Windows下Oracle11g中使用外部操作系统账户验证

fgswe

在windows2008R2下安装Oracle11g，在安装oracle的服务器上可以使用OS的账户登陆oracle，远程OS，比如win7也是可以使用本地OS的账户登陆的。
需要设置多个参数。
以dba的权限登陆oracle
C:\Users\administrator>sqlplus /nolog
SQL*Plus: Release 11.2.0.1.0 Production on  2月 12 16:39:03 2015
Copyright (c) 1982, 2010, Oracle.  All rights reserved.
SQL> conn / as sysdba

已连接。

SQL> show user
USER 为 "SYS"
如果显示用户为sys，说明服务器本机的使用OS账户认证是成功的。
如果不行，那么需要确定一些地方。
安装路径\product\11.2.0\dbhome_1\NETWORK\ADMIN
下的sqlnet.ora文件
SQLNET.AUTHENTICATION_SERVICES= (NTS)
是否括号里有NTS， (NONE,NTS)也可以
NAMES.DIRECTORY_PATH= (TNSNAMES, EZCONNECT)
这里的TNSNAMES是对应tnsnames.ora文件的，是为了sqlplus命令解析SID标示
SQL> conn [url=]/@orcl[/url]
这个标示就是orcl，对应文件里对orcl的解析说明host，port，以及SERVICE_NAME

当然用sys账户加密码也能登录。
SQL> conn sys/password as sysdba
已连接。
确定初始化参数
①SQL> show parameter os_authent_prefix
NAME                                 TYPE        VALUE
------------------------------------ ----------- ------------
os_authent_prefix                    string      OPS$
SQL>
这个OPS$是前缀，可以为空，但是不能用null，空就用“”就好。
这是为了区别oracle用户还是OS用户，OS用户前面加上OPS$
②为了远程的客户机可以用，
SQL> show parameter remote_os_authent
NAME                                 TYPE        VALUE
------------------------------------ ----------- ---------
remote_os_authent                    boolean     FALSE
这里显示为FALSE，必须修改
SQL>ALTER SYSTEM SET REMOTE_OS_AUTHENT = TRUE SCOPE = SPFILE;
然后重启数据库
SHUTDOWN IMMEDIATE
STARTUP
③远程连接参数
SQL> show parameter remote_login_passwordfile
NAME                                 TYPE        VALUE
------------------------------------ ----------- -----------------
remote_login_passwordfile            string      EXCLUSIVE
EXCLUSIVE就可以了。
NONE是不允许远程口令文件，SHARED出现在老版本，目前和EXCLUSIVE效果相同。
然后开始在oracle里做映射OS的账户
SQL> create user ops$administrator identified externally;
User created.
给连接等的授权
SQL> grant connect,resource to ops$administrator;
Grant succeeded.
然后现在服务器上登录一下看看
SQL> conn /
已连接。

SQL> show user
USER 为 "OPS$ADMINISTRATOR"
加不加as sysdba是为了是否用数据库的管理员模式登录

下面进入远程接续
在客户端win7里安装oracle的客户端软件
之后配置sid的连接，sqlnet.ora文件里的参数同样必须有NTS，这是OS认证的关键
NAMES.DIRECTORY_PATH= (TNSNAMES, EZCONNECT)也必须有
编辑tnsnames.ora也是关键
ORCL =
  (DESCRIPTION =
    (ADDRESS = (PROTOCOL = TCP)(HOST = ORACLE)(PORT = 1521))
    (CONNECT_DATA =
      (SERVER = DEDICATED)
      (SERVICE_NAME = orcl)
    )
  )
这里的(HOST = ORACLE)是那个安装了windows2008的服务器的机器名，如果没有域支持，需要带完整域名， (SERVICE_NAME = orcl)是远程服务器上定义的服务名，不能错。
然后在客户端上尝试一下
SQL> conn /
已连接。

SQL> show user
USER 为 "OPS$ADMINISTRATOR"

这样做方便是方便了，但是安全性就丧失了。
来尝试一下，在客户机做一个administrator账号，但是和服务器的administrator账户的密码不同，还能连接上吗，答案是肯定的，还是可以。也就是说，remote_os_authent为true的时候，服务器端是不确认密码的，是在客户端的OS上确认密码，那么客户端如果自己有管理员权限，那么做什么名字的账户都可以，就没安全性了，当然使用必须是在隔离与互联网的环境下，不然死的更难看。也应该在域的环境下使用，客户端的登录用户都由域来控制，认证的用户名带域名认证，确保客户端和服务器端的认证都可以信任。如果想忽略域名认证用户名，可以在服务器端的OS里修改注册表
HKEY_LOCAL_MACHINE\SOFTWARE\ORACLE\KEY_OraDb11g_home1
添加文字列OSAUTH_PREFIX_DOMAIN，值为FALSE
当然不推荐这么做。