解决 Oracle 错误 ORA-28009: Connection as SYS should be as SYSDBA or SYSOPER

前言

当尝试以 SYS 用户登录 Oracle 数据库时，如果遇到错误 ORA-28009: connection as SYS should be as SYSDBA or SYSOPER，这表示您需要使用 SYSDBA 或 SYSOPER 角色来连接数据库。SYS 是一个超级管理员账户，具有非常高的权限，因此在连接时必须明确指定其角色。

原因

• 特殊权限：SYS 用户是 Oracle 数据库中的超级用户，拥有对数据库的所有特权。为了安全起见，Oracle 强制要求在使用 SYS 用户登录时必须指定 SYSDBA 或 SYSOPER 角色。
• 角色区分：
  • SYSDBA：用于执行全面的数据库管理任务，如启动和关闭数据库、创建和删除数据库等。
  • SYSOPER：用于执行有限的操作，如启动和关闭数据库，但不能进行某些更敏感的操作（例如，更改系统参数）。

为什么通常推荐使用 AS SYSDBA

很多博客和技术文档中提到只需要执行 AS SYSDBA，原因如下：

1. 权限覆盖：SYSDBA 的权限比 SYSOPER 更广泛，几乎涵盖了所有可能需要的操作。对于大多数情况下，特别是当涉及到数据库的配置、维护和故障排除时，SYSDBA 提供了必要的权限。

2. 便利性：在实际操作中，SYSDBA 可以完成所有 SYSOPER 能够做的工作，并且还能够执行更多任务。因此，出于简便考虑，技术人员倾向于直接使用 SYSDBA 角色。

3. 默认选择：许多工具和脚本默认提供的是 SYSDBA 选项，因为它是更为通用的选择。这使得 AS SYSDBA 成为了习惯性的做法。

然而，这并不意味着 SYSOPER 是无用的；它适合于那些仅需执行特定任务而不希望授予过多权限的情况。

解决方案

根据您的连接方式，可以采取以下步骤解决此问题：

使用 SQL*Plus 登录

当通过命令行工具如 SQL*Plus 连接到 Oracle 数据库时，您需要在输入密码后加上 AS SYSDBA 或 AS SYSOPER。通常，AS SYSDBA 是更常用的选择：

sqlplus sys/password@database_name AS SYSDBA

如果您确实有理由使用 SYSOPER，那么可以这样连接：

sqlplus sys/password@database_name AS SYSOPER

使用图形界面工具（如 PL/SQL Developer 或 Navicat）登录

对于图形界面工具，在登录对话框中通常会有一个选项来选择“连接为”（Navicat在高级选项里可以选择角色Default、SYSDBA、SYSOPER）。确保将这个选项从默认的 Normal 更改为 SYSDBA 或 SYSOPER，然后输入您的用户名和密码。大多数情况下，选择 SYSDBA 就足够了。

注意事项

• 安全性：由于 SYS 用户具有极高的权限，应该仅在必要时使用，并严格控制谁可以访问该账号。
• 最佳实践：建议日常操作不要使用 SYS 账户，而是创建具有适当权限的其他用户来进行常规管理任务。
• 文档记录：每次使用 SYS 账户进行重要变更时都应做好详细的文档记录，以便后续审计和维护。

示例

假设您的数据库名为 ORCL，密码为 manager，那么完整的 SQL*Plus 命令将是：

sqlplus sys/manager@ORCL AS SYSDBA

结论

遵循上述指导，您可以正确地以 SYSDBA 或 SYSOPER 角色连接到 Oracle 数据库，并避免 ORA-28009 错误。虽然 AS SYSDBA 是更常见的选择，但在某些情况下，根据具体需求选择 SYSOPER 可能更加合适。