Oracle用户权限管理最佳实践

1. 最小权限原则

• 按需分配权限：只授予用户完成工作所需的最小权限
• 避免使用SYSDBA/SYSOPER：除非绝对必要，否则不应将这些高权限角色分配给常规用户
• 分离职责：开发、测试和生产环境应使用不同的账户

2. 角色管理策略

• 创建自定义角色：基于工作职能创建角色，而非直接授予权限

CREATE ROLE data_analyst;
GRANT SELECT ON schema_name.table_name TO data_analyst;
GRANT data_analyst TO user_name;

• 定期审查角色：定期检查角色权限是否仍然适用

SELECT * FROM DBA_ROLE_PRIVS WHERE GRANTEE = 'USER_NAME';

3. 精细权限控制

• 列级权限：使用视图限制对敏感列的访问

CREATE VIEW v_employee_restricted AS
SELECT emp_id, name, department FROM employees;
GRANT SELECT ON v_employee_restricted TO user_name;

• 行级安全：使用虚拟私有数据库(VPD)或Oracle Label Security

BEGIN
 DBMS_RLS.ADD_POLICY(
  object_schema => 'HR',
  object_name => 'EMPLOYEES',
  policy_name => 'EMP_POLICY',
  function_schema => 'SEC_ADMIN',
  policy_function => 'AUTH_EMP',
  statement_types => 'SELECT,UPDATE,DELETE'
 );
END;

4. 密码安全策略

• 实施强密码策略：

ALTER PROFILE DEFAULT LIMIT
 PASSWORD_LIFE_TIME 90
 PASSWORD_GRACE_TIME 7
 PASSWORD_REUSE_TIME 365
 PASSWORD_REUSE_MAX 10
 PASSWORD_LOCK_TIME 1
 FAILED_LOGIN_ATTEMPTS 5
 PASSWORD_VERIFY_FUNCTION ora12c_strong_verify_function;

• 定期更改密码：设置密码过期策略

5. 审计与监控

• 启用数据库审计：

AUDIT SELECT TABLE, UPDATE TABLE, INSERT TABLE, DELETE TABLE BY ACCESS;
AUDIT EXECUTE ANY PROCEDURE BY ACCESS;

• 监控特权用户活动：

AUDIT ALL BY user_name BY ACCESS;

• 定期审查审计日志：

SELECT * FROM DBA_AUDIT_TRAIL ORDER BY TIMESTAMP DESC;

6. 特权账户管理

• 限制DBA权限：只有必要人员才能拥有DBA角色
• 使用代理认证：对于应用程序连接

ALTER USER app_user GRANT CONNECT THROUGH app_proxy_user;

• 实施双因素认证：对于关键账户

7. 定期权限审查

• 识别过时账户：

SELECT username, account_status, expiry_date 
FROM dba_users 
WHERE account_status != 'LOCKED' 
ORDER BY expiry_date;

• 检查权限变更：

SELECT * FROM DBA_TAB_PRIVS WHERE GRANTEE = 'USER_NAME';
SELECT * FROM DBA_SYS_PRIVS WHERE GRANTEE = 'USER_NAME';

8. 自动化工具

• 使用Oracle Database Vault：限制特权用户访问敏感数据
• 实施Oracle Data Redaction：动态屏蔽敏感数据

BEGIN
 DBMS_REDACT.ADD_POLICY(
  object_schema => 'HR',
  object_name => 'EMPLOYEES',
  column_name => 'SALARY',
  policy_name => 'redact_emp_sal',
  function_type => DBMS_REDACT.PARTIAL,
  function_parameters => DBMS_REDACT.PARTIAL_PARAMETERS(
   'VVVVFVVVVFVVVVFVVVV', '9', '1', '0', '12')
 );
END;

通过实施这些最佳实践，您可以显著提高Oracle数据库的安全性，确保数据访问既满足业务需求又符合安全要求。