULT limit unlimited;

如：

SQL>alter profile DEFAULT limit password_reuse_time unlimited;

停止密码检验函数：

SQL>alter profile DEFAULT limit password_verify_function null;

PASSWORD_LIFE_TIME 90 --用于指定口令有效期

PASSWORD_GRACE_TIME 10 --用于指定口令宽限期(为了强制用户定期改变口令,以上二者必须同时设置.)

PASSWORD_REUSE_TIME 1800 --用于指定口令可重用时间.

PASSWORD_REUSE_MAX UNLIMITED --用于指定在重用口令之前口令需要改变的次数.(需要主要,使用口令历史选项时,只能使用以上两种其中的一个选项.并将另一个选项设置为UNLIMITED.)

FAILED_LOGIN_ATTEMPTS 3 --用于指定连续登陆的最大失败次数.

PASSWORD_LOCK_TIME 1/1440 --用于指定帐户被锁定的天数.

PASSWORD_VERIFY_FUNCTION verify_function; --如果要禁用口令校验函数,可以将PASSWORD_VERIFY_FUNCTION选项设置为NULL.

*/

ALTER PROFILE DEFAULT LIMIT

PASSWORD_LIFE_TIME 90

PASSWORD_GRACE_TIME 10

PASSWORD_REUSE_TIME 1800

PASSWORD_REUSE_MAX UNLIMITED

FAILED_LOGIN_ATTEMPTS 3

PASSWORD_LOCK_TIME 1/1440

PASSWORD_VERIFY_FUNCTION verify_function;

创建profile必须要有CREATE PROFILE的系统权限。

为用户指定资源限制，必须：

1．动态地使用alter system或使用初始化参数resource_limit使资源限制生效。该改变对密码资源无效，密码资源总是可用。

SQL> show parameter resource_limit

NAME TYPE VALUE

resource_limit boolean FALSE

SQL> alter system set resource_limit=true;

系统已更改。

SQL> show parameter resource_limit;

NAME TYPE VALUE

resource_limit boolean TRUE

SQL>

Resource_parameter部分

Session_per_user：指定限制用户的并发会话的数目。

Cpu_per_session：指定会话的CPU时间限制，单位为百分之一秒。

Cpu_per_call：指定一次调用(解析、执行和提取)的CPU时间限制，单位为百分之一秒。

Connect_time：指定会话的总的连接时间，以分钟为单位。

Idle_time：指定会话允许连续不活动的总的时间，以分钟为单位，超过该时间，会话将断开。但是长时间运行查询和其他操作的不受此限制。

Logical_reads_per_session：指定一个会话允许读的数据块的数目，包括从内存和磁盘读的所有数据块。

Logical_read_per_call：指定一次执行SQL(解析、执行和提取)调用所允许读的数据块的最大数目。

Private_sga：指定一个会话可以在共享池(SGA)中所允许分配的最大空间，以字节为单位。(该限制只在使用共享服务器结构时才有效，会话在SGA中的私有空间包括私有的SQL和PL/SQL，但不包括共享的SQL和PL/SQL)。

Composite_limit：指定一个会话的总的资源消耗，以service units单位表示。Oracle数据库以有利的方式计算cpu_per_session，connect_time，logical_reads_per_session和private-sga总的service units

Password_parameter部分：

Failed_login_attempts：指定在帐户被锁定之前所允许尝试登陆的的最大次数。

Password_life_time：指定同一密码所允许使用的天数。如果同时指定了password_grace_time参数，如果在grace period内没有改变密码，则密码会失效，连接数据库被拒绝。如果没有设置password_grace_time参数，默认值unlimited将引发一个数据库警告，但是允许用户继续连接。

Password_reuse_time和password_reuse_max：这两个参数必须互相关联设置，password_reuse_time指定了密码不能重用前的天数，而password_reuse_max则指定了当前密码被重用之前密码改变的次数。两个参数都必须被设置为整数。

1．如果为这两个参数指定了整数，则用户不能重用密码直到密码被改变了password_reuse_max指定的次数以后在password_reuse_time指定的时间内。

如：password_reuse_time=30，password_reuse_max=10，用户可以在30天以后重用该密码，要求密码必须被改变超过10次。

2．如果指定了其中的一个为整数，而另一个为unlimited，则用户永远不能重用一个密码。

3．如果指定了其中的一个为default，Oracle数据库使用定义在profile中的默认值，默认情况下，所有的参数在profile中都被设置为unlimited，如果没有改变profile默认值，数据库对该值总是默认为unlimited。

4．如果两个参数都设置为unlimited，则数据库忽略他们。

Password_lock_time：指定登陆尝试失败次数到达后帐户的缩定时间，以天为单位。

Password_grace_time：指定宽限天数，数据库发出警告到登陆失效前的天数。如果数据库密码在这中间没有被修改，则过期会失效。

Password_verify_function：该字段允许将复杂的PL/SQL密码验证脚本做为参数传递到create profile语句。Oracle数据库提供了一个默认的脚本，但是自己可以创建自己的验证规则或使用第三方软件验证。 对Function名称，指定的是密码验证规则的名称，指定为Null则意味着不使用密码验证功能。如果为密码参数指定表达式，则该表达式可以是任意格式，除了数据库标量子查询。

IDLE_TIME 60 会话空闲60分钟

Failed_login_attempts：10 密码尝试次数

PASSWORD_LIFE_TIME 90 密码生命周期

PASSWORD_LOCK_TIME 5/1440 密码锁定时间5分钟

PASSWORD_REUSE_MAX 4 密码更改4次以上才可重用

PASSWORD_REUSE_TIME 30 密码更改超过30天后可重用

PASSWORD_GRACE_TIME 30 密码过期后可延续使用30天

五、举例：

1．创建一个profile：

create profile new_profile

limit password_reuse_max 10

password_reuse_time 30;

2．设置profile资源限制：

create profile app_user limit

sessions_per_user unlimited

cpu_per_session unlimited

cpu_per_call 3000

connect_time 45

logical_reads_per_session default

logical_reads_per_call 1000

private_sga 15k

composite_limit 5000000;

总的resource cost不超过五百万service units。计算总的resource cost的公式由alter resource cost语句来指定。

3．设置密码限制profile：

create profile app_users2 limit

failed_login_attempts 5

password_life_time 60

password_reuse_time 60

password_reuse_max 5

password_verify_function verify_function

password_lock_time 1/24

password_grace_time 10;

4．将配置文件分配给用户：

SQL> alter user dinya profile app_user;

用户已更改。

SQL>

SQL> alter user dinya profile default;

用户已更改。

SQL>