Oracle 使用PROFILE管理密码

Oracle 使用PROFILE管理密码
当操作人员要连接到Oracle数据库时，需要提供用户和密码。

对于黑客或某些人而言，他们可能通过猜想或反复试验来破解密码。

为了加强密码的安全性，可以使用PROFILE文件管理密码。

PROFILE文件提供了一些密码管理选项，它们提供了强大的密码管理功能，从而确保密码的安全。

为了实现密码限制，必须首先建立PROFILE文件。

建立PROFILE 文件是使用CREATE PROFILE语句完成的，一般情况下，该语句是由DBA执行的，如果要以其他用户身份建立PROFILE文件，则要求该用户必须具有CREATE PROFILE系统权限。

使用PROFILE文件可以实现如下四种密码管理：账户锁定、密码的过期时间、密码历史和密码的复杂度。

1．账户锁定
账户的锁定策略是指用户在连续输入多少次错误密码后，Oracle会自动锁定用户的账户，并且可以规定账户的锁定时间。

Oracle为锁定账户提供了以下两个参数：
●FAILED_LOGIN_A TTEMPTS 该参数限制用户在登录到Oracle数据库时允许失
败的次数。

一旦某用户尝试登录数据库达到该值，则系统会将该用户账户锁定。

●PASSWORD_LOCK_TIME 用于指定账户被锁定的天数。

例如，下面创建的PROFILE文件设置连续连接失败次数为3，超过该次数后，账户锁定时间为10天，并使用ALTER USER语句将PROFILE文件分配给用户DEVELOPER。

SQL> create profile lock_account limit
2 failed_login_attempts 3
3 password_lock_time 10;
配置文件已创建
SQL> alter user developer profile lock_account;
用户已更改。

当建立LOCK_ACCOUNT文件后，并将该PROFILE分配给用户DEVELOPER用户后，如果以账户DEVELOPER身份连接到数据库，并且连续连接失败3次后，Oracle将自动锁定该用户账户。

此时，即使为用户账户DEVELOPER提供正确的密码，也无法连接到数据库。

在建立LOCK_ACCOUNT文件时，由于指定PASSWORD_LOCK_TIME的参数为10，所以账户锁定天数达到10天后，Oracle会自动解锁账户。

如果建立PROFILE文件时没有提供该参数，将自动使用默认值UNLIMITED。

在这种情况下，需要DBA手动解锁用户账户。

2．密码的过期时间
密码的过期时间是指强制用户定期修改自己的密码，当密码过期后，Oracle会随时提醒用户修改密码。

密码宽限期是指用户账户密码到期之后的宽限使用时间。

默认情况下，建立用户并为其提供密码之后，密码会一直生效。

为了防止其他人员破解用户账户的密码，可以强制普通用户定期改变密码。

为了加强用户定期改变密码，Oracle提供了如下参数：
●PASSWORD_LIFE_TIME 该参数用于设置用户密码的有效时间，单位为天数。

超
过这一段时间，用户必须重新设置口令。

●PASSWORD_GRACE_TIME 设置口令失效的“宽限时间”。

如果口令达到
PASSWORD_LOGIN_TIME设置的失效时间，设置宽限时间后，用户仍然可以使
用。

为了强制用户定期改变密码，二者应该同时进行设置。

下面创建一个PROFILE文件，以控制用户的密码有效期为10天，密码宽限期为2天。

SQL> create profile password_life_time limit
2 password_life_time 10
3 password_grace_time 2;
配置文件已创建
当建立PASSWORD_LIFE_TIME LIMIT配置文件时，并将该PROFILE文件分配给用户DEVELOPER后，如果用户DEVELOPER在10天之内没有改变密码，则会显示如下警告信息：
ORA-28002:the password will expire within 2 days
如果在第10天时没有改变密码，那么在第11天、第12天连接时，仍然会显示类似的警告信息。

如果第12天后仍然没有改变密码，那么当第13天连接时，Oracle会强制用户改变密码，否则不允许连接到数据库。

3．密码的历史
密码的历史用于控制账户密码的可重用次数或可重用时间。

使用密码历史参数后，Oracle会将密码修改信息存放到数据字典中。

这样，当修改密码时，Oracle会对新、旧密码进行比较，以确保用户不会重用过去已经用过的密码。

关于密码历史有如下两个参数：
●PASSWORD_REUSE_TIME 指定密码可重用的时间，单位为天。

●PASSWORD_REUSE_MAX 设置口令在能够被重新使用之前，必须改变的次数。

在使用密码历史选项时，只能使用其中的一个参数，并将另一个参数设置为UNLIMITED。

例如，在下面创建的PROFILE文件中，强制该用户在密码终止10天之内不能重用以前的密码。

SQL> create profile password_history limit
2 password_life_time 10
3 password_reuse_time 10
4 password_reuse_max unlimited
5 password_grace_time 2;
配置文件已创建
当创建PASSWORD_HISTORY配置文件并将其分配用户后，如果在前12天没有修改用户密码，那么在第13天连接数据库时，Oracle会强制用户改变密码。

但是如果此时仍然使用过去的密码，则密码修改不能成功。

4．密码的复杂度
在PROFILE文件中，可以通过指定的函数来强制用户的密码必须具有一定的复杂度。

例如，强制用户的密码不能与用户名相同。

使用校验函数验证用户密码的复杂度时，只需要将这个函数的名称指定给PROFILE文件中的PASSWORD_VERIFY_FUNCTION参数，Oracle就会自动使用该函数对用户的密码内容和格式进行验证。

在Oracle 11g中，验证密码复杂度功能具有新的改进。

在$ORACLE_HOME/rdbms/admin 目录下创建了一个新的密码验证文件UTLPWDMG.SQL，在其中不仅提供了先前的验证函数VERIFY_FUNCTION，还提供了一个新建的VERIFY_FUNCTION_11G函数。

并且在脚本末尾添加了如下的语句：
ALTER PROFILE DEFAULT LIMIT
PASSWORD_LIFE_TIME 180
PASSWORD_GRACE_TIME 7
PASSWORD_REUSE_TIME UNLIMITED
PASSWORD_REUSE_MAX UNLIMITED
FAILED_LOGIN_ATTEMPTS 10
PASSWORD_LOCK_TIME 1
PASSWORD_VERIFY_FUNCTION verify_function_11G;
在这部分脚本中，将该函数附加到配置文件DEFAULT 中，这样，DBA 只需要运行该脚本以创建11g 版的密码检查函数，该脚本将通过将自身附加到默认配置文件中来启用密码验证功能。

在脚本文件中提供了大量的注释，可以打开该脚本查看对密码复杂度的控制。

需要注意，当使用密码校验函数时，该密码校验函数不仅可以是系统预定义的校验函数，而且还可以使用自定义的密码校验函数。

自定义校验函数必须符合如下规范： function_name(
userid_param in varchar2(30),
password_param in varchar2(30),
old_password_param in varchar2(30)
) return boolean
其中，USERID_PARAMETER 用于标识用户名，PASSWORD_PARAMETER 用于标识用户的新密码，OLD_PASSWORD_PARAM 用于标识用户的旧密码。

如果函数返回值为TRUE ，则表示新密码可以使用；如果函数返回值为FALSE ，则表示新密码不能使用。

注 意
如果要禁用密码校验函数，可以将PASSWORD_VERIFY_FUNCTION 参数设置为NULL 。