课件：Oracle管理口令安全性和资源.ppt

配置文件 配置文件是下列口令和资源限制的指定集合： 口令过期和失效 口令历史记录 口令复杂性校验 帐户锁定 CPU 时间 输入/输出 (I/O) 操作 空闲时间 连接时间 内存空间（仅用于共享服务器的 SQL 专用区） 并发会话 创建配置文件后，数据库管理员可以将它分配给各个用户。如果启用了资源限制，则 Oracle 服务器将数据库的使用和资源限制在定义的用户配置文件所允许的范围内。 配置文件（续） 创建数据库时，Oracle 服务器自动创建 DEFAULT 配置文件。 没有被显式分配特定配置文件的用户遵从 DEFAULT 配置文件的所有限制。DEFAULT 配置文件的所有限制最初为无限制。不过，数据库管理员可以更改这些值，让这些限制在缺省情况下适用于所有用户。 配置文件的用途： 限制用户执行某些需要大量资源的操作。 确保在用户会话空闲一段时间后，将用户从数据库注销。 对相似的用户启用组资源限制。 便于为用户分配资源限制。 管理大型、复杂的多用户数据库系统中的资源使用。 控制口令的使用 配置文件的特点： 配置文件的分配不影响当前会话。 配置文件只能分配给用户，而不能分配给角色或其它配置文件。 如果创建用户时未分配配置文件，则系统将 DEFAULT 配置文件自动分配给用户。 口令管理 为了更严格地控制数据库的安全，数据库管理员使用配置文件对 Oracle 口令管理进行控制。 本课讲述可用的口令管理功能： 帐户锁定：如果用户在指定的次数内未能登录到系统中，则启用自动帐户锁定 口令过期和失效：指定口令的生存期，此生存期过后口令将失效，必须更改 口令历史记录：检查新口令，确保在指定的时间长度内或指定的口令更改次数内不重新使用此口令 口令复杂性校验：检查口令的复杂性，验证其复杂性能否阻止通过猜测口令试图闯入系统的入侵者 启用口令管理 创建配置文件以限制口令设置，然后使用 CREATE USER 或 ALTER USER 命令将配置文件分配给用户。 始终执行配置文件中的口令限制设置。 如果启用了口令管理，则可以使用 CREATE USER 或 ALTER USER 命令锁定或解除锁定用户帐户。 注：有关 CREATE USER 命令的详细信息，请参考 “管理用户” 一课。 口令帐户锁定 达到 FAILED_LOGIN_ATTEMPTS 值后，Oracle 服务器会自动锁定帐户。帐户应该在 PASSWORD_LOCK_TIME 参数定义的指定时间后自动解除锁定，如果不是这样，则必须由数据库管理员使用 ALTER USER 命令解除锁定。 可以使用 ALTER USER 命令显式锁定数据库帐户。但在这种情况下，帐户不能自行解除锁定。 注：本课后续部分中将演示如何执行 ALTER USER 命令。 口令失效和过期 PASSWORD_LIFE_TIME 参数设置口令的最长生存期，此生存期过后必须更改口令。 数据库管理员可以指定一个宽限期 (PASSWORD_GRACE_TIME)，此宽限期从口令失效后第一次试图登录到数据库开始算起。宽限期内，用户每次试图登录到数据库时都生成一条警告消息。用户应在宽限期内更改口令。 如未更改口令，将锁定帐户。 如果通过显式设置让口令失效，用户帐户状态便更改为 EXPIRED。 口令历史记录 口令历史记录检查可确保用户在指定的时间间隔内不能重新使用口令。可使用下列参数之一执行检查： PASSWORD_REUSE_TIME：指定用户在规定的天数内不能重新使用口令 PASSWORD_REUSE_MAX：强制用户定义与前一口令不同的口令 如果一个参数设置成 DEFAULT 或 UNLIMITED 以外的值，则另一个参数必须设置为 UNLIMITED。 口令校验 向用户分配新口令前，可以调用 PL/SQL 函数校验口令的有效性。 Oracle 服务器提供缺省的校验例行程序，数据库管理员也可以编写 PL/SQL 函数。 用户提供的口令函数 添加新的口令校验函数时，数据库管理员必须考虑下列限制： 此过程必须使用幻灯片中显示的说明。 成功时此过程返回 TRUE 值，失败时返回 FALSE 值。 如果口令函数产生异常错误，将返回错误消息并终止 ALTER USER 或 CREATE USER 命令。 口令函数由 SYS 所有。 如果口令函数无效，则返回错误消息并终止 ALTER USER 或 CREATE USER 命令。 注：有关 CREATE USER 的详细信息，请参考 “管理用户” 一课。 口令校验函数 Oracle 服务器以缺省的 PL/SQL 函数的形式（在脚本 utlpwdmg.sql 中称为 VERIFY_FUNCTION）提供了复杂性校验函数，