Oracle 基礎：使用者管理核心知識 — 內建帳號、權限模型、建立授權與審計實務

Oracle 基礎：使用者管理核心知識

一、三大預設內建帳號

二、其他常見系統帳號 (11g/12c)

三、建立使用者與授權標準流程

-- 1. 建立使用者 (指定預設/暫存表空間、配額)
CREATE USER app_user IDENTIFIED BY "ComplexP@ssw0rd"
  DEFAULT TABLESPACE app_data
  TEMPORARY TABLESPACE temp
  QUOTA UNLIMITED ON app_data
  QUOTA 100M ON app_index
  PASSWORD EXPIRE;  -- 首次登入強制改密

-- 2. 授予系統權限 (慎用 ANY 權限)
GRANT CREATE SESSION, CREATE TABLE, CREATE SEQUENCE, CREATE VIEW, CREATE PROCEDURE TO app_user;

-- 3. 授予物件權限 (細粒度)
GRANT SELECT, INSERT, UPDATE, DELETE ON app_schema.core_table TO app_user;

-- 4. 角色化管理 (推薦)
CREATE ROLE app_readonly;
GRANT SELECT ON app_schema.core_table TO app_readonly;
GRANT app_readonly TO app_user;

-- 5. 設定資源限制 (Profile)
CREATE PROFILE app_profile LIMIT
  SESSIONS_PER_USER 10
  CPU_PER_SESSION UNLIMITED
  CONNECT_TIME 480
  IDLE_TIME 30
  FAILED_LOGIN_ATTEMPTS 5
  PASSWORD_LIFE_TIME 90
  PASSWORD_REUSE_TIME 365
  PASSWORD_REUSE_MAX 10
  PASSWORD_VERIFY_FUNCTION ora12c_strong_verify_fun;
ALTER USER app_user PROFILE app_profile;

四、權限模型核心概念

• 系統權限：`CREATE SESSION`, `CREATE TABLE`, `DROP ANY TABLE`, `SELECT ANY DICTIONARY`... 共 200+ 種。
• 物件權限：`SELECT`, `INSERT`, `UPDATE`, `DELETE`, `EXECUTE`, `INDEX`, `REFERENCES`... 針對特定物件。
• 角色：權限集合，支援 `GRANT ROLE TO ROLE` (12c+ 支援多層)。預設角色：`CONNECT`, `RESOURCE`, `DBA` (12c+ `CONNECT` 僅含 `CREATE SESSION`)。
• PDB 本地/共用使用者** (12c+)：`C##` 開頭為共用使用者，無前綴為本地使用者。

五、審計與安全加固

-- 所有使用者狀態
SELECT username, account_status, lock_date, expiry_date, default_tablespace, profile
FROM   dba_users
ORDER BY username;

-- 使用者擁有的系統權限/角色
SELECT * FROM dba_sys_privs WHERE grantee = 'APP_USER';
SELECT * FROM dba_role_privs WHERE grantee = 'APP_USER';

-- 使用者物件權限
SELECT * FROM dba_tab_privs WHERE grantee = 'APP_USER';

核心原則：最小權限原則 — 僅授予業務必需權限；角色化管理 — 避免直接 GRANT 系統權限給使用者；審計一切敏感操作 — 事後可追溯。