Introduction Conditions - Trivadis

Objet Connexion interne sous Windows (W2K)
Auteur Kalled Belkacem (kalled.belkacem@trivadis.com)
Infos Analyse technique détaillée du processus (janvier 2002)
Source Expériences pratiques des consultants Trivadis
Introduction
L’administrateur de bases de données (DBA) doit quelquefois établir des connexions sans
mot de passe. Dans ce cas, l’authentification est effectuée par le système d’exploitation
selon les procédures suivantes :
• l’utilisateur Oracle est authentifié de façon externe ;
• les utilisateurs OS du groupe ORA_DBA ou ORA__DBA (pour NT), ou dba
(pour UNIX), sont soumis à l'établissement de connexions internes.
Ces concepts semblent faciles, mais en pratique, si le DBA choisit d’utiliser la structure
OFA sur le système d’exploitation Windows (NT/W2K), il risque de rencontrer quelques
surprises.
Ce dernier point est l'objet du présent document.
Notez que tous mes tests ont été effectués sous l’environnement suivant :
• WIN2000
• Oracle 8.1.7 avec patch 8.1.7.2
Conditions
Je décrirai dans ce chapitre les conditions nécessaires pour réaliser une authentification
correcte dans tous les cas de figure, à savoir :
• le fichier sqlnet.ora avec sa syntaxe de connexion pour l'authentification ;
• la variable TNS_ADMIN définie dans le Registre, ou dans le système d’exploitation
comme une variable globale.
Sqlnet.ora
Ce fichier doit contenir au moins la ligne suivante :
SQLNET.AUTHENTICATION_SERVICES= (NTS)

Cette ligne signifie qu'Oracle délègue à NT la responsabilité de l'authentification. De cette
façon, un utilisateur du groupe ORA_DBA ou ORA__DBA sera autorisé à se
connecter en interne et chaque utilisateur créé avec l’option identified externally sera en
mesure de se connecter à la base de données. Dans ces cas de figure, aucun mot de passe
ne sera exigé.
TNS_ADMIN
Oracle utilise cette ”variable environnementale” pour définir l’emplacement des fichiers
sqlnet.ora, tnsnames.ora et listener.ora.
La valeur par défaut pour cette variable est %ORACLE_HOME%/network/admin
Sous NT, il existe plusieurs façons de définir une variable environnementale :
- dans le Registre
- dans le système, en tant que variable environnementale globale
- à l’aide du jeu de commande TNS_ADMIN=value (dans un traitement par lots)
Dans notre cas, seules fonctionneront les 2 premières solutions.
Utilisation
Connexion SYSDBA
Chaque utilisateur des groupes ORA_DBA ou ORA__DBA peut se connecter en
interne sans mot de passe. Cette possibilité est utile pour la création des bases de données,
des traitements par lots, etc. L’administrateur Windows peut inclure dans ce groupe
certains utilisateurs interrogés.
Depuis Oracle9i, l’authentification "as SYSDBA" s’effectue avec la commande suivante :
sqlplus “/ as sysdba”
SQL>Connected.
Avant Oracle9i, la commande équivalente était :
F:\>svrmgrl
SVRMGR> connect internal
Connected.
Remarque :
Pour les utilisateurs NT qui ne sont pas inclus dans ces groupes, il existe tout de même une
possibilité de se connecter "as SYSDBA". Un fichier de mot de passe est alors exigé, et le
paramètre REMOTE_LOGIN_PASSWORDFILE doit être défini comme "exclusif" ou
"partagé" dans le fichier init.ora.

Connexion en tant qu’utilisateur défini en externe
Pour être autorisé à se connecter ainsi, l’utilisateur doit être créé dans la base de données
avec une syntaxe spécifique :
Create user “\”
identified externally…..;
Le nom de l'utilisateur doit être écrit en majuscules.
os_authent_prefix est un paramètre init.ora.
Exemple :
Avec os_authent_prefix=”OS$”
Sqlplus system/manager
Create user “OS$TRIVADIS\KBE” identified externally
Default tablespace USERS
Temporary tablespace TEMP;
Quelques remarques
Je recommande de définir le paramètre remote_os_authent comme faux (false) dans le
fichier init.ora ; sinon, le DBA peut créer un intervalle de sécurité.
J’ai mentionné précédemment que tous les tests ont été réalisés sous la version 8.1.7. Sous
la version 8.1.6, la fonctionnalité du chapitre 3.1 ne s’exécute pas.
La connexion "as SYSDBA" sans mot de passe n’est possible que sous la condition suivante
: si l’utilisateur NT est membre du groupe ORA_DBA ou ORA__DBA. Ces groupes
doivent être des groupes locaux pour le serveur NT et la station de travail NT, et former un
groupe domaine pour le contrôleur de domaine principal (PDC) et le contrôleur de
domaine de sauvegarde (BDC).
Conclusion
Bien que la solution de ce problème semble relativement facile, la connexion interne sous
Windows a déjà perturbé bon nombre de DBA parfaitement expérimentés. Le fait qu'aucun

ORA_DBA ne soit créé sur un contrôleur de domaine de sauvegarde peut ainsi empêcher
l’utilisation d’une connexion interne. Si vous rencontrez des difficultés de ce genre,
j’espère que ce document vous aidera à vous connecter sans mot de passe.
Trivadis AG E-mail : kalled.belkacem@trivadis.com
Kalled Belkacem
Kanalstrasse 5 Tél. : +41 1 808 70 20
8152 Glattbrugg Fax : +41 1 808 70 21
Internet : http://www.trivadis.com