Debian下Oracle权限设置

Debian下Oracle权限设置

一 系统层权限与用户组

• 创建专用组和用户：建议创建oinstall（软件安装/属主）与dba（数据库管理员）组，并创建oracle系统用户，加入相应组。示例：sudo groupadd oinstall；sudo groupadd dba；sudo useradd -g oinstall -G dba -m oracle；sudo passwd oracle。
• 安装目录与权限：将Oracle基目录（如**/u01/app/oracle**）属主设为oracle:oinstall，权限建议为755（目录）或775（需写共享目录）。示例：sudo mkdir -p /u01/app/oracle；sudo chown -R oracle:oinstall /u01；sudo chmod -R 755 /u01。
• 资源与内核参数：为oracle用户设置进程/文件句柄/内存锁定等资源限制（/etc/security/limits.conf），并调整内核参数（/etc/sysctl.conf），如shmmax/shmall/sem/file-max/aio-max-nr等，执行sysctl -p使生效。
• 说明：Debian默认不启用SELinux，若启用需为Oracle目录设置合适类型（如oracle_db_t）或临时放宽策略；本段要点与示例命令可参考多篇Debian上Oracle安装与权限配置实践。

二 Oracle软件与监听器权限

• 环境变量：以oracle用户配置ORACLE_BASE、ORACLE_HOME、ORACLE_SID、PATH、LD_LIBRARY_PATH等，建议写入~/.bash_profile或~/.bashrc并source使其生效。
• 监听器管理：以oracle用户执行lsnrctl start|stop|status；监听日志默认位于**$ORACLE_HOME/network/log/listener.log**，排错优先查看该日志。
• 防火墙：若启用防火墙，放行Oracle默认监听端口1521/tcp（如UFW：sudo ufw allow 1521/tcp）。
• 权限要点：确保$ORACLE_HOME/bin/lsnrctl可由oracle执行，相关网络与日志目录对oracle可写；监听器以oracle用户运行更安全。

三 数据库层用户与权限

• 管理员登录：使用sqlplus / as sysdba进入数据库。
• 创建业务用户与授权：示例：CREATE USER myuser IDENTIFIED BY password; GRANT CONNECT, RESOURCE TO myuser; 可按需细化到CREATE SESSION、UNLIMITED TABLESPACE、对象权限与角色。
• 权限最小化：生产环境遵循最小权限原则，仅授予必要权限；SYS/SYSTEM谨慎使用，应用账户避免授予DBA角色。

四 快速检查与常用命令

• 目录与属主：ls -ld /u01 /u01/app/oracle；ls -ld $ORACLE_HOME
• 用户与组：id oracle；groups oracle
• 环境变量：su - oracle -c ‘env | grep -i oracle’
• 监听器：su - oracle -c ‘lsnrctl status’
• 监听端口：ss -lntp | grep 1521 或 sudo ufw status
• 数据库会话：sqlplus / as sysdba；SELECT username, account_status FROM dba_users;
• 日志定位：tail -f $ORACLE_HOME/network/log/listener.log；adrci或查看$ORACLE_BASE/diag目录

五 安全与运维建议

• 运行身份：数据库与监听统一以oracle运行，避免root直接执行。
• 目录权限：基目录755，数据/归档/日志等目录可按需775并设置正确的属主组。
• 资源限制：limits.conf与sysctl按官方/厂商建议设置，避免资源争用。
• 防火墙：仅开放必要端口（如1521/tcp），限制来源网段。
• 审计与合规：开启审计（如登录审计、关键DDL审计），定期轮换口令，限制SYSDBA远程登录。