Discussion :

[Fabien Celaia]

Comment empêcher un root Unix/Administrateur Win d'accéder à une instance Oracle s'il peut directement se connecter sur la console ?

[LeoAnderson]

tu peux pas.

toute les modifications que tu peux faire (c.a.d. obliger de saisir le mot de passe) se faisant dans des fichiers du système d'exploitation, et l'administrateur root pouvant modifier les-dits fichiers....

[Fabien Celaia]

+1 pour Sybase et MS-SQL alors
-1 pour DB2 au en fait encore moins !

Tu parles du orapwd... mais même avec un fichier de mot de passe, il pourra toujours entrer en / as sysdba, non ?

Il reste donc les solutions boût de bois (trigger sur connexion + traçage...)

[orafrance]

même pas puisque SYS ne déclenche pas les triggers ON-LOGON

comme root peut prendre n'importe quel identité (via su - ou même en s'incluant dans le groupe dba) tu n'as aucune solution

[LeoAnderson]

Il ne s'agit pas d'une problématique de sécurisation de la base mais de la machine.

En effet, le problème vient du fait que root peut prendre n'importe quelle idendité et modifier n'importe quel fichier

Il est envisageable d'enlever root du groupe wheel pour l'obliger à saisir les mots de passe lors des changements d'utilisateur, mais rien n'empêchera root de s'y réintégrer.
Simplement, des fichiers seront alors modifiés, donc l'opération est traçable, donc, c'est plus compliqué...

[remi4444]

De toutes façons, root a par définition la main sur tous les fichiers de la machine, y compris les DBF, donc rien n'empechera jamais quelqu'un qui s'y connais d'aller fouiner dedans. Il me semble que la bonne politique d'administration est de ne pas travailler avec root meme pour les exploitants unix.

PS: Le fait que root puisse aller récupérer une base a déja sauvé la carrière de très nombreux DBA !