Der mandantenübergreifende Zugriff auf eine Oracle Cloud Infrastructure-(OCI-)Instanz DBaaS ähnelt einem einzelnen Mandantenszenario, mit der Ausnahme, dass Mandanteninformationen für Mappings und Tokenanforderungen erforderlich sind und eine Policy in beiden Mandanten erforderlich ist, um diesen mandantenübergreifenden Datenbankressourcenzugriff zu ermöglichen.

Die folgende Abbildung veranschaulicht den Prozess für einen mandantenübergreifenden Zugriff auf eine OCI-Instanz DBaaS.

Abbildung 3-1: mandantenübergreifender Zugriff auf eine OCI-DBaaS-Instanz

Beschreibung der Abbildung 3-1 "Mandantenübergreifender Zugriff auf eine OCI-DBaaS-Instanz"

Der mandantenübergreifende Prozess ist wie folgt:

1. Die Policy ist in beiden Mandanten erforderlich, um den mandantenübergreifenden Zugriff zu genehmigen und zuzulassen.
2. Der IAM-Principal (Benutzer oder Anwendung) fordert ein DB-Token für eine mandantenübergreifende Ressource an.
3. Die db-token wird zurückgegeben und für den Zugriff auf die Datenbank in einem anderen Mandanten verwendet
4. Die Datenbank führt eine mandantenübergreifende Gruppenabfrage für die Benutzergruppen durch und ordnet den Principal dem globalen Schema und optionalen globalen Rollen zu.

Sie müssen den Benutzermandanten für dieselben Regionen abonnieren, in denen sich die Datenbanken befinden. Beispiel: Wenn sich die Datenbanken im Datenbankmandanten in den Regionen PHX und IAD befinden, müssen Sie den Benutzermandanten für diese Regionen abonnieren. Dies ist nicht die Hauptregion, sondern nur die zusätzlichen abonnierten Regionen im Benutzermandanten.

Sie müssen Policys sowohl im Benutzermandanten als auch im Datenbankressourcenmandanten erstellen, um mandantenübergreifenden Datenbankzugriff zu ermöglichen.

• Quellbenutzermandanten konfigurieren
  Zwei Policys sind erforderlich, um mandantenübergreifenden Zugriff im Benutzermandanten zu ermöglichen.
• Mandanten der Zieldatenbankressource konfigurieren
  Der Datenbankmandant benötigt übereinstimmende Policys, um den Zugriff auf die Benutzer aus dem Benutzermandanten zu ermöglichen und seinen eigenen Datenbanken zu erlauben, Gruppeninformationen im Benutzermandanten abzufragen
• Policy-Beispiele für mandantenübergreifenden Zugriff
  Beispiele sind die Verwendung einer WHERE-Klausel zur Verfeinerung der mandantenübergreifenden Konfiguration und andere Methoden zur Ausführung dieses Konfigurationstyps.

Wenn Sie diesen Zuordnungstyp ausführen, müssen Sie die Mandanten-OCID zu den Zuordnungsinformationen hinzufügen, damit die Datenbank weiß, dass es sich um mandantenübergreifenden Zugriff handelt.

• So führen Sie die Zuordnung mit der Anweisung CREATE USER aus:
  Die folgenden Beispiele zeigen die exklusive und gemeinsame Schemazuordnung mit Principals und Gruppen in Standard- und Nicht-Standarddomains. Wenn Sie Standarddomains verwenden, müssen Sie keinen Domainnamen angeben.

  CREATE USER schema1 IDENTIFIED GLOBALLY 
  AS 'IAM_PRINCIPAL_NAME=ocid1.tenancy.OCID:example_domain/peter.fitch@oracle.com';
  
  CREATE USER schema2 IDENTIFIED GLOBALLY 
  AS 'IAM_PRINCIPAL_NAME=ocid1.tenancy.OCID:peter.fitch@oracle.com';
  
  CREATE USER qa_db_user_group IDENTIFIED GLOBALLY 
  AS 'IAM_GROUP_NAME=ocid1.tenancy.OCID:example_domain/xt_db_users';
  
  CREATE USER qa_sales_user_group IDENTIFIED GLOBALLY 
  AS 'IAM_GROUP_NAME=ocid1.tenancy.OCID:sales_users';
  
  CREATE USER xt_ip_user IDENTIFIED GLOBALLY 
  AS 'IAM_PRINCIPAL_OCID=ocid1.instance.region1.sea.OCID';
  GRANT CREATE SESSION TO xt_ip_user;
  
  CREATE USER xt_iam_dg IDENTIFIED GLOBALLY 
  AS 'IAM_GROUP_NAME=ocid1.tenancy.region1.OCID:sales_principals';
  GRANT CREATE SESSION TO xt_iam_dg;

• So führen Sie die Zuordnung mit der Anweisung CREATE ROLE aus:
  Die folgenden Beispiele zeigen die globale Rollenzuordnung mit Gruppen in Standard- und Nicht-Standarddomains. Wenn Sie Standarddomains verwenden, müssen Sie keinen Domainnamen angeben.

  CREATE ROLE globalrole1 IDENTIFIED GLOBALLY 
  AS 'IAM_GROUP_NAME=ocid1.tenancy.abcdef:example_domain/xt_db_users';
  
  CREATE ROLE globalrole2 IDENTIFIED GLOBALLY 
  AS 'IAM_GROUP_NAME=ocid1.tenancy.abcdef:sales_users';

Sie können einige Datenbankclients direkt konfigurieren.

Der Datenbankmandant muss in der Verbindungszeichenfolge oder in sqlnet.ora identifiziert werden, wenn der Client so konfiguriert ist, dass das Zugriffstoken direkt aus OCI IAM abgerufen wird. Überprüfen Sie die clientspezifische Dokumentation auf bestimmte Parameterwerte (JDBC-thin, ODP.NET-core, managed).

Sie müssen den Parameter --scope zum Befehlszeilenschnittstellenbefehl von Oracle Cloud Infrastructure (OCI) hinzufügen, um eine db-token für eine mandantenübergreifende Anforderung abzurufen. Wenn sich die Datenbank, auf die Sie zugreifen, in einer anderen Region als die Hauptregion des Benutzermandanten befindet, muss die Region auch mit dem Parameter --region zum OCI-CLI-Befehl hinzugefügt werden.

Weitere Informationen zur Verwendung der optionalen Parameter des Befehls oci get finden Sie unter Optionale Parameter.

Sie können den Geltungsbereich für den gesamten Mandanten festlegen oder ihn auf ein Compartment oder eine Datenbank im Mandanten begrenzen. Beim Scoping für mandantenübergreifende Compartments oder Datenbanken müssen Sie nicht auch die Mandanteninformationen hinzufügen, da die Compartment- und Datenbank-OCIDs in OCI eindeutig sind.

Bestimmte Clients können die Token direkt von MSEI anfordern. Informationen zum Festlegen der Parameter zum Abrufen der MSEI-Zugriffstoken OAuth2 finden Sie in der entsprechenden Dokumentation.