Гость
Войти | Профиль | Очистить
Map
Действия ...
Форумы / Oracle [игнор отключен] [закрыт для гостей] / oracle 21 account_status LOCKED / 13 сообщений из 13, страница 1 из 1
07.02.2022, 15:31
    #40132262
AlexVin
AlexVin
Гость
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
oracle 21 account_status LOCKED
oracle 21.5

сделал cdb
подключил и апнул pdb из19го
после апгрейда с не_оракле_maintaned учетками всё норм
потом 90% пользовательских учеток становится locked
по столбцу lock_date это событие происходит через сутки после открытия инстанса
разлочил - ещё через сутки они обратно залочились
бред какой-то
в юнифаед аудите про лок ничего нет (ручной анлок от сиса аудитит)
профайл ничего не ограничивает, в алертлоге и логах джобов ничего не нашел
оракел стал триальным?
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
07.02.2022, 16:17
    #40132272
AlexVin
AlexVin
Гость
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
oracle 21 account_status LOCKED
что ещё попробовать ловить аудитом кроме
ALTER USER
ORA_LOGON_FAILURES
и ALL_TOPLEVEL_ACTIONS на sys
чтоб постичь непонятное?
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
07.02.2022, 16:29
    #40132273
Asmodeus
Asmodeus
Гость
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
oracle 21 account_status LOCKED
AlexVin,

Не оно ?
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
07.02.2022, 16:43
    #40132280
AlexVin
AlexVin
Гость
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
oracle 21 account_status LOCKED
так DEFAULT PASSWORD_LIFE_TIME PASSWORD UNLIMITED жеж
и было до апгрейда и так же после апгрейда
бага чтоль..
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
07.02.2022, 17:14
    #40132292
Vadim Lejnin
Vadim Lejnin
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
oracle 21 account_status LOCKED
AlexVin,

Время случаем не изменилось?
Например на исходной базе не стоит fixed_data?
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
07.02.2022, 17:24
    #40132300
Vadim Lejnin
Vadim Lejnin
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
oracle 21 account_status LOCKED
Vadim Lejnin
AlexVin,

Время случаем не изменилось?
Например на исходной базе не стоит fixed_data?

пардон, невнимательно почитал ссылку уважаемого Asmodeus
Действительно надо пароль поменять
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
07.02.2022, 20:34
    #40132349
SeaGate
SeaGate
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
oracle 21 account_status LOCKED
AlexVin
так DEFAULT PASSWORD_LIFE_TIME PASSWORD UNLIMITED жеж
и было до апгрейда и так же после апгрейда
бага чтоль..

Это может быть INACTIVE_ACCOUNT_TIME, который появился в 12.2: https://docs.oracle.com/en/database/oracle/oracle-database/12.2/dbseg/release-changes.html#GUID-BE8B5BDA-8AE1-4958-9896-0B082954CE73
Блокировка с ним производится без учета PASSWORD_LIFE_TIME.
Отличие 21c (21.5) от 19c в том, что INACTIVE_ACCOUNT_TIME=365 в 21c и UNLIMITED в 19с для PROFILE DEFAULT.
 

Код: plsql
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.
13.
14.
15.
16.
17.
18.
19.
20.
21.
22.
23.
24.
25.
26.
27.
28.
29.
30.
31.
32.
33.
34.
35.
36.
37.
38.
39.
40.
41.
42.
43.
44.
-- 19с: ?/rdbms/admin/denv.bsq
create profile "DEFAULT" limit            /* default value, always present */
  composite_limit               unlimited                   /* service units */
  sessions_per_user             unlimited              /* logins per user id */
  cpu_per_session               unlimited            /* cpu usage in minutes */
  cpu_per_call                  unlimited        /* max cpu minutes per call */
  logical_reads_per_session     unlimited
  logical_reads_per_call        unlimited
  idle_time                     unlimited
  connect_time                  unlimited
  private_sga                   unlimited      /* valid only with TP-monitor */
  failed_login_attempts         10
  password_life_time            unlimited
  password_reuse_time           unlimited
  password_reuse_max            unlimited
  password_verify_function      null
  password_lock_time            unlimited
  password_grace_time           unlimited
  inactive_account_time         unlimited
  password_rollover_time        0
  container=current
/
-- 21c:
create profile "DEFAULT" limit            /* default value, always present */
  composite_limit               unlimited                   /* service units */
  sessions_per_user             unlimited              /* logins per user id */
  cpu_per_session               unlimited            /* cpu usage in minutes */
  cpu_per_call                  unlimited        /* max cpu minutes per call */
  logical_reads_per_session     unlimited
  logical_reads_per_call        unlimited
  idle_time                     unlimited
  connect_time                  unlimited
  private_sga                   unlimited      /* valid only with TP-monitor */
  failed_login_attempts         10
  password_life_time            unlimited
  password_reuse_time           unlimited
  password_reuse_max            unlimited
  password_verify_function      null
  password_lock_time            unlimited
  password_grace_time           unlimited
  inactive_account_time         365
  password_rollover_time        0
  container=current
/



Сама блокировка по не активности осуществляется одним из GEN* процессов, т.е. это не задание DBMS_SCHEDULER/DBMS_JOB:
Код: plsql
1.
2.
3.
4.
5.
SQL> select * from x$messages where description like 'Inactive%';

ADDR                   INDX    INST_ID     CON_ID DESCRIPTION               DEST
---------------- ---------- ---------- ---------- ------------------------- ----
00000000175F8CC0        331          1          0 Inactive Account Time Job GEN1


Также GEN не выполняет ALTER USER, а делает UPDATE SYS.USER$, на который не повесить аудит.
В отсутствии данных в аудите, системно проблему решать можно, например, через LogMiner. При наличии minimal supplemental logging будет видно, какой процесс обновлял. Для простоты я сделал дамп redo:
 
Код: plsql
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.
13.
14.
15.
16.
CHANGE #4 MEDIA RECOVERY MARKER CON_ID:4 SCN:0x0000000000000000 SEQ:0 OP:5.19 ENC:0 FLG:0x0000
session number   = 10
serial  number   = 26564
current username = SYS
login   username =
client info      =
OS username      = oracle
Machine name     = db-21.localdomain
OS terminal      = UNKNOWN
OS process id    = 2866_2871
OS program name  = oracle@db-21.localdomain (GEN1)
transaction name =
Recursive transaction
version 352321536
audit sessionid 0
Client Id  =


Входные данные для GEN в этом задании это результат запроса ниже, который затем проверяется по доп условиям.
 
Код: plsql
1.
select user#, name, cast(ctime as timestamp) at time zone 'UTC' creation_time, spare6 lslt, rownum from user$ a, profile$ b where           a.type# = 1 AND           nvl(a.password, 'NULL') not in ('EXTERNAL','GLOBAL')   AND           ((sys_context('userenv', 'con_id') = 0) OR            ((sys_context('userenv', 'con_id') = 1)              AND (bitand(spare1, 128) = 128))    OR            ((sys_context('userenv', 'con_id') > 1)             AND (bitand(spare1, 128) != 128)))   AND           a.name not in ('XS$NULL','SYSRAC') AND           bitand(a.spare1, 2080) not in            (32, 2048, 2080) AND           (bitand(a.astatus,8) <> 8 OR           bitand(a.astatus,8) = 8 AND           a.name in ('SYS','SYSBACKUP','SYSDG','SYSKM')) AND           a.resource$ = b.profile# AND           b.resource# = 7 AND           b.type#     = 1 AND           ((b.limit#   != 2147483647) AND           NOT (b.limit# = 0 and exists (select 1 from profile$ where            profile#=0 and resource#=7 and type#=1 and limit#=2147483647)))           AND           (bitand(spare1,65536) = 0)           order by rownum DESC


Затем сравнивается SYS.USER$.SPARE6 (Last Successful Logon Time) и дата вычисляемая на основании INACTIVE_ACCOUNT_TIME из профиля, плюс еще ряд ограничений.
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
08.02.2022, 06:58
    #40132398
AlexVin
AlexVin
Гость
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
oracle 21 account_status LOCKED
Vadim Lejnin
Например на исходной базе не стоит fixed_data?

а под fixed_data что имелось ввиду? (для общего развития)
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
08.02.2022, 09:05
    #40132408
Asmodeus
Asmodeus
Гость
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
oracle 21 account_status LOCKED
AlexVin
бага чтоль..

Может и баг, вроде вот этого: Bug 30210753 - Database User Account Locked ORA-28000, even though no Failed_Login_Attempts Exceeded (Doc ID 30210753.8)
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
08.02.2022, 09:37
    #40132418
Stax
Stax
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
oracle 21 account_status LOCKED
AlexVin,

https://docs.oracle.com/cd/B19306_01/server.102/b14237/initparams073.htm#REFRN10062

.....
stax
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
08.02.2022, 09:52
    #40132420
Vadim Lejnin
Vadim Lejnin
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
oracle 21 account_status LOCKED
AlexVin
Vadim Lejnin
Например на исходной базе не стоит fixed_data?

а под fixed_data что имелось ввиду? (для общего развития)


Опечатка, ангельский не родной :)
FIXED_DATE
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
08.02.2022, 10:16
    #40132425
AlexVin
AlexVin
Гость
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
oracle 21 account_status LOCKED
Vadim Lejnin
FIXED_DATE

аа, это.. не-не-не)

уверен, что INACTIVE_ACCOUNT_TIME. сегодня проверю, спасибо
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
10.02.2022, 07:16
    #40133005
AlexVin
AlexVin
Гость
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
oracle 21 account_status LOCKED
да, это было INACTIVE_ACCOUNT_TIME
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
Форумы / Oracle [игнор отключен] [закрыт для гостей] / oracle 21 account_status LOCKED / 13 сообщений из 13, страница 1 из 1
Целевая тема:
Создать новую тему:
Автор:
Найденые пользователи ...
Разблокировать пользователей ...
Читали тему (0):
Читали форум (0):
Пользователи онлайн (0):
Польз. соглашение
созд. / загр.: 387ms
Закрыть
start [/forum/topic.php?fid=52&mobile=1&tid=1879534]:
 0ms
get settings:
 25ms
get forum list:
 12ms
check forum access:
 4ms
check topic access:
 4ms
track hit:
 42ms
get topic data:
 11ms
get forum data:
 2ms
get page messages:
 273ms
get tp. blocked users:
 2ms
others: 12ms
total:  387ms
x
x
Закрыть


Просмотр
0 / 0
Close
Debug Console [Select Text]