사용자, 스키마, 인증

#핵심 요약

일반 사용자는 주로 비밀번호 인증을, 관리자는 OS 인증이나 패스워드 파일 인증을 씀

OS 인증은 OS의 dba 그룹 소속으로 sqlplus / as sysdba처럼 비밀번호 없이 관리자로 접속하는 방식임

패스워드 파일은 원격 SYSDBA 같은 관리자 인증에 씀
사용 여부는 REMOTE_LOGIN_PASSWORDFILE이 정하며 기본값은 EXCLUSIVE임

CREATE USER ... NO AUTHENTICATION으로 로그인할 수 없고 객체만 소유하는 스키마 전용 계정을 만듦

#개념과 동작 원리

#인증 방식

#REMOTE_LOGIN_PASSWORDFILE

기본값은 EXCLUSIVE이고 ALTER SYSTEM으로 바꿀 수 없음(Modifiable: No)

EXCLUSIVE나 SHARED라도 패스워드 파일이 없으면 NONE과 같이 동작함
NONE에서 EXCLUSIVE나 SHARED로 바꿀 때는 패스워드 파일과 데이터 사전의 비밀번호를 맞춰야 함

#관리자 계정

#필수 명령어 또는 SQL

#패스워드 파일과 인증 방식 확인

SELECT * FROM v$pwfile_users;
SHOW PARAMETER remote_login_passwordfile
SELECT SYS_CONTEXT('USERENV', 'AUTHENTICATION_METHOD') FROM dual;

결과 해석:

수업 자료에 적힌 Linux의 패스워드 파일 위치는 $ORACLE_HOME/dbs/orapw<ORACLE_SID>임
V$PWFILE_USERS는 패스워드 파일에 등록된 관리자 계정을 보여 줌

#관리자 인증 막기

-- 파라미터: 원격 SYSDBA 패스워드 파일 인증 차단
REMOTE_LOGIN_PASSWORDFILE=NONE

-- $ORACLE_HOME/network/admin/sqlnet.ora: 로컬 OS 인증 차단
SQLNET.AUTHENTICATION_SERVICES=(NONE)

결과 해석:

설명: 첫 줄은 원격 SYSDBA 패스워드 파일 인증을, 둘째 줄은 sqlplus / as sysdba를 막음
REMOTE_LOGIN_PASSWORDFILE은 정적 파라미터라 SPFILE에 바꾸고 재기동해야 함
둘 다 막으면 관리자 접속 경로가 없어질 수 있으므로 실습 환경에서만 시험함

#OS 인증 일반 사용자

SHOW PARAMETER os_authent_prefix

CREATE USER ops$king IDENTIFIED EXTERNALLY;
GRANT CREATE SESSION TO ops$king;

sqlplus /

결과 해석:

OS_AUTHENT_PREFIX의 기본값은 OPS$이며, Oracle은 이 접두사를 OS 계정 이름 앞에 붙여 DB 사용자와 비교함(Oracle Database Reference 19c, OS_AUTHENT_PREFIX)
그래서 OS 계정 king은 DB 사용자 OPS$KING으로 접속함

#관리 권한 계정 사용 (SYSBACKUP, SYSDG)

ALTER USER sysbackup IDENTIFIED BY <PASSWORD> ACCOUNT UNLOCK;
GRANT sysbackup TO sysbackup;
GRANT sysbackup TO sysbackup CONTAINER=ALL;

rman target '"sysbackup/<PASSWORD>@localhost:<PORT>/<SERVICE_NAME> as sysbackup"'
sqlplus sysdg/<PASSWORD>@//localhost:<PORT>/<SERVICE_NAME> as sysdg

결과 해석:

실습에서는 RMAN 접속 뒤 report schema와 backup database를 실행했음
backup database는 백업 파일을 만드는 작업임

#스키마 전용 계정

CREATE USER <USERNAME> NO AUTHENTICATION;
ALTER USER <USERNAME> IDENTIFIED BY <PASSWORD>;
ALTER USER <USERNAME> NO AUTHENTICATION;

결과 해석:

순서대로 생성, 비밀번호를 줘서 로그인 가능하게 해제, 다시 스키마 전용으로 되돌리기임

#구문과 옵션 설명

#사용 조건과 주의사항

수업 자료는 보안 사고 예방을 위해 비밀번호를 정기적으로 바꾸고, 특수 문자($, _), 숫자, 대소문자를 섞으라고 권함
비밀번호를 잊으면 DB에서 알아낼 방법이 없고 ALTER USER ... IDENTIFIED BY로 새 비밀번호를 정하는 수밖에 없음

로그인 실패 잠금은 Role과 Profile에서 다룸

명령행에 비밀번호를 쓰면 셸 히스토리와 ps에 남음