DB2 Unix 平台建立存儲過程遭遇 DIA8402C 錯誤：實例用戶與受防護用戶組關係誤配根因與修復

錯誤現象

Unix/Linux 環境執行：

db2 -td@ -vf <存儲過程腳本>

建立失敗，db2diag.log 記錄：

DIA8402C A disk error has occurred. ZRC=0x860F0004
...
instance owner does not belong to fenced user's primary group

表象為「磁碟錯誤」，實為權限不足。

根因：DB2 安全模型強制約束

Unix 平台 DB2 要求：

實例擁有者必須屬於受防護用戶的主群組。

若實例用戶未加入該主群組，存儲過程編譯/初始化時無法存取受防護用戶目錄下的暫存檔（sqllib/function/routine/sqlproc/...），拋出 DIA8402C。

快速定位受防護用戶與主群組

1. 進入實例用戶 Home：cd ~instance_user/sqllib/adm
2. 執行：ls -l .fenced
3. 輸出範例：
   -r--r--r-- 1 db2fencj db2fgrp2 0 Jul 30 09:57 .fenced
4. 解讀：
   • 檔案擁有者 db2fencj = 受防護用戶
   • 檔案群組 db2fgrp2 = 受防護用戶的主群組

修復步驟

1. 以 root 身分將實例用戶加入該主群組：
   usermod -a -G db2fgrp2 db2inst1
2. 驗證：groups db2inst1 應包含 db2fgrp2。
3. 若已加入但仍報錯，檢查：
   • 是否加入的是主群組而非輔助群組？
   • 受防護用戶是否有多個群組，主群組是否正確識別？
   • 實例用戶是否重新登入以生效群組變更？
4. 重新執行建立存儲過程腳本，應成功。

常見誤區

• 誤以為 DIA8402C 真為磁碟故障 → 檢查檔案系統、磁碟控制器、RAID 卡，浪費大量時間。
• 將實例用戶加入受防護用戶的輔助群組而非主群組 → 權限仍不足。
• 修改群組後未重新登入/重啟實例 → 進程仍持有舊群組憑證。

驗證腳本（可納入部署檢查清單）

#!/bin/ksh
# 檢查實例用戶是否屬於受防護用戶主群組
INST_HOME=$(eval echo ~$DB2INSTANCE)
FENCED_INFO=$(ls -l $INST_HOME/sqllib/adm/.fenced 2>/dev/null)
if [ $? -ne 0 ]; then
  echo "ERROR: .fenced file not found"
  exit 1
fi
FENCED_USER=$(echo $FENCED_INFO | awk '{print $3}')
FENCED_PRIMARY_GROUP=$(echo $FENCED_INFO | awk '{print $4}')
INST_GROUPS=$(groups $DB2INSTANCE)
if echo "$INST_GROUPS" | grep -qw "$FENCED_PRIMARY_GROUP"; then
  echo "OK: Instance user $DB2INSTANCE belongs to fenced user's primary group $FENCED_PRIMARY_GROUP"
  exit 0
else
  echo "ERROR: Instance user $DB2INSTANCE does NOT belong to fenced user's primary group $FENCED_PRIMARY_GROUP"
  echo "Fix: usermod -a -G $FENCED_PRIMARY_GROUP $DB2INSTANCE"
  exit 1
fi

結語

DIA8402C 是 DB2 Unix 安全模型的經典誤導性錯誤。掌握「.fenced 檔案解碼 → 主群組驗證 → usermod 修復」三步驟，可在分鐘級解決此類問題，避免陷入磁碟/檔案系統排查泥沼。