如何配置Oracle外部认证用户从而实现OS自动登录

Oracle外部认证用户仅支持“免密连接”而非“自动登录”，Windows需配置SQLNET.AUTHENTICATION_SERVICES=(NTS)且用户属ORA_DBA组，Linux用(ALL)或(BEQ)；os_authent_prefix设为空须重启数据库，保留默认则用户名须带ops$前缀并大小写敏感；Windows还需禁用OSAUTH_PREFIX_DOMAIN注册表项，连接时必须用sqlplus /（非/as sysdba）并确保已授CONNECT权限。

oracle外部认证用户不能“自动登录”，只能“免密连接”——前提是操作系统用户已登录、数据库配置正确、且连接方式严格匹配规则。 常见失败不是因为步骤漏了，而是os_authent_prefix、sqlnet.authentication_services、用户名大小写/域格式三者之一不一致。

确认 SQLNET.AUTHENTICATION_SERVICES 是否启用 NTS

这是 Windows 下 OS 认证的开关，Linux/Unix 下对应 ALL 或 BEQ。值为 NONE 时，sqlplus / 直接报 ORA-01017。

• sqlnet.ora 必须存在且被客户端/服务端实际读取（可通过 tnsping 输出中的“已使用的参数文件”路径确认）
• Windows：设置 SQLNET.AUTHENTICATION_SERVICES = (NTS)
• Linux/Unix：设置 SQLNET.AUTHENTICATION_SERVICES = (ALL) 或显式包含 BEQ
• 修改后无需重启监听或数据库，但需确保新会话加载的是更新后的 sqlnet.ora

os_authent_prefix 设为空还是保留 ops$？

设为空（''）更直观，但必须重启数据库才生效；保留默认 ops$ 则无需重启，但用户名必须带前缀，且大小写敏感。

• 执行 ALTER SYSTEM SET os_authent_prefix='' SCOPE=SPFILE; 后，必须 SHUTDOWN IMMEDIATE + STARTUP
• 若不想重启，就用默认前缀：创建用户时写 CREATE USER "ops$dragon" IDENTIFIED EXTERNALLY;
• 注意：Windows 域用户要写全名，如 "MISdragon"（双反斜杠转义），Linux 本地用户直接写 "oracle"
• 用户创建后，SELECT username FROM dba_users WHERE external_name IS NOT NULL; 可验证是否成功注册为外部用户

Windows 下必须关闭 OSAUTH_PREFIX_DOMAIN 注册表项

否则 Oracle 会强制把当前登录用户解析成 DOMAINuser 格式，而你创建的用户可能是 computernameuser 或纯 user，导致匹配失败。

• 注册表路径：HKEY_LOCAL_MACHINESOFTWAREORACLEKEY_<i>your_oracle_home_name</i>
• 新增字符串值：OSAUTH_PREFIX_DOMAIN，值设为 FALSE（不是 0 或空）
• 该设置只影响 Windows 客户端行为，服务端无需改注册表
• 改完不用重启系统，但建议新开 CMD 窗口再试 sqlplus /

连接时为什么还是提示 ORA-01017？

最常踩的坑是混淆了“连接方式”和“用户权限”：外部认证只解决“谁可以连”，不解决“能做什么”。sqlplus / 默认尝试以普通用户身份连接，而外部用户必须显式授予 CONNECT 才能进库。

• 确认已执行：GRANT CONNECT TO "MISdragon";（引号不能少，尤其含反斜杠或@符号时）
• 不要用 sqlplus / as sysdba 测试外部用户——那是给 OSDBA 组成员用的，和外部认证用户无关
• 测试命令必须是：sqlplus /（当前 Windows 用户就是 MISdragon），或 sqlplus "MISdragon"/@orcl（后者走网络，不触发外部认证）
• 如果用 TNSNAMES 连接，确保 tnsnames.ora 中没配 SERVER=DEDICATED 强制走网络协议（可能绕过 BEQ/NTS）

真正麻烦的点不在创建用户，而在环境链路的隐式依赖：注册表、sqlnet.ora、spfile、Windows 登录上下文、SQL*Plus 启动方式，四者只要一个不匹配，sqlplus / 就退回到密码提示。建议先在服务端用 whoami /fqdn 或 echo %USERNAME% 确认当前会话的精确用户名，再按这个字符串去建用户、授连接权。