Windows下Oracle11g中使用外部操作系统账户验证

在windows2008R2下安装Oracle11g，在安装oracle的服务器上可以使用OS的账户登陆oracle，远程OS，比如win7也是可以使用本地OS的账户登陆的。

需要设置多个参数。

以dba的权限登陆oracle

C:\Users\administrator>sqlplus /nolog

SQL*Plus: Release 11.2.0.1.0 Production on  2月 12 16:39:03 2015

Copyright (c) 1982, 2010, Oracle.  All rights reserved.

SQL> conn / as sysdba

已连接。

SQL> show user
USER 为 "SYS"

如果显示用户为sys，说明服务器本机的使用OS账户认证是成功的。

如果不行，那么需要确定一些地方。

安装路径\product\11.2.0\dbhome_1\NETWORK\ADMIN

下的sqlnet.ora文件

SQLNET.AUTHENTICATION_SERVICES= (NTS)

是否括号里有NTS， (NONE,NTS)也可以

NAMES.DIRECTORY_PATH= (TNSNAMES, EZCONNECT)

这里的TNSNAMES是对应tnsnames.ora文件的，是为了sqlplus命令解析SID标示

SQL> conn /@orcl

这个标示就是orcl，对应文件里对orcl的解析说明host，port，以及SERVICE_NAME

当然用sys账户加密码也能登录。

SQL> conn sys/password as sysdba

已连接。

确定初始化参数

①SQL> show parameter os_authent_prefix

NAME                                 TYPE        VALUE
------------------------------------ ----------- ------------
os_authent_prefix                    string      OPS$
SQL>

这个OPS$是前缀，可以为空，但是不能用null，空就用“”就好。

这是为了区别oracle用户还是OS用户，OS用户前面加上OPS$

②为了远程的客户机可以用，

SQL> show parameter remote_os_authent

NAME                                 TYPE        VALUE
------------------------------------ ----------- ---------
remote_os_authent                    boolean     FALSE

这里显示为FALSE，必须修改

SQL>ALTER SYSTEM SET REMOTE_OS_AUTHENT = TRUE SCOPE = SPFILE;

然后重启数据库

SHUTDOWN IMMEDIATE
STARTUP

③远程连接参数

SQL> show parameter remote_login_passwordfile

NAME                                 TYPE        VALUE
------------------------------------ ----------- -----------------
remote_login_passwordfile            string      EXCLUSIVE

EXCLUSIVE就可以了。

NONE是不允许远程口令文件，SHARED出现在老版本，目前和EXCLUSIVE效果相同。

然后开始在oracle里做映射OS的账户

SQL> create user ops$administrator identified externally;

User created.

给连接等的授权

SQL> grant connect,resource to ops$administrator;
Grant succeeded.

然后现在服务器上登录一下看看

SQL> conn /

已连接。

SQL> show user
USER 为 "OPS$ADMINISTRATOR"

加不加as sysdba是为了是否用数据库的管理员模式登录

下面进入远程接续

在客户端win7里安装oracle的客户端软件

之后配置sid的连接，sqlnet.ora文件里的参数同样必须有NTS，这是OS认证的关键

NAMES.DIRECTORY_PATH= (TNSNAMES, EZCONNECT)也必须有

编辑tnsnames.ora也是关键

ORCL =
  (DESCRIPTION =
    (ADDRESS = (PROTOCOL = TCP)(HOST = ORACLE)(PORT = 1521))
    (CONNECT_DATA =
      (SERVER = DEDICATED)
      (SERVICE_NAME = orcl)
    )
  )

这里的(HOST = ORACLE)是那个安装了windows2008的服务器的机器名，如果没有域支持，需要带完整域名， (SERVICE_NAME = orcl)是远程服务器上定义的服务名，不能错。

然后在客户端上尝试一下

SQL> conn /

已连接。

SQL> show user
USER 为 "OPS$ADMINISTRATOR"

这样做方便是方便了，但是安全性就丧失了。

来尝试一下，在客户机做一个administrator账号，但是和服务器的administrator账户的密码不同，还能连接上吗，答案是肯定的，还是可以。也就是说，remote_os_authent为true的时候，服务器端是不确认密码的，是在客户端的OS上确认密码，那么客户端如果自己有管理员权限，那么做什么名字的账户都可以，就没安全性了，当然使用必须是在隔离与互联网的环境下，不然死的更难看。也应该在域的环境下使用，客户端的登录用户都由域来控制，认证的用户名带域名认证，确保客户端和服务器端的认证都可以信任。如果想忽略域名认证用户名，可以在服务器端的OS里修改注册表

HKEY_LOCAL_MACHINE\SOFTWARE\ORACLE\KEY_OraDb11g_home1

添加文字列OSAUTH_PREFIX_DOMAIN，值为FALSE

当然不推荐这么做。