如何配置Oracle 11g 启动sqlplus？

Question

在 RedHat 6 服务器上，第三方应用程序需要 root 才能运行并且需要访问 sqlplus。我有一个正在运行的数据库，我可以以用户“oracle”的身份运行 sqlplus。以 root 用户身份登录时，“sqlplus usr/pwd@dbname”按预期工作。问题是这个代理需要运行没有参数的sqlplus，它总是返回ORA-12546: TNS:permission denied。

我已经读过十几遍了，启用 root 启动 Oracle 是一个安全问题，但我真的别无选择。

运行 Oracle 11.2.0.1.0。

任何帮助将不胜感激，因为我已经用谷歌搜索了 2 天但没有成功。

Answer 1

From the documentation, ORA_12546 是：

ORA-12546：TNS：权限被拒绝
原因：用户没有足够的权限来执行请求的操作。 操作：获取必要的权限并重试。

这并不完全有帮助，但各种论坛和博客文章（链接太多，谷歌搜索错误显示了很多类似的建议）提到了安装特定部分的权限，$ORACLE_HOME/bin/oracle，是大多数服务的关键和核心部分。

通常，该文件的权限为-rws-r-s--x，该文件由oracle:dba 拥有，当未设置字可写标志（该模式中的最后一个x）时，可能会发生此错误。 dba 组中的任何人仍然可以执行它，但外部的人不能。

您的监听器似乎很好，因为您可以通过在连接字符串中指定@dbname 进行远程连接。侦听器以oracle 运行（通常可以是grid 与HA、RAC 或ASM），因此它位于dba 组中，并且可以愉快地切换到oracle 可执行文件实例的连接。

当您不通过侦听器进行连接时，您必须能够自己执行该文件。 root 似乎无法执行它（或者可能是其他文件，但这显然是罪魁祸首），这意味着确实没有设置全局可写位。

据我所知，您有三个选择：

• 设置全局可写位，chmod o+x $ORACLE_HOME/bin/oracle；但这为每个人开放了权限，大概他们受到限制是有原因的；
• 通过usermod 或/etc/group 将root 添加到dba 组；这也可能会削弱安全性；
• 即使您没有在连接字符串中指定@dbname，也可以通过将export TWO_TASK=dbname 添加到root 环境中来使用SQL*Net。

你说你在另一台服务器上没有这个问题，文件权限是一样的；在这种情况下，root 可能在该框的dba 组中。但我认为第三种选择似乎是最简单和最安全的。我想还有第四个选项，安装一个单独的 instant client，但无论如何你都必须设置 TWO_TASK 并通过 SQL*Net，你已经排除了这一点。

我不会详述以root 运行sqlplus（或者确实是需要它的应用程序）是否是一个好主意，但我只想提到你可能有一个名为@ 的脚本或函数987654347@ 通过su 切换到权限较低的帐户以运行真正的可执行文件，这可能对应用程序是透明的。除非您切换到 oracle 帐户（这也不是一个好主意），否则您将遇到相同的权限问题和选项。