CentOS 上 SQL*Plus 权限管理要点
在 CentOS 环境中，SQL*Plus 只是 Oracle 的客户端工具，真正的权限发生在数据库侧（用户、系统权限、对象权限、角色、配额与概要文件）。因此，管理流程是：在操作系统侧确保以具备 DBA 权限的 oracle 用户运行 SQL*Plus，在数据库侧完成用户与权限的创建与回收，必要时再配置远程访问与防火墙策略。
一、管理流程与环境准备
- 切换到 oracle 系统用户并登录数据库：
- 命令：su - oracle；sqlplus / as sysdba
- 常用启停与监听（便于维护时控制实例与网络）：
- 启动/停止数据库：startup / shutdown immediate
- 监听管理：lsnrctl start | stop | status
- 说明：SQL*Plus 的权限与系统用户（如 root、oracle）的 Linux 文件权限无关，核心在于数据库内的授权与对象访问控制。
二、数据库侧权限管理核心操作
- 创建用户与表空间（示例）：
- 创建表空间：CREATE TABLESPACE app_data DATAFILE ‘/u01/app/oracle/oradata/ORCL/app01.dbf’ SIZE 500M AUTOEXTEND ON NEXT 32M MAXSIZE 2G;
- 创建临时表空间：CREATE TEMPORARY TABLESPACE app_temp TEMPFILE ‘/u01/app/oracle/oradata/ORCL/app_temp.dbf’ SIZE 200M AUTOEXTEND ON;
- 创建用户并指定默认表空间与临时表空间：CREATE USER appuser IDENTIFIED BY app123 DEFAULT TABLESPACE app_data TEMPORARY TABLESPACE app_temp;
- 授予登录与资源权限：
- 最小登录：GRANT CREATE SESSION TO appuser;
- 开发与日常对象操作常用：GRANT CONNECT, RESOURCE TO appuser;（注意：RESOURCE 隐含建表等能力）
- 管理员：GRANT DBA TO admin_user;（谨慎授予）
- 对象权限与转授权：
- 授予某表对象权限：GRANT SELECT, INSERT, UPDATE, DELETE ON schema.table TO appuser;
- 允许转授：在 GRANT 语句末尾加 WITH GRANT OPTION；回收转授权可用 REVOKE … FROM … CASCADE CONSTRAINTS;
- 角色管理与默认角色：
- 创建角色：CREATE ROLE app_role;
- 给角色授权：GRANT CREATE TABLE, CREATE VIEW TO app_role;
- 授予用户并设为默认：GRANT app_role TO appuser; ALTER USER appuser DEFAULT ROLE app_role;
- 表空间配额（避免 ORA-01950 等错误）：
- 为用户分配配额：ALTER USER appuser QUOTA 100M ON app_data; 或 ALTER USER appuser QUOTA UNLIMITED ON app_data;
- 回收与锁定：
- 回收权限：REVOKE CREATE TABLE FROM appuser;
- 锁定/解锁：ALTER USER appuser ACCOUNT LOCK | UNLOCK;
- 常见报错与定位：
- ORA-01045：缺少 CREATE SESSION（授予登录权限即可）
- ORA-01031：权限不足（检查是否缺少系统权限、对象权限或角色）
- ORA-01950：表空间无配额（为用户分配配额或授予含配额能力的角色）
三、远程连接与防火墙要点
- 服务器端开放监听端口（默认 1521/TCP）：
- 命令：firewall-cmd --zone=public --add-port=1521/tcp --permanent；firewall-cmd --reload
- 客户端连接示例：
- 命令：sqlplus appuser/app123@//dbserver.example.com:1521/orclpdb
- 说明：远程能否成功取决于数据库监听、网络连通与数据库用户权限三要素。
四、最小权限与合规建议
- 遵循最小权限原则：普通应用用户仅授予所需的系统权限与对象权限，避免直接授予 DBA；优先通过自定义角色进行批量授权与回收。
- 明确对象属主与粒度：以对象属主（schema）执行授权，避免跨 schema 授权混乱；必要时使用同义词与视图封装访问。
- 审计与变更留痕：对关键对象的 GRANT/REVOKE 建立变更流程与审计策略，定期核查用户权限与默认角色分配。
