Oracle 19c不支持直接用LDAP DN授予权限，因其LDAP集成为外部身份验证机制，仅校验凭证合法性，不自动创建数据库用户；DN不符合Oracle用户名命名规则，且无法被GRANT语句引用，必须通过global user+proxy user间接实现。
Oracle 19c 不支持直接将 LDAP 用户映射为数据库用户并自动授予本地权限——必须通过外部身份验证 + 代理用户（proxy user）或全局用户（global user）机制间接实现。
为什么不能直接用 LDAP DN 做用户名授予权限
Oracle 19c 的 LDAP 集成本质是「外部身份验证」，即只校验凭证是否合法，不自动创建或绑定数据库用户。LDAP 中的 cn=John Doe,ou=Eng,dc=example,dc=com 这类 DN 无法直接作为 Oracle 用户名（不符合 ORA-00922: missing or invalid option 等命名规则），也不能被 GRANT 语句引用。
- 数据库里没有对应
CREATE USER记录，GRANT SELECT ON sales.orders TO "cn=John Doe,ou=Eng,dc=example,dc=com"会报错 - 即使启用
AUTHENTICATION_TYPE = EXTERNAL，也仅适用于操作系统或 SSL 客户端证书认证，不适用于 LDAP 目录查询返回的 DN - Oracle 的 LDAP 支持聚焦在「登录验证流程」，而非「用户属性到数据库对象的自动映射」
正确做法：用 global_name + proxy user 绑定 LDAP 身份
核心思路是让 LDAP 用户以「已知的、预创建的数据库用户」身份连接，再通过代理机制保留原始身份上下文。这需要两层配置：
- 创建一个
global类型的数据库用户，其IDENTIFIED GLOBALLY AS指向 LDAP 中可解析的 DN 模式，例如：CREATE USER app_user IDENTIFIED GLOBALLY AS 'CN=John Doe,OU=Engineering,DC=example,DC=com';
- 确保该用户有最小必要权限（如
CREATE SESSION），再通过GRANT显式赋予业务权限 - 客户端连接时必须使用 SSL/TLS 并携带完整证书链，且 Oracle Wallet 中需配置信任的 LDAP CA 证书；否则
global_name解析失败，降级为普通登录 - 若 LDAP 用户数量庞大，建议用通配模式（如
IDENTIFIED GLOBALLY AS 'CN=*,OU=Engineering,DC=example,DC=com'），但需配合LDAP_DIRECTORY_ACCESS = ENABLED和正确的ldap.ora配置
常见失败场景与排查点
实际部署中最容易卡在「连接成功但权限无效」或「根本连不上」，关键检查项如下：
-
sqlnet.ora中未设置SQLNET.AUTHENTICATION_SERVICES = (BEQ, TCPS)，导致外部认证通道关闭 -
ldap.ora缺失或路径错误，特别是DEFAULT_ADMIN_CONTEXT未匹配 LDAP 服务器的实际 base DN - 数据库未启用
LDAP_DIRECTORY_ACCESS：ALTER SYSTEM SET LDAP_DIRECTORY_ACCESS=ENABLED SCOPE=BOTH;
- 使用
GLOBAL_NAME创建用户后，忘记执行GRANT CREATE SESSION TO app_user;—— 即使认证通过，仍会报ORA-01045: user APP_USER lacks CREATE SESSION privilege - LDAP 服务器返回的 DN 大小写与
IDENTIFIED GLOBALLY AS中声明的不一致（Oracle 默认区分大小写），导致匹配失败
真正麻烦的不是配置步骤，而是 LDAP 返回的 DN 格式是否稳定、是否含空格或特殊字符，以及 Oracle Wallet 对证书链的校验严格性。这些细节一旦出错，日志里往往只有模糊的 ORA-28030 或 ORA-28058，需要逐层抓包比对 LDAP bind 请求和响应内容。
