如何在Oracle 12c/19c中为指定PDB创建本地管理员？
在Oracle12c/19c多租户架构中，为指定PDB创建本地管理员需先切换至目标容器，创建不带C##前缀的本地用户，手动授予CREATESESSION等最小必要权限，不可直接授DBA角色。19c可通过CREATEPLUGGABLEDATABASE语句预置管理员并赋予PDB级DBA角色。所有操作必须在目标PDB内完成。
核心原则：PDB本地管理员的正确打开方式
在Oracle 12c/19c的多租户架构中，为指定PDB创建本地管理员时，需要遵循几个核心理念：不能直接授予PDB_DBA或DBA角色。这两个角色在PDB内部根本不存在或不可见，强行执行会立即报错ORA-01917或ORA-01919。正确做法是：在目标PDB容器内创建本地用户，然后手动授予一组最小必要权限。
听起来可能有些绕，但背后逻辑很简单：多租户环境下，每个PDB都是独立的数据库，拥有自己的权限体系。要管理哪个PDB，就必须“进入”那个容器内部操作。
第一步：先切换到目标PDB容器再操作
这是最容易出错的地方。使用sqlplus / as sysdba登录，默认进入的是CDB$ROOT（根容器）。如果在根容器中执行CREATE USER、GRANT，所有操作都会作用于根容器，生成的用户无法登录对应PDB。常见错误场景：用户确实创建成功，但无法连接PDB，回头检查发现用户以C##开头或者根本不在PDB内。
因此，动手之前最好先确认当前所在的容器：
- 检查当前容器：执行
SELECT SYS_CONTEXT('USERENV', 'CON_NAME') FROM DUAL;，结果必须为目标PDB名（如ORCLPDB） - 切换容器：如果不在目标PDB，执行
ALTER SESSION SET CONTAINER = orclpdb; - 更稳妥的方式：登录时直接指定服务名：
sqlplus sys@orclpdb AS SYSDBA，从源头避免误操作。
第二步：创建本地用户并授予基础权限
12c/19c的PDB管理员必须是本地用户（不带C##前缀），权限需要显式组合。切勿图省事直接写GRANT DBA TO u1——该命令在PDB内无效，即使在CDB$ROOT中执行成功，也只作用于CDB，与PDB无关。
具体步骤如下：
- 创建用户：
CREATE USER pdb_admin IDENTIFIED BY strong_pwd;（默认即为本地用户，无需加LOCAL） - 授予连接与基本对象操作权限：
GRANT CREATE SESSION, CREATE TABLE, CREATE VIEW, CREATE SEQUENCE, CREATE PROCEDURE TO pdb_admin;（这是最小化权限，而非甩手掌柜式授权） - 若需管理其他用户：
GRANT CREATE USER, DROP USER, ALTER USER TO pdb_admin;（注意：DROP USER不带级联，删除用户时仍需加CASCADE） - 配额控制：替代
UNLIMITED TABLESPACE，可以单独设定：ALTER USER pdb_admin QUOTA UNLIMITED ON users;（更灵活，也更安全）
第三步（19c专属）：创建时直接指定管理员并授予角色
Oracle 19c提供了一个快捷方式：在CREATE PLUGGABLE DATABASE语句中直接为新PDB预置管理员，并通过ROLES子句赋予DBA角色。需要注意的是，这仅适用于新建PDB场景，而且这个DBA是PDB级别的“模拟角色”，底层其实仍是上述权限集合的封装。
示例：
CREATE PLUGGABLE DATABASE app_pdb ADMIN USER pdb_adm IDENTIFIED BY pwd ROLES=(DBA);执行该语句后，pdb_adm用户已具备PDB内常规DBA权限，但仍不能跨PDB操作。不推荐在已有PDB中通过这种方式“补授”，因为ROLES仅在创建时生效，后续无法追加。
最容易忽略的坑
最容易被忽略的一点：权限组合必须在目标PDB内完成，且用户必须是本地用户。任何试图复用CDB级角色、跳过容器切换、或在错误上下文（如CDB$ROOT）中执行授权的操作，都会导致账号看似创建成功，实际上无法登录或执行关键DDL。不少人在编写自动化脚本时踩过这个坑，结果生产环境上出现一堆“幽灵账户”。
从实践经验来看，养成“先检查容器再动手”的习惯，可以节省大量排查时间。毕竟，在多租户架构下，容器边界是安全的第一道防线。