印刻数据库

外观

Oracle 密码管理规范 ​

密码策略基础 ​

密码策略定义 ​

  • 密码策略：一组用于管理密码的规则和最佳实践
  • 密码策略目标：确保密码的安全性，防止未授权访问
  • 密码策略范围：适用于所有数据库用户账户
  • 密码策略合规性：符合行业标准和法规要求

密码策略组成 ​

  • 密码复杂性要求：密码的长度、字符类型等要求
  • 密码过期策略：密码的使用期限
  • 密码历史记录：防止重用最近使用过的密码
  • 账户锁定策略：登录失败后的账户锁定规则
  • 密码验证函数：自定义密码验证逻辑

密码策略实施方法 ​

  • Oracle 内置功能：使用 Oracle 内置的密码管理功能
  • 配置文件：通过配置文件实施密码策略
  • 触发器：使用触发器增强密码管理
  • 第三方工具：使用第三方密码管理工具

密码复杂性要求 ​

密码长度 ​

  • 最小长度：密码长度至少为 12 个字符
  • 推荐长度：密码长度为 16-20 个字符
  • 最大长度：密码长度不超过 30 个字符
  • 长度验证：通过密码验证函数确保密码长度符合要求

密码字符类型 ​

  • 大写字母：密码必须包含至少一个大写字母 (A-Z)
  • 小写字母：密码必须包含至少一个小写字母 (a-z)
  • 数字：密码必须包含至少一个数字 (0-9)
  • 特殊字符：密码必须包含至少一个特殊字符 (!@#$%^&*()_+-=[]{}|;':",.<>?/)
  • 字符组合：密码必须包含多种类型的字符组合

密码复杂性验证 ​

  • 内置验证函数：使用 Oracle 内置的密码验证函数
  • 自定义验证函数：开发自定义的密码验证函数
  • 验证时机：在密码创建和修改时进行验证
  • 错误提示：提供清晰的密码复杂性错误提示

密码过期策略 ​

密码有效期 ​

  • 默认有效期：密码默认有效期为 90 天
  • 不同用户类型的有效期：
    • 管理员账户：密码有效期为 60 天
    • 普通用户账户：密码有效期为 90 天
    • 服务账户：密码有效期为 180 天
  • 密码过期提醒：在密码过期前 7-14 天发送提醒

密码过期处理 ​

  • 过期前警告：在用户登录时显示密码即将过期的警告
  • 过期后处理：密码过期后用户无法登录，需要重置密码
  • 密码重置流程：制定明确的密码重置流程
  • 临时密码：为重置密码的用户提供临时密码，要求首次登录时修改

密码过期策略例外 ​

  • 服务账户：对于自动化服务账户，可以设置更长的密码有效期
  • 紧急账户：对于紧急情况下使用的账户，可以设置特殊的密码过期策略
  • 例外审批：密码过期策略例外需要经过审批

密码历史记录 ​

密码重用限制 ​

  • 历史记录长度：保留最近 10-12 个密码记录
  • 重用禁止：禁止重用最近使用过的密码
  • 时间限制：即使超过历史记录长度，也禁止在一定时间内重用密码
  • 密码相似度：防止使用与旧密码过于相似的新密码

密码历史管理 ​

  • 存储方式：使用 Oracle 的密码历史存储功能
  • 历史记录清理：定期清理过期的密码历史记录
  • 历史记录审计：审计密码历史记录的访问和修改

账户锁定策略 ​

登录失败限制 ​

  • 失败次数：连续登录失败 5-10 次后锁定账户
  • 锁定时间：账户锁定时间为 30-60 分钟
  • 永久锁定：对于敏感账户，可以设置永久锁定，需要管理员解锁
  • 锁定例外：对于特定账户，可以设置不同的锁定策略

账户解锁流程 ​

  • 自动解锁：在锁定时间过后自动解锁账户
  • 手动解锁：管理员可以手动解锁被锁定的账户
  • 解锁审批：对于敏感账户的解锁需要经过审批
  • 解锁审计：审计账户解锁操作

登录尝试监控 ​

  • 实时监控：实时监控登录尝试和失败情况
  • 告警机制：当检测到异常登录尝试时触发告警
  • 攻击检测：检测可能的暴力破解攻击
  • 响应措施：制定针对异常登录的响应措施

密码验证函数 ​

内置验证函数 ​

  • ORA12C_STRONG_VERIFIER：Oracle 12c 及以上版本的内置强验证函数
  • PASSWORD_VERIFY_FUNCTION：传统的密码验证函数
  • 使用方法：在配置文件中指定验证函数

自定义验证函数 ​

  • 开发要求：根据组织的安全要求开发自定义验证函数
  • 验证逻辑：包含密码长度、复杂性、历史记录等验证逻辑
  • 错误处理：提供清晰的错误信息
  • 测试验证：充分测试验证函数的有效性

验证函数部署 ​

  • 函数创建：在数据库中创建验证函数
  • 权限授予：授予必要的权限
  • 配置文件关联：将验证函数关联到配置文件
  • 测试验证：测试验证函数的实际效果

不同类型用户的密码策略 ​

管理员账户 ​

  • 密码复杂性：更高的密码复杂性要求
  • 密码有效期：更短的密码有效期（60 天）
  • 登录失败限制：更严格的登录失败限制
  • 密码历史：更长的密码历史记录
  • 审计要求：更详细的审计要求

普通用户账户 ​

  • 密码复杂性：标准的密码复杂性要求
  • 密码有效期：标准的密码有效期（90 天）
  • 登录失败限制：标准的登录失败限制
  • 密码历史：标准的密码历史记录

服务账户 ​

  • 密码复杂性：标准的密码复杂性要求
  • 密码有效期：更长的密码有效期（180 天）
  • 登录失败限制：更宽松的登录失败限制
  • 密码管理：使用自动化工具管理服务账户密码

紧急账户 ​

  • 密码复杂性：标准的密码复杂性要求
  • 密码有效期：特殊的密码有效期
  • 访问控制：严格的访问控制
  • 使用审计：详细的使用审计

密码管理流程 ​

密码创建流程 ​

  • 账户创建：创建新用户账户时设置初始密码
  • 密码设置：为新用户设置符合要求的初始密码
  • 密码交付：安全地将初始密码交付给用户
  • 首次登录：要求用户首次登录时修改初始密码
  • 密码强度检查：确保用户设置的新密码符合强度要求

密码修改流程 ​

  • 定期修改：用户定期修改密码
  • 强制修改：在特定情况下强制用户修改密码
  • 自助修改：提供用户自助修改密码的功能
  • 管理员修改：管理员可以为用户修改密码
  • 密码强度检查：确保修改后的密码符合强度要求

密码重置流程 ​

  • 重置请求：用户提交密码重置请求
  • 身份验证：验证用户身份
  • 重置审批：对于敏感账户，密码重置需要审批
  • 临时密码：为用户提供临时密码
  • 首次登录：要求用户使用临时密码登录后立即修改

密码安全管理 ​

密码存储安全 ​

  • 加密存储：使用加密方式存储密码
  • 哈希算法：使用强哈希算法处理密码
  • 盐值使用：为密码添加盐值，增加安全性
  • 存储访问控制：严格控制密码存储的访问权限

密码传输安全 ​

  • 加密传输：使用加密方式传输密码
  • 安全通道：通过安全通道传输密码相关信息
  • 避免明文：避免在网络上传输明文密码
  • 会话加密：启用数据库会话加密

密码使用安全 ​

  • 避免共享：禁止共享数据库账户密码
  • 避免记录：禁止在不安全的地方记录密码
  • 避免重用：禁止在不同系统中重用相同的密码
  • 安全意识：提高用户的密码安全意识

密码管理审计 ​

审计内容 ​

  • 密码创建：审计密码创建操作
  • 密码修改：审计密码修改操作
  • 密码重置：审计密码重置操作
  • 登录尝试：审计登录尝试和失败情况
  • 账户锁定：审计账户锁定和解锁操作

审计工具 ​

  • Oracle 审计功能：使用 Oracle 内置的审计功能
  • 第三方审计工具：使用第三方审计工具
  • 日志管理：集中管理审计日志
  • 日志分析：定期分析审计日志，发现异常

审计报告 ​

  • 定期报告：生成定期的密码管理审计报告
  • 异常报告：当发现异常时生成报告
  • 合规报告：生成密码管理合规性报告
  • 管理层报告：向管理层提交密码管理审计报告

密码管理自动化 ​

自动化工具 ​

  • 密码管理系统：使用专门的密码管理系统
  • 自动密码重置：实现密码的自动重置
  • 自动过期提醒：自动发送密码过期提醒
  • 自动审计：自动执行密码管理审计

自动化流程 ​

  • 服务账户密码管理：自动化服务账户密码的生成和管理
  • 密码强度检查：自动检查密码强度
  • 密码策略执行：自动执行密码策略
  • 异常检测：自动检测密码相关的异常情况

自动化集成 ​

  • 与身份管理系统集成：与企业身份管理系统集成
  • 与监控系统集成：与企业监控系统集成
  • 与告警系统集成：与企业告警系统集成
  • 与工单系统集成：与企业工单系统集成

密码管理合规性 ​

合规要求 ​

  • 行业标准：符合行业密码管理标准
  • 法规要求：符合相关法规的密码管理要求
  • 内部政策：符合企业内部密码管理政策
  • 审计要求：满足审计对密码管理的要求

合规性评估 ​

  • 定期评估：定期评估密码管理的合规性
  • 差距分析：分析密码管理与合规要求的差距
  • 改进计划：制定密码管理合规性改进计划
  • 合规性报告：生成密码管理合规性报告

合规性文档 ​

  • 密码管理政策：制定正式的密码管理政策文档
  • 密码管理流程：记录密码管理的详细流程
  • 合规性证明：提供密码管理合规性的证明文档
  • 审计响应准备：准备应对审计的密码管理相关文档

常见问题（FAQ） ​

Q1: 如何在 Oracle 中创建密码验证函数？ ​

A1: 在 Oracle 中创建密码验证函数的方法：

  1. 创建验证函数：

    sql
    CREATE OR REPLACE FUNCTION verify_password(
    username VARCHAR2,
    password VARCHAR2,
    old_password VARCHAR2
) RETURN BOOLEAN AS
    len PLS_INTEGER;
    has_upper BOOLEAN := FALSE;
    has_lower BOOLEAN := FALSE;
    has_digit BOOLEAN := FALSE;
    has_special BOOLEAN := FALSE;
    special_chars VARCHAR2(100) := '!@#$%^&*()_+-=[]{}|;':",.<>?/';
BEGIN
    -- 检查密码长度
    len := LENGTH(password);
    IF len < 12 THEN
        RAISE_APPLICATION_ERROR(-20001, '密码长度必须至少为 12 个字符');
    END IF;

    -- 检查密码复杂性
    FOR i IN 1..len LOOP
        IF REGEXP_LIKE(SUBSTR(password, i, 1), '[A-Z]') THEN
            has_upper := TRUE;
        ELSIF REGEXP_LIKE(SUBSTR(password, i, 1), '[a-z]') THEN
            has_lower := TRUE;
        ELSIF REGEXP_LIKE(SUBSTR(password, i, 1), '[0-9]') THEN
            has_digit := TRUE;
        ELSIF INSTR(special_chars, SUBSTR(password, i, 1)) > 0 THEN
            has_special := TRUE;
        END IF;
    END LOOP;

    IF NOT (has_upper AND has_lower AND has_digit AND has_special) THEN
        RAISE_APPLICATION_ERROR(-20002, '密码必须包含大写字母、小写字母、数字和特殊字符');
    END IF;

    -- 检查密码历史
    IF old_password IS NOT NULL THEN
        IF password = old_password THEN
            RAISE_APPLICATION_ERROR(-20003, '新密码不能与旧密码相同');
        END IF;
    END IF;

    RETURN TRUE;
END;
/

  2. 创建配置文件并关联验证函数：

    sql
    CREATE PROFILE secure_profile LIMIT
    PASSWORD_LIFE_TIME 90
    PASSWORD_GRACE_TIME 7
    PASSWORD_REUSE_MAX 10
    PASSWORD_REUSE_TIME 365
    FAILED_LOGIN_ATTEMPTS 5
    PASSWORD_LOCK_TIME 1
    PASSWORD_VERIFY_FUNCTION verify_password;

  3. 将配置文件分配给用户：

    sql
    ALTER USER scott PROFILE secure_profile;

Q2: 如何在 Oracle 中查看用户的密码策略设置？ ​

A2: 在 Oracle 中查看用户密码策略设置的方法：

  1. 查看用户的配置文件：

    sql
    SELECT username, profile FROM dba_users WHERE username = 'SCOTT';

  2. 查看配置文件的密码策略设置：

    sql
    SELECT resource_name, limit FROM dba_profiles 
WHERE profile = 'SECURE_PROFILE' 
AND resource_type = 'PASSWORD';

  3. 查看密码验证函数：

    sql
    SELECT resource_name, limit FROM dba_profiles 
WHERE profile = 'SECURE_PROFILE' 
AND resource_name = 'PASSWORD_VERIFY_FUNCTION';

  4. 查看账户状态和密码过期信息：

    sql
    SELECT username, account_status, lock_date, expiry_date 
FROM dba_users WHERE username = 'SCOTT';

Q3: Oracle 密码过期后如何处理？ ​

A3: Oracle 密码过期后的处理方法：

  1. 用户端处理：

    • 用户尝试登录时会收到密码过期的提示
    • 用户需要修改密码才能继续登录
    • 示例：
      ERROR: ORA-28001: the password has expired

Changing password for SCOTT
New password:
Retype new password:
Password changed

  2. 管理员处理：

    • 管理员可以为过期密码的用户重置密码
    • 示例：
      sql
      ALTER USER scott IDENTIFIED BY new_password;

  3. 批量处理：

    • 对于多个密码过期的用户，可以使用脚本批量处理
    • 示例：
      sql
      DECLARE
    CURSOR c_expired_users IS
        SELECT username FROM dba_users 
        WHERE account_status LIKE '%EXPIRED%';
BEGIN
    FOR user_rec IN c_expired_users LOOP
        EXECUTE IMMEDIATE 'ALTER USER ' || user_rec.username || ' IDENTIFIED BY Temp1234';
        DBMS_OUTPUT.PUT_LINE('Reset password for ' || user_rec.username);
    END LOOP;
END;
/

  4. 密码过期预防：

    • 实施密码过期提醒机制
    • 定期检查即将过期的密码
    • 制定密码管理流程，确保用户及时修改密码

Q4: 如何解锁 Oracle 被锁定的用户账户？ ​

A4: 解锁 Oracle 被锁定用户账户的方法：

  1. 查看被锁定的账户：

    sql
    SELECT username, account_status, lock_date 
FROM dba_users WHERE account_status LIKE '%LOCKED%';

  2. 解锁账户：

    sql
    ALTER USER scott ACCOUNT UNLOCK;

  3. 解锁并重置密码：

    sql
    ALTER USER scott IDENTIFIED BY new_password ACCOUNT UNLOCK;

  4. 批量解锁账户：

    sql
    DECLARE
    CURSOR c_locked_users IS
        SELECT username FROM dba_users 
        WHERE account_status LIKE '%LOCKED%';
BEGIN
    FOR user_rec IN c_locked_users LOOP
        EXECUTE IMMEDIATE 'ALTER USER ' || user_rec.username || ' ACCOUNT UNLOCK';
        DBMS_OUTPUT.PUT_LINE('Unlocked account ' || user_rec.username);
    END LOOP;
END;
/

  5. 解锁后处理：

    • 通知用户账户已解锁
    • 要求用户登录后修改密码
    • 检查账户锁定原因，防止再次锁定

Q5: 如何在 Oracle 中实现密码策略的自动化管理？ ​

A5: 在 Oracle 中实现密码策略自动化管理的方法：

  1. 使用 Oracle Enterprise Manager：

    • Oracle Enterprise Manager 提供了密码策略管理的图形化界面
    • 可以通过它设置和管理密码策略
    • 可以监控密码状态和过期情况

  2. 开发自动化脚本：

    • 密码过期提醒脚本：定期检查即将过期的密码并发送提醒
    • 账户锁定检查脚本：监控账户锁定情况并处理
    • 密码策略合规性检查脚本：检查用户密码是否符合策略要求

  3. 使用第三方工具：

    • 使用专业的密码管理工具，如 Oracle Identity Manager
    • 这些工具提供更全面的密码管理功能
    • 支持与企业其他系统集成

  4. 实现自助服务：

    • 开发密码自助服务系统，允许用户：
      • 自助修改密码
      • 自助重置密码
      • 查看密码状态和过期信息
      • 接收密码相关的通知

  5. 集成监控系统：

    • 将密码管理与企业监控系统集成
    • 设置密码相关的告警阈值
    • 当检测到异常时自动触发告警
    • 实现密码事件的自动响应