Oracle在Linux上的权限管理如何操作 - 问答

Linux 上的 Oracle 权限管理实操指南

一操作系统层权限设置

创建专用系统用户与组：建议创建 oracle 用户与 oinstall（安装/属主）、dba（管理）组，用于运行与维护数据库实例。
目录与软件归属：将 ORACLE_HOME 与 ORACLE_BASE 归属到 oracle:oinstall，数据文件目录（如 /u01/app/oradata）归属到 oracle:oinstall，并按需设置权限（如 755/750），确保 Oracle 软件与数据目录仅对 DBA 与 Oracle 用户可写。
使用 ACL 精细授权：当 UGO 不够用时，对共享目录（如备份、导入导出、共享挂载点）为 oracle 用户单独授予 rwx，命令示例：setfacl -m u:oracle:rwx /u01/backups；验证：getfacl /u01/backups；目录权限位末尾出现 + 表示已启用 ACL。
挂载选项与持久化：若共享或数据盘未启用 ACL，挂载时添加 -o acl，并在 /etc/fstab 中写入带 acl 的选项，确保重启后仍然生效。
SELinux 与网络边界：启用 SELinux 时，为 Oracle 目录设置合适上下文（如 oracle_home_t、oracle_db_t）；仅开放数据库监听端口（默认 1521/TCP）至应用网段，最小化暴露面。

二数据库层权限模型与常用命令

权限分类与原则：区分 系统权限（如 CREATE SESSION、CREATE TABLE）与 对象权限（如 SELECT、INSERT 对某表），遵循 最小权限原则，优先通过角色进行授权与回收，降低维护复杂度与风险。
角色与授权示例：创建角色并授予系统权限，再把角色授予用户；对用户或角色授予对象权限；必要时使用 WITH GRANT OPTION（对象权限）或 WITH ADMIN OPTION（系统权限）实现授权传递（需严格审计）。
回收与级联：系统权限回收不级联；对象权限回收遵循级联撤销规则。使用 REVOKE 及时清理不再需要的权限，避免权限蔓延。
常用 SQL 速查：
- 创建用户：CREATE USER app1 IDENTIFIED BY ******* DEFAULT TABLESPACE users TEMPORARY TABLESPACE temp QUOTA UNLIMITED ON users;
- 创建角色：CREATE ROLE hr_viewer;
- 授予系统权限：GRANT CREATE SESSION, CREATE VIEW TO hr_viewer;
- 授予对象权限：GRANT SELECT, INSERT ON hr.employees TO hr_viewer;
- 授予角色：GRANT hr_viewer TO app1;
- 传递授权：GRANT SELECT ON hr.employees TO hr_viewer WITH GRANT OPTION;
- 回收权限：REVOKE SELECT, INSERT ON hr.employees FROM hr_viewer;
- 查看权限：查询 DBA_SYS_PRIVS、DBA_TAB_PRIVS、USER_SYS_PRIVS、USER_TAB_PRIVS 等数据字典视图。

三运维操作的权限控制与 sudo 精细化

最小 sudo 授权：仅允许 oracle 用户以 root 身份执行必要的维护命令（如监听启停、RMAN 备份、审计工具等），避免赋予无限制 root 权限。
典型 sudo 配置示例（/etc/sudoers 或 /etc/sudoers.d/oracle）：
- oracle ALL=(ALL) NOPASSWD: /u01/app/oracle/product/19.0.0/dbhome_1/bin/lsnrctl start, /u01/app/oracle/product/19.0.0/dbhome_1/bin/lsnrctl stop
- oracle ALL=(ALL) NOPASSWD: /u01/app/oracle/product/19.0.0/dbhome_1/bin/rman target /
安全建议：为 sudo 规则设置明确的命令路径与参数白名单，避免使用通配符；必要时要求 tty 与日志审计，变更前在测试环境验证。

四审计与合规要点

启用审计与监控：在数据库侧开启必要的审计（如登录、关键 DDL/DML），并定期审查 DBA_AUDIT_TRAIL 等视图；在系统侧记录 sudo 与关键命令执行日志，结合集中日志平台进行告警与追溯。
定期复核：周期性核查用户、角色、对象权限分配，清理过期与过度授权；对共享目录与备份目录执行 ACL 与属主复核，确保仅授权对象具备所需权限。

0 赞

0 踩