Administrarea parolelor si a resurselor Oracle9I

Profile

Un profil este o colectie de parole si limite de resurse referitoare la:

Expirarea parolelor

Istoricul parolelor

Functii de verificare a parolelor

Blocare a conturilor

Operatii de I/O

Timpi de intirziere

Timpi de conectare

Spatiu de memorie

Sesiuni curente

SQL> select distinct resource_name from dba_profiles;

RESOURCE_NAME

COMPOSITE_LIMIT

CONNECT_TIME

CPU_PER_CALL

CPU_PER_SESSION

FAILED_LOGIN_ATTEMPTS

IDLE_TIME

LOGICAL_READS_PER_CALL

LOGICAL_READS_PER_SESSION

PASSWORD_GRACE_TIME

PASSWORD_LIFE_TIME

PASSWORD_LOCK_TIME

PASSWORD_REUSE_MAX

PASSWORD_REUSE_TIME

PASSWORD_VERIFY_FUNCTION

PRIVATE_SGA

SESSIONS_PER_USER

Dupa crearea unui profil, acesta poate fi asignat oricarui utilizator. Daca limitele resurselor sunt activate, server-ul Oracle limiteaza utilizarea bazei si a resurselor conform limitelor definite in cadrul profilului pentru fiecare utilizator in parte.

Server-ul oracle creaza un profil implicit la crearea bazei de date. Utilizatorii care nu sunt asignati explicit unui profil utilizator anume se conformeaza tuturor limitelor profilului utilizator explicit. Limitele unui profil pot fi insa modificate de catre administrator, reflectandu-se automat tuturor utilizatorilor profilului respectiv.

Un profil este utilizat pentru:

Restrictionarea utilizatorilor de a efectua unele operatii mari consumatoare de resurse.

Deconectarea automata a utilizatorilor ale caror sesiuni sunt ramase in asteptare un anumit timp.

Activarea grupurilor de resurse pentru utilizatori similari.

Usurinta asignarii de resurse utilizatorilor.

Administrarea eficienta a resurselor intr-un sistem multiuser complex.

Controlul utilizarii parolelor.

Caracteristici ale profilului:

Asignarile profilului nu afecteaza sesiunile curente.

Profilele pot fi asignate numai utilizatorilor, nu rolurilor sau altor profile.

Daca la crearea unui utilizator nu I se asigneaza un anumit profil, atunci profilui implicit se asigneaza implicit acelui utilizator.

Administrarea parolelor

Pentru un control mai bun al securitatii bazei de date, administrarea parolelor este controlata de catre administrator prin intermediul profilelor de utilizator. Componente:

Blocarea conturilor: este activata automat blocarea unui utilizator atunci cand conectarea nu reuseste dupa un anumit numar de incercari.

Expirarea parolei: permite ca parola sa fie valabila o anumita perioada, dupa care expira si va trebui schimbata.

Istoricul parolelor: acest mecanism verifica daca parola noua nu a mai fost folosita pentru o anumita perioada de timp sau pentru un anumit numar de schimbari.

Verificarea complexitatii parolei: efectueaza o verificare complexa a parolei pentru a furniza o protectie suficienta impotriva intrusilor ce ar putea incerca spargerea sistemului prin ghicirea parolei.

Blocarea si expirarea parolelor

Serverul Oracle blocheaza automat contul unui utilizator daca acesta depaseste numarul de incercari nereusite specificat de paramertul FAILED_LOGIN_ATTEMPTS. Contul este automat deblocat dupa un interval de timp, specificat de catre parametrul PASSWORD_LOCK_TIME. De asemenea contul poate fi deblocat si de catre administrator utilizand comanda ALTER USER.

Un cont utilizator poate fi blocat explicit de catre administrator utilizand comanda ALTER USER, dar, de data aceasta conturile nu mai pot fi deblocate automat dupa o anumita perioada de timp.

Parametrul PASSWORD_LIFE_TIME perioada maxima de valabilitate a parolei. Dupa expirarea acestei perioade parola trebuie schimbata. Administratorul poate specifica o perioada de gratie, prin setarea parametrului PASSWORD_GRACE_TIME, care incepe dupa prima prima incercare de autentificare in baza dupa expirarea parolei. Un mesaj de avertizare este generat de fiecare data cand un utilizator incearca sa se autentifice la baza de date in aceasta perioada de gratie. Utilizatorul trebuie sa-si schimbe parola in aceasta perioada, altfel contul se blocheaza automat.

Istoricul parolelor

Server-ul Oracle intretine un istoric al parolelor folosite de catre fiecare utilizator in parte, pentru a evita refolosirea parolelor intr-un anumit interval de timp. Aceste verificari sunt implementate prin setarea urmatorilor parametrii:

PASSWORD_REUSE_TIME: pentru a specifica faptul ca un utilizator nu poate reutiliza parola un anumit numar de zile.

PASSWORD_REUSE_MAX: pentru a forta un utilizator sa defineasca o parola care nu a mai fost folosita alta data.

Functii de verificare a parolelor definite de catre utilizator

Inainte de validarea unei parole pentru un utilizator, poate fi invocata o functie PL/SQL pentru a verifica validitatea parolei. Server-ul Oracle furnizeaza o rutina implicita de verificare a parolei, dar aceasta functie poate fi scrisa si de catre administratorul bazei.

La crearea unei functii de verificare a parolei, administratorul trebuie sa tina seama de urmatoarele restrictii:

Functia trebuie sa aiba ca parametrii de intrare numele utilizatorului, noua parola, precum si vechea parola.

Procedura returneaza valoarea TRUE pentru validare cu succes si FALSE pentru invalidare a parolei.

Daca functia genereaza o exceptie, atunci codul de eroare este returnat si comanda ALTER USER sau CREATE USER  este terminata.?????????

Functia de verificare a parolei este creata sub schema utilizatorului SYS.

Daca functia de verificare a parolei devine invalida, atunci este generat un mesaj de eroare si comanda ALTER USER sau CREATE USER  este terminata.?????????

Crearea, alterarea, stergerea unui profil

Crearea unui profil. Sintaxa:

CREATE PROFILE nume_profil LIMIT

[ FAILED_LOGIN_ATTEMPTS max_value ]

[ PASSWORD_LIFE_TIME max_value ]

[ max_value ]

[ PASSWORD_LOCK_TIME max_value ]

[ PASSWORD_GRACE_TIME max_value ]

[ PASSWORD_VERIFY_FUNCTION ]

Alterarea unui profil. Sintaxa:

ALTER PROFILE nume_profil LIMIT

[ FAILED_LOGIN_ATTEMPTS max_value ]

[ PASSWORD_LIFE_TIME max_value ]

[ max_value ]

[ PASSWORD_LOCK_TIME max_value ]

[ PASSWORD_GRACE_TIME max_value ]

[ PASSWORD_VERIFY_FUNCTION ]

Stergerea unui profil. Sintaxa:

DROP PROFILE nume_profil CASCADE;

Optiunea CASCADE revoca profilul respectiv utilizatorilor carora ii este asignat. Server-ul Oracle asigneaza automat profilui implicit acestor utilizatori.

Administrarea resurselor. Activarea limitelor de resurse la nivel de sesiune si la nivel de apel

Administrarea limitelor resurselor se poate face la nivel de sesiune, la nivel de apel sau pentru amandoua. Limitele de resurse pot fi definite utilizand comanda CREATE PROFILE. Activarea resurselor se face prin setarea parametrului RESOURCE_LIMIT in fisierul de initializare (este necesara repornirea instantei ) sau utilizand comanda ALTER SYSTEM SET RESOURCE_LIMIT=TRUE.

Obtinerea de informatii referitoare la parole si limite de resurse