【Oracle】パスワードの有効期限を無制限にする方法｜PASSWORD_LIFE_TIME・ORA-28001 対処・プロファイル設定・本番のセキュリティ考慮まで解説

-- DEFAULT プロファイルのパスワード関連設定
SELECT resource_name, limit
FROM dba_profiles
WHERE profile = 'DEFAULT'
  AND resource_type = 'PASSWORD'
ORDER BY resource_name;

-- ユーザーごとのプロファイルとアカウント状態
SELECT username, profile, account_status, expiry_date,
       lock_date
FROM dba_users
WHERE username NOT IN ('SYS','SYSTEM','ANONYMOUS','XDB')
ORDER BY expiry_date;

-- account_status の値:
-- OPEN:            正常
-- EXPIRED:         パスワード期限切れ
-- EXPIRED(GRACE):  猶予期間中
-- LOCKED:          ロック中
-- EXPIRED & LOCKED: 期限切れ + ロック

-- (1) DBA または SYS でログイン
-- sqlplus / as sysdba

-- (2) パスワードを再設定（同じパスワードでも可）
ALTER USER hr IDENTIFIED BY new_password;

-- (3) アカウントがロックされている場合はアンロック
ALTER USER hr ACCOUNT UNLOCK;

-- (4) 状態を確認
SELECT username, account_status, expiry_date FROM dba_users WHERE username = 'HR';
-- account_status = OPEN, expiry_date = 180 日後 であれば復旧完了

-- DEFAULT プロファイルの PASSWORD_LIFE_TIME を UNLIMITED に変更
ALTER PROFILE DEFAULT LIMIT PASSWORD_LIFE_TIME UNLIMITED;

-- 確認
SELECT resource_name, limit FROM dba_profiles
WHERE profile = 'DEFAULT' AND resource_name = 'PASSWORD_LIFE_TIME';
-- LIMIT = UNLIMITED

-- 既に期限切れのユーザーはパスワード再設定も必要
ALTER USER hr IDENTIFIED BY current_password;

-- 開発用プロファイルを作成（パスワード期限なし）
CREATE PROFILE dev_profile LIMIT
    PASSWORD_LIFE_TIME     UNLIMITED
    PASSWORD_GRACE_TIME    UNLIMITED
    PASSWORD_REUSE_TIME    UNLIMITED
    PASSWORD_REUSE_MAX     UNLIMITED
    FAILED_LOGIN_ATTEMPTS  UNLIMITED
    PASSWORD_LOCK_TIME     UNLIMITED;

-- 特定ユーザーにプロファイルを適用
ALTER USER hr PROFILE dev_profile;
ALTER USER dev_user PROFILE dev_profile;

-- 確認
SELECT username, profile FROM dba_users WHERE username IN ('HR', 'DEV_USER');

-- 既に期限切れの場合はパスワード再設定も必要
ALTER USER hr IDENTIFIED BY current_password;

-- 本番用プロファイル（セキュリティ強化）
CREATE PROFILE prod_profile LIMIT
    PASSWORD_LIFE_TIME        90      -- 90 日で期限切れ
    PASSWORD_GRACE_TIME       7       -- 7 日間の猶予
    PASSWORD_REUSE_TIME       365     -- 1 年間は同じパスワード再利用不可
    PASSWORD_REUSE_MAX        12      -- 12 回変更するまで再利用不可
    FAILED_LOGIN_ATTEMPTS     5       -- 5 回失敗でロック
    PASSWORD_LOCK_TIME        1/24    -- 1 時間ロック（1/24 日）
    PASSWORD_VERIFY_FUNCTION  ORA12C_STRONG_VERIFY_FUNCTION;  -- 複雑性チェック

ALTER USER prod_user PROFILE prod_profile;

-- 開発用プロファイルを作成
CREATE PROFILE dev_unlimited LIMIT
    PASSWORD_LIFE_TIME UNLIMITED
    FAILED_LOGIN_ATTEMPTS UNLIMITED;

-- DEFAULT プロファイルの全ユーザーを一括変更
BEGIN
    FOR rec IN (
        SELECT username FROM dba_users
        WHERE profile = 'DEFAULT'
          AND account_status NOT LIKE '%LOCKED%'
          AND username NOT IN ('SYS','SYSTEM','ANONYMOUS','XDB','DBSNMP','AUDSYS')
    ) LOOP
        EXECUTE IMMEDIATE 'ALTER USER ' || rec.username || ' PROFILE dev_unlimited';
    END LOOP;
END;
/

-- EXPIRED 状態のユーザーを一覧
SELECT username, account_status, expiry_date
FROM dba_users
WHERE account_status LIKE '%EXPIRED%'
ORDER BY expiry_date;

-- 一括でパスワードを再設定 + アンロック
-- 注意: パスワードは個別に設定する必要がある
ALTER USER hr IDENTIFIED BY temp_password ACCOUNT UNLOCK;
ALTER USER dev_user IDENTIFIED BY temp_password ACCOUNT UNLOCK;

-- アプリケーション接続用ユーザー専用プロファイル
CREATE PROFILE app_service_profile LIMIT
    PASSWORD_LIFE_TIME     UNLIMITED   -- 期限なし
    FAILED_LOGIN_ATTEMPTS  10          -- ブルートフォース対策は維持
    PASSWORD_LOCK_TIME     1/24;       -- 1 時間ロック

ALTER USER app_user PROFILE app_service_profile;

-- アプリケーションユーザーは人間がログインしないため
-- パスワード期限は不要だが、ロック設定は維持する