Oracle 审计授予 dba 角色

Question

在 XP SP2 虚拟机中运行 Oracle 11gR1。完全披露:这是一项任务。

我试图在用户被授予 DBA 角色时进行审计，并在事件发生时发送电子邮件。

我相信命令 AUDIT DBA;将审核对 DBA 角色执行的所有操作。我有一个完整的工作程序来处理电子邮件部分，但我不知道标准审计可以像细粒度审计策略一样触发程序的方法。

我试过使用政策

begin
dbms_fga.drop_policy
    (object_schema => 'SYS',
    object_name => 'DBA_ROLE_PRIVS',
    policy_name => 'EXAMPLE');
dbms_fga.add_policy
    (object_schema => 'SYS',
    object_name => 'DBA_ROLE_PRIVS',
    policy_name => 'EXAMPLE',
    audit_condition => 'GRANTED_ROLE = DBA',
    audit_column => 'GRANTED_ROLE',
    handler_schema => 'SYS',
    handler_module => 'FGA_NOTIFY');
end;

其中 FGA_NOTIFY 是电子邮件程序。但是我收到通知“不允许向 SYS 拥有的对象添加策略”。搜索 Oracle 的文档，我没有找到解决方法。

我的问题是:当用户获得也可以触发电子邮件通知的 DBA 角色时，任何人都可以建议一种审计和 Oracle 数据库的方法吗？

在此先感谢您的帮助!

Answer 1

您可以启用 AUDIT_TRAIL 并创建一个作业，该作业定期查询 DBA_AUDIT_TRAIL View 以查找要检查的授权类型:

   select os_username, username, userhost, terminal, timestamp, grantee  
   from   dba_audit_trail
   where  action_name = 'GRANT ROLE'
   and    obj_name    = 'DBA'
   and    timestamp   >= (last_time_check_was_done)