Oracle OS 層用戶組安全模型：DBA 組、操作組、密碼檔、角色映射完整配置

Unix/Linux 群組規劃

配置檔 /etc/group，安裝前建立，安裝程式自動識別。

檔案權限最小化

• $ORACLE_HOME/bin 所有程式擁有者 oracle:oinstall。
• 通用工具 (sqlplus, exp, imp...) 權限 751 (rwxr-x--x)，組 dba 可執行，其他不可。
• DBA 專用工具 (sqlplus / as sysdba, oradim, dbca...) 權限 750，僅 dba 組可執行。
• 關鍵配置檔 (listener.ora, sqlnet.ora, tnsnames.ora) 640，oracle:dba。

修改 SYS/SYSTEM 預設密碼（強制）

SQL> ALTER USER sys IDENTIFIED BY "Str0ngP@ssw0rd";
SQL> ALTER USER system IDENTIFIED BY "Str0ngP@ssw0rd";

OS 認證映射資料庫角色

格式：ora_<SID>_<role>[_d][_a]

• d = DEFAULT ROLE（登入自動啟用）
• a = ADMIN OPTION（可 GRANT 給其他角色）

/etc/group 範例

ora_prod_osoper_d:*:54327:jane,bob
ora_prod_osdba_a:*:54328:alice
ora_prod_app_read:*:54329:app_user1,app_user2

啟用需在 init.ora 設定 OS_ROLES=TRUE 並重啟實例。密碼檔 (orapwd) 仍控制 CONNECT / AS SYSDBA 遠程登入。

Windows 環境對應

• 本地群組：ORA_DBA (SYSDBA)、ORA_OPER (SYSOPER)、ORA_SID_DBA、ORA_SID_OPER。
• 安裝自動將安裝用戶加入 ORA_DBA。
• 遠程登入需密碼檔 (orapwd) + REMOTE_LOGIN_PASSWORDFILE=EXCLUSIVE。