Oracle 三大身份驗證機制深度解析：密碼、外部與全域驗證

身份驗證概覽

連接 Oracle 資料庫實例時，用戶帳戶必須通過身份驗證，確認用戶身份與資料庫特權。Oracle 提供三種驗證方式，適用不同安全需求與架構場景。

1. 密碼驗證——最常見的標準方式

資料庫內部儲存加密密碼，連接時驗證用戶名與密碼匹配。

CREATE USER rajesh IDENTIFIED BY welcome;

IDENTIFIED BY 關鍵字指定此為密碼驗證帳戶。適用於大多數應用程式與一般用戶連接場景。

2. 外部驗證——委託作業系統或網路服務

資料庫不儲存密碼，信任外部系統（OS、Kerberos 等）已完成驗證。

核心特性

• 帳戶名稱必須加上前綴 OPS$（預設），可透過 OS_AUTHENT_PREFIX 參數修改
• 建立語法：CREATE USER ops$oracle IDENTIFIED EXTERNALLY;
• 常用於管理腳本、排程作業，避免密碼硬編碼在腳本中

3. 全域驗證——企業級集中式身份管理

透過 Oracle Advanced Security 整合外部安全服務：

• 支援機制：生物識別、X.509 憑證、Kerberos、RADIUS
• 建立語法：CREATE USER global_user IDENTIFIED GLOBALLY AS 'CN=user,OU=dept,O=corp';
• 適用於大型企業單一登入 (SSO) 與集中權限管理架構

預設表空間分配策略

每位用戶需指派預設表空間，用於存放未明確指定 TABLESPACE 的物件：

• 未指定時使用資料庫預設表空間（可用 ALTER DATABASE DEFAULT TABLESPACE 變更）
• 建立用戶時指定：DEFAULT TABLESPACE users
• 事後修改：ALTER USER username DEFAULT TABLESPACE new_tbs;

選型建議