Debian Oracle权限管理最佳实践

Debian 上 Oracle 权限管理最佳实践

一 操作系统层权限与账户隔离

• 创建专用系统账户与组，遵循最小权限原则：仅授予运行与维护所需权限。
• 推荐组与用途：oinstall（软件与数据目录属主）、dba（DBA 管理权限）、可按需增加 oper、backupdba、dgdba、kmdba 等细分管理组。
• 示例：
  • 创建组与用户：groupadd -g 54321 oinstall；groupadd -g 54322 dba；useradd -u 54321 -g oinstall -G dba oracle
  • 目录与权限：mkdir -p /u01/app/oracle /u01/oradata；chown -R oracle:oinstall /u01；chmod -R 775 /u01
  • 说明：目录属主为 oracle:oinstall，权限 775 允许组内协作与运维操作，同时避免其他用户写入。上述做法兼顾安装、数据与日志目录的统一权限治理。

二 资源限制与内核参数

• 为 oracle 用户设置安全资源限制，避免资源耗尽与 fork 炸弹风险：
  • 文件句柄与进程数：soft/hard nofile 1024/65536；soft/hard nproc 16384/16384
  • 栈与内存锁定：soft/hard stack 10240/32768；soft/hard memlock 134217728/134217728（单位 KB）
  • 配置路径：/etc/security/limits.d/30-oracle.conf
• 调整内核网络与共享内存参数，保障连接与 SGA/PGA 需求：
  • fs.file-max = 6815744
  • kernel.sem = 250 32000 100 128
  • kernel.shmmni = 4096；kernel.shmall = 1073741824；kernel.shmmax = 4398046511104
  • net.core.rmem_default = 262144；net.core.rmem_max = 4194304
  • net.core.wmem_default = 262144；net.core.wmem_max = 1048576
  • fs.aio-max-nr = 1048576
  • net.ipv4.conf.all.rp_filter = 2；net.ipv4.conf.default.rp_filter = 2
  • net.ipv4.ip_local_port_range = 9000 65500
  • 使配置生效：sysctl --system
• 说明：上述数值覆盖常见生产需求；如内存较大，可相应提高 shmmax 与 memlock。

三 监听器与网络安全

• 仅以 oracle 用户执行监听控制，限制 lsnrctl 的启动/停止权限，避免普通用户误用。
• 配置 listener.ora 仅监听必要接口与端口，避免暴露在不可信网络；监听端口默认 1521。
• 防火墙精细化放行：
  • 全开放示例：ufw allow 1521/tcp
  • 仅可信网段：ufw allow from 192.168.1.0/24 to any port 1521
• 启用监听日志与定期审计，使用 lsnrctl status 校验运行状态与端点信息。

四 数据库层权限最小化与职责分离

• 以最小权限创建应用账户，避免使用 SYS/SYSTEM 执行业务操作：
  • 创建用户：CREATE USER appuser IDENTIFIED BY StrongPass!23;
  • 授予必要权限：GRANT CONNECT, RESOURCE TO appuser;
  • 按需细化：CREATE SESSION、SELECT/INSERT/UPDATE/DELETE on 具体表、EXECUTE on 具体过程/包。
• 运维与 DBA 使用专用高权账户，遵循审批与双人复核；通过 角色 与 权限回收 机制定期审计与收敛。
• 说明：CONNECT/RESOURCE 为入门级授权，生产环境应按需细化到对象级与操作级权限。

五 审计与合规要点

• 启用并定期轮转监听日志与告警日志，关注异常连接与失败登录；监听日志路径通常为 $ORACLE_HOME/network/log/listener.log，数据库告警日志位于 $ORACLE_BASE/diag/rdbms///trace/alert_.log。
• 定期备份并保护关键配置文件（如 listener.ora、sqlnet.ora），变更纳入变更管理流程。
• 保持系统与数据库补丁更新，遵循 Oracle 安全公告，降低已知漏洞风险。