【翻译自mos文章】oracle密码管理策略

oracle密码管理策略

参考原文:
Oracle Password Management Policy (Doc ID 114930.1)

细节:
密码管理通过使用profile来建立。

当密码过期后,如果user有能力独立地从 end-user application(前台业务软件)修改密码的话,通常的推荐是只指派给这些schemas 一个profile,该profile有  password aging an expiration features 。
通常这意味着application(前台业务软件)必须正确的使用 OCIPasswordChange() OCI call ,比如sqlplus


一个profile 可以在指定password参数时被建立,然后把该profile指派给一个user

SQL> create profile custom limit failed_login_attempts 20;
Profile created.

SQL> alter user scott profile custom;
User altered.

oracle提供一个脚本( $ORACLE_HOME/rdbms/admin/utlpwdmg.sql)来实现  DEFAULT profile上的 密码管理特性。
dba可以把它(该脚本)作为一个例子使用,以查看password management特性时怎么被enabled的。
复制该脚本并根据你的需要自定义该脚本,请在上生产之前测试该脚本(或者你自己定义的脚本)

在oracle database profile中,有7个密码管理的参数可以被指定。下面分别讨论:

1. Account Locking

 当一个user 超过了指派给他的失败登陆次数(FAILED_LOGIN_ATTEMPTS),oracle db 会自动lock住该user的账户(account),该lock的持续时间为PASSWORD_LOCK_TIME(该PASSWORD_LOCK_TIME是profile里边的resource)指定的时间。
 
 Profile parameters:
  FAILED_LOGIN_ATTEMPTS
  PASSWORD_LOCK_TIME

2. Password Aging and Expiration
当超过了PASSWORD_LIFE_TIME中指定的时间之后,密码会expire,然后 user or  dba 必须改掉该密码。A grace period(以天为单位,也就是PASSWORD_GRACE_TIME指定的period)可以被设置,以允许user 在密码expired之后直到 grace period 期间之内, 改变他们的密码。
user 进入 grace period 期间的依据是:在他们的密码expired后,并且他们第一次登陆到db中的那个时刻。在 grace period 期间之内, 在用户每一次登陆到db之后,都会显示一条warning的消息,该消息会持续出现,直到grace period expired。在grace period 期内,用户必须修改密码,如果在grace period 期内不修改密码,则该account expired 并且不会被允许登陆,直到密码被修改。

注意: 密码不会也不能被locked,即使是由于 超过life time 和后来的 grace time。但是该user除非修改密码,否则是不能login的。

Profile parameters:
 PASSWORD_LIFE_TIME
 PASSWORD_GRACE_TIME

3. Password History

user 不能重用原来密码的时间间隔 就是 (PASSWORD_REUSE_TIME。该间隔可以以天为单位指定,
or a number of password changes the user must make before the current password can be reused (PASSWORD_REUSE_MAX).
--->看似这个PASSWORD_REUSE_MAX的含义是:在当前密码能被重用之前,用户必须改变许多次密码,也就是说PASSWORD_REUSE_MAX是指定的改密码的次数?

4. Password Complexity Verification
dba可以使用PL/SQL建立自己的 password verification routines (密码验证程序),然后就可以让oracle db 使用该routine 来检查密码复杂度。

Profile parameter:
PASSWORD_VERIFY_FUNCTION

sys拥有的PL/SQL function 必须遵守 下面的格式:
routine_name( userid_parameter IN VARCHAR2, password_parameter IN VARCHAR2, old_password_parameter IN VARCHAR2) RETURN BOOLEAN

默认的密码验证函数在 $ORACLE_HOME/rdbms/admin/utlpwdmg.sql文件中。该文件可以作为一个例子或者根据你的需要进行修改。

该函数可以被profile关联使用。
alter profile default limit password_verify_function <routine_name>;

禁用某 default profile上的密码验证函数的方法如下:
SQL> alter profile default limit password_verify_function null;

密码复杂验证一旦启用,用户可以通过很多方法来修改他们自己的密码:

第一个方法: sqlplus的password命令
SQL> connect scott/tiger
Connected.
SQL> password
Changing password for SCOTT
Old password:
New password:
Retype new password:
Password changed
SQL>


第二个方法:alter user 命令:
SQL> ALTER USER &MYUSERNAME IDENTIFIED BY &NEWPASSWORD REPLACE &OLDPASSWORD;

使用replace 关键字的alter user 语法 是修复 bug 1231172方案的一部分,因此,该语法可以在当前所有支持的release上使用。

第三个方法:前台业务软件使用 OCIPasswordChange() call。

下面是一个例子:
-- A default password complexity function is provided.
-- This sample function makes no checks and always returns true.
-- The logic in the function should be modified as required.
-- See $ORACLE_HOME/rdbms/admin/utlpwdmg.sql for an idea of kind
-- of logic that can be used.
-- This function must be created in SYS schema.
-- connect sys/ as sysdba before running this.

 

-- This function will not check the provided password. It is just an example and
-- will return true for any password. For a real password verification routine see
-- script $ORACLE_HOME/rdbms/admin/utlpwdmg.sql.


CREATE OR REPLACE FUNCTION always_true (username varchar2,
password varchar2, old_password varchar2) RETURN boolean IS
BEGIN
RETURN(TRUE);
END;
/

-- This script alters the default parameters for Password Management.
-- This means that all the users on the system have Password Management
-- enabled and set to the following values unless another profile is
-- created with parameter values set to different value or UNLIMITED
-- is created and assigned to the user.

ALTER PROFILE DEFAULT LIMIT
PASSWORD_LIFE_TIME 60 -- (days)
PASSWORD_GRACE_TIME 10 --(days)
PASSWORD_REUSE_TIME 1800
PASSWORD_REUSE_MAX UNLIMITED
FAILED_LOGIN_ATTEMPTS 3 --(times)
PASSWORD_LOCK_TIME 1/1440 --(days)
PASSWORD_VERIFY_FUNCTION always_true;

【翻译自mos文章】oracle密码管理策略,古老的榕树,5-wow.com

郑重声明:本站内容如果来自互联网及其他传播媒体,其版权均属原媒体及文章作者所有。转载目的在于传递更多信息及用于网络分享,并不代表本站赞同其观点和对其真实性负责,也不构成任何其他建议。