DBAtlas · Veritabanı operasyon atlası

Parola politikası için profile oluştur ve kullanıcıya ata

OracleGüvenlik

Komut

-- Uygulama/insan kullanicilari icin sikilastirilmis profile:
CREATE PROFILE app_kullanici_prf LIMIT
  FAILED_LOGIN_ATTEMPTS    5
  PASSWORD_LOCK_TIME       1/24          -- 1 saat kilit
  PASSWORD_LIFE_TIME       90
  PASSWORD_GRACE_TIME      7
  PASSWORD_REUSE_TIME      365
  PASSWORD_REUSE_MAX       10
  INACTIVE_ACCOUNT_TIME    60            -- 60 gun kullanilmayan hesap kilitlenir
  PASSWORD_VERIFY_FUNCTION ora12c_strong_verify_function;

-- Servis hesaplari: parola suresi dolmasin, kademeli parola degisimi (rollover) acik:
CREATE PROFILE servis_hesabi_prf LIMIT
  FAILED_LOGIN_ATTEMPTS    UNLIMITED
  PASSWORD_LIFE_TIME       UNLIMITED
  PASSWORD_ROLLOVER_TIME   1;            -- 1 gun eski+yeni parola birlikte gecerli

ALTER USER musteri_app PROFILE app_kullanici_prf;

-- Kontrol:
SELECT username, profile, account_status,
       TO_CHAR(expiry_date,'YYYY-MM-DD') AS expiry_date, lock_date
FROM   dba_users
WHERE  profile IN ('APP_KULLANICI_PRF', 'SERVIS_HESABI_PRF');

SELECT profile, resource_name, limit
FROM   dba_profiles
WHERE  profile = 'APP_KULLANICI_PRF' AND resource_type = 'PASSWORD'
ORDER  BY resource_name;

Ne yapar?

Profile ile hatalı giriş kilidi, parola ömrü, tekrar kullanım, karmaşıklık (verify function) ve uzun süre kullanılmayan hesabın kilitlenmesi kuralları kullanıcı grubuna uygulanır. PASSWORD_ROLLOVER_TIME, servis hesabının parolası değiştirilirken uygulamaların kesintisiz geçişini sağlar.

Ne zaman kullanılır?

Güvenlik denetimi/CIS benchmark gereksinimlerinde, yeni uygulama kullanıcıları açılırken, DEFAULT profile'ın gevşek değerlerini kullanıcı gruplarına göre ayırmak için.

Dikkat

Ek lisans gerektirmez. Servis hesabına FAILED_LOGIN_ATTEMPTS sınırı koymak, yanlış parolalı bir uygulama sunucusunun hesabı kilitleyip prod kesintisi yaratmasına yol açabilir. PASSWORD_LIFE_TIME uygulama hesaplarında beklenmedik EXPIRED durumuna neden olur. Verify function SYS altında olmalı (yoksa @?/rdbms/admin/utlpwdmg.sql; bu script DEFAULT profile'ı da değiştirir). Profile değişikliği mevcut parolayı geriye dönük denetlemez.

DBAtlas'ta aç →

İlgili