以下的文章主要是對Oracle數(shù)據(jù)庫的外部身份認(rèn)證研究的介紹，如果你對Oracle數(shù)據(jù)庫的外部身份認(rèn)證研究相關(guān)的實際操作有興趣了解的話，以下的文章將會給你提供相關(guān)的知識。希望會給你帶來一些幫助在此方面。

 一、服務(wù)器上使用操作系統(tǒng)驗證

1.配置SQLNET.ORA文件

參數(shù)NAMES.DIRECTORY_PATH= (TNSNAMES, ONAMES, HOSTNAME)表明解析客戶端連接時所用的主機字符串的方式。TNSNAMES表示采用TNSNAMES.ORA文件來解析；ONAMES表示Oracle使用自己的名稱服務(wù)器（Oracle Name Server）來解析，目前Oracle建議使用輕量目錄訪問協(xié)議LDAP來取代ONAMES; HOSTNAME表示使用host文件，DNS，NIS等來解析；

參數(shù)SQLNET.AUTHENTICATION_SERVICES= (NONE,NTS)表明用戶連接Oracle服務(wù)器時使用哪種驗證方式NONE表示Oracle數(shù)據(jù)庫身份驗證，NTS表示操作系統(tǒng)身份驗證，兩種方式可以并用。

2.建立相應(yīng)的操作系統(tǒng)組及用戶加入該組

ORA_DBA組中的域用戶和本地用戶不需要Oracle用戶名和密碼就可以登錄Oracle而且該組的用戶登錄數(shù)據(jù)庫后都具有SYSDBA權(quán)限（多個實例時，可以建立類似這樣的組ORA_SID_DBA，其中SID指實例名）同理:ORA_OPER組中的成員具有SYSOPER角色的權(quán)限。

3.登錄方式

C：＞sqlplus “/ as sysdba” 或者C：＞sqlplus nolog,然后SQL＞connect / as sysdba

4.init.ora中的Remote_Login_Passwordfile對身份驗證的影響。

三個可選值：

NONE：

默認(rèn)值，指示Oracle系統(tǒng)不使用密碼文件，通過操作系統(tǒng)進行身份驗證的特權(quán)用戶擁有SYSORA和SYSOPER權(quán)限.

EXCLUSIVE：

1).表示只有一個數(shù)據(jù)庫實例可以使用密碼文件；

2).允許將SYSORA和SYSOPER權(quán)限賦值給SYS以外的其它用戶。

SHARED:

1).表示可以有多個數(shù)據(jù)庫實例可以使用密碼文件；

2).不允許將SYSORA和SYSOPER權(quán)限賦值給SYS以外的其它用戶。

所以，如果要以操作系統(tǒng)身份登錄，Remote_Login_Passwordfile應(yīng)該設(shè)置為NONE

5.當(dāng)?shù)卿浻脩舨皇荗RA_DBA組和ORA_OPER組成員時，登錄數(shù)據(jù)庫需要在Oracle中創(chuàng)建當(dāng)前操作系統(tǒng)用戶相同的用戶名，如果當(dāng)前用戶是域用戶，則名稱為:domainnameyourname,如果是本地計算機用戶，則名稱為：computernameyourname

創(chuàng)建方法：

 
 
 

  
  
  
create "domainnameyourname" identified externally;   
  
  
  
grant connect to "domainnameyourname"; 
 
 
 

Windows操作系統(tǒng)，修改注冊表HKEY_LOCAL_MACHINESOFTWAREORACLEHOME0下面添加AUTH_PREFIX_DOMAIN，值設(shè)為FALSE,在創(chuàng)建Oracle用戶時可以忽略掉域名。這種方式下，init.ora中有一個參數(shù)將影響Oracle數(shù)據(jù)庫如何匹配一個windows用戶和Oracle用戶os_authent_prefix = ""缺省為空，Oracle8i以前，無該參數(shù)，而使用OPS$作為用戶名前綴.(Oracle用戶名***長度限制為30個字符)。

二、遠(yuǎn)程客戶端使用操作系統(tǒng)驗證

首先需要在init.ora文件中設(shè)置如下參數(shù)：REMOTE_OS_AUTHENT=TRUE。Oracle不推薦在遠(yuǎn)程客戶端上使用操作系統(tǒng)驗證，因為客戶端驗證時不是通過服務(wù)器上的操作系統(tǒng)用戶來驗證，而是使用客戶端自己怕操作系統(tǒng)來進行windows驗證,這樣，客戶端可以采用建立對應(yīng)的windows機器名和用戶名的方式來欺騙Oracle的操作系統(tǒng)驗證。

例如：創(chuàng)建了如下Oracle用戶

 
 
 

  
  
  
create "domainnameyourname" identified externally;   
  
  
  
grant connect to "domainnameyourname"; 
 
 
 

如果有一臺名為ZL的機器，創(chuàng)建了一個名為zyk的用戶，并以此登錄連接Oracle服務(wù)器（連接時使用@OracleSTR）,無需用戶名和密碼造成此問題的原因是，Oracle使用客戶端操作系統(tǒng)進行驗證，它無法區(qū)別zl是域名還是機器名。

Oracle數(shù)據(jù)庫服務(wù)器上的windows身份認(rèn)證很容易實施，并且使已登錄的用戶訪問Oracle數(shù)據(jù)庫很方便但是，這種驗證模型并不適合遠(yuǎn)程客戶端，因為安全隱患太大。

三、Oracle 9i對操作系統(tǒng)身份認(rèn)證支持的增強

Oracle 9i可以與活動目錄集成，通過Oracle Enterprise Security Manager 管理用戶權(quán)限Enterprise user authentication做為一種新的外部集中認(rèn)證模式（也叫 global user authentication,Oracle 9i以前的External user authentication僅僅采用了客戶端操作系統(tǒng)本地認(rèn)證)。

Oracle9i運行在一個win2000及以上的域中，注冊表HKEY_LOCAL_MACHINESOFTWAREORACLEHOMEID,參數(shù)OSAUTH_X509_NAME設(shè)置為true(默認(rèn)為false,如果該參數(shù)不存在，則新增為REG_EXPAND_SZ類型)。注意：Windows NT 4.0 domain 不支持這種方式。

文章出自:http://database.csdn.net/page/034915c4-1873-489c-b0df-e812ad2ec8ab

【編輯推薦】

1. Oracle屏蔽英文提示信息的2個好辦法
2. 探討Oracle中rownum的用法
3. Oracle細(xì)粒度的訪問控制的基本工作方式
4. Oracle數(shù)據(jù)庫的異構(gòu)服務(wù)原理描述
5. Oracle 10g數(shù)據(jù)庫的相關(guān)內(nèi)容描述

當(dāng)前名稱：Oracle數(shù)據(jù)庫的外部身份認(rèn)證研究的描述
分享網(wǎng)址：http://uogjgqi.cn/article/dhoepoj.html