อัปเดตรหัสผ่าน Oracle E-Business Suite และ WebLogic อย่างปลอดภัย

บล็อกนี้ रूपร่างขั้นตอนในการเปลี่ยนรหัสผ่านสำหรับสคีมา APPS ของ Oracle® E-Business Suite (EBS) และ WebLogic® ซึ่งเป็นกิจวัตรสำหรับ Oracle Applications Database Administrator (DBA) ใน EBS เวอร์ชัน R12.2 คุณสามารถเปลี่ยนรหัสผ่านได้โดยใช้ตัวเลือก AFPASSWD หรือโดยใช้ FNDCPAS ตามด้วยขั้นตอน Manual บางอย่าง

เปลี่ยนรหัสผ่านสคีมา

ตารางต่อไปนี้แสดงสคีมาสำหรับ EBS v. R12.2:

แหล่งที่มาตาราง: https://www.integrigy.com/security-resources/oracle-e-business-suite-applsys-apps-and-appsne

หมายเหตุ: ขั้นตอนการเปลี่ยนรหัสผ่านต้องดำเนินการบน Run File System และตาราง FND_USER และ FND_ORACLE_USERID ควรสำรองก่อนเปลี่ยนรหัสผ่านใดๆ ลบไฟล์สำรองหลังยืนยันว่าการเปลี่ยนแปลงสำเร็จ รหัสผ่านของทั้งสามสคีมา APPS, APPLSYS และ APPS_NE จะเปลี่ยนพร้อมกันเมื่อคุณเปลี่ยนรหัสผ่าน APPLSYS

ใช้ขั้นตอนต่อไปนี้เพื่อเปลี่ยนรหัสผ่านสคีมา:

1: หยุดบริการ Application Tier

หยุดบริการ Application Tier บนหลายโหนดโดยรันคำสั่งต่อไปนี้จาก Primary Application Node:

adstpall.sh apps/apps_password -mode=allnodes 

สิ่งนี้จะพรอมป์ต้องการรหัสผ่าน WebLogic ภายในจะเชื่อมต่อกับทุกโหนดโดยใช้ Secure Shell (SSH) ซึ่งเปิดใช้งานเป็นส่วนหนึ่งของการตั้งค่า Prerequisites ของ R12.2.x

2. เปลี่ยนรหัสผ่าน

ใช้ Command Line Utility ต่อไปนี้เพื่อเปลี่ยนรหัสผ่านสำหรับสคีมา APPS, APPLSYS, และ APPS_NE

FNDCPASS

ใช้คำสั่งต่อไปนี้เพื่อเปลี่ยนรหัสผ่านหลังจาก Export ไฟล์ Environment ไปที่ Run File System บน Primary Application Server:

FNDCPASS apps/apps_password 0 Y <SYSTEM username>/<SYSTEM password> SYSTEM APPLSYS <new_password> 

หมายเหตุ: คุณอาจต้อง Apply Patch 19127427 มิฉะนั้น FNDCPASS อาจล้มเหลวในการเปลี่ยนรหัสผ่านพร้อมข้อผิดพลาด: ERROR IN PASSWORD VERIFICATION FOR APPS

AFPASSWD

AFPASSWD เป็นเวอร์ชันที่ปรับปรุงของ FNDCPASS และมีคุณสมบัติดังนี้:

• AFPASSWD พรอมป์เฉพาะรหัสผ่านที่จำเป็นสำหรับการดำเนินการปัจจุบัน ซึ่งให้ Separation of Duties ระหว่าง Application Administrators และ Database Administrators นี่ยังปรับปรุง Interoperability กับ Oracle Database Vault ในทางตรงกันข้าม Utility FNDCPASS ปัจจุบันต้องระบุ Username และ Password ของ APPS และ SYSTEM ซึ่งป้องกัน Separation of Duties ระหว่าง Application และ Database Administrators

• เมื่อคุณเปลี่ยนรหัสผ่านด้วย AFPASSWD คุณจะถูกพรอมป์ให้ป้อนรหัสผ่านใหม่สองครั้งเพื่อยืนยัน

• ใน EBS Release 12.2.3 และใหม่กว่า คุณยังสามารถใช้ Utility AFPASSWD เพื่อ Migrate รหัสผ่านผู้ใช้ EBS ไปยัง Password-Hashing Scheme ได้

ใช้ Syntax ต่อไปนี้สำหรับคำสั่ง AFPASSWD:

AFPASSWD [-c <APPSUSER>[@<TWO_TASK>]] -s <APPLSYS> 

ตัวอย่างต่อไปนี้เปลี่ยนรหัสผ่านและ Export ไฟล์ Environment ของ Run File System บน Primary Application Server กับฐานข้อมูลเป็นผู้ใช้ ERPUAT:

• รันคำสั่ง: AFPASSWD -c apps@ERPUAT -s APPLSYS
• ป้อนรหัสผ่าน Oracle สำหรับ Application Object Library APPSUSER และเชื่อมต่อสำเร็จกับ APPS
• ป้อนรหัสผ่านสำหรับสคีมา Oracle SYSTEM และเชื่อมต่อสำเร็จกับ SYSTEM (Log file: AFPWD_ERPUAT_11.log)
• ป้อนรหัสผ่านใหม่สำหรับผู้ใช้และยืนยันรหัสผ่านใหม่สำหรับผู้ใช้
• การดำเนินการเสร็จสิ้นสำเร็จ

3. รัน Autoconfig

รัน Autoconfig ด้วยรหัสผ่านที่เปลี่ยนใหม่บนทุกโหนด

4. เริ่ม AdminServer

เริ่ม AdminServer โดยใช้สคริปต์ $INST_TOP/admin/scripts/adadminsrvctl.sh อย่าเริ่มบริการ Application Tier อื่นๆ ใช้คำสั่งต่อไปนี้:

adadminsrvctl.sh start 

5. เปลี่ยนรหัสผ่าน APPS ใน WebLogic

เปลี่ยนรหัสผ่าน APPS ใน WebLogic Suite (WLS) Datasource โดยใช้ตัวเลือกหนึ่งที่อธิบายในส่วนต่อไปนี้

เปลี่ยนรหัสผ่านใน Console

เพื่อเปลี่ยนรหัสผ่าน APPS โดยใช้ WLS Console ให้ดำเนินการตามขั้นตอนต่อไปนี้:

1. ล็อกอินเข้าสู่ WLS Administration Console
2. คลิก Lock & Edit ใน Change Center
3. ในต้นไม้ Domain Structure ขยาย Services และเลือก Data Sources
4. บนหน้า Summary of JDBC Data Sources เลือก EBSDataSource
5. บนหน้า Settings for EBSDataSource เลือกแท็บ Connection Pool
6. ป้อนรหัสผ่านใหม่ใน Password
7. ป้อนรหัสผ่านใหม่ใน Confirm Password
8. คลิก Save
9. คลิก Activate Changes ใน Change Center

เปลี่ยนรหัสผ่านบน Command Line

เพื่อเปลี่ยนรหัสผ่าน APPS ใน WLS Adadmin Console จาก Unix Prompt ให้ดำเนินการตามขั้นตอนต่อไปนี้:

1. ระบุข้อมูลต่อไปนี้ ซึ่งจะใช้ในขั้นตอนถัดไป:

   • weblogic_password: รหัสผ่าน weblogic
   • server_name: ชื่อเซิร์ฟเวอร์ที่ weblogic admin ทำงานอยู่
   • port: พอร์ต weblogic admin ของ run file system
   • apps_password: รหัสผ่าน apps ใหม่ที่คุณเปลี่ยนไปก่อนหน้านี้
   • actual path of data source: $FMW_HOME/user_projects/domains/EBS_domain_${ORACLE_SID}

2. แก้ไข updateDSpwd.py และอัปเดตพารามิเตอร์ด้วยรายละเอียดของคุณ:

 username = 'weblogic' password = 'weblogic_password' URL= 't3://server_name:port' connect(username,password,URL) edit() startEdit() en = encrypt('apps_password','actual path of data source') dsName = 'EBSDataSource' cd('/JDBCSystemResources/'+dsName+'/JDBCResource/'+dsName+'/JDBCDriverParams/'+dsName) set('PasswordEncrypted',en) print ('') print ('') save() activate() 

3. รัน updateDSpwd.py

6. เริ่มบริการทั้งหมด

เริ่มบริการทั้งหมดโดยรันคำสั่งต่อไปนี้จาก Primary Application Node:

adstrtal.sh apps/apps_password -mode=allnodes 

7. ยืนยัน WebLogic Datastore

ใช้ขั้นตอนต่อไปนี้เพื่อยืนยัน WLS Datastore:

1. ล็อกอินเข้าสู่ WLS Administration Console
2. ในต้นไม้ Domain Structure ขยาย Services และเลือก Data Sources
3. บนหน้า Summary of JDBC Data Sources เลือก EBSDataSource
4. บนหน้า Settings for EBSDataSource เลือก Monitoring > Testing
5. เลือก oacore_server1
6. คลิก Test DataSource
7. หาข้อความ Test of EBSDataSource on server oacore_server1 was successful

เปลี่ยนรหัสผ่าน WebLogic

ส่วนต่อไปนี้แสดงขั้นตอนสำหรับการอัปเดตรหัสผ่าน WebLogic สำหรับ Txk Delta 7 และใหม่กว่า และสำหรับเวอร์ชันก่อน Txk Delta 7

Txk Delta 7 และใหม่กว่า

ขั้นตอนต่อไปนี้ใช้กับ WebLogic Txk Delta 7 และใหม่กว่า:

1. รันคำสั่งต่อไปนี้เพื่อ Source Run Filesystem, ปิดบริการ Application Tier ทั้งหมดยกเว้น Admin Server และให้แน่ใจว่าไม่มีบริการแอปพลิเคชัน (ยกเว้น Admin Server และ Node Manager) ทำงานบน Primary Application Server:

    adstpall.sh apps/apps_password -mode=allnodes -skipNM -skipAdmin 

2. รันคำสั่งต่อไปนี้เพื่อเปลี่ยนรหัสผ่าน WebLogic Administration และเริ่มบริการ:

    perl $FND_TOP/patch/115/bin/txkUpdateEBSDomain.pl -action=updateAdminPassword 

   ระบบจะพรอมป์ขอรหัสผ่าน Apps, รหัสผ่าน WebLogic เก่า และรหัสผ่าน WebLogic ใหม่

   ต่อไปนี้เป็นตัวอย่าง Output จากกระบวนการนี้:

   $ perl $FND_TOP/patch/115/bin/txkUpdateEBSDomain.pl -action=updateAdminPassword

   Program: txkUpdateEBSDomain.pl started at Tue Aug 21 04:30:52 2018

   AdminServer is restarted after changing WebLogic Admin Password All MidTier services should be SHUTDOWN before changing WebLogic Admin Password Confirm if all Mid-Tier services are in SHUTDOWN state. Enter “Yes” to proceed or anything else to exit: Enter the full path of Applications Context File [DEFAULT - /apps1/OSID/fs1/inst/apps/OSID_pserver/appl/admin/OSID_pserver.xml]: Enter the WLS Admin Password: Enter the new WLS Admin Password: Enter the APPS user password:

   Executing: /apps1/OSID/fs1/FMW_Home/webtier/perl/bin/perl /apps1/OSID/fs1/EBSapps/appl/ad/12.0.0/patch/115/bin/adProvisionEBS.pl ebs-get-serverstatus -contextfile=/apps1/OSID/fs1/inst/apps/OSID_pserver/appl/admin/OSID_pserver.xml -servername=AdminServer -promptmsg=hide -logfile=/apps1/OSID/fs1/inst/apps/OSID_pserver/logs/appl/rgf/TXK/txkUpdateEBSDomain_Tue_Aug_21_04_30_52_2018/EBSProvisioner.log

   Online mode:

   Backup Location: /apps1/OSID/fs1/inst/apps/OSID_pserver/logs/appl/rgf/TXK/txkUpdateEBSDomain_Tue_Aug_21_04_30_52_2018 Logfile Location: /apps1/OSID/fs1/inst/apps/OSID_pserver/logs/appl/rgf/TXK/txkUpdateEBSDomain_Tue_Aug_21_04_30_52_2018/updateAdminPassword.log

   Executing: /apps1/OSID/fs1/EBSapps/comn/util/jdk32/jre/bin/java -classpath :/apps1/OSID/fs1/FMW_Home/wlserver_10.3/server/lib/weblogic.jar:/apps1/OSID/fs1/FMW_Home/Oracle_EBS-app1/oui/jlib/srvm.jar:/apps1/OSID/fs1/EBSapps/comn/java/classes:/apps1/OSID/fs1/EBSapps/comn/shared-libs/ebs-3rdparty/WEB-INF/lib/ebs3rdpartyManifest.jar:/apps1/OSID/fs1/FMW_Home/Oracle_EBS-app1/shared-libs/ebs-appsborg/WEB-INF/lib/ebsAppsborgManifest.jar oracle.apps.ad.util.UpdateEBSDomain updateAdminPassword -contextfile /apps1/OSID/fs1/inst/apps/OSID_pserver/appl/admin/OSID_pserver.xml -promptmsg hide -logdir /apps1/OSID/fs1/inst/apps/OSID_pserver/logs/appl/rgf/TXK/txkUpdateEBSDomain_Tue_Aug_21_04_30_52_2018 -logfile /apps1/OSID/fs1/inst/apps/OSID_pserver/logs/appl/rgf/TXK/txkUpdateEBSDomain_Tue_Aug_21_04_30_52_2018/updateAdminPassword.log

   Domain updated successfully Restarting AdminServer with new Admin Password.

   You are running adadminsrvctl.sh version 120.10.12020000.10

   Stopping WLS Admin Server… Refer /apps1/OSID/fs1/inst/apps/OSID_pserver/logs/appl/admin/log/adadminsrvctl.txt for details

   AdminServer logs are located at /apps1/OSID/fs1/FMW_Home/user_projects/domains/EBS_domain_OSID/servers/AdminServer/logs

   adadminsrvctl.sh: exiting with status 0

   adadminsrvctl.sh: check the logfile /apps1/OSID/fs1/inst/apps/OSID_pserver/logs/appl/admin/log/adadminsrvctl.txt for more information …

   You are running adnodemgrctl.sh version 120.11.12020000.12

   NodeManager log is located at /apps1/OSID/fs1/FMW_Home/wlserver_10.3/common/nodemanager/nmHome1

   adnodemgrctl.sh: exiting with status 0

   adnodemgrctl.sh: check the logfile /apps1/OSID/fs1/inst/apps/OSID_pserver/logs/appl/admin/log/adnodemgrctl.txt for more information …

   You are running adadminsrvctl.sh version 120.10.12020000.10

   Starting WLS Admin Server… Refer /apps1/OSID/fs1/inst/apps/OSID_pserver/logs/appl/admin/log/adadminsrvctl.txt for details

   AdminServer logs are located at /apps1/OSID/fs1/FMW_Home/user_projects/domains/EBS_domain_OSID/servers/AdminServer/logs

   adadminsrvctl.sh: exiting with status 0

   adadminsrvctl.sh: check the logfile /apps1/OSID/fs1/inst/apps/OSID_pserver/logs/appl/admin/log/adadminsrvctl.txt for more information …

   *************** IMPORTANT **************** WebLogic Admin Password is changed. Restart all application tier services using control scripts.

   Program: txkUpdateEBSDomain.pl completed at Tue Aug 21 04:34:33 2018

3. เริ่มบริการทั้งหมดบนทุกโหนด โดยใช้คำสั่งต่อไปนี้.

4. ล็อกอินเข้าสู่ Admin Console เพื่อยืนยันว่ารหัสผ่านผู้ใช้ WebLogic ใหม่ทำงานได้

เวอร์ชันก่อน Txk Delta 7

ขั้นตอนต่อไปนี้ใช้กับ WebLogic เวอร์ชันก่อน Txk Delta 7:

1. ล็อกอินเข้าสู่ WebLogic Administrative Console
2. ใช้ Username และ Password WebLogic Admin ที่มีอยู่
3. คลิก Lock & Edit และคลิก Domain
4. คลิกที่แท็บ Security และคลิกที่แท็บ Advanced
5. ป้อนรหัสผ่านใหม่ที่คุณต้องการสำหรับ WebLogic Admin User ใน Node Manager Password
6. คลิก Save และตรวจสอบว่าการตั้งค่าอัปเดตสำเร็จ แล้วคลิก Activate Changes
7. คลิก Security Realms และ คลิก Myrealm
8. เลือก Users and Groups เลือก Weblogic User และป้อนรหัสผ่านใหม่สำหรับ WebLogic User
9. ตรวจสอบให้แน่ใจว่าการตั้งค่าอัปเดตสำเร็จ

หมายเหตุ: ใน Prepare Phase ถัดไปที่จะรันหลังการเปลี่ยนรหัสผ่าน Oracle Ad Online Patching (adop) เรียกใช้ EBS Domain Configuration เพื่อให้แน่ใจว่า WLS Data Source บน Patch File System ถูก Sync กับรหัสผ่าน Apps ใหม่

สรุป

ใช้กระบวนการที่ระบุในบล็อกนี้เพื่อเปลี่ยนรหัสผ่าน APPS, APPLSYS, APPS_NE และ WebLogic โปรดทราบว่ารหัสผ่านที่มีอักขระพิเศษหรือ Multibyte Characters ไม่ได้รับการรองรับใน EBS ปัจจุบัน

FNDCPASS เป็นเครื่องมือ Legacy ที่ยังรองรับเพื่อ Backwards Compatibility แต่การป้อนรหัสผ่านบน Command Line อาจเป็นความเสี่ยงด้านความปลอดภัย Oracle แนะนำให้ลูกค้าทุกคนเปลี่ยนไปใช้เครื่องมือถัดไปคือ AFPASSWD โดยเร็วที่สุด ซึ่งไม่มีการป้อนรหัสผ่านบน Command Line

ใช้แท็บ Feedback เพื่อแสดงความคิดเห็นหรือถามคำถาม

เรียนรู้เพิ่มเติมเกี่ยวกับบริการฐานข้อมูลของเรา