第21回：DB作成時の初期セキュリティ設定～DEFAULT PROFILE と undopwd.sql (19c でファイルがなくなった際の対応方法)～

技術者向け・データベースの技術情報発信

2020.11.30

はじめに

以下のような事象に遭遇したことはないでしょうか。

Oracle のデータベースユーザのパスワードがわからなくなってしまい色々と試していたらユーザがロックされてしまった
Oracle データベースを作成してしばらくしたら突然正しいパスワードを入れているにもかかわらず「パスワードが期限切れです。」というメッセージとともに接続できなくなってしまった

これは、Oracle データベースの PROFILE によってデフォルトで設定されている動作となります。
PROFILE には、ユーザ毎のリソース(CPU/メモリ等)を制限する機能と、ユーザのログインパスワードを制限する機能の2つがありますが、本記事では後者について解説します。

PROFILEの項目

PROFILE の内容は以下で確認することができます。

SELECT PROFILE, RESOURCE_NAME, RESOURCE_TYPE, LIMIT
FROM DBA_PROFILES
WHERE PROFILE = 'DEFAULT' AND RESOURCE_TYPE = 'PASSWORD'
ORDER BY RESOURCE_NAME ;

結果は以下のようになります。

PROFILE              RESOURCE_NAME                  RESOURCE LIMIT
-------------------- ------------------------------ -------- --------------------
DEFAULT              FAILED_LOGIN_ATTEMPTS          PASSWORD 10
DEFAULT              INACTIVE_ACCOUNT_TIME          PASSWORD UNLIMITED
DEFAULT              PASSWORD_GRACE_TIME            PASSWORD 7
DEFAULT              PASSWORD_LIFE_TIME             PASSWORD 180
DEFAULT              PASSWORD_LOCK_TIME             PASSWORD 1
DEFAULT              PASSWORD_REUSE_MAX             PASSWORD UNLIMITED
DEFAULT              PASSWORD_REUSE_TIME            PASSWORD UNLIMITED
DEFAULT              PASSWORD_VERIFY_FUNCTION       PASSWORD NULL

連続ログイン失敗時のロック

FAILED_LOGIN_ATTEMPTS の回数だけ「連続で」パスワードを間違えた場合にロックされ、そのロックは PASSWORD_LOCK_TIME の日数だけ継続されます。

デフォルトの設定の場合、10回連続で間違えると 1日(24時間) ロックとなります。

パスワード有効期限

ユーザ作成後 PASSWORD_LIFE_TIME 日経過するとパスワードが無効になります。
その後 PASSWORD_GRACE_TIME 日であれば、警告が出てログインは可能ですが、その期間内にパスワードを変えないとログイン不可となります。

アプリケーションからの接続時、このメッセージ(ORA-28002 , ORA-28001) に対するハンドリングがなされていない場合には、PASSWORD_LIFE_TIME 経過時点でエラーとして処理されてしまう可能性があります。

制限解除方法

それぞれ、以下のSQLにて制限の解除が可能です。

連続ログイン失敗時のロックを行わないようにする

ALTER PROFILE DEFAULT LIMIT
FAILED_LOGIN_ATTEMPTS UNLIMITED
PASSWORD_LOCK_TIME UNLIMITED;

パスワードの有効期限を無期限にする

ALTER PROFILE DEFAULT LIMIT
PASSWORD_LIFE_TIME UNLIMITED
PASSWORD_GRACE_TIME UNLIMITED;

上記2つの実行をした後に PROFILE を確認すると以下の通りとなります。

PROFILE              RESOURCE_NAME                  RESOURCE LIMIT
-------------------- ------------------------------ -------- --------------------
DEFAULT              FAILED_LOGIN_ATTEMPTS          PASSWORD UNLIMITED
DEFAULT              INACTIVE_ACCOUNT_TIME          PASSWORD UNLIMITED
DEFAULT              PASSWORD_GRACE_TIME            PASSWORD UNLIMITED
DEFAULT              PASSWORD_LIFE_TIME             PASSWORD UNLIMITED
DEFAULT              PASSWORD_LOCK_TIME             PASSWORD UNLIMITED
DEFAULT              PASSWORD_REUSE_MAX             PASSWORD UNLIMITED
DEFAULT              PASSWORD_REUSE_TIME            PASSWORD UNLIMITED
DEFAULT              PASSWORD_VERIFY_FUNCTION       PASSWORD NULL

Oracle 19c での undopwd.sql について

ここまでの記載を読まれた方の中には「undopwd.sql を実行すればよいのでは？」と気付かれた方もいらっしゃると思います。

Oracle18c までは Oracle をインストールしたディレクトリ/rdbms/admin の中にundopwd.sql というSQLがあらかじめ準備されており、このSQLを実行するとPASSWORD_LOCK_TIME , PASSWORD_LIFE_TIME , PASSWORD_GRACE_TIME を一括で UNLIMITED に変更することが可能でしたが、Oracle19c ではこのSQL自体が Oracle をインストールしたディレクトリから無くなっています。

Oracle18c

$ ls -l $ORACLE_HOME/rdbms/admin/undoaud.sql
-rw-r--r--. 1 oracle18 oinstall 1519 May 29  2017 /app/oracle18/product/18.1.0/dbhome_1/rdbms/admin/undoaud.sql

Oracle19c

$ ls -l $ORACLE_HOME/rdbms/admin/undoaud.sql
ls: cannot access /app/oracle19/product/19.0.0/dbhome_1/rdbms/admin/undoaud.sql: No such file or directory