Cập nhật mật khẩu Oracle E-Business Suite & WebLogic an toàn

Blog này nêu rõ các bước thay đổi mật khẩu cho schema APPS của Oracle® E-Business Suite (EBS) và WebLogic®, một hoạt động thường quy cho quản trị viên cơ sở dữ liệu ứng dụng Oracle (DBA). Trong EBS phiên bản R12.2, bạn có thể thay đổi mật khẩu bằng tùy chọn AFPASSWD, hoặc bằng FNDCPAS theo sau bởi một số bước thủ công.

Thay đổi mật khẩu schema

Bảng sau hiển thị các schema cho EBS v. R12.2:

Schema	Mô tả
APPS	Nắm giữ tất cả mã ứng dụng trong cơ sở dữ liệu và có quyền truy cập tất cả dữ liệu trong E-Business Suite. Tất cả kết nối người dùng cuối kết nối như APPS sau khi được xác thực bằng schema APPLSYSPUB. Schema APPS phải có cùng mật khẩu với schema APPLSYS và APPS_NE.
APPSLSYS	Nắm giữ các đối tượng nền tảng (bảng AD_* và FND_*) của E-Business Suite được dùng để định nghĩa người dùng, menu, v.v. Schema APPLSYS phải có cùng mật khẩu với APPS và APPS_NE.
APPS_NE	Là user runtime 'APPS' phiên bản mới non-edition cho E-Business Suite. Schema APPS_NE phải có cùng mật khẩu với APPLSYS và APPS.

Nguồn bảng: https://www.integrigy.com/security-resources/oracle-e-business-suite-applsys-apps-and-appsne

Lưu ý: Các bước thay đổi mật khẩu phải thực hiện trên run file system, và bảng FND_USER và FND_ORACLE_USERID nên được sao lưu trước khi thay đổi mật khẩu. Xóa bản sao sau khi xác nhận thay đổi thành công. Mật khẩu cho cả ba schema APPS, APPLSYS và APPS_NE được thay đổi cùng lúc khi bạn thay đổi mật khẩu APPLSYS.

Sử dụng các bước sau để thay đổi mật khẩu schema:

1: Dừng dịch vụ application tier

Dừng dịch vụ application tier trên nhiều node bằng cách chạy lệnh sau từ primary application node:

adstpall.sh apps/apps_password -mode=allnodes

Lệnh này nhắc nhập mật khẩu WebLogic. Bên trong, nó kết nối tới tất cả node bằng Secure Shell (SSH), được bật như một phần thiết lập điều kiện tiên quyết R12.2.x.

2. Thay đổi mật khẩu

Sử dụng một trong các tiện ích dòng lệnh sau để thay đổi mật khẩu cho các schema APPS, APPLSYS và APPS_NE.

FNDCPASS

Sử dụng lệnh sau để thay đổi mật khẩu sau khi export file môi trường sang run file system trên primary application server:

FNDCPASS apps/apps_password 0 Y <SYSTEM username>/<SYSTEM password> SYSTEM APPLSYS <new_password>

Lưu ý: Bạn có thể cần áp dụng patch 19127427, nếu không FNDCPASS có thể thất bại khi thay đổi mật khẩu với lỗi: ERROR IN PASSWORD VERIFICATION FOR APPS.

AFPASSWD

AFPASSWD là phiên bản nâng cao của FNDCPASS và có các tính năng sau:

AFPASSWD chỉ nhắc nhập mật khẩu cần thiết cho hoạt động hiện tại, cung cấp phân chia trách nhiệm giữa quản trị ứng dụng và quản trị cơ sở dữ liệu. Điều này cũng cải thiện khả năng tương tác với Oracle Database Vault. Ngược lại, tiện ích FNDCPASS hiện yêu cầu chỉ định username APPS và SYSTEM cùng mật khẩu tương ứng, ngăn cản phân chia trách nhiệm giữa quản trị ứng dụng và cơ sở dữ liệu.
Khi thay đổi mật khẩu với AFPASSWD, bạn được nhắc nhập mật khẩu mới hai lần để xác nhận.
Từ EBS Release 12.2.3 trở lên, bạn cũng có thể dùng tiện ích AFPASSWD để di chuyển mật khẩu người dùng EBS sang sơ đồ hash mật khẩu.

Sử dụng cú pháp sau cho lệnh AFPASSWD:

AFPASSWD [-c <APPSUSER>[@<TWO_TASK>]] -s <APPLSYS>

Ví dụ sau thay đổi mật khẩu và export file môi trường của run file system trên primary application server với database là user ERPUAT:

Chạy lệnh: AFPASSWD -c apps@ERPUAT -s APPLSYS
Nhập mật khẩu Oracle cho Application Object Library APPSUSER và kết nối thành công tới APPS.
Nhập mật khẩu cho schema Oracle SYSTEM và kết nối thành công tới SYSTEM (Log file: AFPWD_ERPUAT_11.log).
Nhập mật khẩu mới cho user và xác nhận mật khẩu mới cho user.
Hoạt động hoàn thành thành công.

3. Chạy autoconfig

Chạy autoconfig với mật khẩu mới trên tất cả node.

4. Khởi động AdminServer

Khởi động AdminServer bằng script $INST_TOP/admin/scripts/adadminsrvctl.sh. Không khởi động bất kỳ dịch vụ application tier nào khác. Sử dụng lệnh:

adadminsrvctl.sh start

5. Thay đổi mật khẩu APPS trong WebLogic

Thay đổi mật khẩu APPS trong WebLogic Suite (WLS) datasource bằng một trong các tùy chọn sau.

Thay đổi mật khẩu trong console

Để thay đổi mật khẩu APPS bằng WLS console, thực hiện các bước sau:

Đăng nhập vào WLS Administration Console.
Click Lock & Edit trong Change Center.
Trong cây Domain Structure, mở rộng Services, chọn Data Sources.
Trang Summary of JDBC Data Sources, chọn EBSDataSource.
Trang Settings for EBSDataSource, chọn tab Connection Pool.
Nhập mật khẩu mới vào Password.
Nhập mật khẩu mới vào Confirm Password.
Click Save.
Click Activate Changes trong Change Center.

Thay đổi mật khẩu trên dòng lệnh

Để thay đổi mật khẩu APPS trong WLS adadmin console từ dấu nhắc unix, thực hiện các bước sau:

Xác định thông tin sau, sẽ dùng ở bước tiếp theo:
- weblogic_password: mật khẩu weblogic
- server_name: Tên server nơi weblogic admin đang chạy
- port: cổng weblogic admin của run file system
- apps_password: Mật khẩu apps mới bạn đã thay đổi trước đó
- đường dẫn thực tế của data source: $FMW_HOME/user_projects/domains/EBS_domain_${ORACLE_SID}

Chỉnh sửa updateDSpwd.py và cập nhật tham số với chi tiết của bạn:

username = 'weblogic'
password = 'weblogic_password'
URL= 't3://server_name:port'
connect(username,password,URL)
edit()
startEdit()
en = encrypt('apps_password','actual path of data source')
dsName = 'EBSDataSource'
cd('/JDBCSystemResources/'+dsName+'/JDBCResource/'+dsName+'/JDBCDriverParams/'+dsName)
set('PasswordEncrypted',en)
print ('')
print ('')
save()
activate()

Thực thi updateDSpwd.py.

6. Khởi động tất cả dịch vụ

Khởi động tất cả dịch vụ bằng lệnh sau từ primary application node:

adstrtal.sh apps/apps_password -mode=allnodes

7. Xác minh Weblog datastore

Sử dụng các bước sau để xác minh WLS datastore:

Đăng nhập vào WLS Administration console.
Trong Domain Structure, mở rộng Services và chọn Data Sources.
Trang Summary of JDBC Data Sources, chọn EBSDataSource.
Trang Settings for EBSDataSource, chọn Monitoring > Testing.
Chọn oacore_server1.
Click Test DataSource.
Tìm thông báo Test of EBSDataSource on server oacore_server1 was successful.

Thay đổi mật khẩu WebLogic

Các phần sau trình bày các bước cập nhật mật khẩu WebLogic cho Txk Delta 7 trở lên và các phiên bản trước Txk Delta 7.

Tkx Delta 7 và mới hơn

Các bước sau áp dụng cho WebLogic Txk Delta 7 và mới hơn:

Chạy lệnh sau để source run filesystem, tắt tất cả dịch vụ application tier trừ Admin Server, và đảm bảo không có dịch vụ ứng dụng nào (trừ admin server và node manager) đang chạy trên primary application server:
```
adstpall.sh apps/apps_password -mode=allnodes -skipNM -skipAdmin
```

Chạy lệnh sau để thay đổi mật khẩu quản trị Weblogic và khởi động dịch vụ:

perl $FND_TOP/patch/115/bin/txkUpdateEBSDomain.pl -action=updateAdminPassword

Hệ thống nhắc bạn nhập mật khẩu Apps, mật khẩu WebLogic cũ và mật khẩu WebLogic mới.

Dưới đây là một số đầu ra mẫu từ quy trình này:

$ perl $FND_TOP/patch/115/bin/txkUpdateEBSDomain.pl -action=updateAdminPassword
Program: txkUpdateEBSDomain.pl started at Tue Aug 21 04:30:52 2018
AdminServer is restarted after changing WebLogic Admin Password
All MidTier services should be SHUTDOWN before changing WebLogic Admin Password
Confirm if all Mid-Tier services are in SHUTDOWN state. Enter "Yes" to proceed or anything else to exit:
Enter the full path of Applications Context File [DEFAULT - /apps1/OSID/fs1/inst/apps/OSID_pserver/appl/admin/OSID_pserver.xml]:
Enter the WLS Admin Password:
Enter the new WLS Admin Password:
Enter the APPS user password:
...
Domain updated successfully Restarting AdminServer with new Admin Password.
...
*************** IMPORTANT ****************
WebLogic Admin Password is changed. Restart all application tier services using control scripts.
Program: txkUpdateEBSDomain.pl completed at Tue Aug 21 04:34:33 2018

Khởi động tất cả dịch vụ trên tất cả node, dùng lệnh sau.

adstrtal.sh apps/apps_password -mode=allnodes

Đăng nhập vào admin console để xác minh mật khẩu user WebLogic mới hoạt động.

Phiên bản trước Tkx Delta 7

Các bước sau áp dụng cho WebLogic phiên bản trước Txk Delta 7:

Đăng nhập vào WebLogic Administrative console.
Dùng username và mật khẩu admin WebLogic hiện tại.
Click Lock & Edit và click Domain.
Click tab Security và click tab Advanced.
Nhập mật khẩu mới bạn muốn cho user admin WebLogic vào Node Manager Password.
Click Save và xác minh cài đặt được cập nhật thành công. Sau đó click Activate Changes.
Click Security Realms và Click Myrealm.
Chọn Users and Groups, chọn Weblogic User, và nhập mật khẩu mới cho user WebLogic.
Đảm bảo cài đặt đã được cập nhật thành công.

Lưu ý: Trong giai đoạn prepare tiếp theo chạy sau khi thay đổi mật khẩu, Oracle Ad Online Patching (adop) gọi EBS Domain Configuration để đảm bảo WLS data source trên patch file system được đồng bộ với mật khẩu Apps mới.

Kết luận

Sử dụng quy trình nêu trong blog này để thay đổi mật khẩu APPS, APPLSYS, APPS_NE và WebLogic. Lưu ý mật khẩu có ký tự đặc biệt hoặc đa byte hiện không được hỗ trợ với EBS.

FNDCPASS là công cụ cũ vẫn được hỗ trợ để tương thích ngược, nhưng nhập mật khẩu trên dòng lệnh có thể là rủi ro bảo mật. Oracle khuyến nghị tất cả khách hàng chuyển sớm sang công cụ kế nhiệm, AFPASSWD, mà không nhập mật khẩu trên dòng lệnh.

Sử dụng tab Feedback để bình luận hoặc đặt câu hỏi.

Tìm hiểu thêm về dịch vụ cơ sở dữ liệu của chúng tôi.