Oracle数据库数据安全面面观（一） （4）

来源：31896    作者：LeeBolin

②、物理文件的大小根据应用系统的数据量、数据对象、程序包的多少来定。一般用于摹拟演示的小系统，表空间初始的物理文件为2m即能满足要求，如果信息量满，还可以增加物理文件，扩充表空间(每次扩充大小也可暂定为2m)；一般实际运行的应用系统可适当增加表空间初始的物理文件大小，但也不要一次分配太大(因为不易回收空间，却易扩充空间)，这也需要根据具体情况具体分析：信息量大、需长时间保存的应用在条件允许情况下，表空间可以大到几百m甚至上g；信息量小、短期经常刷新的应用，表空间可以控制在2m以下。

③、表空间的名称应该采用同系统应用相似的英文字符或字符缩写，表空间所对应的一个或多个物理文件名也应有相关性。不同用户所处的缺省表空间不同，存储的信息就不能互相访问。这比把所有用户信息都储存在系统表空间，安全性大大提高了。如果用oracle web server管理端口创建的用户，其缺省和临时表空间一定是系统表空间，dba切记要改变用户的缺省表空间。临时表空间存放临时数据段，处理一些排序、合并等中间操作，根据实际应用的需求可以把它们放在专门创建的表空间里；如果系统表空间大，也可以把它们放在系统表空间。用户创建的数据索引最好和数据文件分开存放在不同表空间，以减少数据争用和提高响应速度。

·密码和用户名的规范

有相当数量的oracle用户名和密码一致，这是个很不安全的因素。我们建议oracle用户名和密码一定不要一样，密码最好在五，六位字符以上。不同用户间不应该使用相同的密码。用户名的定义可根据实际应用的英文名来设，而依据编程人员的姓名定义的用户名实际上不规范，可在日后的工作中结合上述有关存储结构规范的说明逐步改进。

（3）特殊要求用户的规范

在oracle数据库使用过程中，还会遇到一些有特殊要求的用户：非编程人员需要对某个表有查询、增加、删除、修改的权利。dba应创建一个这样的用户，先确定用户名和密码，再规定相关应用所在缺省表空间(包含某个表)和临时表空间，最后table属主给其授权：赋予connect角色select、insert、delete、update on the table的对象级权限，这可根据实际需求自由取舍。

举例：●给新用户授于对象级权限(命令行方式)：

假设新用户new2需要有查询、删除、修改dcd用户的表emp。

%svrmgrl
svrmgr>connect internal; 以系统管理员登录
svrmgr>create user new2 identified by new2345 default tablespace 
app;
svrmgr>connect dcd/dcdpwd; 以dcd用户登录
svrmgr>grant connect to new2;
svrmgr>grant select on emp to new2;
svrmgr>grant delete on emp to new2;
svrmgr>grant update on emp to new2;

说了这么多关于用户的问题，那么接下来我们就详细得说一下关于密码文件的使用以及维护--在oracle数据库系统中，用户如果要以特权用户身份（internal／sysdba／sysoper）登录oracle数据库可以有两种身份验证的方法：即使用与操作系统集成的身份验证或使用oracle数据库的密码文件进行身份验证。因此，管理好密码文件，对于控制授权用户从远端或本机登录oracle数据库系统，执行数据库管理工作，具有重要的意义。

oracle数据库的密码文件存放有超级用户internal／sys的口令及其他特权用户的用户名／口令，它一般存放在oracle_home＼database目录下。

·密码文件的创建：

在使用oracle instance manager创建一数据库实例的时侯，在oracle_home＼database目录下还自动创建了一个与之对应的密码文件，文件名为pwdsid.ora，其中sid代表相应的oracle数据库系统标识符。此密码文件是进行初始数据库管理工作的基础。在此之后，管理员也可以根据需要，使用工具orapwd.exe手工创建密码文件，命令格式如下：

c:＼ >orapwd　file=＜ filename ＞　password =＜ password ＞ entries=< max_users >

各命令参数的含义为：

filename：密码文件名；

password：设置internal／sys帐号的口令；

max_users：密码文件中可以存放的最大用户数，对应于允许以sysdba／sysoper权限登录数据库的最大用户数。由于在以后的维护中，若用户数超出了此限制，则需要重建密码文件，所以此参数可以根据需要设置得大一些。

有了密码文件之后，需要设置初始化参数remote_login_passwordfile来控制密码文件的使用状态。

·设置初始化参数remote_login_passwordfile：

在oracle数据库实例的初始化参数文件中，此参数控制着密码文件的使用及其状态。它可以有以下几个选项：

none：指示oracle系统不使用密码文件，特权用户的登录通过操作系统进行身份验证；

exclusive：指示只有一个数据库实例可以使用此密码文件。只有在此设置下的密码文件可以包含有除internal／sys以外的用户信息，即允许将系统权限sysoper／sysdba授予除internal／sys以外的其他用户。

shared：指示可有多个数据库实例可以使用此密码文件。在此设置下只有internal／sys帐号能被密码文件识别，即使文件中存有其他用户的信息，也不允许他们以sysoper／sysdba的权限登录。此设置为缺省值。

在remote_login_passwordfile参数设置为exclusive、shared情况下，oracle系统搜索密码文件的次序为：在系统注册库中查找ora_sid_pwfile参数值（它为密码文件的全路径名）；若未找到，则查找ora_pwfile参数值；若仍未找到，则使用缺省值oracle_home＼database＼pwdsid.ora；其中的sid代表相应的oracle数据库系统标识符。

·向密码文件中增加、删除用户：

当初始化参数remote_login_passwordfile设置为exclusive时，系统允许除internal／sys以外的其他用户以管理员身份从远端或本机登录到oracle数据库系统，执行数据库管理工作；这些用户名必须存在于密码文件中，系统才能识别他们。由于不管是在创建数据库实例时自动创建的密码文件，还是使用工具orapwd.exe手工创建的密码文件，都只包含internal／sys用户的信息；为此，在实际操作中，可能需要向密码文件添加或删除其他用户帐号。