Oracle 密碼遺忘六大解密方案：從 SYSDBA 本地認證到 ORAPWD 緊急重建

Oracle 密碼重置全場景實戰手冊 (整合版)

整合 Windows/Linux 平台、本地/遠端、有無 OS 認證、單用戶/全遺忘六大維度，提供標準化操作流程與風險控制點，確保 DBA 在任何權限情境下 10 分鐘內恢復存取。

方案一：OS 本地認證 + SYSDBA (首選、無停機)

前提：OS 帳號屬於 DBA 群組 (Windows: ORA_DBA / Linux: dba)

# Windows
sqlplus /nolog
CONN / AS SYSDBA
ALTER USER SYS IDENTIFIED BY NewPass123;
ALTER USER SYSTEM IDENTIFIED BY NewPass123;

# Linux
su - oracle
sqlplus /nolog
CONN / AS SYSDBA
ALTER USER SYS IDENTIFIED BY NewPass123;

方案二：Easy Connect 指定服務名 (跨機器遠端)

sqlplus "SYS/NewPass@//host:1521/ORCL AS SYSDBA"
-- 或
sqlplus "/@ORCL AS SYSDBA"  -- 需 tnsnames.ora 配置

方案三：環境變數 ORACLE_SID 直連 (Windows 批次腳本適用)

SET ORACLE_SID=ORCL
sqlplus /nolog
CONN / AS SYSDBA
ALTER USER SYS IDENTIFIED BY NewPass123;
ALTER USER SYSTEM IDENTIFIED BY NewPass123;

方案四：ORAPWD 重建密碼檔 (密碼檔損壞/遺失/全遺忘)

# Windows
orapwd file=%ORACLE_HOME%\database\PWDORCL.ora password=NewPass123 entries=10

# Linux
orapwd file=$ORACLE_HOME/dbs/orapwORCL password=NewPass123 entries=10

# 12c+ 格式
orapwd file=... password=... entries=10 format=12.2

影響範圍：僅 SYS/SYSTEM，其他用戶密碼不變。RAC 需全節點同步執行。

方案五：Linux 單用戶模式維護 (極端情況)

# 1. 停止資料庫服務
systemctl stop oracle-db

# 2. 以 oracle 用戶啟動最小實例
su - oracle
export ORACLE_SID=ORCL
sqlplus /nolog
CONN / AS SYSDBA
STARTUP MOUNT  -- 需密碼檔有效

# 3. 重置密碼
ALTER USER SYS IDENTIFIED BY NewPass123;
ALTER DATABASE OPEN;

方案六：9i 時代舊語法參考 (僅歷史參考)

CONN / AS SYSDBA
ALTER USER sys IDENTIFIED BY "NewPass123";
-- 或建立臨時 DBA 帳號
CREATE USER temp_dba IDENTIFIED BY "Temp123";
GRANT DBA TO temp_dba;

平台差異快速查閱

密碼複雜度與合規建議

• 長度 ≥ 12 字元
• 包含大小寫、數字、特殊符號
• 不使用字典詞、個人資訊、鍵盤鄰鍵序列
• 定期輪換 (Profile: PASSWORD_LIFE_TIME=90)
• 歷史記憶防重用 (PASSWORD_REUSE_TIME=365, PASSWORD_REUSE_MAX=10)

事後必做 6 步驟

1. 本地/遠端 SYS/SYSTEM 登入驗證
2. Enterprise Manager / Cloud Control 目標狀態確認
3. 應用中介軟體 (WebLogic/WebSphere/Tomcat) 連線池密碼同步
4. Data Guard Standby 密碼檔同步 (如適用)
5. 密碼管理系統 / HashiCorp Vault / CyberArk 記錄更新
6. 審計日誌檢查異常登入嘗試

預防性架構建議

• 建立專屬 DBA 帳號 (GRANT SYSDBA TO dba_admin)，禁用 SYS 日常登入
• 密碼檔納入 RMAN 自動備份 (CONFIGURE CONTROLFILE AUTOBACKUP ON)
• 季度密碼重置演練，驗證文件時效性
• 實施密碼複雜度驗證函數 (UTLPWDMG.SQL 或自訂)

將六大方案製成單頁操作卡，貼於機房/運行手冊，配合自動化驗證腳本，讓密碼遺忘從「恐慌事件」變為「標準操作」。