Oracle 12c PDB 中不存在 PDB_DBA 角色，直接授权会报 ORA-01917；需手动授予 CREATE SESSION 等本地权限，并确保在目标 PDB 容器内操作。
直接授予 PDB_DBA 角色会报错 ORA-01917
oracle 12c 的 pdb 中没有预定义的 pdb_dba 角色。你执行 grant pdb_dba to u1 时，会立刻触发 ora-01917: user or role 'pdb_dba' does not exist —— 这不是权限不足，而是该角色根本不存在于任何 pdb 内部。
常见误解是把 CDB 级的 DBA 或 PDB_ADMIN（仅 Oracle 18c+ 引入）套用到 12c PDB，但 12c 不支持这些。
-
DBA是 CDB 级角色，含大量跨容器系统权限，在 PDB 中不可见、不可授 -
PDB_ADMIN是 18c 才引入的专用角色，12c 版本查DBA_ROLES就没有它 - 别试图用
CONTAINER=ALL强行授权——PDB 内执行会直接报ORA-65047
在 PDB 中创建等效管理员权限的正确方式
你需要手动组合最小必要权限，而非依赖一个“全能角色”。核心是：本地用户 + 本地权限 + 显式对象级控制。
- 先确认当前容器：
SELECT SYS_CONTEXT('USERENV', 'CON_NAME') FROM DUAL，必须是目标 PDB 名（如ORCLPDB），不是CDB$ROOT - 创建本地用户（不加
C##前缀）：CREATE USER u1 IDENTIFIED BY pwd123（12c 默认就是 LOCAL，无需写CONTAINER=CURRENT） - 授予基础连接与对象管理权：
GRANT CREATE SESSION, CREATE TABLE, CREATE VIEW, CREATE SEQUENCE, CREATE PROCEDURE TO u1 - 若需管理其他用户，再加：
GRANT CREATE USER, DROP USER, ALTER USER TO u1（注意：DROP USER权限本身不带级联，删用户仍需CASCADE） - 避免授予
UNLIMITED TABLESPACE；改用显式配额：ALTER USER u1 QUOTA UNLIMITED ON users
为什么不能跳过容器切换直接连 PDB 授权
用 sqlplus / as sysdba 登录默认进的是 CDB$ROOT。此时所有 DDL（包括 CREATE USER 和 GRANT）都在根容器执行，创建的用户属于 CDB，无法登录 PDB，后续授权也全失效。
- 错误操作示例：
sqlplus / as sysdba → CREATE USER u1 ... → GRANT ... TO u1→ 用户实际在CDB$ROOT，u1@pdb_service连接失败 - 安全做法：连接时就指定服务名，例如
sqlplus sys@orclpdb AS SYSDBA，这样 session 天然绑定 PDB，无需ALTER SESSION SET CONTAINER - 如果已连错，必须立刻切：
ALTER SESSION SET CONTAINER = orclpdb，再验证：SHOW CON_NAME
删除 PDB 管理员用户前必须确认的两件事
在 PDB 中执行 DROP USER u1 CASCADE 看似安全，但有两个隐藏风险点容易被忽略：
- 该用户是否拥有被其他 PDB 对象依赖的同义词、视图或 PL/SQL 包？
CASCADE不会自动检查跨对象依赖，可能造成编译失效（INVALID状态） - 若误在
CDB$ROOT执行此语句（尤其在 RAC 或多 PDB 环境下），Oracle 12.2+ 默认行为是「级联删除所有 PDB 中同名 LOCAL 用户」，导致多个 PDB 同时失管 - 建议删除前先查依赖：
SELECT * FROM DBA_DEPENDENCIES WHERE REFERENCED_OWNER = 'U1'（在目标 PDB 内执行）
最稳妥的清理顺序是：先回收权限 → 再删对象 → 最后删用户。不要依赖一条 DROP USER ... CASCADE 走到底。
