NetBackup IT Analytics 系统管理指南

与 Oracle 相关的修改

1. 将 /etc/krb5.conf 从 KDC 复制到 Oracle 服务器的 /etc/krb5.conf 路径。
2. 将 keytab 文件从 KDC 复制到 Oracle 中的 /etc/v5srvtab 位置

   注意:

   将导出的 keytab 文件复制到 Oracle 服务器后，可将其从 KDC 中删除。

   注意:

   如需了解更多信息，请参阅请参见将服务和用户主体导出到 KDC 上的密钥文件中。

3. 授予对文件和目录的相应权限，以便 Oracle 服务读取 sqlnet.ora 中提到的文件/目录。

   # chown <oracle user>:<oracle group> /etc/krb5.conf /etc/v5srvtab 
   # chmod 444 /etc/krb5.conf /etc/v5srvtab
   

   例如：# chown aptare:dba /etc/krb5.conf /etc/v5srvtab

4. 将以下条目添加到 /opt/aptare/oracle/network/admin/sqlnet.ora 文件。

   • SQLNET.AUTHENTICATION_SERVICES=(BEQ,KERBEROS5)

   • SQLNET.AUTHENTICATION_KERBEROS5_SERVICE=scdb

   • SQLNET.KERBEROS5_CONF=/etc/krb5.conf

   • SQLNET.KERBEROS5_CONF_MIT=TRUE

   • SQLNET.KERBEROS5_REALMS=/etc/krb5.conf

   • SQLNET.KERBEROS5_KEYTAB=/etc/v5srvtab

   • SQLNET.FALLBACK_AUTHENTICATION=TRUE

   • SQLNET.KERBEROS5_CC_NAME=/tmp/kcache

   • SQLNET.KERBEROS5_CLOCKSKEW=300

   注意:

   Oracle 服务器和 KDC 应具有相同的时间和时区设置。如果时间稍微有些不一致，请将以下条目添加到 sqlnet.ora 以解决时间不一致的问题。例如，时间差在 20 分钟内。默认值为 300。SQLNET.KERBEROS5_CLOCKSKEW=1200。Cohesity 建议将这两个服务器配置为从时间服务器同步时间。

5. 在 Oracle 中创建一个要用于 Kerberos 的用户。我们已在 KDC 中创建了用户主体 k1portal。

   # su - aptare (login as Oracle service user)
   # source <INSTALL_PATH>/aptare/bin/aptare_env.sh
   # sqlplus / as sysdba 
   SQL> alter session set container=scdb; 
   CREATE USER <kerberos user name> PROFILE DEFAULT IDENTIFIED EXTERNALLY AS 
   '<Kerberos user name>@<domain realm name>' DEFAULT TABLESPACE 
   APTARE_TBS_DATA_1M TEMPORARY TABLESPACE APTARE_TEMP_TBS;

   例如：

   SQL> CREATE USER k1portal PROFILE DEFAULT IDENTIFIED EXTERNALLY AS 
   'k1portal@EXAMPLE.COM' DEFAULT TABLESPACE 
   APTARE_TBS_DATA_1M TEMPORARY TABLESPACE APTARE_TEMP_TBS; 
   SQL> EXIT;

6. 验证是否已将参数 OS_AUTHENT_PREFIX="" 添加到数据库的参数文件（“pfile”或“spfile”）中。

   如果未添加，则需要将该参数添加到参数文件中。

   例如：在 /opt/aptare/oracle/dbs/initscdb.ora 文件（服务的初始化文件）中添加以下条目OS_AUTHENT_PREFIX=""

7. 在 /opt/aptare/oracle/dbs/initscdb.ora 文件（服务的初始化文件）中添加以下条目

   OS_AUTHENT_PREFIX=""

8. 重新启动 Oracle 服务。

9. 注意:

   如果使用的是预存储的 Kerberos 票证，则此步骤为可选步骤。

   执行以下命令，以验证并获取 k1portal 用户（以 Oracle 服务用户身份登录）的初始 TGT

   # su - aptare (login as Oracle service user)
   # source <INSTALL_PATH>/aptare/bin/aptare_env.sh
   # oklist -k -t /etc/v5srvtab 
   # okinit -k -t /etc/v5srvtab k1portal

10. 使用以下命令连接到 Oracle 数据库。

    # sqlplus /@scdb

11. 为对应于 portal 的 Kerberos 用户创建一个触发器，以更改将当前架构设置为 PORTAL 的会话

    # su - aptare ( login as Oracle service user)
    # source <INSTALL_PATH>/aptare/bin/aptare_env.sh
    # okinit -k -t /etc/v5srvtab k1portal; 

    预存储的 Kerberos 票证可选择使用上述命令。

    # sqlplus /@scdb
    SQL> show user; # This must return k1portal
    SQL> CREATE OR REPLACE TRIGGER set_portal_schema 
    after logon on k1portal.schema begin execute immediate 
    'alter session set current_schema=PORTAL'; 
    end; 
    /

12. 授予 RO 用户通过 PORTAL 用户进行连接的权限

    sqlplus / as sysdba 
    SQL> alter session set container = scdb; 
    SQL> alter user aptare_ro grant connect through k1portal; 
    SQL> GRANT CREATE SESSION to aptare_ro; 
    Verify with RO user login 
    SQL> sqlplus [aptare_ro]/@scdb;
    SQL> show user; 
    This must return aptare_ro
    SQL> exit;