Oracle 外部身份驗證實作指南：OS 驗證配置、ORA_DBA 群組、Remote_Login_Passwordfile 三模式與域用戶映射

Oracle 支援作業系統層級身份驗證，讓已登入 OS 的用戶免密碼以 SYSDBA/SYSOPER 權限連線資料庫。本文完整記錄：SQLNET.ORA 配置、ORA_DBA/ORA_OPER 群組建立、登入方式、Remote_Login_Passwordfile 三模式影響、非特權用戶映射與域前綴處理。

1. SQLNET.ORA 關鍵參數

# 解析順序：TNSNAMES → ONAMES(棄用) → HOSTNAME
NAMES.DIRECTORY_PATH = (TNSNAMES, ONAMES, HOSTNAME)

# 驗證方式：NONE=資料庫密碼, NTS=OS 驗證，可並存
SQLNET.AUTHENTICATION_SERVICES = (NONE, NTS)

2. 建立 OS 群組並加入用戶

• ORA_DBA：成員免帳密以 SYSDBA 登入（多實例可建 ORA__DBA）
• ORA_OPER：成員免帳密以 SYSOPER 登入
• Windows：電腦管理 → 本地用戶和群組 → 新增群組 → 加入域/本地用戶

3. 登入方式

C:\> sqlplus "/ as sysdba"
-- 或
C:\> sqlplus /nolog
SQL> CONNECT / AS SYSDBA

4. Remote_Login_Passwordfile 三模式對照

結論：純 OS 驗證環境建議設 NONE。

5. 非特權 OS 用戶映射 Oracle 帳號

若用戶不在 ORA_DBA/ORA_OPER，需在 Oracle 建立同名帳號：

• 域用戶：DOMAINNAME\USERNAME
• 本地用戶：COMPUTERNAME\USERNAME

CREATE USER "DOMAINNAME\USERNAME" IDENTIFIED EXTERNALLY;
GRANT CONNECT TO "DOMAINNAME\USERNAME";

6. 域前綴處理：註冊表關閉域名

Windows 註冊表：

HKEY_LOCAL_MACHINE\SOFTWARE\ORACLE\HOME0
新增字串值 AUTH_PREFIX_DOMAIN = FALSE

效果：建立 Oracle 用戶時可忽略域前綴，直接用 USERNAME。

相關參數：OS_AUTHENT_PREFIX（預設空字串，8i 前為 OPS$），Oracle 用戶名上限 30 字元。

結語

OS 驗證 = SQLNET.ORA 啟用 NTS + OS 群組授權 + Remote_Login_Passwordfile=NONE。域環境下務必設定 AUTH_PREFIX_DOMAIN=FALSE 簡化映射。僅限資料庫伺服器本機連線，遠端 Client 使用 OS 驗證有重大安全風險（見下文）。

1. 上一篇文章： Oracle 分散式交易兩階段提交三階段深度解析：PREPARE、COMMIT、FORGET 與 Commit Point Site 選擇策略
2. 下一篇文章： Oracle 遠端 OS 驗證風險與 9i 企業級身份整合：REMOTE_OS_AUTHENT 陷阱與 Active Directory 整合

Oracle 資料庫基礎

Oracle Exadata 五大核心技術深度解析：智能緩存、Smart Scan、存儲索引與混合列壓縮

架構演進：V1 (HP) → V2 (Sun/Oracle)

Oracle 資料庫物件大小寫敏感性完整解析與最佳實踐

前言：為什麼 Oracle 的大小寫會讓開發者頭痛？ 在資料

Oracle 10g R2 數據倉庫與整合新特性深度體驗

1. 分區更改追蹤（PCT）免 MV Log 快速刷新 物化

Oracle 10g「shared memory realm does not exist」錯誤診斷與秒級解決

錯誤現象 使用 SQL*Plus 或應用程式連線 Oracl