Oracle數據庫的體系結構和用戶管理

一、Oracle體系結構

數據庫的體系結構是指數據庫的組成、工作過程、以及數據庫中數據的組織與管理機制，要了解Oracle數據庫的體系結構，必須理解Oracle系統的主要組件和重要概念。

1、Oracle體系結構概述

Oracle體系結構包含一系列組件，如下圖所示，圖中顯示了Oracle體系結構中的主要組件，包括實例、用戶進程、服務器進程、數據文件及其他文件，如參數文件、口令文件和歸檔日志文件等。從圖中可以看出，實例和數據庫是Oracle數據庫體系結構的核心組成部分，也是最重要的兩個概念；DBA一個很重要的工作就是維護實例和數據庫本身的正常工作。

1）實例

Oracle實例是后臺進程和內存結構的集合，必須啟動實例才能訪問數據庫中的數據。Oracle實例啟動時，將分配一個系統全局區（SGA）并啟動一系列Oracle后臺進程。Oracle實例有兩種類型：單進程實例和多進程實例，單進程Oracle實例使用一個進程執行Oracle的全部操作，在單進程環境下的Oracle實例僅允許一個用戶可存取；多進程Oracle實例（又稱多用戶Oracle）使用多個進程來執行Oracle的不同部分，對于每個連接的用戶都有一個進程。

2）數據庫

數據庫是數據的集合，物理上指存儲數據庫信息的一組操作系統文件，每個數據庫有一個邏輯結構和物理結構。物理結構是指構成數據庫的一組操作系統文件，主要由三種類型文件組成：數據文件、控制文件和重做日志文件。數據庫的邏輯結構是指數據庫數據的邏輯存儲結構（如表空間、段）和模式對象（如表、視圖等）。

3）可插拔數據庫

從Oracle 12c版本開始，Oracle引入了可插拔數據庫的概念，可插拔是為云計算而生。可插拔的結構由一個容器數據庫（CDB）和若干個可組裝數據庫（PDB）組成，每個PDB對外可充當一個獨立的數據庫工應用程序使用，它可以包含自己的數據文件，但是所有的PDB共享CDB的控制文件以及日志文件。所謂的可插拔，意味著PDB可以像USB一樣隨時插入CDB中，不用了也可以隨時拔下來。一個CDB中最多可以插入250個PDB，在PDB中，seedPDB為模板PDB，它為新創建的PDB提供模板，其他的PDB可以根據需要創建、刪除。可插拔功能可以加速數據庫的部署，給一個CDB打補丁就可以經所有的更新同步到其上的所有PDB中。

在Oracle 12c之前的版本中，實例和數據庫只能是一對一或多對一（RAC,Real Application Clusters,實時應用集群）的關系，即只能是一個實例對應一個數據庫，或者多個實例對應一個數據庫。但在Oracle 12c版本中，通過引入CDB和PDB，一個實例可以對應多個可插拔數據庫。

可插拔數據庫的使用場景：

• 企業中有多個應用均需要使用Oracle數據庫，他們僅使用非常少量的硬件資源，但是又不得不為他們創建多個實例；

• 一些不是特別重要的數據庫，打包需要DBA花費大量的精力去維護；

• 為了更好的利用硬件資源以及減少管理開銷，有必要將大量的部門級應用整合到少數幾個Oracle關系型數據庫中，以便部署和管理；

通過在一個集中化的平臺部署多個數據庫，同時又共享一個數據庫實例，可以大大降低成本，即更少的實例損耗和耕地的存儲技術。

如果在生產環境中只需要一個數據庫，并不想使用可插拔數據庫，可以在安裝過程中取消勾選“創建為容器數據庫”復選框，從而將安裝一個普通數據庫。

2、Oracle服務器

Oracle服務器它主要由實力和數據庫文件組成，也就是常說的數據庫管理系統（Database Management System,DBMS）。Oracle服務器的組成如下圖：

Oracle服務器除了維護實例和數據庫文件外，還在用戶建立與服務器的連接時啟動服務器進程并分配PGA.（Program Area,程序全全局區）。

3、Oracle存儲結構

Oracle的存儲結構分為物理結構和邏輯結構，這兩種存儲結構既相互獨立又相互聯系。如下圖所示：

• 物理結構主要描述Oracle數據庫的外部存儲結構，即在操作系統中如何組織、管理數據。

• 邏輯結構主要描述Oracle數據庫的內部存儲結構，即從邏輯概念上描述在Oracle數據庫中如何組織、管理數據。

1）Oracle物理結構

物理結構是Oracle數據庫創建后使用的操作系統物理文件，Oracle數據庫的物理文件分為以下兩類：

（1）主要文件

①數據文件：數據文件（Data File）的擴展名通常是.dbf，是物理存儲Oracle數據庫數據的文件。

數據文件的特點：

• 每個數據文件只與一個數據庫相聯系；

• 一個表空間可包含一個或多個數據文件；

• 一個數據文件只能屬于一個表空間；

②重做日志文件：重做日志文件（Redo Log File）的擴展名是.log，它記錄了對數據的所有更改信息，并提供了一種數據恢復機制，確保在系統崩潰或其他意外出現后重新恢復數據庫。

在Oracle數據庫中，重做日志文件是成組使用的，每個重做日志文件組可以有一個或多個重做日志文件。在工作過程中，多個重做日志文件組之間循環使用，當一個重做日志文件組寫滿后，會轉向下一個日志文件組。重做日志文件用于記錄數據庫變化，是用戶的事務處理日志。

③控制文件：控制文件（Control File）的擴展名是.ctl，是一個二進制文件。控制文件中存儲的信息很多，其中包括數據文件和重做日志文件的名稱和位置。控制文件是數據庫啟動及運行所必須的文件。當Oracle讀寫數據時，要根據控制文件 的信息查找數據文件。

由于控制文件的重要性，一個數據庫至少要有兩份控制文件。Oracle 12c默認包含兩個控制文件，各個控制文件內容相同，從而可以避免因為一個控制文件的損壞而導致無法啟動數據庫的情況出現。

控制文件中記錄了以下關鍵信息：

• 數據文件的位置及大小；

• 重做日志文件的位置及大小；

• 數據庫名稱及創建時間；

• 日志序列號；

（2）其他文件

其他文件有參數文件、歸檔日志文件、口令文件等。

2）Oracle邏輯結構

數據庫的邏輯結構是從邏輯的角度分析數據庫的組成的。Oracle數據庫的邏輯結構包括表空間、段、區、塊和模式等。如圖：

（1）表空間

每個Oracle數據庫都是由若干個表空間構成的，用戶在數據庫中建立的所有內容都被存儲到表空間中。一個表空間可以由多個數據文件，但一個數據文件只能屬于一個表空間。與數據文件這種物理結構不同，表空間屬于數據庫的邏輯結構。

在每個數據庫中，都有一個名為“SYSTEM”的表空間，即系統表空間，還會有SYSAUX、UNDO、USERS等表空間，這些都是在創建數據庫時自動創建的。管理員可以創建自定義的表空間并分配給指定用戶，也可以為表空間增加和刪除數據文件。

表空間基本有以下三類：

• ①永久性表空間：一般保持基表、試圖、過程和索引等的數據。SYSTEM、SYSAUX、USERS表空間是默認安裝的；

• ②臨時性表空間：只用于保存系統中短期活動的數據，如排序數據等；

• ③撤銷表空間：用來幫助回退未提交的事務數據，已提交的數據在這里是不可以恢復的；

一般不需要創建臨時性表空間和撤銷表空間，除非要把他們轉移到其他磁盤中以提高性能。

表空間的目的如下：

• ①對不同用戶分配不同的表空間，對不同的模式對象分配不同的表空間，方便對用戶操作和對模式對象的管理；

• ②可以將不同數據文件創建不同的磁盤中，有利于管理磁盤空間、提高I/O性能、備份和恢復數據等；

一般在完成Oracle系統的安裝并創建Oracle實例后，Oracle系統自動建立SYSTEM、SYSAUX、USRS等多個表空間。

下面詳細介紹一下SYSTEM表空間、SYSAUX表空間、TEMP表空間和TEMP表空間：

• SYSTEM表空間：用于存放Oracle系統內部表和數據字典的數據，如表名、列名、用戶名等。不建議將用戶創建的表，索引等對象存放到SYSTEM表空間中。

• SYSAUX表空間：作為SYSTEM的輔助表空間，用于存放各種數據庫工具用戶的數據；還用于存放各種模式的對象數據，如智能代理用戶DBSNMP等，這些模式在數據庫安裝完成后就建立了相應的對象并都存放在SYSAUX表空間中。

• USERS表空間：通常作為用戶使用的表空間，可以在這個表空間上創建各種對象，如表、索引等。

• TEMP表空間：Oracle系統用于存放臨時數據的特殊表空間。比如：當操作中需要進行排序時，Oracle系統就將排序的數據臨時存放在該表空間內。排序處理完成后即可釋放排序數據所占用的空間，因此成為臨時表空間。

除了Oracle系統默認創建的表空間外，用戶可根據應用系統的模式及其所要存儲的對象類型創建多個表空間，以區分用戶數據和系統數據。
創建表空間數據數據定義語言，語法如下：

SQL> create tablespace benet datafile'/u01/app/oracle/oradata/benet.DBF' size 10M 
autoextend on;

在語法中：

• tablespacename是表空間名稱。

• DATAFILE指定組成表空間的一個或多個數據文件，當有多個數據文件時使用逗號進行分隔。

• filename是表空間中數據文件的路徑和名稱。

• SIZE指定文件的大小，用K指定千字節大小，用M指定兆字節大小。

• AUTOEXTEND子句用來啟動或禁用數據文件的自動擴展。若設置AUTOEXTEND參數為ON，則空間用盡會自動擴展；當設置AUTOEXTEND參數為OFF時很容易出現表空間剩余容量為0，造成數據不能存儲到數據庫中的情況出現。

創建完表空間之后，可以對表空間進行相應的管理，主要包括以下幾種操作。

調整表空間大小，當遇到數據插入失敗，表空間已滿的情況，可以通過ALTER語句來調整表空間的大小，此時有兩種調整表空間大小的方式。

方法一：更改數據文件的大小，并指明數據文件的存放路徑，其中還使用了RESIZE關鍵字，用于指定調整后的數據文件的大小，代碼如下：

SQL> alter database datafile'/u01/app/oracle/oradata/benet.DBF' resize 50M;

Database altered.

方法二：向表空間內添加數據文件。為表空間添加一個新的數據文件的代碼如下：

SQL> alter tablespace benet add datafile '/u01/app/oracle/oradata/benet01.DBF' size 20M autoextend no;

Tablespace altered.

改變表空間的讀寫狀態。當數據是歷史數據，只允許查詢，不希望被修改使，可以將表空間設置為只讀狀態。READ ONLY表示該表空間為只讀狀態，READ WRITE表示該表空間為可讀寫狀態。具體語法格式如下：

SQL> alter tablespace benet read only;  <!--修改表空間為只讀-->

Tablespace altered.

SQL> alter tablespace benet read write; <!--修改表空間為可讀寫文件-->

Tablespace altered.

刪除表空間。可以通過DROP語句來刪除表空間，只需要再加上表空間的名稱即可。具體語法格式如下：

SQL> drop tablespace benet including contents;

Tablespace dropped.

（2）段

段（Segment）存在于表空間中，是一種指定類型的邏輯存儲結構，段由一組區組成。段可分成四類：數據段、索引段、回退段、臨時段。例如，對于每個非聚集表有一個數據段，表的所有數據存儲再該段；而對于每個索引都有一個索引段。

（3）區

區（Extent）是磁盤空間分配的最小單位。磁盤按區劃分，每次至少分配一個區。區由連續的數據塊組成。段主要由一個或者多個區構成，當段創建后，它至少包含一個區。當段中的所有空間都完全使用時，系統將自動為該段分配一個新區。區不能跨數據文件存在，只能存在于一個數據文件中。

（4）數據塊

數據塊（Data Block）是數據庫中最小的數據組織單位于管理單位。Oracle數據庫中的數據存儲于數據塊中。數據塊是Oracle服務器所能讀取或寫入的最小存儲單元。Oracle服務器以數據塊為單位管理數據文件的存儲空間。數據塊的取值范圍為2~64KB，其默認大小與Oracle版本有關。

（5）模式

模式（Schema）是數據庫對象（又稱模式對象）的集合。模式對象包括表、視圖、索引、同義詞、序列、過程和程序包等。每創建一個用戶，Oracle會自動創建一個與用戶名相同的模式，因此，模式又稱用戶模式。用戶登錄后，默認訪問的是與自己的名稱相同的模式中的數據庫對象。

4、Oracle內存結構

內存結構是Oracle數據庫體系中最為重要的一部分，內存也是影響數據庫性能的第一要素。

Oacle內存存儲的主要內容：

• 程序代碼；

• 已經連接的會話的相關信息，包括當前所有活動會話和非活動會話；

• 程序運行時必需的相關信息，如查詢計劃；

• Oracle進程之間通信和共享的信息，如鎖；

按照內存使用方式不同，Oracle數據庫的內存也可以分為SGA、PGA、和UGA（User Global Area,用戶全局區）。

• SGA：所有用戶都可以訪問的實例的共享內存區域。數據塊、事務處理日志、數據字典信息等都存儲在SGA中。

• PGA：一類非共享的內存，專用于特定的服務器進程，并且只能夠由這個進程訪問。

UGA：為用戶進程存儲會話狀態的內存區域。根據用戶數據庫時配置為專用服務器模式，還是配置為共享服務器模式，UGA可以作為SGA或PGA的一部分。它為用戶會話存儲數據。接下來重點介紹一下SGA和PGA：

1）SGA

Oracle實例的SGA同來存儲數據庫信息，并由多個數據庫進程共享。當數據庫實例啟動時，SGA的內存被自動分配。SAG是數據庫中占用服務器內存最大的一個區域，也是影響數據庫性能的一個重要指標。SGA按其作用不同，可分為共享池、數據緩沖區、重做日志緩沖區、大池和Java池等。

①共享池

共享池是對SQL、PL/SQL程序進行語法分析、編譯、執行時用到的內存區域。共享池由庫緩存和數據字典緩存組成。

• 庫緩存含有最近執行的SQL、PL/SQL語句的分析碼和執行計劃。

• 數據字典緩存含有從數據字典中得到的表、索引、列定義、權限信息和其他一些數據庫對象的定義，如果Oracle緩存了這些信息，那么無疑是縮短了查詢的響應時間。

②數據緩沖區

數據緩沖區用于存儲從磁盤數據文件中讀入的數據，供所有用戶共享。修改數據時，首先要從數據文件中取出數據，存儲于數據緩沖區中。修改的數據，插入的數據都被存儲于數據緩沖區中，修改完成和其他條件滿足時，數據才被寫入數據文件中。

Oracle服務器進程在處理一個查詢時，首先查找內存中是否存在所需的數據塊。如果在數據緩沖區中沒有找到需要的塊，服務器進程就從數據文件中讀取此塊，并保存在緩沖區中。當后續的請求需要讀取這些塊時，便可以在內存中找到，因此這些請求不需要從磁盤中讀取，從而提高了讀取速度。數據緩沖區的大小對數據庫的讀取速度有直接的影響。

③重做日志緩沖區

當用戶執行了如INSERT、UPDATE、DELETE、CREATE、ALTER、DROP等操作時，數據發生了變化，這些變化了的數據在寫入數據緩存之前先要寫入重做日志緩沖區，同時變化之前的數據也放入重做日志緩存，這樣在數據恢復時Oracle就知道哪些資源需要提交，哪些資源需要撤回。相對于數據緩沖區，日志緩沖區對數據庫的性能影響較小。

④大池

在SGA中，大池是一個可選的緩沖區，管理員可以根據需要對其今進行配置。在大規模輸入、輸出及備份過程中也需要大池作為緩沖空間，如大數據操作、數據庫備份與恢復之類的操作。

⑤Java池

在SGA中，Java池也是一個可選的緩沖區，但是在安裝Java或者使用Java程序時必須設置Java池，用于編譯Java語言編寫的指令。

2）PGA

PGA不是實例的一部分，它包含單個服務器進程或單個后臺進程所需的數據和控制信息。PGA是在用戶進程連接到數據庫并創建一個會話時自動分配的，該分區保留了每個與Oracle數據庫連接的用戶進程所需的內存。在一個用戶結束會話后，PGA將被釋放。

5、Oracle進程結構

Oracle中有幾種不同類型的進程：用戶進程、服務器進程和后臺進程。

• 用戶進程：在數據庫用戶請求連接Oracle服務器時啟動；

• 服務器進程：在用戶建立會話并連接Oracle實例時啟動；

• 后臺進程：在Oracle實例啟動時啟動；

• 用戶進程是一個需要與Oracle服務器進程交互的程序。當數據庫用戶運行一個應用程序準備向數據庫服務器發送請求時，即創建了用戶進程。例如：用戶啟動數據庫工具Sqlplus時，系統將自動建立一個用戶進程。

• 服務器進程用于處理連接到實例的用戶進程的請求。當用戶建立與數據庫的連接時，即產生服務器進程。服務器進程和用戶進程通信并為所連接的用戶請求服務。服務器進程直接與Oracle數據庫交互，實現調用和返回結果的目的。服務器進程及可以處理一個用戶進程的請求，也可以處理多個用戶進程的請求。

在Oracle數據庫中，為了使系統性能更好地協調多個用戶，實例系統中使用的一些附加進程，稱為后臺進程。這些后臺進程存在于操作系統中，在實例啟動時自動啟動。其中有五個進程是必須要啟動的，否則數據庫實例無法啟動。這五個重要且必需的后臺進程為進程監控（Process Monitor,PMON）進程、系統監控（System Monitor,SMON）進程、數據寫入（Database Writer,DBWR）進程、日志寫入（Log Writer,LGWR）進程、檢查點（Check Point,CKPT）進程。

1）PMON進程

PMON進程在用戶連接意外中斷后執行資源清理工作，包括以下任務：

• 釋放所有當前掛起的鎖；

• 回滾用戶當前事務處理；

• 釋放用戶當前使用的資源；

• 監控服務器進程和其他后臺進程，出現故障時重啟它們；

2）SMON進程

SMON進程執行以下任務：

• 在實例啟動時執行實例恢復。實例恢復包括三個步驟：

①前滾以恢復未寫入的數據文件但已記入聯機日志文件的數據；

②打開數據庫，以便用戶能登錄并訪問數據；

③回滾為提交的事務處理；

• 整理數據文件的自由空間；

• 釋放不再使用的臨時段；

3）DBWR進程

DBWR進程執行以下任務：

• 管理數據緩沖區，以便能找到空閑的緩沖區讀入數據文件的數據；

• 將所有修改后的緩沖區數據寫入數據文件；

• 使用LRU算法經最近使用過的塊保留在內存中；

• 通過延遲寫入優化磁盤I/O讀寫；

4）LGWR進程

LGWR進程負責將重做日志緩沖區中的日志數據寫入日志文件組。數據庫在運行時，如果對數據進行修改，則產生日志信息，日志信息首先產生于重做日志緩沖區中。此緩沖器按照“先進先出”的原則進行操作，當日志信息滿足一定條件是，由LGWR進程將日志數據寫入日志文件。系統通常有多個日志文件，日志寫入進程以循環的方式將數據寫入文件。

5）CKPT進程

CKPT進程是確保數據緩沖區中所有修改過的數據塊都寫入數據文件的機制。當檢查點完成后，CKPT進程負責更新數據文件頭和控制文件、保存檢查點信息，以保證數據庫日志文件和數據文件同步。在數據庫恢復時只需要找到CKPT保存的最后一次檢查點，就可以根據它確定日志文件中恢復數據的開始位置，然后重新執行其之后的日志記錄即可。

6）ARCn進程

ARCn進程即歸檔日志進程，是一個可選進程，只有在打開日志歸檔時才有該進程。該進程的主要作用是發生日志切換時將寫滿的聯機日志文件復制到歸檔目錄。

二、CDB與PDB的基本操作

和之前版本的Oracle不同，Oracle 12c可以作為單個數據庫使用（通過再安裝時取消勾選“創建為容器數據庫”復選框），也可根據企業需要，提供若干個可插拔PDB數據庫。每個PDB可以由不同的DBA維護。下面介紹CDB和PDB的基本維護。

[oracle@oracle ~]$ source .bash_profile     
[oracle@oracle ~]$ sqlplus / as sysdba   <!--以sys用戶登錄數據庫-->

SQL*Plus: Release 12.2.0.1.0 Production on Tue Jan 7 14:58:04 2020

Copyright (c) 1982, 2016, Oracle.  All rights reserved.

Connected to:
Oracle Database 12c Enterprise Edition Release 12.2.0.1.0 - 64bit Production

SQL> startup;         <!--啟動數據庫-->
ORACLE instance started.

Total System Global Area 1660944384 bytes
Fixed Size          8793448 bytes
Variable Size        1056965272 bytes
Database Buffers      587202560 bytes
Redo Buffers            7983104 bytes
Database mounted.
Database opened.
SQL>  
SQL> show con_name;         <!--查看當前所在的容器-->

CON_NAME
------------------------------
CDB$ROOT             <!--CDB$ROOT代表當前在CDB下面-->
SQL>
SQL> show pdbs;      <!--查看數據庫的所有容器-->

    CON_ID CON_NAME           OPEN MODE  RESTRICTED
---------- ------------------------------ ---------- ----------
     2 PDB$SEED           READ ONLY  NO
     3 ORCLPDB            MOUNTED          <!--狀態為mounted（并沒有open）-->
SQL> 
SQL> alter pluggable database orclpdb open;   
             <!--CDB下修改可插拔數據庫orclpdb為打開狀態-->

Pluggable database altered.
SQL> 
SQL> alter session set container=orclpdb;  
           <!--CDB下切換會話到PDB（orclpdb）中-->

Session altered.
SQL> 
SQL> show con_name; <!--再次查看當前位置已經位于orclpdb中-->

CON_NAME
------------------------------
ORCLPDB

SQL>  

從CDB切換到PDB以及相關的操作如下：

SQL> show con_name;    <!--查看當前位置-->

CON_NAME
------------------------------
CDB$ROOT
SQL> 
SQL> alter session set container=orclpdb;   <!--切換會話到PDB中-->

Session altered.

SQL> 
SQL> show con_name;       <!--查詢當前容器-->

CON_NAME
------------------------------
ORCLPDB
SQL> 
SQL> shutdown immediate;    <!--在PDB中關閉可插拔數據庫-->
Pluggable Database closed.
SQL> 
SQL> startup;             <!--在PDB中打開可插拔數據庫-->
Pluggable Database opened.
SQL> 
SQL> alter session set container=cdb$root; <!--切換會話到CDB中-->

Session altered.

SQL> 
SQL> show con_name;       <!--再次查看當前的位置-->

CON_NAME
------------------------------
CDB$ROOT
SQL> 

通過上面的操作可以發現，可以在CDB中管理PDB，如CDB中通過命令“alter pluggable database orclpdb open”可以將PDB數據設置為打開狀態。當然也可以在PDB中維護，如執行“shutdown immediate”命令和“startup”命令分別關閉和打開PDB數據庫。在CDB和PDB中切換也是非常方便的，只需執行“alter session set container=xxx”命令即可。

連接到可插拔數據PDB有兩種方法，一種是執行命令“sqlplus / as sysdba”進入CDB，然后通過“alter session set container=xxx”命令切換到PDB;另一種方法是執行“sqlplus sys/oracle@orclpdb sa sysdba”命令直接進入PDB數據庫，其中orclpdb是pdb容器的名稱，而且還要在/u01/app/oracle/product/12.2.0/dbhome_1/network/admin/tnsnames.ora文件中增加以下內容：

[oracle@oracle ~]$ vim /u01/app/oracle/product/12.2.0/dbhome_1/
network/admin/tnsnames.ora 

# Generated by Oracle configuration tools.

LISTENER_ORCL =
  (ADDRESS = (PROTOCOL = TCP)(HOST = oracle)(PORT = 1521))

# Generated by Oracle configuration tools.

LISTENER_ORCL =
  (ADDRESS = (PROTOCOL = TCP)(HOST = oracle)(PORT = 1521))

ORCL =
ORCL =
  (DESCRIPTION =
    (ADDRESS = (PROTOCOL = TCP)(HOST = oracle)(PORT = 1521))
    (CONNECT_DATA =
      (SERVER = DEDICATED)
      (SERVICE_NAME = orcl)
    )
  ) 
----------------------------------------------------  
                 <!--分界線，以上不需要進行-->
ORCLPDB =
  (DESCRIPTION =
    (ADDRESS = (PROTOCOL = TCP)(HOST = Oracle)(PORT = 1521))
    (CONNECT_DATA =
      (SERVER = DEDICATED)
      (SERVICE_NAME = orclpdb)
    )
  )

三、用戶管理

在創建一個新數據庫時，Oracle將創建一些默認數據庫用戶，比如：SYS、SYSTEM等用戶。SYS和SYSTEM用戶都是Oracle的管理用戶。如果在安裝過程中選擇安裝示例數據庫，則會自動創建HR用戶，HR用戶是Oracle數據庫的一個示范用戶，也可以根據需求導入其他示例數據庫。示例數據庫里面包含一些測試展示用的示例表。下面簡單介紹一下SYS、SYSTEM和自定義用戶。

1、SYS

SYS用戶是Oracle中的一個超級用戶，主要用來維護系統信息和管理實例。數據庫中所有數據字典和視圖都存儲在SYS模式中。數據字典存儲了用來管理數據庫對象的所有信息，是Oracle數據庫中非常重要的系統信息。SYS用戶只能以SYSOPER或SYSDBA角色登錄數據庫系統。

2、SYSTEM

SYSTEM用戶是Oracle中默認的數據庫管理員，它擁有DBA權限。該用戶模式中存儲了Oracle管理工具使用的內部表和視圖。通常通過SYSTEM用戶管理Oracle數據庫的用戶、權限和存儲等，不建議在SYSTEM模式中創建用戶表。SYSTEM用戶不能以SYSOPER或SYSDBA角色登錄系統，只能使用以默認方式（數據庫身份驗證的方式）登錄。

3、自定義用戶

Oracle 12c支持創建自定義用戶，由于PDB的引入，自定義用戶范疇和之前版本有所不同。在CDB模式下，用戶分為兩種：公用用戶和本地用戶。公用用戶可以在CDB和PDB中使用，而本地用戶只能在PDB中使用。在CDB環境中，不允許創建本地用戶。Oracle規定，在CDB中創建公用用戶時，用戶名必須以c##開頭。

通常情況下，出于安全考慮，對于不同用戶的數據表需要不同的訪問權限，因此，就需要創建不同的用戶。Oracle中的CREATE USER命令用于創建新用戶。每個用戶都有一個默認空間和一個臨時表空間。如果沒有指定，Oracle就將USERS設為默認表空間，將TEMP設為臨時表空間。創建用戶的語法如下：

1）以system用戶的身份登錄orcl數據庫的CDB，創建用戶tom，密碼為123，默認表空間是users，臨時表空間是temp，開啟表空間限額，下次登錄修改密碼

SQL> create user c##tom identified by 123 default tablespace users temporary tablespace temp quota unlimited on users password expire;

User created.

2）修改tom用戶密碼為123456

SQL> alter user c##tom identified by 123456;

User altered.

3）刪除不用的賬戶tom

SQL> drop user c##tom cascade;

User dropped.

四、數據庫權限管理

權限是執行某種類型的SQL語句揮著存取其他用戶數據庫對象的權力。在Oracle中，權限分為系統權限和對象權限兩類。

1、系統權限

系統權限是指在數據庫中執行某種系統級別的操作，或者針對某一類的對象執行某種操作的權限。例如，在數據庫中創建表空間的權力，或者在數據庫中創建表的權力，都屬于系統權限。系統權限示例如下圖：

常見的系統權限如下：

• CREATE SESSION：連接到數據庫；

• CREATE TABLE：創建表；

• CREATE VIEW：創建視圖；

• CREATE SEQUENCE：創建序列；

一個新用戶創建后，首選要授予其CREATE SESSION權限，使其可以登錄到數據庫。

2、對象權限

對象權限是指針對某個特定的模式對象執行操作的權力。只能針對模式對象來設置和管理對象權限，包括數據庫中的表、視圖、序列、存儲過程等。如下圖所示：

Oracle數據庫用戶有兩種獲取權限的途徑：①直接向用戶授予權限；②將權限授予角色，再將角色授予一個或多個用戶。使用角色能夠更加方便和高效地對權限進行管理。所以數據庫管理員通過使用角色向用戶授予權限，而不是直接向用戶授予權限。在Oracle數據庫系統中預定義了很多角色，其中最常用的主要有CONNECT角色、RESOURCE角色、DBA角色等。

Oracle中常用的系統預定義角色如下：

• CONNECT：擁有連接數據庫的權限；

• RESOURCE：擁有創建表、觸發器、過程等權限；

• DBA：數據庫管理員角色，擁有管理數據庫的最高權限；一個具有DBA角色的用戶可以授權任何其他用戶甚至其他DBA權限，這是很危險的，因此不要輕易授予該角色；

新創建的用戶必須授予一定的權限才能進行相關數據庫的操作。授權通過CRANT語句，取消授權則通過REVOKE語句。

1）創建bob賬戶，授權和撤銷授權基本操作語法示例

SQL> alter session set container=orclpdb;  <!--切換到orclpdb數據庫-->

Session altered.

SQL> create user bob identified by 123456;  <!--創建賬戶bob-->

User created.

SQL> grant connect,resource to bob;  
<!--授權bob用戶擁有連接數據庫和創建表、觸發器、過程等權限-->

Grant succeeded.

SQL> revoke connect,resource from bob;  <!--撤銷授權-->

Revoke succeeded.

數據庫用戶安全設計原則如下：

• 數據庫用戶去哪先按照最小分配原則；

• 數據庫用戶可分為管理、應用、維護、備份四類用戶；

• 不允許使用sys和system用戶建立數據庫應用對象；

• 禁止對普通用戶授予dba權限；

• 對查詢用戶只能開放查詢權限；

• 對新建用戶初次登錄數據庫時強制修改密碼；

一般程序開發人員只要授予 CONNECT和RESOURCE兩個角色即可。特別注意，授予這兩個角色就包含了授予用戶無限制使用默認表空間的權限。

———————— 本文至此結束，感謝閱讀 ————————