详说Oracle Vault——原理、安装与配置 - 数据库编程

1、Oracle Vault简述

Oracle Vault是官方推荐的security策略之一，它主要用于运维机构中对数据的保护。传统意义的Oracle安全是一种“sys上帝”的主宰模型。我们虽然有各种系统、角色和对象权限，虽然各种安全手册要我们使用非sys用户进行维护工作，但是很多数据库管理员还是在使用sys进行所有工作。一些数据防护技术，比如VPD虽然可以实现数据层面的控制，但是对sys也是无效的。

更重要的是一些any类的系统权限，如select any table，一旦赋予，用户其实就控制了所有数据表的数据访问。这个是非常武断的做法，潜藏着很大问题。

在“sys上帝”的前提控制下，这样的局面是控制不住的。因为一些运维操作，如数据备份、导入导出是避免不了高级访问权限的。“要么不做、要么别管”就是我们目前很多运维机构的现状。

Oracle Vault提供了sys用户削权的一种选择。作为Oracle数据库的一个可选组件，Vault是需要额外的文件链接、注册和安装的。安装vault之后，Oracle会去创建一个全新的用户dbvowner，原有的sys对一些数据的操作和访问权限，也都有进行控制的可能。

Vault中的三个核心要素：Realm（领域）、Factor（因素）和规则（Rule）。从数据对象、操作命令等多个方面来限制或者保护特定的对象。

本系列中，会介绍Oracle Vault的安装、配置和使用方法。首先，我们介绍如何进行vault安装。

2、Oracle Vault前提

默认企业版中，Vault是不会安装的。我们需要手工的进行编译、安装，才能使用。

我们采用Oracle 11gR2进行测试，版本号为11.2.0.4。

SQL> select * from v$version;

BANNER

-----------------------------------------

Oracle Database 11g Enterprise Edition Release 11.2.0.4.0 - Production

PL/SQL Release 11.2.0.4.0 - Production

CORE 11.2.0.4.0 Production

TNS for Linux: Version 11.2.0.4.0 - Production

NLSRTL Version 11.2.0.4.0 - Production

判断当前vault是否安装，查看v$option视图。

SQL> select * from v$option where parameter like '%Vault%';

PARAMETER VALUE

------------------------- ----------

Oracle Database Vault FALSE

安装配置之前，要将数据库、监听程序、DB Console关闭。

--监听程序

[oracle@SimpleLinux ~]$ lsnrctl stop

LSNRCTL for Linux: Version 11.2.0.4.0 - Production on 07-APR-2014 12:41:34

Connecting to (DESCRIPTION=(ADDRESS=(PROTOCOL=TCP)(HOST=SimpleLinux)(PORT=1521)))

The command completed successfully

--Console

[oracle@SimpleLinux ~]$ emctl stop dbconsole

Oracle Enterprise Manager 11g Database Control Release 11.2.0.4.0

Copyright (c) 1996, 2013 Oracle Corporation. All rights reserved.

https://SimpleLinux:1158/em/console/aboutApplication

Stopping Oracle Enterprise Manager 11g Database Control ...

... Stopped.

--Database Server

SQL> shutdown immediate;

Database closed.

Database dismounted.

ORACLE instance shut down.

3、组件编译

Oracle Vault是依赖Label Security，需要在操作系统层面上启动配置。在Linux/Unix环境下，使用make进行配置链接。

[oracle@SimpleLinux lib]$ cd $ORACLE_HOME/rdbms/lib

[oracle@SimpleLinux lib]$ make -f ins_rdbms.mk dv_on lbac_on ioracle

/usr/bin/ar d /u01/app/oracle/rdbms/lib/libknlopt.a kzvndv.o

/usr/bin/ar cr /u01/app/oracle/rdbms/lib/libknlopt.a /u01/app/oracle/rdbms/lib/kzvidv.o

/usr/bin/ar d /u01/app/oracle/rdbms/lib/libknlopt.a kzlnlbac.o

/usr/bin/ar cr /u01/app/oracle/rdbms/lib/libknlopt.a /u01/app/oracle/rdbms/lib/kzlilbac.o

chmod 755 /u01/app/oracle/bin

- Linking Oracle

rm -f /u01/app/oracle/rdbms/lib/oracle

gcc -o /u01/app/oracle/rdbms/lib/oracle -m32 -z noexecstack -L/u01/app/oracle/rdbms/lib/ -L/u01/app/oracle/lib/ -L/u01/app/oracle/lib/stubs/ -L/u01/app/oracle/lib/ -lirc -lipgo -Wl,-E /u01/app/oracle/rdbms/lib/opimai.o

（篇幅原因，有省略……）

-L/u01/app/oracle/lib

test ! -f /u01/app/oracle/bin/oracle ||\

mv -f /u01/app/oracle/bin/oracle /u01/app/oracle/bin/oracleO

mv /u01/app/oracle/rdbms/lib/oracle /u01/app/oracle/bin/oracle

chmod 6751 /u01/app/oracle/bin/oracle

注意：如果在Exadata中需要使用IPC协议访问存储，则需要加入ipc_rds协议模块。另外如果Windows平台，则是将$ORACLE_HOME/bin目录中oradv11.dll.dbl改名为oradv11.dll命令。

之后，重新启动监听器和服务器。

[oracle

详说Oracle Vault——原理、安装与配置(一)