powered by simpleCommunicator - 2.0.30     © 2024 Programmizd 02
Map
Форумы / Oracle [игнор отключен] [закрыт для гостей] / oracle 21 account_status LOCKED
13 сообщений из 13, страница 1 из 1
oracle 21 account_status LOCKED
    #40132262
AlexVin
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Гость
oracle 21.5

сделал cdb
подключил и апнул pdb из19го
после апгрейда с не_оракле_maintaned учетками всё норм
потом 90% пользовательских учеток становится locked
по столбцу lock_date это событие происходит через сутки после открытия инстанса
разлочил - ещё через сутки они обратно залочились
бред какой-то
в юнифаед аудите про лок ничего нет (ручной анлок от сиса аудитит)
профайл ничего не ограничивает, в алертлоге и логах джобов ничего не нашел
оракел стал триальным?
...
Рейтинг: 0 / 0
oracle 21 account_status LOCKED
    #40132272
AlexVin
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Гость
что ещё попробовать ловить аудитом кроме
ALTER USER
ORA_LOGON_FAILURES
и ALL_TOPLEVEL_ACTIONS на sys
чтоб постичь непонятное?
...
Рейтинг: 0 / 0
oracle 21 account_status LOCKED
    #40132273
Asmodeus
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Гость
AlexVin,

Не оно ?
...
Рейтинг: 0 / 0
oracle 21 account_status LOCKED
    #40132280
AlexVin
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Гость
так DEFAULT PASSWORD_LIFE_TIME PASSWORD UNLIMITED жеж
и было до апгрейда и так же после апгрейда
бага чтоль..
...
Рейтинг: 0 / 0
oracle 21 account_status LOCKED
    #40132292
Фотография Vadim Lejnin
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
AlexVin,

Время случаем не изменилось?
Например на исходной базе не стоит fixed_data?
...
Рейтинг: 0 / 0
oracle 21 account_status LOCKED
    #40132300
Фотография Vadim Lejnin
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
Vadim Lejnin
AlexVin,

Время случаем не изменилось?
Например на исходной базе не стоит fixed_data?

пардон, невнимательно почитал ссылку уважаемого Asmodeus
Действительно надо пароль поменять
...
Рейтинг: 0 / 0
oracle 21 account_status LOCKED
    #40132349
Фотография SeaGate
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
AlexVin
так DEFAULT PASSWORD_LIFE_TIME PASSWORD UNLIMITED жеж
и было до апгрейда и так же после апгрейда
бага чтоль..

Это может быть INACTIVE_ACCOUNT_TIME, который появился в 12.2: https://docs.oracle.com/en/database/oracle/oracle-database/12.2/dbseg/release-changes.html#GUID-BE8B5BDA-8AE1-4958-9896-0B082954CE73
Блокировка с ним производится без учета PASSWORD_LIFE_TIME.
Отличие 21c (21.5) от 19c в том, что INACTIVE_ACCOUNT_TIME=365 в 21c и UNLIMITED в 19с для PROFILE DEFAULT.

Код: plsql
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.
13.
14.
15.
16.
17.
18.
19.
20.
21.
22.
23.
24.
25.
26.
27.
28.
29.
30.
31.
32.
33.
34.
35.
36.
37.
38.
39.
40.
41.
42.
43.
44.
-- 19с: ?/rdbms/admin/denv.bsq
create profile "DEFAULT" limit            /* default value, always present */
  composite_limit               unlimited                   /* service units */
  sessions_per_user             unlimited              /* logins per user id */
  cpu_per_session               unlimited            /* cpu usage in minutes */
  cpu_per_call                  unlimited        /* max cpu minutes per call */
  logical_reads_per_session     unlimited
  logical_reads_per_call        unlimited
  idle_time                     unlimited
  connect_time                  unlimited
  private_sga                   unlimited      /* valid only with TP-monitor */
  failed_login_attempts         10
  password_life_time            unlimited
  password_reuse_time           unlimited
  password_reuse_max            unlimited
  password_verify_function      null
  password_lock_time            unlimited
  password_grace_time           unlimited
  inactive_account_time         unlimited
  password_rollover_time        0
  container=current
/
-- 21c:
create profile "DEFAULT" limit            /* default value, always present */
  composite_limit               unlimited                   /* service units */
  sessions_per_user             unlimited              /* logins per user id */
  cpu_per_session               unlimited            /* cpu usage in minutes */
  cpu_per_call                  unlimited        /* max cpu minutes per call */
  logical_reads_per_session     unlimited
  logical_reads_per_call        unlimited
  idle_time                     unlimited
  connect_time                  unlimited
  private_sga                   unlimited      /* valid only with TP-monitor */
  failed_login_attempts         10
  password_life_time            unlimited
  password_reuse_time           unlimited
  password_reuse_max            unlimited
  password_verify_function      null
  password_lock_time            unlimited
  password_grace_time           unlimited
  inactive_account_time         365
  password_rollover_time        0
  container=current
/



Сама блокировка по не активности осуществляется одним из GEN* процессов, т.е. это не задание DBMS_SCHEDULER/DBMS_JOB:
Код: plsql
1.
2.
3.
4.
5.
SQL> select * from x$messages where description like 'Inactive%';

ADDR                   INDX    INST_ID     CON_ID DESCRIPTION               DEST
---------------- ---------- ---------- ---------- ------------------------- ----
00000000175F8CC0        331          1          0 Inactive Account Time Job GEN1


Также GEN не выполняет ALTER USER, а делает UPDATE SYS.USER$, на который не повесить аудит.
В отсутствии данных в аудите, системно проблему решать можно, например, через LogMiner. При наличии minimal supplemental logging будет видно, какой процесс обновлял. Для простоты я сделал дамп redo:
Код: plsql
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.
13.
14.
15.
16.
CHANGE #4 MEDIA RECOVERY MARKER CON_ID:4 SCN:0x0000000000000000 SEQ:0 OP:5.19 ENC:0 FLG:0x0000
session number   = 10
serial  number   = 26564
current username = SYS
login   username =
client info      =
OS username      = oracle
Machine name     = db-21.localdomain
OS terminal      = UNKNOWN
OS process id    = 2866_2871
OS program name  = oracle@db-21.localdomain (GEN1)
transaction name =
Recursive transaction
version 352321536
audit sessionid 0
Client Id  =


Входные данные для GEN в этом задании это результат запроса ниже, который затем проверяется по доп условиям.
Код: plsql
1.
select user#, name, cast(ctime as timestamp) at time zone 'UTC' creation_time, spare6 lslt, rownum from user$ a, profile$ b where           a.type# = 1 AND           nvl(a.password, 'NULL') not in ('EXTERNAL','GLOBAL')   AND           ((sys_context('userenv', 'con_id') = 0) OR            ((sys_context('userenv', 'con_id') = 1)              AND (bitand(spare1, 128) = 128))    OR            ((sys_context('userenv', 'con_id') > 1)             AND (bitand(spare1, 128) != 128)))   AND           a.name not in ('XS$NULL','SYSRAC') AND           bitand(a.spare1, 2080) not in            (32, 2048, 2080) AND           (bitand(a.astatus,8) <> 8 OR           bitand(a.astatus,8) = 8 AND           a.name in ('SYS','SYSBACKUP','SYSDG','SYSKM')) AND           a.resource$ = b.profile# AND           b.resource# = 7 AND           b.type#     = 1 AND           ((b.limit#   != 2147483647) AND           NOT (b.limit# = 0 and exists (select 1 from profile$ where            profile#=0 and resource#=7 and type#=1 and limit#=2147483647)))           AND           (bitand(spare1,65536) = 0)           order by rownum DESC


Затем сравнивается SYS.USER$.SPARE6 (Last Successful Logon Time) и дата вычисляемая на основании INACTIVE_ACCOUNT_TIME из профиля, плюс еще ряд ограничений.
...
Рейтинг: 0 / 0
oracle 21 account_status LOCKED
    #40132398
AlexVin
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Гость
Vadim Lejnin
Например на исходной базе не стоит fixed_data?

а под fixed_data что имелось ввиду? (для общего развития)
...
Рейтинг: 0 / 0
oracle 21 account_status LOCKED
    #40132408
Asmodeus
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Гость
AlexVin
бага чтоль..

Может и баг, вроде вот этого: Bug 30210753 - Database User Account Locked ORA-28000, even though no Failed_Login_Attempts Exceeded (Doc ID 30210753.8)
...
Рейтинг: 0 / 0
oracle 21 account_status LOCKED
    #40132418
Фотография Stax
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
...
Рейтинг: 0 / 0
oracle 21 account_status LOCKED
    #40132420
Фотография Vadim Lejnin
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
AlexVin
Vadim Lejnin
Например на исходной базе не стоит fixed_data?

а под fixed_data что имелось ввиду? (для общего развития)


Опечатка, ангельский не родной :)
FIXED_DATE
...
Рейтинг: 0 / 0
oracle 21 account_status LOCKED
    #40132425
AlexVin
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Гость
Vadim Lejnin
FIXED_DATE

аа, это.. не-не-не)

уверен, что INACTIVE_ACCOUNT_TIME. сегодня проверю, спасибо
...
Рейтинг: 0 / 0
oracle 21 account_status LOCKED
    #40133005
AlexVin
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Гость
да, это было INACTIVE_ACCOUNT_TIME
...
Рейтинг: 0 / 0
13 сообщений из 13, страница 1 из 1
Форумы / Oracle [игнор отключен] [закрыт для гостей] / oracle 21 account_status LOCKED
Целевая тема:
Создать новую тему:
Автор:
Закрыть
Цитировать
Найденые пользователи ...
Разблокировать пользователей ...
Читали форум (0):
Пользователи онлайн (0):
x
x
Закрыть


Просмотр
0 / 0
Close
Debug Console [Select Text]