Oracle OS认证与口令文件认证详解
Oracle的操作系统身份认证
非oracle安装用户本机sqlplus “sys/change_on_install as sysdba”能登录
非oracle安装用户远程sqlplus “/ as sysdba_on_install@sid as sysdba”能登录
os认证：如果启用了os认证，以sysdba登录，那么我们只要用oracle软件的安装用户就能登录：sqlplus “/ as sysdba”。如果我们要禁用os认证，只利用密码文件登录，我们首先要有一个密码文件：
orapwd file=C:\oracle\product\10.2.0\db_1\database\PWDoralocal.ora password=maximo entries=10;
设置初始化参数 REMOTE_LOGIN_PASSWORDFILE ：
在 Oracle 数据库实例的初始化参数文件中，此参数控制着密码文件的使用及其状态。它可以有以下几个选项：
1、NONE ：指示 Oracle 系统不使用密码文件，特权用户的登录通过操作系统进行身份验证；
2、EXCLUSIVE ：指示只有一个数据库实例可以使用此密码文件。只有在此设置下的密码文件可以包含有除 SYS 以外的用户信息，即允许将系统权限 SYSOPER /SYSDBA 授予除 SYS 以外的其他用户。此设置oracle 9i中为缺省值。有朋友说是shared,其实不然.
（3）REMOTE_LOGIN_NTICATION_SERVICES= (NTS)：
oracle安装用户本地sqlplus “/ as sysdba”能登录
非oracle安装用户本机sqlplus “sys/change_on_install as sysdba”无法登录
Oracle 身份验证方式
Oracle 身份验证方式Oracle 身份验证方式有如下几种：•操作系统身份验证•口令文件验证•口令身份验证•外部身份验证•全局身份验证前两项技术仅供管理员使用，最后一项技术要求使用LDAP 目录服务器。
LDAP 目录服务器是Oracle Internet Directory(OID)，作为Oracle 应用服务器的一部分发布。
1. 操作系统和口令文件身份验证要为账户启用操作系统和口令身份验证（二者是相配的），必须为用户授予SYSDBA 或者SYSOPER 权限：GRANT [ sysdba | sysoper ] TO username ;如果向用户授予这些权限之一或者所有权限，则会将用户口令从数据字典复制到外部口令文件中，此时，即使数据库未处于打开状态，实例也可以读取口令。
要使用口令文件身份验证，用户可以在使用SQL*Plus 时通过以下语法连接：CONNECT username / password [ @db_alias ] AS [ SYSOPER | SYSDBA ] ;注意，可使用口令文件身份验证，通过Oracle Net 连接到远程数据库。
要使用操作系统身份验证，用户必须被确认为有权限访问Oracle 二进制文件的操作系统用户之后，且在使用SQL*Plus 时通过以下语法连接之前首先登陆到数据库服务器：CONNECT / AS [ SYSOPER | SYSDBA ] ;与SYSDBA 和SYSOPER 以同一种方式运行的第三种权限是SYSSAM，此权限仅适用于ASM 实例。
2. 口令身份验证在使用SQL*Plus 时，通过口令身份验证进行连接的语法如下：CONNECT username / password [ @db_alias ]这是Oracle 一般用户使用得最多的一种身份验证方式。
在使用口令身份验证进行连接时，实例将针对在数据字典中的用户账户存储的口令。
验证给定的口令。
oracle认证类型
Oracle认证可以分为以下几种类型：
1. 操作系统认证：一些操作系统允许Oracle使用它们的用户信息进行认证，通过操作系统认证的用户就可以通过Oracle的身份认证，连接到Oracle数据库。
2. Oracle数据库身份认证：使用存储在数据库中的信息对链接的用户进行身份认证。
在创建用户时，需要指定对应的密码，已加密的格式将口令存储在数据字典中，其他用户无权查看，但是可以随时修改自己的口令。
连接中的口令加密：网络连接中，口令通过DES，3DES 加密，加密在网络连接中完成。
3. DBA身份认证：主要操作操作系统认证与口令文件认证。
操作系统认证：创建用户组，授予用户组DBA权限，将DBA用户添加到该组中。
4. OCP认证：认证需要四项较为严格的评估，以证明受试者在Oracle 数据库管理领域的熟练程度，以及是否具备专家级的技术知识和技能。
通过考试后，个人可以管理大型数据库并开发可在整个企业中部署的功能强大的应用程序。
要通过OCP认证，学员必须有参加Oracle 大学授权培训中心的课程的经历。
5. OCA认证：这一较低级别的认证是Oracle为初级学员设计的初始技能水平考试，是使用Oracle产品的基础。
要获得OCA证书，必须通过证书要求的两个考试。
第一门测试可以通过互联网进行，第二场测试必须在Prometric授权的国际测试中心进行。
Oracle认证
Oracle认证是由Oracle公司，为能够满足对Oracle核心人士需求。
Oracle公司颁布并实施的一项权威品的服务与支持，并具有娴熟的专业技术标准，它是专为认证那操作能力与广泛理论知识的专业人。
各个层次OCA、OCP、OCM.OCP即Oracle Certified Professional据库管理方向的DBA、数据库开发Oracle Certified Associate。
简介ORACLE认证专家计划(OCP)帮助您在竞争激烈的市场中脱颖而出。
通过对ORACLE产品的熟练应用，您将获得业界普遍的认可。
与职务相关的认证，说明您是一个合格的技术人员。
作为ORACLE认证专家，您将具有对业界最具挑战性的机遇更深的洞察力，并获取更多的收获。
课程安排：SQL and PL/SQLOracle8i Enterprise DBA part I A: Architecture & AdministrationOracle8i Enterprise DBA part II B: Backup and RecoveryOracle8i Enterprise DBA part III: Performance TuningOracle8i Enterprise DBA part III: Network Administrator该计划可使学员通过系统、连续、短暂而又便利的课堂培训，配以相应的教学软件，经过预备课练习和模拟试题测试，最终得以通过认证考试，取得专业资格证书。
OCP (Oracle Certified Professional)是由Oracle公司颁布并实施的一项权威的专业技术标准，它是专为认证那些能够满足对ORACLE核心产品的服务与支持，并具有娴熟的操作能力与广泛理论知识的专业人士。
获得OCP认证的专业人士是业界薪水最高的IT专业人才Oracle证书oracle证书上分为三类：OCA证书、OCP证书、OCM证书oracle等级证书(3张)Oracle认证介绍1.Oracle专业DBA认证：这是为Oracle数据库管理设计的一门基本认证（4门考试）2.Oracle网络应用开发人员认证：这是关于SQ、P/SQL和网络开发的一门认证（4门考试）3.Oracle Java开发人员认证：这是与Sun公司一起为Oracle设计的Java开发人员认证，共有6门考试以及Sun和Oracle的衔接认证4. Oracle 数据库开发认证：这是ATA公司为Oracle开发人员提供的一门认证[2]DBA认证Oracle OCP DBA认证是所有Oracle认证中最普及的一种认证，本来，Oracle认证是专为专业人士设计的，想要参加考试的人员必须要具有DBA 4年以上工作经验的书面证明材料才有资格参加考试，但是，随着对Oracle专业人才需求的迅猛增长，Oracle放松了对这项认证要求，在Oracle9I中，Oracle提供了3级认证。
详细讲解Oracle数据库管理员认证方法
Oracle管理员认证方法1、管理员的权限：SYSDBA: 默认schema 为SYSSYSOPER: 默认schema 为 PUBLIC这两种权限允许用户在数据库没有打开的时候就可以登陆数据库，所以这种权限的控制权在数据库之外。
通常这种权限也可以被看做一种允许你对数据库进行某种操作的连接，比如CONNECT / AS SYSDBA2、两种管理员权限认证方法(1) Operating system (OS) authentication :操作系统认证--以下情况使用该方法：管理远程数据库时，具有安全的网络连接（secure connection）。
管理本地数据库时，想使用OS认证。
--操作步骤：a.建立一个os系统用户b.将这个用户加入到OSDBA或者OSOPER的OS组。
c.设置参数REMOTE_LOGIN_PASSWORDFILE=NONEd.CONNECT / AS SYSDBA--关于OSDBA和OSOPER组OSDBA对应: UNIX为dba; WINDOWS为ORA_DBAOSOPER对应:UNIX为oper; WINDOWS为ORA_OPER这些用户组在安装数据库的时候手工或者自动创建，这些组的成员以 as sysdba/sysoper 连接数据库后，自动授予sysdba/sysoper的管理权限。
(2) Password files ：密码文件认证--以下情况使用该方法：管理远程数据库时，没有安全的网络连接（secure connection），比如TCP/IP和DECnet协议。
管理本地数据库时，不想使用OS认证。
--操作步骤：a.使用ORAPWD创建密码文件(其中的password选项是为SYS用户设置的)b.设置参数REMOTE_LOGIN_PASSWORDFILE=EXCLUSIVEc.使用sys用户登陆d.在数据库中创建用户 create user donny1 identified by donny1;e. 赋予其SYSDBA/SYSOPER权限grant sysdba to donny1; 这样就将用户和密码加入到密码文件中。
oracle安全认证(6)
如果REMOTE_LOGIN_PASSWORDFILE=none 且 SQLNET.AUTHENTICATION_SERVICES= none 这个时候数据库是无法登录的。
• 若Sqlnet.authentication_services=nts • remote_login_passwordfile=exclusive
口令文件中存放sysdba/sysoper用户的用户名及 口令，允许用户通过口令文件验证，在数据库未 启动之前登陆，从而启动数据库。 • 口令文件在数据库之外 如果没有口令文件，在数据库未启动之前就只能 通过操作系统认证.
Remote_login_password为静态参数，不能scope=both，只能修改文件，重新 启动可以设置
注意： 1、file 是指口令文件的包含路径的名称 2、password 口令是 sys的口令 该口令的设置会把数据库用户sys的口令也进行了修改， 如果在数据库中使用 alter user sys identified by 新口令，则口令文件中的口令都会更改。 3、数量参数指的是允许sysdba和sysoper系统权限的用户个数 注意： 创建完成 后一定要重新启动数据库，否则不起作用
1、操作系统用户被允许以数据库管理员的权 限注册到数据库中。 例如：windows下 安装了oracle ，就会出现ora_dba组
该组中的用户可以无需口令地以oracle 管理员的权限注册到 oracle
没有使用用户名和口令，以系统管理员sysdba的身份进行了数据库的启动
2、如果不允许操作系统认证，且数据库为关 闭状态，要想启动数据库，要利用数据库 外的文件，口令文件。
可以通过该工具给windows增加ora_dba组
ORACLE口令管理
ORACLE⼝令管理⼝令⽂件介绍在ORALCE数据库系统中，⽤户如果要以特权⽤户⾝份(SYS/SYSDBA/SYSOPER)登录ORALCE数据库可以有两种⾝份验证的⽅法：即使⽤与操作系统集成的⾝份验证或使⽤ORALCE数据库的密码⽂件进⾏⾝份验证。
因此，管理好密码⽂件，对于控制授权⽤户从服务器本机或远端登录Oracle数据库系统，执⾏数据库管理⼯作，具有重要的意义.ORALCE⼝令⽂件⽤于存储拥有部分特权⽤户（sys等⽤户）的⼝令(注意：普通账号密码是不会存储在⼝令⽂件的)。
允许⽤户通过⼝令⽂件验证，在数据库未启动之前登陆，从⽽启动数据库。
如果没有⼝令⽂件，在数据库未启动之前就只能通过操作系统认证.⼝令⽂件存放在$ORACLE_HOME/dbs⽬录下（linux,window放在database），默认名称是orapw$ORACLE_SID。
即密码⽂件位置：Linux下的存放位置：$ORACLE_HOME/dbs/orapw<sid>.oraWindows下的存放位置:$ORACLE_HOME/database/PW%ORACLE_SID%.ora⼝令⽂件管理1：⼝令⽂件成员查看SQL> SELECT * FROM V$PWFILE_USERS;USERNAME SYSDBA SYSOPER------------------------------ ------ -------SYS TRUE TRUE如果查询该视图没有的记录的话，那么这是什么情况呢？出现这种情况，⼀般是⼝令⽂件被删除或移⾛。
例如如下操作所⽰：oracle@DB-Server ~]$[oracle@DB-Server ~]$ cd $ORACLE_HOME/dbs[oracle@DB-Server dbs]$ mv orapwgsp /tmp[oracle@DB-Server dbs]$ sqlplus / as sysdbaSQL*Plus: Release 11.2.0.1.0 Production on Thu Aug 4 17:43:39 2016Copyright (c) 1982, 2009, Oracle. All rights reserved.Connected to:Oracle Database 11g Enterprise Edition Release 11.2.0.1.0 - 64bit ProductionWith the Partitioning, OLAP, Data Mining and Real Application Testing optionsSQL> SELECT * FROM V$PWFILE_USERS;no rows selectedSQL>ORACLE使⽤操作系统集成的⾝份验证或使⽤密码验证，这个类似SQL SERVER中的Windows⾝份验证和SQL Server验证⽅式，那么使⽤哪种⽅式登录数据库是由两个参数控制的。
oracle 两种或两种以上组合的鉴别技术
oracle 两种或两种以上组合的鉴别技术
Oracle提供了多种鉴别技术用于确保数据库用户的身份认证和
授权安全，以下是Oracle中两种或两种以上组合的鉴别技术：
1. 用户名密码鉴别：是最常见的鉴别技术，用户在登录时需要提供正确的用户名和密码来进行身份认证。
Oracle数据库会检查提供的用户名和密码是否匹配数据库中存储的用户凭证信息来确定身份。
2. 口令文件鉴别：在某些情况下，Oracle数据库可以使用一个
额外的密码文件来进行鉴别。
这个密码文件存储了用户的用户名和密码信息，用户需要使用指定的工具和权限管理这个密码文件，以确保只有具有访问权限的用户可以进行身份认证。
3. 操作系统鉴别：Oracle数据库可以与操作系统集成，使用操
作系统的身份认证机制进行鉴别。
这种鉴别技术利用操作系统验证用户身份的功能，将用户和操作系统账户进行绑定，只有具有操作系统账户权限的用户才能进行身份认证。
4. 双因素鉴别：双因素鉴别技术结合了多种鉴别因素，如用户名/密码、指纹识别、硬件令牌等。
用户在登录时需要同时提
供多种鉴别因素确保身份的安全性。
5. 数据库链接鉴别：当Oracle数据库作为被链接服务器时，
可以使用链接服务器的数据库进行鉴别。
这种鉴别技术适用于跨多个数据库的应用场景，以确保链接服务器的身份合法和安全。
这些鉴别技术可以根据实际需求进行组合使用，以提供更高级别的安全性和访问控制。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
概述：本文只讨论OS认证和口令文件认证方式的配置方法，如何配置以及使用OS认证和口令文件认证方式验证SYSDBA/SYSOPER权限。
实验环境：Oracle 11.2.0.1 + RHEL 5.4特殊权限与Oracle登陆认证管理在开始学Oracle的时候有件事一直让我感觉很奇怪，就是为什么在数据没有起来的时候只要登录到安装Oracle的操作系统中直接用sqlplus / as sysdba就能登陆到数据库中然后对数据库进行启动停止之类的操作。
后来看到关于Oracle口令文件相关资料的时候才豁然开朗：数据库认证信息并不一定存在数据库中的，这点和SQL Server很是不一样。
在Oracle中有两类特殊的权限SYSDBA和SYSOPER，当DBA需要对数据库进行维护管理操作的时候必须具有这两类特殊权限之中的一种。
在数据库没有打开的时候，使用数据库内建的账号是无法登陆数据库的，但是拥有SYSDBA或是SYSOPER权限的用户是可以登陆的。
认证用户是否拥有两类特殊权限的方法有两种：OS认证和口令文件认证。
OS认证和口令文件认证方法Oracle数据库究竟使用OS认证还是口令文件认证来进行管理取决于下面三个因素：∙SQLNET.ORA参数文件中的参数SQLNET.AUTHENTICATION_SERVICES设置∙PFILE(SPFILE)参数文件中的参数REMOTE_LOGIN_PASSWORDFILE设置∙口令文件orapw$SID(Linux) | PWD$SID.ora(Windows)Oracle权限认证的基本顺序是这样的，先由SQLNET.AUTHENTICATION_SERVICES的设置值来决定是使用OS认证还是口令文件认证，如果使用口令文件认证的话就要看后面两个条件了：如果REMOTE_LOGIN_PASSWORDFILE参数设置为非NONE而且口令文件存在的话就能正常使用口令文件认证，否则将会失败。
SQLNET.AUTHENTICATION_SERVICES参数在SQLNET.ORA（位于$ORACLE_HOME/NETWORK/ADMIN目录中）文件中，需要修改时直接用文本编辑器打开修改就行了，对于不同的操作系统SQLNET.AUTHENTICATION_SERVICES的取值会有些不一样，通常我们会用到下面的一些设置值：∙SQLNET.AUTHENTICATION_SERVICES = (ALL)对Linux系统，支持OS认证和口令文件认证。
对Windows系统，实际实验是不支持此参数，验证失败。
∙SQLNET.AUTHENTICATION_SERVICES = (NTS)此设置值仅用于Windows NT系统，此设置同时支持OS认证和口令文件认证，只有在设置了(NTS)值之后运行在Windows系统上的Oracle才支持OS认证。
∙SQLNET.AUTHENTICATION_SERVICES = (NONE)此设置值在Windows和Linux是作用一样的，指定Oracle只使用口令文件认证。
∙不设置此参数或SQLNET.AUTHENTICATION_SERVICES =OSDBA用户组的用户可以使用SYSDBA权限登陆数据库，OSOPER用户组的的用户可以使用SYSOPER 权限来登陆数据库。
使用sqlplus可以用下面方法登陆CONNECT/AS SYSDBACONNECT/AS SYSOPER拥有OS权限的用户登陆数据库时不再需要输入用户名和密码，因此使用下面的命令也是可以正常登陆的：CONNECT ANY_USER_NAME/ANY_PASSWORD AS SYSDBACONNECT ANY_USER_NAME/ANY_PASSWORD AS SYSOPER因此要创建一个新的OS认证帐号步骤是：1. 建立一个OS用户2. 将用户加入到OSDBA或是OSOPER用户组3. 用新增加的用户登陆系统，然后输入sqlplus / AS SYSDBA进行登陆REMOTE_LOGIN_PASSWORDFILE参数REMOTE_LOGIN_PASSWORDFILE系统参数的设置制定了数据库使用口令文件的方法，此参数可以设置的值有三个：∙REMOTE_LOGIN_PASSWORDFILE = NONE不使用口令文件∙REMOTE_LOGIN_PASSWORDFILE = EXCLUSIVE使用口令文件，但只有一个数据库实例可用使用∙REMOTE_LOGIN_PASSWORDFILE = SHARED多个数据库实例共用一个口令文件，这种设置下是不能增加其他数据库用户作为特殊权限用户到口令文件中的。
REMOTE_LOGIN_PASSWORDFILE参数属于初始化参数，只能在init.ora/pfile中指定或是在数据库打开状态下使用下面语句修改，然后重新启动数据库。
ALTER SYSTEM SET REMOTE_LOGIN_PASSWORDFILE=EXCLUSIVE SCOPE=SPFILE;要检查当前REMOTE_LOGIN_PASSWORDFILE的设定值在登陆Oracle后输入下面的命令SQL>show parameter remote/** 这是输出结果，看remote_login_passwordfile一行NAME TYPE VALUE------------------------------------ ----------- ------------------------------remote_archive_enable string trueremote_dependencies_mode string TIMESTAMPremote_listener stringremote_login_passwordfile string EXCLUSIVEremote_os_authent boolean FALSEremote_os_roles boolean FALSESQL>*/口令文件和口令文件认证口令文件存放着被授予SYSDBA或SYSOPER权限的用户的用户名和密码。
它是一个加密的文件，用户不能修改这个文件，在Linux系统中口令文件一般保存在$ORACLE_HOME/dbs目录下，文件名为orapw$SID；在Windows 系统中口令文件一般保存在$ORACLE_HOME/database目录下，文件名为PWD$SID.ora。
使用口令文件认证的基本步骤是：1. 使用orapwd工具生成口令文件2. 设置REMOTE_LOGIN_PASSWORDFILE为EXCLUSIVE或是SHARED3. 使用SYS登陆数据库，创建新的数据库用户4. 使用GRANT命令授予新创建的用户SYSDBA/SYSOPER权限1、使用orapwd工具生成口令文件我们可以使用Oracle提供的工具orapwd来创建或者重新初始化一个口令文件：[oracle@RHEL4 dbs]$ orapwdUsage: orapwd file=<fname> password=<password> entries=<users> force=<y/n>wherefile - name of password file (mand),password - password for SYS (mand),entries - maximum number of distinct DBA and force - whether to overwrite existing file (opt), OPERs (opt),There are no spaces around the equal-to (=) character.[oracle@RHEL4 ~]$ orapwd file='$ORACLE_HOME/dbs/orapw$ORACLE_SID' password=pwdentries=10 force=y[oracle@RHEL4 ~]$注意：使用orapwd重新生成口令文件之后以保存的授予的其他用户的SYSDBA或是SYSOPER权限将会丢失，需要重新的GRANT。
设定的entries值是不能修改的，如果要修改entries的话需要重新生成口令文件，在生成口令文件之前可以先通过V$PWFILE_USERS视图查询出当前被授予SYSDBA/SYSOPER权限的用户，然后在重新生成口令文件以后重新对这些用户授予SYSDBA/SYSOPER权限2、设置REMOTE_LOGIN_PASSWORDFILE为EXCLUSIVE或是SHAREDALTER SYSTEM SET REMOTE_LOGIN_PASSWORDFILE=EXCLUSIVE SCOPE=SPFILE;3、使用SYS登陆数据库，创建新的数据库用户CREATEUSER testIDENTIFIED BY test;4、使用GRANT命令授予新创建的用户SYSDBA/SYSOPER权限GRANT SYSDBA TO test.每次在Oracle系统里面使用GRANT SYSDBA/SYSOPER授予新用户特殊权限或是ALTER USER命令修改拥有SYSDBA/SYSOPER权限的用户密码的时候，Oracle都会自动的修改口令文件，增加或是修改相应的项目，这样保证在数据没有打开的情况拥有特殊权限的用户能正常的登陆数据库以进行管理操作。
实验上面长篇大论的说了那么多，下面我们来做实验验证一下。
实验都是基于Linux系统来做的，做实验之前先使用下面的命令创建一个口令文件：[oracle@RHEL4 ~]$ orapwd file='$ORACLE_HOME/dbs/orapw$ORACLE_SID' password=pwdentries=10 force=y1、验证OS认证设置SQLNET.ORA中参数SQLNET.AUTHENTICATION_SERVICES = (ALL)或是不设置，REMOTE_LOGIN_PASSWORDFILE = NONE，然后进行下面的操作。
本地使用下面两种方式登陆，都能成功[oracle@RHEL4 dbs]$ sqlplus / as sysdbaSQL*Plus: Release 10.2.0.1.0 - Production on Sun Jun 7 15:06:55 2008Copyright (c) 1982, 2005, Oracle. All rights reserved.Connected to:Oracle Database 10g Enterprise Edition Release 10.2.0.1.0 - ProductionWith the Partitioning, OLAP and Data Mining optionsSQL>[oracle@RHEL4 dbs]$ sqlplus aaa/bbb as sysdbaSQL*Plus: Release 10.2.0.1.0 - Production on Sun Jun 7 15:16:25 2008Copyright (c) 1982, 2005, Oracle. All rights reserved.Connected to:Oracle Database 10g Enterprise Edition Release 10.2.0.1.0 - ProductionWith the Partitioning, OLAP and Data Mining optionsSQL>远程使用口令文件方式登陆，失败D:\Oracle\SQLPlus10.2> sqlplus sys/pwd@192.168.0.201/orcl as sysdbaSQL*Plus: Release 10.2.0.4.0 - Production on Sat Jun 7 19:06:55 2008 Copyright (c) 1982, 2007, Oracle. All Rights Reserved.ERROR:ORA-01017: invalid username/password; logon deniedEnter user-name:2、两种认证都失效设置SQLNET.ORA中参数SQLNET.AUTHENTICATION_SERVICES = (NONE)，REMOTE_LOGIN_PASSWORDFILE = NONE，然后进行下面的操作。