oracle创建临时运维账号应设密码有效期并锁定账户，通过alter profile default limit password_life_time 7和alter user ops_temp account lock实现自动失效；需叠加failed_login_attempts、专用表空间及禁止远程登录等安全措施，新连接将因ora-28001报错而无法登录。
创建带密码有效期的临时运维账号
Oracle 本身不支持“自动失效”这种定时销毁机制，但可以通过 PASSWORD_LIFE_TIME 配合账户锁定策略实现等效效果：账号在指定天数后无法登录，且无需人工干预。
关键不是“删掉”，而是让账号在到期后自然失去登录能力。执行前确保已用 sys 或 system 登录：
-
CREATE USER ops_temp IDENTIFIED BY "TempPass123!" PASSWORD EXPIRE;—— 强制首次登录必须改密，适合交接场景 -
ALTER PROFILE DEFAULT LIMIT PASSWORD_LIFE_TIME 7;—— 将默认配置文件设为7天有效期（生产环境建议 ≤3） -
GRANT CONNECT, SELECT_CATALOG_ROLE TO ops_temp;—— 避免授予DBA，只给最小必要权限 - 如需更严格控制，可单独建 profile：
CREATE PROFILE temp_ops LIMIT PASSWORD_LIFE_TIME 2 PASSWORD_REUSE_MAX 0;，再ALTER USER ops_temp PROFILE temp_ops;
为什么不能直接用 DROP USER + 定时脚本
看似简单，但实际风险高：脚本失败、数据库未启动、权限不足、误删其他对象（尤其没加 CASCADE 时残留对象），都会导致状态不一致。Oracle 的 profile 机制由内核保障，比外部调度可靠得多。
常见错误现象：ORA-28001: the password has expired 是预期行为，不是故障；如果用户仍能登录，说明 profile 没生效或用户被赋予了其他 profile。
- 检查当前用户 profile：
SELECT profile FROM dba_users WHERE username = 'OPS_TEMP'; - 确认 profile 设置：
SELECT * FROM dba_profiles WHERE profile = 'DEFAULT' AND resource_name = 'PASSWORD_LIFE_TIME'; - 注意：
ALTER PROFILE修改后对已存在用户立即生效，无需重启实例
临时账号必须配的额外安全项
仅设密码过期远远不够。运维账号一旦泄露，可能被用于长期探测或横向移动。必须叠加以下限制：
-
ALTER USER ops_temp FAILED_LOGIN_ATTEMPTS 3 PASSWORD_LOCK_TIME 1;—— 输错3次锁1天，防暴力破解 -
ALTER USER ops_temp ACCOUNT LOCK;—— 创建后先锁住，等真正需要时再ACCOUNT UNLOCK - 禁止远程登录（如仅允许 DB 主机本地连接）：
ALTER SYSTEM SET REMOTE_LOGIN_PASSWORDFILE=EXCLUSIVE SCOPE=SPFILE;并确保该用户没被加入orapw文件 - 避免使用
DEFAULT表空间，显式指定一个专用小表空间，防止写入大量数据
到期后怎么确认账号真“失效”了
不要只看 SELECT account_status FROM dba_users —— 这里显示 EXPIRED & LOCKED 是正常结果，但用户仍可能通过旧 session 继续操作。真正验证方式是：
- 新开一个 sqlplus 连接：
sqlplus ops_temp/TempPass123!@//host:port/service，应报ORA-01017: invalid username/password或ORA-28001 - 查会话：
SELECT sid, serial#, username, status FROM v$session WHERE username = 'OPS_TEMP';—— 正常情况下应无活跃会话 - 若发现仍有会话，说明用户之前建立了长连接，需手动 kill：
ALTER SYSTEM KILL SESSION 'sid,serial#';
最易被忽略的是：profile 修改后，已存在的连接不会中断，只有新连接受约束。临时账号的实际“失效窗口”取决于上一次登录是否已退出。
