Autenticacin de Usuarios en ORACLE

Profesor: Juan Luis Medina Snchez

Profesor: Juan Luis Medina Snchez

La autentificacin define la forma en la que el usuario verifica

quin es.

Hay mtodos de autentificacin ms seguros que otros.

Asegurar la autentificacin implicara asegurar el medio, la

comunicacin entre usuario y base de datos con protocolos de
cifrado.

Por otro lado hay que proteger especialmente a los usuarios

administradores.

Profesor: Juan Luis Medina Snchez

 Es el mtodo habitual de autenticacin de usuarios en ORACLE.

Su informacin (nombre de usuario y contrasea) son
contrastados con los datos de usuarios almacenados en el
Diccionario de Datos de ORACLE.
Es el mtodo habitual de autentificacin para usuarios no
administrativos.
Est configuracin requiere la base de datos montada y abierta (al
tener que usar el diccionario de datos).

Profesor: Juan Luis Medina Snchez

En este caso el usuario que inicia sesin en el Sistema Operativo,

inicia la herramienta de Administracin (ej. Sqlplus) y se conecta
a la Base de Datos con el comando connect / sin especificar
nombre de usuario ni contrasea del mismo:
C:\ SQLPLUS /NOLOG
SQLPLUS> CONNECT /

En este caso, ORACLE comprobara si existe correspondencia

entre el nombre del usuario de Sistema Operativo y un mismo
nombre de usuario en el contexto de ORACLE. En caso de haberla,
se permite la conexin pues la autenticacin del mismo se ha
realizado al iniciar la sesin en la mquina.
La gestin de las contraseas es llevada a cabo por el Sistema
Operativo

Profesor: Juan Luis Medina Snchez

Para usar este mtodo de autenticacin, ser necesario crear un

usuario en Oracle con igual nombre que el usuario a nivel del sistema
Operativo. Para ello:

Tendremos en cuenta un prefijo o vnculo que enlazar el

usuario creado en Oracle con el usuario del Sistema Operativo.
Este prefijo se puede consultar como el valor correspondiente al
parmetro OS_AUTHENT_PREFIX. Su valor por defecto es OPS$.
Ser susceptible de ser modificado con la sentencia ALTER
SYSTEM SET..

Creamos el usuario (con system preferentemente) con la forma:

CREATE USER OPS$NOMBREEQUIPO\NOMBREUSUARIO IDENTIFIED EXTERNALLY

Profesor: Juan Luis Medina Snchez

Se tendr en cuenta que:

El NOMBREUSUARIO ser el mismo que el del usuario del S.O.
El nombre del Usuario en ORACLE
(OPS$NOMBREEQUIPO\NOMBREUSUARIO)
deber especificarse TODO EN MAYSCULA y entre comillas
dobles, adems de empezar por el prefijo OPS$
Hasta la versin 11 de ORACLE se poda usar el parmetro
REMOTE_OS_AUTHENT para usar este mtodo de conexin de
forma remota

Profesor: Juan Luis Medina Snchez

 Autenticacin EXTERNA
Oracle delega la autentificacin a un servicio externo que se
asociar a Oracle.
Ejemplos de servicios externos son Kerberos o RADIUS, este
ltimo slo disponible en Windows.
Requiere el uso de las mejoras de seguridad avanzada de
Oracle
Autenticacin GLOBAL
Se trata de utilizar un servicio LDAP para realizar la
autentificacin. Oracle dispone de un servicio LDAP global
integrado en Oracle Applications (plataforma de Oracle para le
creacin de aplicaciones) que se llama Oracle Internet
Directory
Si los usuarios slo estn dados de alta en el directorio
externo, usarn todos la misma cuenta de Oracle; para
independizarles se requiere darles de alta en ambos servicios
(Oracle y el Oracle Internet Directory).
Profesor: Juan Luis Medina Snchez

Autenticacin de Usuarios con privilegio

SYSDBA
1. AUTENTICACIN POR SISTEMA OPERATIVO
En el sistema operativo en el que se instale Oracle se crean dos grupos
de usuarios relacionados con los dos privilegios de sistema SYDBA y
SYSOPER. En Windows se llaman ORA_DBA y ORA_OPER
respectivamente
Nosotros nos centraremos en usuarios SYSDBA, aunque el
razonamiento es anlogo en el caso de usuarios con el privilegio
administrativo SYSOPER.
Los usuarios de esos grupos conectaran mediante CONNECT / AS
SYSDBA o CONNECT / AS SYSOPER
Los usuarios podran conectar con CONNECT
cualquierUsuario/cualquierContrasea AS SYSDBA ya que no se
comprueba por parte de Oracle los datos introducidos (ha delegado la
autenticacin al Sistema Operativo).
Profesor: Juan Luis Medina Snchez

Autenticacin de Usuarios con privilegio

SYSDBA
Automticamente permite la conexin e identificar al usuario como SYS
(comprobar con el comando show user).
En plataformas Windows, para que este modo de autenticacin est
activo, es necesario que se cumplan las condiciones siguientes:
o El usuario que inicia sesin en el Sistema Operativo pertenezca al
grupo ORA_DBA
o El archivo sqlnet.ora debe contener la lnea
SQLNET.AUTENTICATION_SERVICES=(NTS)

Profesor: Juan Luis Medina Snchez

Autenticacin de Usuarios con privilegio

SYSDBA
2. Autenticacin por FICHERO DE CONTRASEAS
Para usar este mtodo de autenticacin, deberemos:
Deshabilitar el mtodo de Autenticacin por Sistema Operativo
(incumpliendo alguna de las dos condiciones anteriores)
Crear el fichero de contraseas con la utilidad orapwd, con la sintaxis:
Orapwd file=%ORACLE_HOME%\database\nombreFichero password=contraseaElegida
Donde nombreFichero suele tener la forma pwdSID.ora

Seguidamente podremos conectarnos al Sistema Operativo con

cualquier usuario, iniciar la herramienta de Administracin (ej. Sqlplus) y
conectarnos como el usuario SYS con privilegio administrativo SYSDBA,
usando la contrasea incluida en el fichero de contraseas (C:\ SQLPLUS
/NOLOG ; SQLPLUS> CONNECT SYS AS SYSDBA/contrasea)
Profesor: Juan Luis Medina Snchez

Autenticacin de Usuarios con privilegio

SYSDBA
Por otro lado el parmetro de sistema REMOTE_LOGIN_PASSWORDFILE
(modificable con ALTER SYSTEM SET), permite indicar la forma en la
que funciona el archivo de contraseas.
El valor actual de REMOTE_LOGIN_PASSWORDFILE se consulta con la
sentencia show parameter REMOTE_LOGIN_PASSWORDFILE
Valores posibles:
o NONE: No permite usar el archivo de contraseas, las conexiones de
usuarios con privilegios administrativos tendrn que usar otros
mtodos
o EXCLUSIVE: El archivo de contraseas se usa slo en la instancia
actual. Ser posible dar el privilegio administrativo SYSDBA (
SYSOPER) a otros usuarios.
Profesor: Juan Luis Medina Snchez

Autenticacin de Usuarios con privilegio

SYSDBA
SHARED: Se comparte el archivo de contraseas entre varias
instancias de tipo Real Application Cluster de Oracle (para bases de
datos distribuidas). En este caso no se pueden cambiar las
contraseas de los usuarios administrativos y slo el usuario SYS
puede usar el privilegio SYSDBA ( SYSOPER), no pudiendo ser
asignado a otros usarios

Profesor: Juan Luis Medina Snchez