Mandantenübergreifender Zugriff auf eine Oracle Cloud Infrastructure-(OCI-)DBaaS-Instanz ähnelt einem einzelnen Mandantenszenario, mit der Ausnahme, dass Mandanteninformationen für Zuordnungen und Tokenanforderungen erforderlich sind und in beiden Mandanten eine Policy erforderlich ist, um diesen mandantenübergreifenden Datenbankressourcenzugriff zu ermöglichen.

Die folgende Abbildung veranschaulicht den Prozess für einen mandantenübergreifenden Zugriff auf eine OCI DBaaS-Instanz.

Abbildung 3-1: Mandantenübergreifender Zugriff auf eine OCI-Instanz DBaaS

Beschreibung von "Abbildung 3-1 Mandantenübergreifender Zugriff auf eine OCI DBaaS-Instanz"

Der mandantenübergreifende Prozess sieht wie folgt aus:

1. Die Policy ist in beiden Mandanten erforderlich, um den mandantenübergreifenden Zugriff zu bestätigen und zuzuweisen.
2. Der IAM-Principal (Benutzer oder Anwendung) fordert ein DB-Token für eine mandantenübergreifende Ressource an.
3. db-token wird zurückgegeben und für den Zugriff auf die Datenbank in einem anderen Mandanten verwendet
4. Die Datenbank erstellt eine mandantenübergreifende Gruppenabfrage für die Gruppen des Benutzers und ordnet den Principal dem globalen Schema und den optionalen globalen Rollen zu.

Sie müssen den Benutzermandanten für dieselben Regionen abonnieren, in denen sich die Datenbanken befinden. Beispiel: Wenn sich die Datenbanken im Datenbankmandanten in den Regionen PHX und IAD befinden, müssen Sie den Benutzermandanten für diese Regionen abonnieren. Dies ist nicht die Hauptregion, sondern nur die zusätzlichen abonnierten Regionen im Benutzermandanten.

Sie müssen Policys sowohl im Benutzermandanten als auch im Mandanten der Datenbankressource erstellen, um mandantenübergreifenden Datenbankzugriff zu ermöglichen.

• Quellbenutzermandanten konfigurieren
  Zwei Policys sind erforderlich, um mandantenübergreifenden Zugriff im Benutzermandanten zu ermöglichen.
• Ressourcenmandanten der Zieldatenbank konfigurieren
  Der Datenbankmandant benötigt übereinstimmende Policys, um den Zugriff auf die Benutzer aus dem Benutzermandanten zu ermöglichen und den eigenen Datenbanken das Abfragen von Gruppeninformationen im Benutzermandanten zu ermöglichen.
• Policy-Beispiele für mandantenübergreifenden Zugriff
  Beispiele: Verwenden Sie eine WHERE-Klausel, um die mandantenübergreifende Konfiguration zu verfeinern, und andere Methoden zur Ausführung dieses Konfigurationstyps.

Wenn Sie diesen Mappingtyp ausführen, müssen Sie die Mandanten-OCID zu den Mappinginformationen hinzufügen, damit die Datenbank weiß, dass es sich um mandantenübergreifenden Zugriff handelt.

• So verwenden Sie die Anweisung CREATE USER, um das Mapping auszuführen:
  Die folgenden Beispiele zeigen die exklusive und gemeinsame Schemazuordnung mit Principals und Gruppen in Standard- und Nicht-Standarddomains. Wenn Sie Standarddomains verwenden, müssen Sie keinen Domänennamen angeben.

  CREATE USER schema1 IDENTIFIED GLOBALLY 
  AS 'IAM_PRINCIPAL_NAME=ocid1.tenancy.OCID:example_domain/peter.fitch@oracle.com';
  
  CREATE USER schema2 IDENTIFIED GLOBALLY 
  AS 'IAM_PRINCIPAL_NAME=ocid1.tenancy.OCID:peter.fitch@oracle.com';
  
  CREATE USER qa_db_user_group IDENTIFIED GLOBALLY 
  AS 'IAM_GROUP_NAME=ocid1.tenancy.OCID:example_domain/xt_db_users';
  
  CREATE USER qa_sales_user_group IDENTIFIED GLOBALLY 
  AS 'IAM_GROUP_NAME=ocid1.tenancy.OCID:sales_users';
  
  CREATE USER xt_ip_user IDENTIFIED GLOBALLY 
  AS 'IAM_PRINCIPAL_OCID=ocid1.instance.region1.sea.OCID';
  GRANT CREATE SESSION TO xt_ip_user;
  
  CREATE USER xt_iam_dg IDENTIFIED GLOBALLY 
  AS 'IAM_GROUP_NAME=ocid1.tenancy.region1.OCID:sales_principals';
  GRANT CREATE SESSION TO xt_iam_dg;

• So verwenden Sie die Anweisung CREATE ROLE, um das Mapping auszuführen:
  Die folgenden Beispiele zeigen die globale Rollenzuordnung mit Gruppen in Standard- und Nicht-Standarddomänen. Wenn Sie Standarddomains verwenden, müssen Sie keinen Domänennamen angeben.

  CREATE ROLE globalrole1 IDENTIFIED GLOBALLY 
  AS 'IAM_GROUP_NAME=ocid1.tenancy.abcdef:example_domain/xt_db_users';
  
  CREATE ROLE globalrole2 IDENTIFIED GLOBALLY 
  AS 'IAM_GROUP_NAME=ocid1.tenancy.abcdef:sales_users';

Sie können einige Datenbankclients direkt konfigurieren.

Der Datenbankmandant muss entweder in der Verbindungszeichenfolge oder in sqlnet.ora identifiziert werden, wenn der Client so konfiguriert ist, dass er das Zugriffstoken direkt von OCI IAM abruft. Prüfen Sie die clientspezifische Dokumentation auf bestimmte Parameterwerte (JDBC-thin, ODP.NET-core, managed).

Sie müssen den Parameter --scope zum Oracle Cloud Infrastructure-(OCI-)Befehlszeilenschnittstellenbefehl hinzufügen, um eine db-token für eine mandantenübergreifende Anforderung abzurufen. Wenn sich die Datenbank, auf die Sie zugreifen, in einer anderen Region befindet als die Hauptregion des Benutzermandanten, muss die Region auch mit dem Parameter --region zum OCI-CLI-Befehl hinzugefügt werden.

Weitere Informationen zur Verwendung der optionalen Parameter des Befehls oci get finden Sie unter Optionale Parameter.

Sie können den Geltungsbereich für den gesamten Mandanten oder einen Geltungsbereich für ein Compartment oder eine Datenbank im Mandanten festlegen. Wenn Sie den Geltungsbereich für ein mandantenübergreifendes Compartment oder eine mandantenübergreifende Datenbank festlegen, müssen Sie nicht auch die Mandanteninformationen hinzufügen, da die Compartment- und Datenbank-OCIDs in OCI eindeutig sind.

Bestimmte Clients können die Token direkt von MSEI anfordern. Informationen zum Festlegen der Parameter zum Abrufen der MSEI OAuth2-Zugriffstoken finden Sie in der entsprechenden Dokumentation.