資料庫身份認證

資料庫身份認證比較好理解，就是資料庫使用者口令以加密的方式儲存在資料庫內部，當用戶連線資料庫時必須輸入使用者名稱和密碼，通過資料庫認證後才可以登入到資料庫。例如，建立一個數據庫認證的使用者，語句為：

SQL> create user hxy4 identified bysys123;                         // 通過by這個關鍵字來確定認證方式為資料庫身份認證

User created.

為此，資料庫必須處於開啟狀態

－－資料庫身份認證：oracle認證認為作業系統使用者是不可信任的，如果要訪問資料庫，必須進行再次認證。

外部身份認證

－－作業系統認證

當用戶試圖建立與資料庫的連線時，資料庫不會要求使用者輸入口令和使用者名稱

——如果使用外部身份驗證建立使用者賬戶，Oracle 會將身份驗證委託給外部服務。它不會提示輸入口令。如果為啟用 Advaned Security 選項，則唯一可以使用得外部身份驗證方形式是作業系統身份驗證。此技術使用與作業系統使用者賬戶同樣的名稱建立 Oracle 使用者賬戶，但在前面加OS_AUTHENT_PREFIX 例項引數指定的字串。此引數預設為 OPS$ 字串。可以用下列語句查詢：

SQL> show parameter os_authent_prefix

NAME                                 TYPE        VALUE
------------------------------------ ----------- ------------------------------
os_authent_prefix                    string      ops$
SQL> 

或者：
SQL> select value from v$parameter where name='os_authent_prefix
 
'
  2  /

VALUE
--------------------------------------------------------------------------------
ops$

 建立外部作業系統身份驗證的使用者很簡單，假如有一個作業系統使用者名稱為 dragon，則：

對於 LINUX 系統：
   create user ops$dragon identified externally;
對於 WINDOWS 系統，假如登陸 ID 是 Dragon，域名是 MIS：
   create user "OPS$MIS\DRAGON" identified externally;

建立好使用者後，以 dragon 身份登入到作業系統，然後在直接輸入：sqlplus / 進行登入並連線到資料庫。  

另外，使用OS_AUTHENT_PREFIX=OPS$時：提供了靈活的使用者驗證方式，既可通過作業系統進行驗證，也可通過Oracle  伺服器進行驗證。在這種情況下，DBA 可通過輸入下列格式的命令建立使用者：
CREATE USER ops$user IDENTIFIED BY password ...
登入到執行Oracle  伺服器的計算機上的使用者無需提供口令。如果使用者從遠端客戶機連線，則可提供口令以實現連線。

下面摘至oracle官方文件

Some operating systems let Oracle use information they maintain to authenticate
users, with the following benefits:
■ Once authenticated by the operating system, users can connect to Oracle more
conveniently, without specifying a user name or password. For example, an
operating-system-authenticated user can invoke SQL*Plus and skip the user name
and password prompts by entering the following:
SQLPLUS /
■ With control over user authentication centralized in the operating system, Oracle
need not store or manage user passwords, though it still maintains user names in
the database.
■ Audit trails in the database and operating system use the same user names.
When an operating system is used to authenticate database users, managing
distributed database environments and  database links requires special care.

全域性身份認證

全域性驗證式使用者也不在資料庫中儲存驗證密碼，這種型別的驗證是通過一個高階安全選項所提供的身份驗證服務來進行的。

一個用於管理身份的新興標準時使用 LDAP 伺服器。Oracle Internet Directory(OID) 就是 Oracle 符合 LDAP 標準的一個產品，全域性使用者就是在 LDAP 目錄中定義的使用者。

oracle管理員驗證方式：

由上圖可以看出oracle管理員登陸時有多項選擇，在遠端登陸時，如果連線安全並且有OS驗證那麼可以進行OS驗證；在本地，可以選擇OS驗證，也可以使用密碼檔案驗證，比較靈活

[[email protected] dbs]$ mv orapwdsg02 orapwdsg02.bak  ----註釋掉密碼檔案
[[email protected] dbs]$ sqlplus sys/[email protected] as sysdba

SQL*Plus: Release 11.2.0.1.0 Production on Wed Jul 24 12:07:37 2013

Copyright (c) 1982, 2009, Oracle.  All rights reserved.

ERROR:
ORA-01031: insufficient privileges

                                                        -----報錯了
Enter user-name:
ERROR:
ORA-01017: invalid username/password; logon denied

Enter user-name:
ERROR:
ORA-01017: invalid username/password; logon denied

SP2-0157: unable to CONNECT to ORACLE after 3 attempts, exiting SQL*Plus

改回來：

[[email protected] dbs]$ mv orapwdsg02.bak orapwdsg02    
[[email protected] dbs]$ sqlplus sys/[email protected] as sysdba

SQL*Plus: Release 11.2.0.1.0 Production on Wed Jul 24 12:10:04 2013

Copyright (c) 1982, 2009, Oracle.  All rights reserved.

Connected to:
Oracle Database 11g Enterprise Edition Release 11.2.0.1.0 - 64bit Production
With the Partitioning, OLAP, Data Mining and Real Application Testing options      ------登陸成功

SQL>

 跟身份驗證相關的幾個引數和配置

   檢視是否允許遠端登入使用口令檔案進行身份驗證，有三個取值: SHARED/EXCLUSIVE/NONE，為 NONE 的話表示不允許遠端使用口令檔案驗證，如遠端用SYS賬號連線 Oracle 將會報錯，如下面。

SQL> show parameter remote_login_passwordfile

NAME                                 TYPE        VALUE
------------------------------------ ----------- ------------------------------
remote_login_passwordfile            string      EXCLUSIVE
SQL> 

SQL> alter system set remote_login_passwordfile='NONE' scope=spfile
 2  /

System altered.
重啟生效

SQL> shutdown immediate
Database closed.
Database dismounted.
ORACLE instance shut down.

SQL> startup force

進行遠端連線，報錯，實際是引數值被更改：

SQL> conn sys/hxy@lcro as sysdba
ERROR:
ORA-01017: invalid username/password; logon denied

SQL> show parameter remote_login

NAME                                 TYPE        VALUE ------------------------------------ ----------- ------------------------------ remote_login_passwordfile            string      NONE

       檢視使用口令檔案進行身份驗證的使用者列表：

SQL> select * from v$pwfile_users
  2  /

USERNAME                       SYSDB SYSOP
------------------------------ ----- -----
SYS                            TRUE  TRUE

      $ORACLE_HOME/network/admin/sqlnet.ora 配置檔案中 SQLNET.AUTHENTICATION_SERVICES 引數，有三個取值：

• NONE：作用是不允許通過 OS 系統使用者登入資料庫，需要提供使用者名稱及密碼；
• ALL：作用是允許所有的登入方式；
• NTS：作用是允許本地作業系統使用者認證；