Configurer Oracle Advanced Security Option (ASO) avec Active Directory de Microsoft Windows Server 2003
S'APPLIQUE À :
Advanced Networking Option - versions 9.2.0.1 à 11.2.0.3 [Release 9.2 à 11.2]
Les informations de ce document s'appliquent à toutes les plateformes.
Pertinence vérifiée le 13-MAR-2013
PORTÉE
Cet article s'adresse principalement aux administrateurs système et de bases de données qui souhaitent mettre en place l'authentification Kerberos des utilisateurs de bases de données Oracle auprès d'un KDC Windows Server 2003. Il traite de la configuration d'Active Directory de Microsoft Windows Server 2003, de Kerberos et d'Oracle Advanced Security Option, et peut servir de guide pour les implantations Oracle/Kerberos sur d'autres plateformes et versions. Il complète l'Oracle Advanced Security Administrator's Guide. Les versions Oracle11gR2, Oracle10g R2 (10.2.0), Oracle10g R1 (10.1.0) et Oracle9i R2 (9.2.0) ont toutes été testées avec succès. Tous les extraits proviennent de systèmes fonctionnels. L'article suppose que vous disposez déjà d'un serveur Active Directory Microsoft Windows Server 2003 pleinement fonctionnel et d'un serveur de base de données Oracle sur lequel Advanced Security Option (ASO) est installé.
DÉTAILS
Configurer Oracle Advanced Security Option (ASO) avec le KDC Kerberos d'Active Directory de Microsoft Windows Server 2003
Aperçu
Kerberos est un protocole d'authentification réseau, conçu à l'origine par le MIT, qui authentifie les utilisateurs auprès des ressources du réseau, comme une base de données Oracle. Grâce aux tickets de service et à la cryptographie à clé symétrique, Kerberos évite de transmettre les mots de passe sur le réseau. Oracle Advanced Security Option (ASO) fournit des adaptateurs d'authentification pour la plupart des mécanismes d'authentification externe courants, dont Kerberos.
Un serveur de base de données Oracle dessert généralement de nombreux clients Oracle. Lorsqu'il est configuré pour l'authentification Kerberos, le serveur de base de données devient un client du Kerberos Key Distribution Centre (KDC). Oracle Advanced Security fonctionne sans difficulté avec les tickets de service émis par un contrôleur de domaine Windows 2000; des étapes de configuration supplémentaires sont toutefois nécessaires pour activer l'authentification Kerberos auprès de Windows Server 2003.
Topologie
La configuration décrite tout au long de l'article repose sur la topologie suivante.
Serveur Kerberos (KDC Microsoft) :
· Nom d'hôte : apcbdead2.au.oracle.com
· Microsoft Windows Server 2003 Enterprise Edition avec Service Pack 1
· Active Directory (comprenant le Kerberos Key Distribution Centre (KDC))
· Nom de royaume : APCBDEDOM2.AU.ORACLE.COM
Client Kerberos (base de données Oracle) :
· Nom d'hôte : valkyrie.au.oracle.com
· Red Hat Enterprise Linux 3 - Update 4 (2.4.21-27.EL)
· Oracle10g R2 Server Enterprise Edition (10.2.0) avec Oracle Advanced Security Option (ASO)
· Oracle10g R1 Server Enterprise Edition (10.1.0) avec Oracle Advanced Security Option (ASO) et le patch set 10.1.0.4
· Oracle9i R2 Server Enterprise Edition (9.2.0) avec Oracle Advanced Security Option (ASO) et le patch set 9.2.0.6.0
Client Oracle :
· Nom d'hôte : valkyrie.au.oracle.com
· Red Hat Enterprise Linux 3 - Update 4 (2.4.21-27.EL)
· Installation client Oracle10g R2 (10.2.0) avec Oracle Advanced Security Option (ASO)
· Installation client Oracle10g R1 (10.1.0) avec Oracle Advanced Security Option (ASO) et le patch set 10.1.0.4
· Installation client Oracle9i R2 (9.2.0) avec Oracle Advanced Security Option (ASO) et le patch set 9.2.0.6.0
Partie 1 : configurer le client Kerberos Oracle pour qu'il fonctionne avec le KDC Windows Server 2003
Les étapes suivantes s'effectuent sur le serveur de base de données Oracle, soit le client Kerberos.
1. Installer le logiciel Kerberos sur le client Kerberos
Installez le logiciel Kerberos sur le serveur de base de données Oracle, soit le client Kerberos.
Ici, Oracle est installé sur Red Hat Enterprise Linux 3.0, qui fournit un logiciel client/serveur Kerberos conforme à celui du MIT.
Sous Red Hat Linux, le gestionnaire de paquets Red Hat, /bin/rpm, permet de vérifier que les paquets client Kerberos requis sont installés.
Par exemple :
[root@valkyrie /etc]$ rpm -qa | grep -i krb5
krb5-workstation-1.2.7-44
pam_krb5-1.73-1
krb5-libs-1.2.7-44
2. Configurer le client Kerberos pour qu'il utilise le KDC Windows Server 2003
Modifiez les fichiers de configuration système suivants sur le serveur de base de données Oracle.
Par exemple :
# /etc/krb5.conf:
[logging]
default=FILE:/var/log/krb5libs.log
kdc=FILE:/var/log/krb5kdc.log
admin_server=FILE:/var/log/kadmind.log
[libdefaults]
default_realm = APCBDEDOM2.AU.ORACLE.COM
default_tkt_enctypes = des-cbc-crc
default_tgs_enctypes = des-cbc-crc
default_etypes = des-cbc-crc
default_etypes_des = des-cbc-crc
[realms]
APCBDEDOM2.AU.ORACLE.COM = {
kdc = apcbdead2.au.oracle.com
}
[domain_realm]
.au.oracle.com = APCBDEDOM2.AU.ORACLE.COM
au.oracle.com = APCBDEDOM2.AU.ORACLE.COM
[kdc]
profile = /var/kerberos/krb5kdc/kdc.conf
# /etc/krb5.realms:
.au.oracle.com = APCBDEDOM2.AU.ORACLE.COM
# /etc/krb.realms:
.au.oracle.com = APCBDEDOM2.AU.ORACLE.COM
# /etc/hosts:
127.0.0.1 localhost.localdomain localhost
192.168.1.1 valkyrie.au.oracle.com valkyrie
192.168.1.2 apcbdead2.au.oracle.com apcbdead2 apcbdead2.apcbdedom2.au.oracle.com apcbdedom2.au.oracle.com apcbdedom2
# /etc/services:
kerberos 88/tcp kerberos5 krb5 # Kerberos v5
kerberos 88/udp kerberos5 krb5 # Kerberos v5
Remarque : Kerberos, y compris Active Directory, est très sensible à la casse; veillez donc à écrire le nom de royaume Active Directory (@APCBDEDOM2.AU.ORACLE.COM) en majuscules.
Par convention, le nom de royaume Active Directory est généralement identique au nom du domaine réseau dans lequel Active Directory se trouve ou qu'il dessert.
Ce n'est toutefois pas le cas dans la configuration ci-dessus.
Ici, le nom de domaine réseau au.oracle.com correspond au nom de royaume Active Directory APCBDEDOM2.AU.ORACLE.COM.
3. Vérifier que l'adaptateur d'authentification Kerberos d'Oracle est installé sur le client Kerberos Oracle
Vérifiez que l'adaptateur d'authentification Kerberos d'Oracle est installé sur le serveur de base de données Oracle et qu'il est lié à l'exécutable oracle.
Pour vérifier que les adaptateurs d'authentification Kerberos sont installés, exécutez la commande $ORACLE_HOME/bin/adapters.
Par exemple :
[oracle@V1020@valkyrie /home/oracle]$ cd $ORACLE_HOME/bin
[oracle@V1020@valkyrie /u03/app/oracle/product/10.2.0/bin]$ ./adapters
Installed Oracle Advanced Security options are:
...
Kerberos v5 authentication
RADIUS authentication
[oracle@V1020@valkyrie /u03/app/oracle/product/10.2.0/bin]$ ./adapters ./oracle
...
Kerberos v5 authentication
RADIUS authentication
Si l'adaptateur d'authentification Kerberos ne figure pas dans la liste, lancez l'Oracle Installer et effectuez une installation personnalisée pour installer Advanced Security Option.
Partie 2 : configurer le KDC du contrôleur de domaine Windows 2003 pour qu'il fonctionne avec un client Kerberos
Les étapes suivantes s'effectuent sur le serveur Microsoft Active Directory, soit le serveur Kerberos.
4. Créer un nouvel utilisateur pour le client Kerberos dans Microsoft Active Directory
Créez un ou plusieurs comptes d'utilisateur dans Microsoft Active Directory.
Il s'agit des utilisateurs qui se connecteront à la base de données Oracle depuis leur poste de travail au moyen de l'authentification Kerberos.
L'exemple suivant crée l'utilisateur scott, à ne pas confondre avec le schéma de démonstration scott de la base de données.
Voici les propriétés de l'utilisateur scott dans Active Directory Users and Computers.
[General tab]
First Name: scott
Last Name: tiger
Display Name: scott tiger
[Account tab:]
User logon name: scott@apcbdedom2.au.oracle.com
User logon name (pre-Windows 2000): APCBDEDOM2\scott
5. Créer le principal de service de la base de données Oracle dans Microsoft Active Directory
Windows Server 2003 utilise par défaut le type de chiffrement RC4-HMAC pour les tickets de service, qu'Oracle10g R2 (10.2.0) ne sait pas encore déchiffrer (voir la demande d'amélioration Oracle, bogue 2695053). Il faut donc demander la création de l'utilisateur principal de service de la base de données Oracle en précisant un type de chiffrement pris en charge par Oracle, comme DES-CBC-CRC. Dans Oracle10g R2 (10.2.0), seuls les types de chiffrement Kerberos suivants sont pris en charge : DES_CBC_CRC, DES_CBC_MD5.
Notez qu'à partir de la version 11gR2 du serveur de base de données, Oracle prend en charge RC4-HMAC
Pour que des clients kerbérisés, comme Oracle, puissent demander à Active Directory 2003 de chiffrer les tickets de service avec des types de chiffrement définis par le client, Windows Server 2003 doit d'abord être corrigé pour le permettre. En raison de la restriction décrite à http://support.microsoft.com/default.aspx?scid=kb;en-us;833708, appliquez le correctif ou le Service Pack 1 de Windows Server 2003, créez le paramètre de registre HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Kdc\KdcUseRequestedEtypesForTickets de type REG_DWORD et de valeur hexadécimale 1, puis redémarrez le service KDC Kerberos.
Dans Active Directory Users and Computers, créez un nouvel utilisateur qui servira de principal de service pour la base de données Oracle.
Si la base de données Oracle s'exécute sur l'hôte valkyrie.au.oracle.com, créez un utilisateur dont le nom de principal de service est valkyrie.au.oracle.com et le mot de passe oracle.
Par exemple :
[General tab]
First Name: valkyrie
Display Name: valkyrie
[Account tab:]
User logon name: valkyrie@apcbdedom2.au.oracle.com
User logon name (pre-Windows 2000): APCBDEDOM2\valkyrie
[Account Options:]
Password never expires.
Remarque : ne sélectionnez pas l'option 'User must change password on next logon'.
Terminez la création de l'utilisateur principal de service de la base de données Oracle dans Microsoft Active Directory à l'aide de l'utilitaire ktpass.exe de Microsoft.
L'utilitaire ktpass fait partie des Windows Server 2003 Support Tools, offerts à http://support.microsoft.com/kb/892777.
Remarque : utilisez uniquement la version Windows 2003 de ktpass pour créer les utilisateurs AD, et non celle de Windows 2000.
La commande suivante modifie le compte du principal de service pour qu'il utilise les types de chiffrement DES, change le format du nom de service pour y intégrer le nom de service oracle et extrait la table de clés dans un fichier, nécessaire au serveur de base de données qui s'exécute sur l'hôte valkyrie.au.oracle.com.
Par exemple :
C:\Program Files\Support Tools>.\ktpass -princ oracle/valkyrie.au.oracle.com@APCBDEDOM2.AU.ORACLE.COM -mapuser valkyrie -pass oracle /desonly -crypto des-cbc-crc -out c:\temp\keytab.valkyrie
Targeting domain controller: apcbdead2.apcbdedom2.au.oracle.com
Using legacy password setting method
Successfully mapped oracle/valkyrie.au.oracle.com to valkyrie.au.oracle.c.
WARNING: pType and account type do not match. This might cause problems.
Key created.
Output keytab to c:\temp\keytab.valkyrie:
Keytab version: 0x502
keysize 81 oracle/valkyrie.au.oracle.com@APCBDEDOM2.AU.ORACLE.COM ptype 0
(KRB5_NT_UNKNOWN) vno 7 etype 0x1 (DES-CBC-CRC) keylength 8 (0xdab97a0bca45864c)
Remarque : Kerberos, y compris Active Directory, est très sensible à la casse; veillez donc à écrire le nom de royaume Active Directory (APCBDEDOM2.AU.ORACLE.COM) en majuscules.
Après l'exécution de ktpass.exe, Active Directory Users and Computers devrait afficher les propriétés modifiées de l'utilisateur pour le principal de service valkyrie.
Par exemple :
[General tab]
First Name: valkyrie
Display Name: valkyrie
[Account tab:]
User logon name: oracle/valkyrie.au.oracle.com@apcbdedom2.au.oracle.com
User logon name (pre-Windows 2000): APCBDEDOM2\valkyrie
[Account Options:]
Password never expires.
Use DES encryption types for this account
Les mots de passe choisis pour les utilisateurs et les principaux de service doivent respecter la politique de mots de passe du domaine.
Par défaut, Active Directory de Windows Server 2003 applique une politique de mots de passe selon laquelle le mot de passe ne doit pas être basé sur le nom du compte, doit compter au moins 6 caractères et doit contenir des caractères d'au moins trois des groupes suivants : A-Z (majuscules), a-z (minuscules), 0-9 (chiffres), caractères non alphanumériques (p. ex. ponctuation).
La politique de mots de passe par défaut du domaine peut être affichée ou modifiée dans Default Domain Security Settings, sous Administrative Tools, en cliquant sur Security Settings, Account Policies, Password Policy. Si vous la modifiez, exécutez 'C:\> gpupdate /force' pour que les changements de stratégie utilisateur et de groupe prennent effet immédiatement. Toutes les modifications s'appliquent à l'ensemble du domaine.
Si plusieurs bases de données se trouvent sur des serveurs différents, vous devez configurer un nom d'utilisateur de principal de service distinct pour chaque hôte de base de données.
Par précaution, vous pouvez aussi renommer le fichier keytab pour qu'il indique l'hôte cible pour lequel il a été créé, p. ex. keytab.valkyrie.
Même si plusieurs hôtes de base de données peuvent utiliser le même nom de service, Active Directory limite chaque utilisateur principal de service à un seul service.
Copiez en mode binaire (ftp) la table de clés générée par ktpass.exe (c:\temp\keytab.valkyrie) sur le serveur de base de données Oracle concerné.
Partie 3 : configurer la base de données Oracle pour qu'elle fonctionne avec le KDC Active Directory de Windows Server 2003
Les étapes suivantes s'effectuent sur le serveur de base de données Oracle, soit le client Kerberos.
6. Configurer les paramètres Oracle Net du serveur de base de données
Ajoutez les paramètres suivants, avec les valeurs appropriées, au fichier sqlnet.ora du serveur de base de données.
SQLNET.KERBEROS5_CONF
SQLNET.KERBEROS5_KEYTAB
SQLNET.KERBEROS5_CONF_MIT
SQLNET.AUTHENTICATION_KERBEROS5_SERVICE
SQLNET.AUTHENTICATION_SERVICES
Par exemple :
# /u03/app/oracle/product/10.2.0/network/admin/sqlnet.ora
NAMES.DIRECTORY_PATH= (TNSNAMES)
SQLNET.KERBEROS5_REALMS = /etc/krb5.realms
SQLNET.KERBEROS5_CONF=/etc/krb5.conf
SQLNET.KERBEROS5_KEYTAB=/etc/keytab.valkyrie
SQLNET.AUTHENTICATION_KERBEROS5_SERVICE=oracle
SQLNET.KERBEROS5_CONF_MIT=true
SQLNET.AUTHENTICATION_SERVICES=(beq,kerberos5)
Copiez le fichier de table de clés (keytab.valkyrie) généré depuis Active Directory 2003 à l'emplacement indiqué par le paramètre SQLNET.KERBEROS5_KEYTAB.
7. Configurer les paramètres d'initialisation Oracle du serveur de base de données
Ajoutez les paramètres suivants au fichier de paramètres d'initialisation de la base de données (initSID.ora, spfileSID.ora) :
OS_AUTHENT_PREFIX=""
REMOTE_OS_AUTHENT=FALSE
La valeur par défaut du paramètre OS_AUTHENT_PREFIX est "OPS$" : pour les utilisateurs de base de données identifiés de façon externe et créés sans ce préfixe, elle peut provoquer l'erreur Oracle ORA-1017: 'invalid username/password; logon denied'. Les noms d'utilisateur de base de données sont limités à 30 caractères : plus le nom de royaume Active Directory est long, plus les noms d'utilisateur doivent être courts. La valeur par défaut peut réduire la longueur maximale des noms d'utilisateur identifiés de façon externe et provoquer l'erreur ORA-978: 'identifier is too long'.
Pour vérifier la valeur des paramètres d'initialisation OS_AUTHENT_PREFIX et REMOTE_OS_AUTHENT, exécutez les commandes suivantes :
SQL> show parameter os_authent_prefix
NAME TYPE VALUE
------------------------------------ ----------- ------------------------------
os_authent_prefix string
SQL> show parameter remote_os_authent
NAME TYPE VALUE
------------------------------------ ----------- ------------------------------
remote_os_authent boolean FALSE
8. Créer un utilisateur Oracle authentifié de façon externe
Créez un utilisateur identifié de façon externe dans la base de données Oracle.
Le nom d'utilisateur doit être identique à celui créé dans Active Directory à l'étape 6 ci-dessus, suivi du symbole '@' et du nom de royaume Active Directory.
Le nom d'utilisateur doit être créé en majuscules et entre guillemets.
Par exemple :
SQL> create user "SCOTT@APCBDEDOM2.AU.ORACLE.COM" identified externally;
User created.
SQL> grant connect, resource to "SCOTT@APCBDEDOM2.AU.ORACLE.COM";
Grant succeeded.
Partie 4 - Configurer le client de base de données Oracle pour qu'il fonctionne avec le serveur de base de données Oracle
Les étapes suivantes s'effectuent sur le client Oracle.
9. Configurer les paramètres Oracle Net du client Oracle
Chaque poste client Oracle doit disposer des logiciels client Kerberos et client Oracle, installés et configurés correctement.
Dans ce cas-ci, toutefois, le client Oracle se trouve sur le même serveur que la base de données : la même configuration système Kerberos et le même Oracle home sont donc utilisés.
Bien qu'il soit possible d'authentifier les utilisateurs finaux auprès du KDC Windows Server 2003 lorsqu'ils ouvrent une session sur des postes clients Oracle sous Unix, cette configuration dépasse la portée de cet article.
Ajoutez les paramètres suivants, avec les valeurs appropriées, au fichier sqlnet.ora du client Oracle.
SQLNET.KERBEROS5_CONF
SQLNET.KERBEROS5_CONF_MIT
SQLNET.AUTHENTICATION_KERBEROS5_SERVICE
SQLNET.AUTHENTICATION_SERVICES
L'utilisateur local du système d'exploitation scott, présent sur le client Oracle, définit une configuration Oracle Net distincte de celle de la base de données Oracle.
Par exemple :
# /home/scott/sqlnet.ora
NAMES.DIRECTORY_PATH= (TNSNAMES)
SQLNET.KERBEROS5_CONF=/etc/krb5.conf
SQLNET.KERBEROS5_CONF_MIT=true
SQLNET.AUTHENTICATION_KERBEROS5_SERVICE=oracle
SQLNET.AUTHENTICATION_SERVICES=(kerberos5)
# /home/scott/tnsnames.ora
V1020 =
(DESCRIPTION =
(ADDRESS = (PROTOCOL = TCP)(HOST = valkyrie.au.oracle.com)(PORT = 1521))
(CONNECT_DATA =
(SERVICE_NAME = V1020.au.oracle.com)
)
)
V1010 =
(DESCRIPTION =
(ADDRESS = (PROTOCOL = TCP)(HOST = valkyrie.au.oracle.com)(PORT = 1521))
(CONNECT_DATA =
(SERVICE_NAME = V1010.au.oracle.com)
)
)
V920 =
(DESCRIPTION =
(ADDRESS = (PROTOCOL = TCP)(HOST = valkyrie.au.oracle.com)(PORT = 1521))
(CONNECT_DATA =
(SERVICE_NAME = V920.au.oracle.com)
)
)
10. Obtenir un ticket initial pour le client Oracle
Les clients Oracle doivent obtenir un Ticket Granting Ticket (TGT) Kerberos initial auprès du KDC Kerberos avant de pouvoir se connecter à la base de données Oracle.
Si le TGT initial n'est pas demandé et obtenu, l'erreur Oracle ORA-12638 'Credential retrieval failure' se produit.
Pour obtenir un TGT initial, exécutez l'utilitaire $ORACLE_HOME/bin/okinit sur le client Oracle.
Par exemple :
[scott@V1020@valkyrie /home/scott]$ okinit
Kerberos Utilities for Linux: Version 10.2.0.1.0 - Production on 16-AUG-2005 15:44:11
Copyright (c) 1996, 2004 Oracle. All rights reserved.
Password for scott@APCBDEDOM2.AU.ORACLE.COM:
[scott@V1020@valkyrie /home/scott]$
Remarque : le mot de passe saisi par l'utilisateur scott est celui qui a été défini lors de la création de l'utilisateur scott dans Active Directory, comme décrit à l'étape 3.
Pour afficher la liste des tickets de service obtenus par l'utilisateur, exécutez l'utilitaire $ORACLE_HOME/bin/oklist sur le client Oracle.
Par exemple :
[scott@V1020@valkyrie /home/scott]$ oklist
Kerberos Utilities for Linux: Version 10.2.0.1.0 - Production on 16-AUG-2005 15:45:46
Copyright (c) 1996, 2004 Oracle. All rights reserved.
Ticket cache: /tmp/krb5cc_502
Default principal: scott@APCBDEDOM2.AU.ORACLE.COM
Valid Starting Expires Principal
16-Aug-2005 15:41:52 16-Aug-2005 23:44:11 krbtgt/APCBDEDOM2.AU.ORACLE.COM@APCBDEDOM2.AU.ORACLE.COM
[scott@V1020@valkyrie /home/scott]$
Le fichier krb5cc_ (cache des identifiants), lisible uniquement par l'utilisateur, est créé dans le répertoire /tmp.
Par exemple :
[scott@V1020@valkyrie /home/scott]$ ls -l /tmp/krb5cc_502
-rw------- 1 scott dba 527 Aug 16 15:41 /tmp/krb5cc_502
Pour détruire tous les tickets obtenus par le client, exécutez l'utilitaire $ORACLE_HOME/bin/okdstry sur le client Oracle.
Par exemple :
[scott@V1020@valkyrie /home/scott]$ okdstry
Kerberos Utilities for Linux: Version 10.2.0.1.0 - Production on 16-AUG-2005 15:47:51
Copyright (c) 1996, 2004 Oracle. All rights reserved.
[scott@V1020@valkyrie /home/scott]$
Remarque : après l'exécution d'okdstry, le fichier de cache des identifiants de l'utilisateur est supprimé et les tickets ne sont plus visibles avec oklist.
11. Se connecter à la base de données Oracle depuis le client Oracle avec l'authentification Kerberos
Connectez-vous à la base de données Oracle depuis le poste client Oracle.
Au lieu d'indiquer un nom d'utilisateur et un mot de passe de base de données, utilisez le caractère '/'.
Le caractère '/' indique à Oracle de se connecter au service de base de données (oracle) en tant qu'utilisateur identifié de façon externe (scott), authentifié par le KDC à partir de ses tickets de service et de ses identifiants Kerberos.
Par exemple :
[scott@V1020@valkyrie /home/scott]$ sqlplus /@V1020
SQL*Plus: Release 10.2.0.1.0 - Production on Tue Aug 16 15:56:53 2005
Copyright (c) 1982, 2005, Oracle. All rights reserved.
Connected to:
Oracle Database 10g Enterprise Edition Release 10.2.0.1.0 - Production
With the Partitioning, Real Application Clusters and Data Mining options
SQL>
Une fois la connexion à la base de données établie, oklist affiche un ticket de service pour le service de base de données Oracle (oracle).
Par exemple :
La vue dynamique SYS.V$SESSION permet de voir les utilisateurs qui se sont connectés à la base de données avec l'authentification Kerberos.
Par exemple :
SQL*Plus: Release 10.2.0.1.0 - Production on Tue Aug 16 16:01:24 2005
Copyright (c) 1982, 2005, Oracle. All rights reserved.
Connected to:
Oracle Database 10g Enterprise Edition Release 10.2.0.1.0 - Production
With the Partitioning, Real Application Clusters and Data Mining options
SQL> select username,program from v$session where username like 'SCOTT@%';
USERNAME PROGRAM
------------------------------ ------------------------------------------------
SCOTT@APCBDEDOM2.AU.ORACLE.COM sqlplus@valkyrie.au.oracle.com (TNS V1-V3)
SQL>
RÉFÉRENCES
Paramètres de stratégie de compte de Microsoft Active Directory
http://www.microsoft.com/technet/prodtechnol/windowsserver2003/library/TechRef/353f7ad9-b53d-41d0-9867-199f6595a01b.mspx
NOTE:185897.1 - Kerberos Troubleshooting Guide
NOTE:190312.1 - How to extract and merge Kerberos keytables from Microsoft Active Directory