Oracle SYSDBA/SYSOPER 兩大認證機制深度解析

認證方式對比

開關控制參數

1. OS 認證開關：sqlnet.ora

SQLNET.AUTHENTICATION_SERVICES = (NTS)   -- 開啟 OS 認證
SQLNET.AUTHENTICATION_SERVICES = (NONE)  -- 關閉 OS 認證，強制用戶/密碼

NTS 表示 Windows NT 安全機制；Linux/Unix 下對應 dba 群組。

2. 口令文件開關：remote_login_passwordfile (SPFILE/PFILE)

註：兩套認證可同時啟用、同時關閉、或單獨啟用，互不衝突。

口令文件管理

創建/重建

orapwd file=filename password=password entries=max_users
-- 參數說明：
-- file: 完整路徑+文件名（必填）
-- password: SYS/SYSDBA 密碼（必填）
-- entries: 最大不同用戶數（含 SYS），超限需重建

默認路徑：
Windows: %ORACLE_HOME%\database\PWD<SID>.ora
Linux/Unix: $ORACLE_HOME/dbs/orapw<SID>
非默認名稱/路徑將不被識別。

用戶維護與查詢

• 授權：GRANT SYSDBA TO scott; — 自動寫入口令文件並同步密碼
• 查詢：SELECT * FROM v$pwfile_users; — 顯示 USERNAME、SYSDBA、SYSOPER、SYSASM 權限標誌

實戰案例

SQL> GRANT SYSDBA TO scott;
Grant succeeded.
SQL> SELECT * FROM v$pwfile_users;
USERNAME  SYSDBA  SYSOPER  SYSASM
--------  ------  -------  ------
SYS       TRUE    TRUE     FALSE
SCOTT     TRUE    FALSE    FALSE

安全建議

1. 生產環境建議 remote_login_passwordfile=EXCLUSIVE 並定期輪換口令文件密碼。
2. 嚴格控制 OS dba/ORA_DBA 群組成員，實現最小權限原則。
3. 審計 v$pwfile_users 變更，防止提權滯留。