如何跨PDB授权_在CDB层面对C##用户赋予PDB访问权-Oracle-PHP中文网

C##用户在CDB中创建后默认无法连接PDB，因其缺少PDB级CREATE SESSION权限；必须在每个目标PDB内（先ALTER SESSION SET CONTAINER=pdb_name）显式授予该权限，且PDB需处于OPEN状态。

为什么 `C##` 用户在 CDB 中创建后，默认进不去 PDB

oracle 12c+ 的多租户架构里，c## 开头的用户是 cdb 公共用户（common user），但“存在”不等于“可用”——它默认没有对任何 pdb 的连接权限，更不会自动拥有 pdb 内的对象访问权。你执行 connect c##user@pdb1 失败，大概率报 ora-01017: invalid username/password 或 ora-01045: user lacks create session privilege，不是密码错，是根本没被授权进这个 pdb。

关键点：公共用户必须显式在每个目标 PDB 中授予 CREATE SESSION，且该授权需在 PDB 内完成（不能只在 CDB$ROOT 做）。

必须用 ALTER SESSION SET CONTAINER = pdb_name 切到目标 PDB 后再授权
授权语句本身要带 CONTAINER = CURRENT（这是默认值，可省略，但意识上不能漏）
如果 PDB 是 READ WRITE 状态但尚未 open，授权会成功，但用户仍连不进去——先确保 ALTER PLUGGABLE DATABASE pdb_name OPEN

`GRANT CREATE SESSION` 必须在 PDB 内执行，不能只在 CDB$ROOT

很多人习惯在 CDB$ROOT 里给 C##USER 授一堆权限，比如 GRANT CONNECT, RESOURCE TO C##USER，但这只影响 CDB 层；PDB 是独立的安全边界，权限不继承。你在 CDB$ROOT 授的 CREATE SESSION，对 PDB 完全无效。

正确流程只有两步，缺一不可：

用具有 SET CONTAINER 权限的用户（如 SYS）登录 CDB$ROOT，执行 ALTER SESSION SET CONTAINER = pdb1
在当前 session 下执行 GRANT CREATE SESSION TO C##USER（此时 CONTAINER = CURRENT 自动生效）

验证是否生效：切回该 PDB，用 C##USER 尝试连接：sqlplus C##USER/pass@localhost:1521/pdb1。连得上，说明 session 权限已落地。

PDB 层级对象访问需要额外授权，和 `CREATE SESSION` 分开处理

拿到 CREATE SESSION 只是进门许可，进屋之后想查表、执行过程，还得有对应 PDB 内的对象权限。这些权限必须在 PDB 内、针对 PDB 内的对象授予——哪怕对象名和 CDB 里一样，也得重授。

常见误区：

以为在 CDB$ROOT 给 C##USER 授了 SELECT_CATALOG_ROLE，就能查 PDB 的 DBA_TABLES —— 实际不行，PDB 的数据字典视图是隔离的
试图用 GRANT SELECT ON CDB$ROOT.SOME_TABLE TO C##USER 让用户访问 PDB 表 —— 路径错误，PDB 表不属于 CDB$ROOT

正确做法举例（在 PDB 内执行）：

GRANT SELECT ON scott.emp TO C##USER;
GRANT EXECUTE ON pkg_utils TO C##USER;

注意：如果 PDB 启用了本地角色（如自定义 ROLE_PDB_READ），也可以把对象权限先授给角色，再把角色授给 C##USER，但角色本身也必须在 PDB 内创建并授权。

跨 PDB 授权时容易忽略的容器状态与一致性检查

一个 C##USER 要访问多个 PDB，就得在每个 PDB 里单独走一遍授权流程。看似重复，但实际中常卡在三个隐形环节：

PDB 名称大小写敏感：ALTER SESSION SET CONTAINER = PDB1 和 PDB1 实际名为 pdb1 会导致 ORA-01109: database not open 类似误导性报错
某些 PDB 处于 MOUNTED 状态而非 OPEN：授权语句能执行（语法通过），但用户无法连接，需先 ALTER PLUGGABLE DATABASE pdb_name OPEN
误用 CONTAINER = ALL：对 C##USER 执行 GRANT CREATE SESSION TO C##USER CONTAINER = ALL 是非法操作，Oracle 明确禁止该组合，会报 ORA-65048: error encountered when processing statement in container