主页 / user-252576

Dave's questions

Martin Hope
Dave
Asked: 2022-05-17 17:03:51 +0800 CST
  • 2

大问题：如何以零停机 (ZDT) 方式轮换 Oracle 数据库中的密码？

我目前的想法是轮换用户。最初，我有MY_USER所有的桌子等等。我现在有：

CREATE USER MY_USER NO AUTHENTICATION;
GRANT CREATE SESSION TO MY_USER;

CREATE USER MY_USER_PROXY_1 IDENTIFIED BY "abc123";
GRANT CREATE SESSION TO MY_USER_PROXY_1;
ALTER USER MY_USER GRANT CONNECT THROUGH MY_USER_PROXY_1;

当我想轮换密码时，我只需创建MY_USER_PROXY_2并将“连接通过”授权授予MY_USER. 这样，应用程序可以继续创建新连接，直到我使用新用户部署它。由于“连接通过”，新用户基本上与旧用户相同，因此一切都应该继续工作而不会大张旗鼓。之后，我可以停用MY_USER_PROXY_1或让密码正常过期

MY_USER如果有 1 个“物理”用户 ( ) ，这似乎是一种合理的方法

但是，我已经在使用代理用户进行多租户。和以前一样，但不是 1 个用户，而是可能有数百个用户通过同一个代理用户：

CREATE USER TENANT_PROXY_1 IDENTIFIED BY "abc123";
GRANT CREATE SESSION TO TENANT_PROXY_1;

-- During tenant onboard
CREATE USER TENANT_1234 NO AUTHENTICATION;
GRANT CREATE SESSION TO TENANT_1234;
ALTER USER TENANT_1234 GRANT CONNECT THROUGH TENANT_PROXY_1;

创建的问题TENANT_PROXY_2是重新创建所有connect through授权。我可以遍历所有用户，例如“TENANT_%”并以这种方式应用授权，但在TENANT_PROXY_2创建并使用授权更新但在重新启动应用程序以使用新的代理用户之前，这将始终是一个机会之窗。因此，当代理用户轮换到时，它将添加授权TENANT_PROXY_1并因此失败TENANT_PROXY_2

我尝试使用角色（作为连接器和连接者），但看起来只支持用户（是否可以根据角色配置 Oracle 的 CONNECT THROUGH？证实了这一点）：

ALTER USER TENANT_1234 GRANT CONNECT THROUGH TENANT_PROXY_ROLE;
GRANT ROLE TENANT_PROXY_ROLE TO TENANT_PROXY_1;
-- or
ALTER ROLE TENANT_PROXY_ROLE GRANT CONNECT THROUGH TENANT_PROXY_1;
GRANT ROLE TENANT_PROXY_ROLE TO TENANT_1234;

我唯一的想法是在入职期间预先创建并向所有代理用户应用授权，并TENANT_PROXY_1通过用户手动循环。不那么优雅，但似乎仍然合理TENANT_PROXY_NNN

我还尝试了 2 级代理（例如，TENANT_PROXY_1[TENANT_PROXY[TENANT_1234]]或TENANT_PROXY_1[TENANT_PROXY][TENANT_1234]），但这也是不行的

对这两种解决方案有任何想法吗？数据库已经存在了几十年，ZDT 密码轮换问题是否有任何官方解决方案或模式？

oracle oracle-19c