Oracle profile 使用者資源限制 說明

 

一、官網說明

Oracle recommends that you use the Database Resource Manager rather than the SQL statement to establish resource limits. The Database Resource Manager offers a more flexible means of managing and tracking resource use.

Purpose:

Use the CREATE PROFILE statement to create a profile, which is a set of limits on database resources. If you assign the profile to a user, then that user cannot exceed these limits.

Oracle系統中的profile可以用來對使用者所能使用的資料庫資源進行限制。使用create profile命令建立一個profile，用它來實現對資料庫資源的限制使用。如果把該profile分配給使用者，則該使用者所能使用的資料庫資源都在該profile的限制之內。

 

Prerequisites:

To create a profile, you must have the CREATE PROFILE system privilege.

To specify resource limits for a user, you must:

(1). Enable resource limits dynamically  with the ALTER SYSTEM statement or with the initialization parameter RESOURCE_LIMITS. This parameter does not apply to password resources. Password resources are always enabled.

(2). Create a profile that defines the limits using the CREATE PROFILE statement.

(3). Assign the profile to the user using the CREATE USER or ALTER USER statement.

 

 

二、PROFILE管理

Profile是口令限制、資源限制的命名集合。建立oracle資料庫時，oracle會自動建立名為DEFAULT的profile，初始化的DEFAULT沒有進行任何口令和資源限制。

1、使用PROFILE有以下一些注意事項：

（1）、建立PROFILE時，如果只設定了部分口令或資源限制選項，其他選項會自動使用預設值（DEFAULT的相應選項）。

（2）、建立使用者時，如果不指定PROFILE選項，oracle會自動將DEFAULT分配給相應的資料庫使用者。

（3）、一個使用者只能分配一個PROFILE。如果要同時管理使用者的口令和資源，那麼在建立PROFILE時應該同時指定口令和資源選項。

（4）、使用PROFILE管理口令時，口令管理選項總是處於被啟用狀態。但如果使用PROFILE管理資源，必須要啟用資源限制。

 

2、條件

建立profile必須要有CREATE PROFILE的系統許可權。

 

（1）、動態地使用alter system或使用初始化引數resource_limit使資源限制生效。該改變對密碼資源無效，密碼資源總是可用。

SQL> show parameter resource_limit

 

NAME                                 TYPE        VALUE

------------------------------------ -----------

resource_limit                   boolean      FALSE

 

SQL> alter system set resource_limit=true;

 

系統已更改。

 

SQL> show parameter resource_limit

 

NAME                                 TYPE        VALUE

------------------------------------ -----------

resource_limit                       boolean     TRUE

 

 

（2）、使用create profile建立一個定義對資料庫資源進行限制的profile。

 

SQL> create profile test

  2  limit

  3  idle_time 30

  4  connect_time 480;

 

配置檔案已建立

 

IDLE_TIME Specify the permitted periods of continuous inactive time during a session, expressed in mimutes. Long-running queries and other operations are not subject to this limit.

CONNECT_TIME Specify the total elapsed time limit for a session, expressed in minutes.

 

（3）、使用create user 或 alter user命令把profile分配給使用者。

SQL> create user lxh identified by lxh profile test;

 

使用者已建立。               --建立使用者時指定profile

 

SQL> alter user lxh profile test;        --修改使用者的profile

 

使用者已更改。

 

SQL> alter user lxh profile default;       --還原預設值

 

使用者已更改。

 

 

（4）、修改PROFILE

SQL> alter profile test limit idle_time 60;

 

配置檔案已更改

 

 

（5）、刪除PROFILE

SQL> drop profile test;

 

配置檔案已刪除。

 

SQL> drop profile test cascade;

 

 

注意：

  1). 已分配的profile，刪除時必須加cascade選項。

  2). 必須要有create profile許可權，才能建立profile。

  3). DEFAULT為預設profile，不能刪除。

 

 

（6）、獲取資訊

可以從dba_profiles表和dba_users表查詢profile的資訊。如：

 

SQL> select profile from dba_users where username='LXH';

 

PROFILE

------------------------------

TEST

 

 

SQL> select * from dba_profiles where profile='TEST';

 

PROFILE    RESOURCE_NAME                    RESOURCE LIMIT

---------- -------------------------------- -------- --------------

TEST       COMPOSITE_LIMIT                  KERNEL   DEFAULT

TEST       SESSIONS_PER_USER                KERNEL   DEFAULT

TEST       CPU_PER_SESSION                  KERNEL   DEFAULT

TEST       CPU_PER_CALL                     KERNEL   DEFAULT

TEST       LOGICAL_READS_PER_SESSION        KERNEL   DEFAULT

TEST       LOGICAL_READS_PER_CALL           KERNEL   DEFAULT

TEST       IDLE_TIME                        KERNEL   30

TEST       CONNECT_TIME                     KERNEL   480

TEST       PRIVATE_SGA                      KERNEL   DEFAULT

TEST       FAILED_LOGIN_ATTEMPTS            PASSWORD DEFAULT

TEST       PASSWORD_LIFE_TIME               PASSWORD DEFAULT

 

PROFILE    RESOURCE_NAME                    RESOURCE LIMIT

---------- -------------------------------- -------- --------------

TEST       PASSWORD_REUSE_TIME              PASSWORD DEFAULT

TEST       PASSWORD_REUSE_MAX               PASSWORD DEFAULT

TEST       PASSWORD_VERIFY_FUNCTION        PASSWORD DEFAULT

TEST       PASSWORD_LOCK_TIME               PASSWORD DEFAULT

TEST       PASSWORD_GRACE_TIME              PASSWORD DEFAULT

 

已選擇16行。

 

 

三、Profile建立語法及解釋

1、語法

 

resource_parameters::=

 

password_parameters::=

 

2、語法解釋

profile：配置檔案的名稱。Oracle資料庫以以下方式強迫資源限制：

        1.如果使用者超過了connect_time 或 idle_time的會話資源限制，資料庫就會回滾當前事務，並結束會話。使用者在此執行命令，資料庫則返回一個錯誤。

        2.如果使用者試圖執行超過其他的會話資源限制的操作，資料庫放棄操作，回滾當前事務並立即返回錯誤。使用者之後可以提交或回滾當前事務，必須結束會話。

        提示：可以將一條分成多個段，如1小時（1/24天）來限制時間。可以為使用者指定資源限制，但是資料庫只有在引數生效後才會執行限制。

 

Unlimited:分配該profile的使用者對資源使用無限制。當使用密碼引數時，unlimited意味著沒有對引數加限制。

Default: 指定為default意味著忽略對profile中的一些資源限制。Default profile初始定義對資源不限制，可以通過alter profile命令來改變。

 

（1）、resource_parameters部分

SESSION_PER_USER：指定限制使用者的併發會話的數目。

CPU_PER_SESSION：指定會話的CPU時間限制，單位為百分之一秒。

CPU_PER_CALL：指定一次呼叫（解析、執行和提取）的CPU時間限制，單位為百分之一秒。

CONNECT_TIME：指定會話的總的連線時間，單位為分鐘。

IDLE_TIME：指定會話允許連續不活動的總的時間，單位為分鐘。超過該時間，會話將斷開。但是長時間進行查詢和其他操作的不受此限制。

LOGICAL_READS_PER_SESSION：指定一個會話允許讀的資料塊的數目，包括從內測和磁碟讀的所有資料塊。

LOGICAL_READ_PER_CALL：指定一次執行SQL（解析、執行和提取）呼叫所允許讀的資料塊的最大數目。

PRIVATE_SGA：指定一個會話可以在共享池（SGA）中所允許分配的最大空間，以位元組為單位。（該限制只在使用共享伺服器結構時才有效，會話在SGA中的私有空間包括私有SQL和PL/SQL，但不包括共享的SQL和PL/SQL）。

COMPOSITE_LIMIT：指定一個會話的總的資源消耗。以service units單位表示。Oracle資料庫以有利的方式計算cpu_per_session，connect_time，logical_reads_per_session和private_sga總的service units。

 

（2）、password_parameter部分

FAILED_LOGIN_ATTEMPTS：指定在賬戶被鎖定之前所允許嘗試登陸的最大次數。

PASSWORD_LIFE_TIME：指定同一密碼所允許使用的天數。如果同時指定了PASSWORD_GRACE_TIME引數，如果在grace period內沒有改變密碼，則密碼會失效，連線資料庫被拒絕。如果沒有設定PASSWORD_GRACE_TIME引數，預設值unlimited將引發一個資料庫警告，但是允許使用者繼續連線。

PASSWORD_REUSE_TIME和PASSWORD_REUSE_MAX：這兩個引數必須相互關聯設定。PASSWORD_REUSE_TIME指定了密碼不能重用前的天數，而PASSWORD_REUSE_MAX則指定了當前密碼被重用之前密碼改變的次數。兩個引數都必須被設定為整數。

1).如果為這兩個引數指定了整數，則使用者不能重用密碼直到密碼被改變了PASSWORD_REUSE_MAX指定的次數以後在PASSWORD_REUSE_TIME指定的時間內。

如：PASSWORD_REUSE_TIME=30，PASSWORD_REUSE_MAX=10，使用者可以在30天以後重用該密碼，要求密碼必須被改變超過10次。

2). 如果指定了其中的一個為整數，而另一個為unlimited，則使用者永遠不能重用一個密碼。

3). 如果指定了其中的一個為default，Oracle資料庫使用定義在profile中的預設值。預設情況下，所有的引數在profile中都被設定為unlimited，如果沒有改變profile預設值，資料庫對該值總是預設為unlimited。

4). 如果兩個引數都設定為unlimited，則資料庫忽略他們。

PASSWORD_LOCK_TIME：指定登陸嘗試失敗次數到達後賬戶的鎖定時間，以天為單位。

PASSWORD_GRACE_TIME：指定寬限天數。資料庫發出警告到登陸失效前的天數。如果資料庫密碼在這中間沒有被修改，則過期會失效。

PASSWORD_VERIFY_FUNCTION：該欄位允許將複雜的PL/SQL密碼驗證指令碼作為引數傳遞到create profile語句。Oracle資料庫提供了一個預設的指令碼，但是自己可以建立自己的驗證規則或使用第三方軟體驗證。對Function名稱，指定的密碼驗證規則的名稱，指定為NULL則意味著不適用密碼驗證功能。如果為密碼引數指定表示式，則該表示式可以是任意格式，除了資料庫標量子查詢。

 

 

 

 

 

 

 

 

 

來自 “ ITPUB部落格 ” ，連結：http://blog.itpub.net/25744374/viewspace-775622/，如需轉載，請註明出處，否則將追究法律責任。