Oracle 使用 PROFILE对用户资源限制和密码限制的研究与探索

Oracle使用PROFILE对用户资源限制和密码限制的研究与探索1.用户创建语句PROFILE选项“引发的血案”如果大家细心的话，在创建用户的语法中有这么一个选项“PROFILE profile”。

下面是Oracle 11gR2官方文档中关于创建用户的语法描述（较之10g的文档可读性加强了，当然功能也同样有所增加）：CREATE USER userIDENTIFIED { BY password| EXTERNALLY [ AS 'certificate_DN' | AS 'kerberos_principal_name' ]| GLOBALLY [ AS '[ directory_DN ]' ]}[ DEFAULT TABLESPACE tablespace| TEMPORARY TABLESPACE{ tablespace | tablespace_group_name }| { QUOTA { size_clause | UNLIMITED } ON tablespace }...| PROFILE profile| PASSWORD EXPIRE| ACCOUNT { LOCK | UNLOCK }[ DEFAULT TABLESPACE tablespace| TEMPORARY TABLESPACE{ tablespace | tablespace_group_name }| { QUOTA { size_clause | UNLIMITED } ON tablespace }...| PROFILE profile| PASSWORD EXPIRE| ACCOUNT { LOCK | UNLOCK }| ENABLE EDITIONS]...] ;2.提问：PROFILE选项是做什么用的呢？回答：简要的说，PROFILE在Oracle数据库对数据库用户能够使用的资源做进一步的限制的一种手段，如对连接到某个用户的session或sql所能使用的CPU资源进行控制，又如控制Oracle用户的密码管理策略等等……3.查看系统的默认PROFILE1）通过dba_profiles视图查看一下系统中默认都有哪些PROFILE数据库创建以后，系统中只会存在一个名为DEFAULT的默认PROFILE，在用户创建之后，如果不做特殊指定，每个用户的PROFILE都会默认的使用个默认的PROFILE。

sys@ora10g> select distinct profile from dba_profiles;PROFILE----------DEFAULT2）全面查看一下这个PROFILE都包含哪些限制定义sys@ora10g> select * from dba_profiles;PROFILE RESOURCE_NAME RESOURCE LIMIT---------- -------------------------------- -------- -----------------DEFAULT COMPOSITE_LIMIT KERNEL UNLIMITEDDEFAULT SESSIONS_PER_USER KERNEL UNLIMITEDDEFAULT CPU_PER_SESSION KERNEL UNLIMITEDDEFAULT CPU_PER_CALL KERNEL UNLIMITEDDEFAULT LOGICAL_READS_PER_SESSION KERNEL UNLIMITEDDEFAULT LOGICAL_READS_PER_CALL KERNEL UNLIMITEDDEFAULT IDLE_TIME KERNEL UNLIMITEDDEFAULT CONNECT_TIME KERNEL UNLIMITEDDEFAULT PRIVATE_SGA KERNEL UNLIMITEDDEFAULT FAILED_LOGIN_ATTEMPTS PASSWORD 10DEFAULT PASSWORD_LIFE_TIME PASSWORD UNLIMITEDDEFAULT PASSWORD_REUSE_TIME PASSWORD UNLIMITEDDEFAULT PASSWORD_REUSE_MAX PASSWORD UNLIMITEDDEFAULT PASSWORD_VERIFY_FUNCTION PASSWORD NULLDEFAULT PASSWORD_LOCK_TIME PASSWORD UNLIMITEDDEFAULT PASSWORD_GRACE_TIME PASSWORD UNLIMITED16 rows selected.3）结论通过上面的查看，可以得到这个系统默认的PROFILE “DEFAULT”的配臵信息只对密码的错误尝试次数做了限制（最多可以错误输错10次密码），如果我们启用了PROFILE（下面有介绍如何启用和停止PROFILE），默认的限制只有这些。

如果想要改变限制条件，有两种方法：第一种方法是可以对这个默认的PROFILE做个性化的调整；第二种方法是再重新定制一个新的PROFILE满足新的需求。

4.对创建PROFILE的标准语法做一下“解剖麻雀”（更多细节可以参考Oracle官方文档）1）创建PROFILE的语法如下：CREATE PROFILE profileLIMIT { resource_parameters 对资源的限制| password_parameters 对密码的限制}...;2）对数据库资源做限制时，下面是全部可用的参数：{ { SESSIONS_PER_USER 每个用户名所允许的并行会话数| CPU_PER_SESSION 一个会话一共可以使用的CPU时间，单位是百分之一秒| CPU_PER_CALL 一次SQL调用（解析、执行和获取）允许使用的CPU时间| CONNECT_TIME 限制会话连接时间，单位是分钟| IDLE_TIME 允许空闲会话的时间，单位是分钟| LOGICAL_READS_PER_SESSION 限制会话对数据块的读取，单位是块| LOGICAL_READS_PER_CALL 限制SQL调用对数据块的读取，单位是块| COMPOSITE_LIMIT “组合打法”}{ integer | UNLIMITED | DEFAULT }| PRIVATE_SGA 限制会话在SGA中Shared Pool中私有空间的分配{ size_clause | UNLIMITED | DEFAULT }}3）对密码做限制时，下面是全部可用的参数：{ { FAILED_LOGIN_ATTEMPTS 帐户被锁定之前可以错误尝试的次数| PASSWORD_LIFE_TIME 密码可以被使用的天数，单位是天，默认值180天| PASSWORD_REUSE_TIME 密码可重用的间隔时间（结合PASSWORD_REUSE_MAX）| PASSWORD_REUSE_MAX 密码的最大改变次数（结合PASSWORD_REUSE_TIME）| PASSWORD_LOCK_TIME 超过错误尝试次数后，用户被锁定的天数，默认1天| PASSWORD_GRACE_TIME 当密码过期之后还有多少天可以使用原密码}{ expr | UNLIMITED | DEFAULT }| PASSWORD_VERIFY_FUNCTION{ function | NULL | DEFAULT }}5.语法已经了然于胸，那么我们来实际创建一个PROFILE（这里的名字我们称其为：sec_profile），在感性认识的同时一同探索一下在这个过程中会遇到的一些有趣现象。

1）尝试创建一个混合型的PROFILE（包含资源限制和密码限制）sys@ora10g> CREATE PROFILE sec_profile LIMIT2 SESSIONS_PER_USER UNLIMITED3 CPU_PER_SESSION UNLIMITED4 CPU_PER_CALL 60005 CONNECT_TIME 606 LOGICAL_READS_PER_SESSION DEFAULT7 LOGICAL_READS_PER_CALL 60008 COMPOSITE_LIMIT 60000009 PRIVATE_SGA 66K10 FAILED_LOGIN_ATTEMPTS 611 PASSWORD_LIFE_TIME 6012 PASSWORD_REUSE_TIME 6013 PASSWORD_REUSE_MAX 514 PASSWORD_LOCK_TIME 1/2415 PASSWORD_GRACE_TIME 1016 PASSWORD_VERIFY_FUNCTION verify_function17 /CREATE PROFILE sec_profile LIMIT*ERROR at line 1:ORA-07443: function VERIFY_FUNCTION not found2）报错原因为什么会报错？错误提示很清楚，VERIFY_FUNCTION这个函数不存在。

既然知道不存在，那我们如何创建它呢？回答：VERIFY_FUNCTION函数是通过utlpwdmg.sql脚本创建的，该脚本所在的目录是$ORACLE_HOME/rdbms/admin/3）创建密码复杂性检验函数VERIFY_FUNCTION我们使用utlpwdmg.sql脚本创建以下这个VERIFY_FUNCTION密码复杂度校验函数sys@ora10g> @?/rdbms/admin/utlpwdmg.sqlFunction created.Profile altered.4）utlpwdmg.sql脚本中的小秘密细心的您在执行utlpwdmg.sql脚本的过程中一定发现了有一个“Profile altered”的提示，难道这个脚本修改了某个PROFILE信息么？正如您所料，它修改了系统的默认PROFILE “DEFAULT”，再次查看一下现在的DEFAULT的定义信息：sys@ora10g> select * from dba_profiles;PROFILE RESOURCE_NAME RESOURCE LIMIT---------- -------------------------------- -------- -----------------DEFAULT COMPOSITE_LIMIT KERNEL UNLIMITEDDEFAULT SESSIONS_PER_USER KERNEL UNLIMITEDDEFAULT CPU_PER_SESSION KERNEL UNLIMITEDDEFAULT CPU_PER_CALL KERNEL UNLIMITEDDEFAULT LOGICAL_READS_PER_SESSION KERNEL UNLIMITEDDEFAULT LOGICAL_READS_PER_CALL KERNEL UNLIMITEDDEFAULT IDLE_TIME KERNEL UNLIMITEDDEFAULT CONNECT_TIME KERNEL UNLIMITEDDEFAULT PRIVATE_SGA KERNEL UNLIMITEDDEFAULT FAILED_LOGIN_ATTEMPTS PASSWORD 3DEFAULT PASSWORD_LIFE_TIME PASSWORD 60DEFAULT PASSWORD_REUSE_TIME PASSWORD 1800DEFAULT PASSWORD_REUSE_MAX PASSWORD UNLIMITEDDEFAULT PASSWORD_VERIFY_FUNCTION PASSWORD VERIFY_FUNCTION DEFAULT PASSWORD_LOCK_TIME PASSWORD .0006DEFAULT PASSWORD_GRACE_TIME PASSWORD 1016 rows selected.与系统创建时的DEFAULT PROFILE相比较，之前只有10次密码输入错误的限制，执行完成这个函数创建之后，我们发现系统默认的PROFILE已经对系统有了一个非常严格的约束。