Oracle 21c多租户架构不自带特权分离，需手动实现：禁用共享公共用户、为各PDB创建本地管理员并授予PDB_DBA角色、严格控制CONTAINER_DATA视图可见性、启用关键操作审计。
Oracle 21c 的多租户架构（CDB/PDB）本身不自带“特权分离”概念，它默认沿用传统 Oracle 的 SYSDBA/SYSOPER 权限模型。真正实现租户级特权分离，靠的是**手动拆分管理职责 + 严格限制公共用户 + 精确控制 PDB 级权限边界**，而不是开箱即用的功能。
为什么不能直接用 SYSDBA 管理所有 PDB？
在 CDB 中，SYSDBA 登录后拥有对整个容器数据库（包括所有 PDB）的完全控制权：能 DROP PLUGGABLE DATABASE、ALTER SYSTEM、甚至绕过 PDB 的本地密码文件。一旦该账号泄露或误操作，后果是全局性的。这不是隔离，是单点风险集中。
如何为每个 PDB 分配独立的、无跨租户能力的管理员？
- 禁用所有 PDB 共享的公共用户（如
C##ADMIN），除非明确需要跨 PDB 管理且已加白名单限制 - 在每个 PDB 内部创建本地管理员用户（非
C##前缀），例如：CREATE USER pdb1_admin IDENTIFIED BY "StrongPass#2026";
- 仅授予该用户
CONNECT、RESOURCE和PDB_DBA角色（PDB_DBA是 21c 引入的专用角色，权限范围严格限定在当前 PDB 内） - 显式回收
SELECT_CATALOG_ROLE和EXECUTE_CATALOG_ROLE—— 这两个角色会间接暴露 CDB 视图（如V$DATABASE），破坏租户边界
怎样阻止 PDB 管理员访问其他 PDB 或 CDB 元数据？
关键在视图和系统包的可见性控制：
- 确保
CONTAINER_DATA属性正确设置：对本地 PDB 管理员，其访问的CDB_*视图（如CDB_USERS）必须返回空集。执行：ALTER USER pdb1_admin SET CONTAINER_DATA = ALL CONTAINER = CURRENT;
（注意：不是CONTAINER = ALL） - 禁用
DBMS_SYS_SQL和DBMS_SQLTUNE等高危包的执行权限——这些包若被滥用，可在当前 PDB 内构造跨容器查询 - 检查
V$PDBS视图是否对pdb1_admin可见：它应该只返回本 PDB 一行；如果返回多行，说明CONTAINER_DATA设置错误或用户被意外授予了CDB$ROOT的角色
审计与监控：最容易被忽略的落地环节
特权分离失效往往不是配置错，而是没人看日志。必须启用：
-
AUDIT SYSTEM GRANT BY ACCESS;—— 记录任何GRANT操作，尤其是对PDB_DBA或SYSDBA的授予 -
AUDIT ALTER PLUGGABLE DATABASE BY ACCESS;—— 捕获所有 PDB 生命周期变更（OPEN/CLOSE/DROP） - 定期检查
DBA_PRIV_AUDIT_OPTS，确认没有残留的BY SESSION审计项（它会漏掉高频短连接行为）
真正的难点不在命令怎么写，而在每次新增一个 PDB 时，是否坚持走完上述四步闭环——少一步，特权就可能溢出。
