Rollenbasierte Zugriffskontrollen manuell konfigurieren

• Benutzerdefinierte Attribute für Benutzer erstellen
• Benutzerdefinierte Rolle zuweisen
• Domain erstellen Integrierte Anwendung
• Benutzerdefinierten Anspruch definieren
  • Integrierte Anwendung für Identitätsdomain erstellen
  • Neuen Anspruch für das JWT-Token erstellen
• IAM-Anmeldung für autonomes KI-Datenbankschema aktivieren
• Verbindungsdatei erstellen

1. Klicken Sie auf das Hamburger-Menü, und gehen Sie zu Identität und Sicherheit, und wählen Sie Domains aus. Klicken Sie unter "Name" auf die Standarddomain.
2. Gehen Sie zur Registerkarte Schemaverwaltung, und wählen Sie Benutzerattribute aus.
   
   
   Beschreibung der Abbildung rbac-user-attributes.png
   
   
3. Klicken Sie auf Attribut hinzufügen, und geben Sie Folgendes an:
   • Anzeigename: ORDS RBAC
   • Name:rbac_ords
   • Beschreibung:Rollenbasierte Zugriffskontrolle für ORDS
   • Datentyp: Zeichenfolgenarray

   Sie können den Standardstatus der übrigen Felder beibehalten.

   
   
   
   Beschreibung der Abbildung role-based-add-attributes-dialog.png
   
   

   Klicken Sie auf Hinzufügen. Sie haben das benutzerdefinierte Attribut hinzugefügt.

4. Suchen Sie nach dem neu hinzugefügten Attribut, indem Sie Benutzerdefiniert in das Suchfeld eingeben. Sie zeigen das Attribut ORDS RBAC in der Liste an.
   
   
   Beschreibung der Abbildung rbac-filter.png
   
   

   Klicken Sie auf Attribut bearbeiten.

5. Kopieren Sie den Wert von FQN (Vollqualifizierter Name), und notieren Sie ihn.
   
   
   Beschreibung der Abbildung rbac-fqn.png
   
   

   In diesem Beispiel ist FQN urn:ietf:params:scim:schemas:idcs:extension:custom:User:rbac_ords.

1. Navigieren Sie zu: Identität → Domains → Standard. Klicken Sie auf die Registerkarte Benutzerverwaltung, und wählen Sie Ihren Benutzernamen aus der Liste der angezeigten Benutzer aus.
   
   
   
   Beschreibung der Abbildung rbac-edit-user.png
   
   

   Klicken Sie auf Benutzer bearbeiten. Scrollen Sie nach unten zum Feld Weitere Informationen, und geben Sie unter ORDS RBAC SQL Developer, SODA Developer ein.

   Weitere Informationen zu ORDS-Rollen finden Sie in diesem Kapitel unter Oracle REST Data Services-Benutzerrollen.

   
   
   
   Beschreibung der Abbildung rbac-other-information-field.png
   
   

   Nachdem Sie die Rollen hinzugefügt haben, klicken Sie auf Änderungen speichern.

1. Navigieren Sie zu: Identität → Domains → Standard.
2. Klicken Sie auf die Registerkarte Integrierte Anwendungen, und wählen Sie Anwendung hinzufügen aus.
3. Klicken Sie auf Vertrauliche Anwendung, und wählen Sie Workflow starten aus.
   • Geben Sie den Namen der Anwendung ein: Integrierte Identitätsdomainanwendung
   • Beschreibung eingeben: Dies ist eine Domain integrierte Anwendung.

   Klicken Sie auf Weiterleiten.

4. Wählen Sie auf der Seite Integrierte Anwendung der Identitätsdomain die Registerkarte OAuth-Konfiguration aus.
5. Klicken Sie in der Ressourcenserverkonfiguration auf OAuth-Konfiguration bearbeiten. Geben Sie im Dialogfeld OAuth-Konfiguration bearbeiten die folgenden Felder an:
   • Wählen Sie unter Clientkonfiguration den Standardwert Diese Anwendung jetzt als Client konfigurieren aus.
   • Wählen Sie unter Autorisierung die Option Clientzugangsdaten. Behalten Sie den Standardstatus der restlichen Konfigurationen bei.
   • Wählen Sie Anwendungsrollen hinzufügen aus.
     
     
     
     Beschreibung der Abbildung rbac-edit-oauth-config-identity-domain.png
     
     
   • Klicken Sie im Dialogfeld Anwendungsrollen hinzufügen auf Identitätsdomainadministrator, und wählen Sie Hinzufügen aus.
     
     
     
     Beschreibung der Abbildung rbac-edit-app-roles.png
     
     
   • Klicken Sie nach dem Hinzufügen von Anwendungsrollen auf Weiterleiten.
   • Aktivieren Sie die Anwendung.
     Hinweis
     
     Notieren Sie sich im Abschnitt Allgemeine Informationen der integrierten Anwendung die Client-ID und das Client Secret.

     
     

     
     Beschreibung der Abbildung rbac-client-secret.png

     
     

• Client ID: 123a1234e1234567aa12345a1abcdefg1
• Client Secret: IDCSCS-12A1A123-A123-1234-1234-E1A05AABC123
• Domain URL: https://idcs-a123ab1ab12a4bb99a9aa9ab99aabbb9.identity.oraclecloud.com:443

export ACCESS_TOKEN=$(curl -s -i -u"123a1234e1234567aa12345a1abcdefg1: idcscs-12a1a123-a123-1234-1234-e1a05aabc123" -H "Content-Type: application/x-www-form-urlencoded;charset=UTF-8" --request POST https://idcs-a123ab1ab12a4bb99a9aa9ab99aabbb9.identity.oraclecloud.com:443/oauth2/v1/token -d "grant_type=client_credentials&scope=urn:opc:idm:__myscopes__" |
          tail -n +1 | grep -o '"access_token":"[^"]*' | cut -d'"'
        -f4)
 

echo $ACCESS_TOKEN

urn:ietf:params:scim:schemas:idcs:extension:custom:User:rbac_ords

urn:ietf:params:scim:schemas:idcs:extension:custom:User.rbac_ords

curl -i -X POST (DOMAIN URL)/admin/v1/CustomClaims -H"Cache-Control: no-cache" -H"Accept:application/json" -H"Content-Type:application/json" -H"Authorization: Bearer $ACCESS_TOKEN" -d '{
    "schemas": [
        "urn:ietf:params:scim:schemas:oracle:idcs:CustomClaim"
    ],
    "name": "(ROLE CLAIM NAME)",
    "value": "$user.(MODIFIED FQN).*",     
    "expression": true,
    "mode": "always",
    "tokenType": "AT",
    "allScopes": false,
    "scopes": [
    "ssaddin/rbac"
  ]
}'

1. Wählen Sie im SQL Worksheet in der Registerkarte "Navigator" aus der Dropdown-Liste "Schema" die Option ORDS_METADATA.
2. Wählen Sie Packages aus der Dropdown-Liste "Objekttyp" aus.
3. Geben Sie ORDS_SECURITY in das Suchfeld ein. Die Suchfunktion ruft alle Einträge ab, die mit ORDS_SECURITY beginnen.
4. Blenden Sie das Package ORDS_SECURITY ein.
   
   
   
   Beschreibung der Abbildung run-package.png
   
   
5. Klicken Sie mit der rechten Maustaste auf CREATE_JWT_PROFILE, und klicken Sie auf RUN. Dadurch wird ein Dialogfeld RUN CODE geöffnet.
   Geben Sie im Dialogfeld {\b Run Code…} die folgenden Feldwerte an:

   • P_ISSUER- https://identity.oraclecloud.com/. Dieses Feld muss einen Wert ungleich Null enthalten und in ein einzelnes Komma gefüllt sein.
   • P_AUDIENCE-ssaddin/. Dieses Feld muss einen Wert ungleich Null enthalten.
   • P_JWK_URL - Hängen Sie die DOMAIN-URL an /admin/v1/SigningCert/jwk an. Der Wert darf nicht Null sein und muss mit https:// beginnen und den öffentlichen Verifizierungsschlüssel angeben, der vom Autorisierungsserver im JSON Web Key-(JWK-)Format bereitgestellt wird.

     Sie können die Domain-URL auf der Registerkarte "Domaininformationen" im Menü Domains des Navigationsmenüs Identität und Sicherheit der OCI-Konsole anzeigen.

   • P_DESCRIPTION- Geben Sie die Beschreibung für dieses Profil an. Beispiel: "RBAC JWT Demo-Konflikt".
   • P_ALLOWED_AGE-"0"
   • P_ALLOWED_SKEW-"0"
   • P_ROLE_CLAIM_NAME- "ssaddin.role"

   Klicken Sie auf Code in Arbeitsblatt einfügen.

   
   
   
   Beschreibung der Abbildung rbac-run-code.png
   
   

   Führen Sie die Prozedur aus.

   
   
   
   Beschreibung der Abbildung rbac-run-code-command.png
   
   

   Im Ausgabebereich wird "PL/SQL-Prozedur erfolgreich abgeschlossen" angezeigt.