Oracle Cloud Infrastructure-Dokumentation

Microsoft Active Directory mit Autonomous AI Database verwenden

Sie können Autonomous AI Database so konfigurieren, dass Microsoft Active Directory-Benutzer authentifiziert und autorisiert werden.

Mit dieser Konfiguration können Active Directory-Benutzer über ihre Active Directory-Zugangsdaten, einschließlich Kennwörtern und Kerberos, auf Autonomous AI Database zugreifen.

Voraussetzungen für die Konfiguration von CMU mit Microsoft Active Directory in einer autonomen KI-Datenbank

Sie können Autonomous AI Database so konfigurieren, dass Microsoft Active Directory-Benutzer authentifiziert und autorisiert werden.

Je nachdem, wo sich die Active Directory-Server befinden, gibt es zwei Optionen für die Konfiguration der Autonomous AI Database mit Centrally Managed Users (CMU) mit Microsoft Active Directory:

  • Öffentlich zugängliche Active Directory-(AD-)Server: Die Active Directory-Server sind über das öffentliche Internet von der Autonomous AI Database aus zugänglich.

  • Active Directory-(AD-)Server befinden sich auf einem privaten Endpunkt: Die Active Directory-Server befinden sich auf einem privaten Endpunkt und sind über das öffentliche Internet nicht über die autonome KI-Datenbank zugänglich. In diesem Fall ist ein zusätzlicher Konfigurationsschritt erforderlich, wie im letzten Schritt unter CMU mit Microsoft Active Directory in Autonomous AI Database konfigurieren gezeigt, in dem Sie die Datenbankeigenschaft ROUTE_OUTBOUND_CONNECTIONS festlegen.

Hinweis

Hinweis: Informationen zur Verwendung von Azure Active Directory mit autonomer KI-Datenbank finden Sie unter Microsoft Entra-ID mit autonomer KI-Datenbank verwenden. Die CMU-Option unterstützt Microsoft Active Directory-Server, jedoch nicht den Azure Active Directory-Service.

Die Integration von Autonomous AI Database mit Centrally Managed Users (CMU) ermöglicht die Integration mit Microsoft Active Directory. CMU mit Active Directory ordnet globale Oracle-Datenbankbenutzer und globale Rollen Microsoft Active Directory-Benutzern und -Gruppen zu.

Die folgenden Voraussetzungen sind erforderlich, um die Verbindung von der autonomen KI-Datenbank zu Active Directory zu konfigurieren:

  • Microsoft Active Directory muss installiert und konfiguriert sein. Weitere Informationen finden Sie unter Erste Schritte mit AD DS.

  • Sie müssen einen Oracle-Serviceverzeichnisbenutzer in Active Directory erstellen. Informationen zum Account des Oracle-Serviceverzeichnisbenutzers finden Sie unter Verbindung zu Microsoft Active Directory herstellen.

  • Ein Active Directory-Systemadministrator muss den Oracle-Kennwortfilter auf den Active Directory-Servern installiert haben und Active Directory-Gruppen mit Active Directory-Benutzern einrichten, um Ihre Anforderungen zu erfüllen.

    Hinweis

    Hinweis: Dies ist nicht erforderlich, wenn Sie die Kerberos-Authentifizierung für CMU Active Directory verwenden. Weitere Informationen finden Sie unter Kerberos-Authentifizierung für CMU mit Microsoft Active Directory.

    Wenn Sie die Kennwortauthentifizierung mit CMU Active Directory für autonome KI-Datenbank verwenden, müssen Sie das enthaltene Utility opwdintg.exe verwenden, um den Oracle-Kennwortfilter auf Active Directory zu installieren, das Schema zu erweitern und drei neue ORA_VFR-Gruppen für drei Arten der Passwortverifizierungsgenerierung zu erstellt. Informationen zur Installation des Oracle-Kennwortfilters finden Sie unter Verbindung zu Microsoft Active Directory herstellen.

  • Sie benötigen das Datenbank-Wallet der CMU-Konfiguration, cwallet.sso und die CMU-Konfigurationsdatei dsi.ora, um CMU für Ihre autonome KI-Datenbank zu konfigurieren:

    • Wenn Sie CMU für eine On-Premise-Datenbank konfiguriert haben, können Sie diese Konfigurationsdateien vom On-Premise-Datenbankserver abrufen.

    • Wenn Sie CMU nicht für eine On-Premise-Datenbank konfiguriert haben, müssen Sie diese Dateien erstellen. Anschließend laden Sie die Konfigurationsdateien in die Cloud hoch, um CMU in Ihrer autonomen KI-Datenbankinstanz zu konfigurieren. Sie können das Wallet und das dsi.ora validieren, indem sie CMU für eine On-Premise-Datenbank konfigurieren und prüfen, ob sich ein Active Directory-Benutzer mit diesen Konfigurationsdateien erfolgreich bei der On-Premise-Datenbank anmelden kann.

    Details zur Wallet-Datei für CMU finden Sie unter Wallet für eine sichere Verbindung erstellen und Oracle Wallet prüfen.

    Details zur Datei dsi.ora für CMU finden Sie unter Datei dsi.ora erstellen.

    Weitere Informationen zur Konfiguration von Active Directory für CMU und zur Fehlerbehebung von CMU für On-Premise-Datenbanken finden Sie unter How To Configure Centrally Managed Users For Database Release 18c or Later Releases (Dok.-ID 2462012.1).

  • Port 636 der Active Directory-Server muss für Autonomous AI Database in Oracle Cloud Infrastructure geöffnet sein. Dadurch kann Autonomous AI Database auf die Active Directory-Server zugreifen.

  • Wenn sich die Active Directory-Server auf einem öffentlichen Endpunkt befinden:

    • Auf die Active Directory-Server muss über das öffentliche Internet von der Autonomous AI Database aus zugegriffen werden können.

    • Sie können Ihr On-Premise-Active Directory auch auf Oracle Cloud Infrastructure erweitern. So können Sie schreibgeschützte Domaincontroller (RODCs) für das On-Premise-Active Directory einrichten. Auf diese Weise können Sie die RODCs in Oracle Cloud Infrastructure verwenden, um On-Premise-Active Directory-Benutzer für den Zugriff auf autonome KI-Datenbanken zu authentifizieren und zu autorisieren.

      Weitere Informationen finden Sie unter Active Directory-Integration in Hybrid Cloud erweitern.

CMU mit Microsoft Active Directory auf Autonomous AI Database konfigurieren

Sie können Autonomous AI Database so konfigurieren, dass Microsoft Active Directory-Benutzer authentifiziert und autorisiert werden.

So konfigurieren Sie die autonome KI-Datenbank für CMU für die Verbindung mit Active Directory:

Hinweis

Hinweis: Wenn Sie die Konfigurationsschritte ausführen, melden Sie sich als ADMIN-Benutzer bei der Datenbank an.

  1. Prüfen Sie, ob ein anderes externes Authentifizierungsschema in der Datenbank aktiviert ist, und deaktivieren Sie es.

    Sie können die CMU-AD-Konfiguration auf Kerberos fortsetzen, um CMU-AD-Kerberos-Authentifizierung für Microsoft Active Directory-Benutzer bereitzustellen.

    Weitere Informationen finden Sie unter Kerberos-Authentifizierung für CMU mit Microsoft Active Directory.

  2. Laden Sie die CMU-Konfigurationsdateien, einschließlich der Datenbank-Wallet-Datei, cwallet.sso und der CMU-Konfigurationsdatei dsi.ora in den Objektspeicher herunter. Dieser Schritt hängt vom verwendeten Objektspeicher ab.

    Die Konfigurationsdatei dsi.ora enthält die Informationen zum Suchen der Active Directory-Server.

    Wenn Sie Oracle Cloud Infrastructure Object Storage verwenden, finden Sie unter Daten in Object Storage ablegen Details zum Hochladen von Dateien.

  3. Führen Sie die Prozedur DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION aus, und übergeben Sie eine Standort-URI mit dem JSON-Argument params. Sie müssen die Konfigurationsdateien cwallet.sso und dsi.ora im Object Storage-Speicherort ablegen, der im Parameter location_uri angegeben ist.

    Beispiel:

    BEGIN
   DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION(
       type     => 'CMU',
       params   => JSON_OBJECT('location_uri' value 'https://objectstorage.us-phoenix-1.oraclecloud.com/n/namespace-string/b/bucketname/o',
                               'credential_name' value 'my_credential_name')
   );
END;
/

    Oracle empfiehlt, die CMU-Konfigurationsdateien in einem privaten Bucket im Objektspeicher zu speichern.

    In diesem Beispiel ist namespace-string der Oracle Cloud Infrastructure-Objektspeicher-Namespace und bucketname der Bucket-Name. Weitere Informationen finden Sie unter Object Storage-Namespaces.

    Die credential_name, die Sie in diesem Schritt verwenden, sind die Zugangsdaten für den Zugriff auf den Objektspeicher.

    Das Erstellen von Zugangsdaten für den Zugriff auf den Oracle Cloud Infrastructure-Objektspeicher ist nicht erforderlich, wenn Sie Resource-Principal-Zugangsdaten aktivieren. Weitere Informationen finden Sie unter Resource Principal für den Zugriff auf Oracle Cloud Infrastructure-Ressourcen nutzen.

    Wenn die location_uri eine vorab authentifizierte URL oder eine vorab signierte URL ist, ist die Angabe einer credential_name nicht erforderlich.

    Die Prozedur erstellt ein Verzeichnisobjekt mit dem Namen CMU_WALLET_DIR in der Datenbank und kopiert die CMU-Konfigurationsdateien aus dem Objektspeicherverzeichnis in das Verzeichnisobjekt. Diese Prozedur setzt auch die Datenbankeigenschaft CMU_WALLET auf den Wert 'CMU_WALLET_DIR' und setzt den Parameterwert LDAP_DIRECTORY_ACCESS auf den Wert PASSWORD, um den Zugriff von der Instanz der autonomen KI-Datenbank auf Active Directory zu ermöglichen.

  4. Nachdem Sie die CMU-Authentifizierung aktiviert haben, entfernen Sie die CMU-Konfigurationsdateien, einschließlich des Datenbank-Wallets cwallet.sso und der CMU-Konfigurationsdatei dsi.ora aus dem Objektspeicher. Sie können diese Dateien mit lokalen Objektspeichermethoden entfernen oder mit DBMS_CLOUD.DELETE_OBJECT aus dem Objektspeicher löschen.

  5. Wenn sich Active Directory-Server auf einem privaten Endpunkt befinden, führen Sie zusätzliche Konfigurationsschritte aus, um den Zugriff auf den privaten Endpunkt zu ermöglichen.

    1. Legen Sie die Eigenschaft ROUTE_OUTBOUND_CONNECTIONS der Datenbank fest.

      Weitere Informationen finden Sie unter Erweiterte Sicherheit für ausgehende Verbindungen mit privaten Endpunkten.

    2. Validieren Sie, ob die CMU-AD-Konfigurationsdatei dsi.ora Hostnamen enthält. Wenn die Datenbankeigenschaft ROUTE_OUTBOUND_CONNECTIONS festgelegt ist, können IP-Adressen nicht in dsi.ora angegeben werden.

Hinweis für CMU mit Active Directory auf autonomer KI-Datenbank:

  • Nur die "Kennwortauthentifizierung" oder Kerberos-Authentifizierung wird für CMU mit Autonomous AI Database unterstützt. Wenn Sie die CMU-Authentifizierung mit Autonomous AI Database verwenden, werden andere CMU-Authentifizierungsmethoden wie Azure AD, OCI IAM und PKI nicht unterstützt.

Anweisungen zum Deaktivieren des Zugriffs von Autonomous AI Database auf Active Directory finden Sie unter Active Directory-Zugriff auf Autonomous AI Database deaktivieren.

Weitere Informationen zu DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION finden Sie unter ENABLE_EXTERNAL_AUTHENTICATION-Prozedur.

Weitere Informationen zum Konfigurieren von CMU mit Microsoft Active Directory finden Sie unter Zentral verwaltete Benutzer mit Microsoft Active Directory konfigurieren.

Kerberos Authentifizierung für CMU mit Microsoft Active Directory

Sie können Autonomous AI Database so konfigurieren, dass die Kerberos-Authentifizierung für CMU mit Microsoft Active Directory-Benutzern verwendet wird. Mit dieser Konfiguration können CMU-Active Directory-(CMU-AD-)Benutzer mit Kerberos-Zugangsdaten auf eine autonome AI-Datenbankinstanz zugreifen.

Kerberos kann mit oder ohne CMU-AD konfiguriert werden. Wenn Sie nur Kerberos konfigurieren, müssen Sie für jeden Kerberos-Benutzer einen Datenbankbenutzer erstellen und verwalten. Wenn Sie Kerberos mit CMU konfigurieren, können Sie eine Active Directory-Gruppe von Kerberos-Benutzern einem einzelnen Datenbankbenutzer (Shared Schema) zuordnen, sodass der Datenbankzugriff durch die Active Directory-Gruppenmitgliedschaft gesteuert werden kann. Weitere Informationen zum Konfigurieren von Kerberos ohne CMU-AD finden Sie unter Kerberos-Authentifizierung mit autonomer KI-Datenbank konfigurieren.

Hinweis

Hinweis: Bei der Implementierung der Kerberos-Authentifizierung und CMU-AD zur Autorisierung empfiehlt Oracle, zuerst die Kerberos-Authentifizierung zu implementieren und dann die CMU-AD-Autorisierung hinzuzufügen.

  1. Aktivieren Sie Kerberos in Ihrer Autonomous AI Database-Instanz mit dem Kerberos-Server von Microsoft Active Directory.

    Nur Microsoft Active Directory-Kerberos-Server werden für Kerberos unterstützt, wenn Sie die Kerberos-Authentifizierung mit CMU-AD konfigurieren.

    a. Um die Kerberos-Authentifizierung für Ihre autonome AI-Datenbank zu aktivieren, benötigen Sie die Kerberos-Konfigurationsdateien krb.conf und die Serviceschlüsseltabellendatei v5srvtab.

    Um diese Dateien zu generieren, wenn Sie die Kerberos-Authentifizierung mit CMU-AD konfigurieren, benötigen Sie den Serverhostnamen. Sie können den Wert des Serverhosts aus dem Attribut PUBLIC_DOMAIN_NAME in der Spalte CLOUD_IDENTITY von V$PDBS abrufen. Dieser Wert unterscheidet sich vom vollqualifizierten Domainnamen (FQDN) für eine Datenbank auf einem privaten Endpunkt.

    Verwenden Sie den folgenden Befehl, um den Serverhostnamen abzurufen:

    SELECT guid ||'/'|| json_value(cloud_identity, '$.PUBLIC_DOMAIN_NAME')
    "KSERVICE/KINSTANCE" FROM v$pdbs;

    Sie können einen Befehl wie den folgenden zum Generieren der Serviceschlüsseltabellendatei verwenden:

    ktpass -princ ORACLE/DATABASE_SERVER_HOST_NAME.DATABASE_SERVER_HOST_DOMAIN@ACTIVE_DIRECTORY_DEFAULT_DOMAIN
                  -pass ACTIVE_DIRECTORY_PASSWORD
                  -mapuser DATABASE_SERVER_HOST_NAME
                  -crypto ALL
                  -ptype KRB5_NT_PRINCIPAL
                  -out database.keytab

    Beispiel:

    ktpass -princ ORACLE/user.example.com@example.com
                 -pass password -mapuser dbexamplekrb
                 -crypto ALL -ptype KRB5_NT_PRINCIPAL -out database.keytab

    Weitere Informationen über diese Dateien und die erforderlichen Schritte zum Abrufen dieser Datei finden Sie unter Kerberos-Authentifizierung konfigurieren.

    b. Kopieren Sie die Kerberos-Konfigurationsdateien krb.conf und v5srvtab in einen Bucket im Objektspeicher.

    Dieser Schritt unterscheidet sich je nach verwendetem Objektspeicher.

    Wenn Sie Oracle Cloud Infrastructure Object Storage verwenden, finden Sie unter Daten in Object Storage ablegen Details zum Hochladen von Dateien.

    c. Führen Sie DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION aus, um die externe Kerberos-Authentifizierung zu aktivieren.

    Beispiel:

    BEGIN
   DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION(
       type     => 'KERBEROS',
       params   => JSON_OBJECT('location_uri' value 'https://objectstorage.us-phoenix-1.oraclecloud.com/n/namespace-string/b/bucketname/o',
                               'credential_name' value *'my_credential_name'*)
   );
END;
/

    Hinweis

    Hinweis: Oracle empfiehlt, die Kerberos-Konfigurationsdateien in einem privaten Bucket im Objektspeicher zu speichern.

    In diesem Beispiel ist namespace-string der Oracle Cloud Infrastructure-Objektspeicher-Namespace und bucketname der Bucket-Name. Weitere Informationen finden Sie unter Object Storage-Namespaces.

    Die credential_name, die Sie in diesem Schritt verwenden, sind die Zugangsdaten für den Objektspeicher.

    Weitere Informationen finden Sie unter Kerberos-Authentifizierung in autonomer KI-Datenbank aktivieren.

    d. Stellen Sie sicher, dass Kerberos konfiguriert und aktiviert ist.

    SELECT property_value FROM database_properties
      WHERE property_name='KERBEROS_DIRECTORY';

  2. Aktivieren und konfigurieren Sie CMU-AD in einer autonomen KI-Datenbank.

    a. Laden Sie die CMU-Konfigurationsdateien, einschließlich der Datenbank-Wallet-Datei, cwallet.sso und der CMU-Konfigurationsdatei dsi.ora in den Objektspeicher herunter.

    Sie laden die Datei cwallet.sso hoch, damit die CMU-AD-Konfiguration die Zugangsdaten für die Instanz der autonomen KI-Datenbank für die Verbindung zum Active Directory-Serviceaccount aufweist.

    Die Konfigurationsdatei dsi.ora enthält die Informationen zum Suchen der Active Directory-Server.

    Dieser Schritt unterscheidet sich je nach verwendetem Objektspeicher.

    Wenn Sie Oracle Cloud Infrastructure Object Storage verwenden, finden Sie unter Daten in Object Storage ablegen Details zum Hochladen von Dateien.

    b. Führen Sie die Prozedur DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION aus, und übergeben Sie eine Standort-URI mit dem JSON-Argument params. Sie müssen die Konfigurationsdateien cwallet.sso und dsi.ora im Object Storage-Speicherort ablegen, der im Parameter location_uri angegeben ist.

    Beispiel:

    BEGIN
   DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION(
       type     => 'CMU',
       params   => JSON_OBJECT('location_uri' value 'https://objectstorage.us-phoenix-1.oraclecloud.com/n/namespace-string/b/bucketname/o',
                               'credential_name' value 'my_credential_name')
   );
END;
/

    Oracle empfiehlt, die CMU-Konfigurationsdateien in einem privaten Bucket im Objektspeicher zu speichern.

    In diesem Beispiel ist namespace-string der Oracle Cloud Infrastructure-Objektspeicher-Namespace und bucketname der Bucket-Name. Weitere Informationen finden Sie unter Object Storage-Namespaces.

    Die credential_name, die Sie in diesem Schritt verwenden, sind die Zugangsdaten für den Zugriff auf den Objektspeicher.

    Das Erstellen von Zugangsdaten für den Zugriff auf den Oracle Cloud Infrastructure-Objektspeicher ist nicht erforderlich, wenn Sie Resource-Principal-Zugangsdaten aktivieren. Weitere Informationen finden Sie unter Resource Principal für den Zugriff auf Oracle Cloud Infrastructure-Ressourcen nutzen.

    Wenn die location_uri eine vorab authentifizierte URL oder eine vorab signierte URL ist, ist die Angabe einer credential_name nicht erforderlich.

    Weitere Informationen finden Sie unter Voraussetzungen zum Konfigurieren von CMU mit Microsoft Active Directory in einer autonomen KI-Datenbank.

    c. Vergewissern Sie sich, dass CMU-AD konfiguriert und aktiviert ist.

    SELECT property_value FROM database_properties
      WHERE property_name='CMU_WALLET';

  3. Prüfen Sie nach Abschluss von Schritt 1 und Schritt 2, ob die Konfiguration der Kerberos-Authentifizierung mit CMU-AD abgeschlossen ist.

    a. Melden Sie sich bei der autonomen AI-Datenbankinstanz als Active Directory-Benutzer an, sodass SYS_CONTEXT-Informationen in USERENV aufgefüllt werden.

    b. Fragen Sie SYS_CONTEXT USERENV ab.

    SELECT SYS_CONTEXT('USERENV','AUTHENTICATION_METHOD') FROM DUAL;
    SYS_CONTEXT('USERENV','AUTHENTICATION_METHOD')

--------------------------------------------------------------------------------
KERBEROS_GLOBAL

    Wenn die Kerberos-Authentifizierung ohne CMU-AD konfiguriert und aktiviert ist, gibt diese Abfrage Folgendes zurück: KERBEROS. Weitere Informationen finden Sie unter Kerberos-Authentifizierung mit autonomer KI-Datenbank konfigurieren.

    Wenn die CMU-AD-Authentifizierung ohne Kerberos konfiguriert ist, gibt diese Abfrage PASSWORD_GLOBAL zurück. Weitere Informationen finden Sie unter Voraussetzungen zum Konfigurieren von CMU mit Microsoft Active Directory in einer autonomen KI-Datenbank.

Hinweise zur Verwendung der Kerberos-Authentifizierung mit CMU-AD:

  • Sie müssen den Kennwortfilter nicht hinzufügen, wenn Sie die Kerberos-Authentifizierung mit CMU-AD verwenden. Weitere Informationen finden Sie unter Voraussetzungen zum Konfigurieren von CMU mit Microsoft Active Directory in einer autonomen KI-Datenbank.

  • Das Hinzufügen oder Entfernen von Active Directory-Benutzern wird auf die gleiche Weise unterstützt wie bei CMU mit Active Directory, wenn Sie die Kennwortauthentifizierung verwenden. Weitere Informationen finden Sie unter Microsoft Active Directory-Benutzer zu Autonomous AI Database hinzufügen.

  • Die bestehenden Einschränkungen bei der Authentifizierung anhand der integrierten Tools für die autonome KI-Datenbank mit CMU mit Active Directory-Kennwort gelten auch für CMU mit Active Directory mit Kerberos-Authentifizierung. Weitere Informationen finden Sie unter Tools Restrictions with Active Directory on Autonomous AI Database.

  • Verwenden Sie DBMS_CLOUD_ADMIN.DISABLE_EXTERNAL_AUTHENTICATION, um CMU-AD mit Kerberos-Authentifizierung zu deaktivieren. Weitere Informationen finden Sie unter DISABLE_EXTERNAL_AUTHENTICATION Procedure.

  • Wenn sich die CMU-AD-Server auf einem privaten Endpunkt befinden, muss für die Verwendung von CMU-AD mit Kerberos-Authentifizierung der Serverhostname, der zum Generieren der Registerkarte "Schlüssel" verwendet wird, auf den Wert des Attributs PUBLIC_DOMAIN_NAME in der Spalte CLOUD_IDENTITY von V$PDBS gesetzt werden. Dieser Wert unterscheidet sich vom FQDN für eine private Endpunktdatenbank.

Microsoft Active Directory-Rollen in Autonomous AI Database hinzufügen

Um Active Directory-Rollen hinzuzufügen, ordnen Sie die globalen Datenbankrollen mit CREATE ROLE- oder ALTER ROLE-Anweisungen Active Directory-Gruppen zu (und fügen Sie die IDENTIFIED GLOBALLY AS-Klausel ein).

So fügen Sie globale Rollen für Active Directory-Gruppen in Autonomous AI Database hinzu:

  1. Melden Sie sich als ADMIN-Benutzer bei der Datenbank an, die für die Verwendung von Active Directory konfiguriert ist (der ADMIN-Benutzer verfügt über die Systemberechtigungen CREATE ROLE und ALTER ROLE, die Sie für diese Schritte benötigen).

  2. Legen Sie die Datenbankautorisierung für autonome AI-Datenbankrollen mit einer Anweisung CREATE ROLE oder ALTER ROLE fest. Schließen Sie die IDENTIFIED GLOBALLY AS-Klausel ein, und geben Sie den DN einer Active Directory-Gruppe ein.

    Verwenden Sie die folgende Syntax, um eine Verzeichnisbenutzergruppe einer globalen Datenbankrolle zuzuordnen:

    CREATE ROLE global_role IDENTIFIED GLOBALLY AS
     'DN_of_an_AD_GROUP_of_WHICH_the_AD_USER_IS_a_MEMBER';

    Beispiel:

    CREATE ROLE widget_sales_role IDENTIFIED GLOBALLY AS
     'CN=widget_sales_group,OU=sales,DC=production,DC=example,DC=com';

    In diesem Beispiel sind alle Mitglieder von widget_sales_group mit der Datenbankrolle widget_sales_role autorisiert, wenn sie sich bei der Datenbank anmelden.

  3. Verwenden Sie GRANT-Anweisungen, um der globalen Rolle die erforderlichen Berechtigungen oder andere Rollen zu erteilen.

    Beispiel:

    GRANT CREATE SESSION TO WIDGET_SALES_ROLE;
GRANT DWROLE TO WIDGET_SALES_ROLE;

    DWROLE ist eine vordefinierte Rolle mit definierten allgemeinen Berechtigungen. Informationen zum Festlegen gemeinsamer Berechtigungen für Benutzer der autonomen KI-Datenbank finden Sie unter Benutzerberechtigungen für autonome KI-Datenbank verwalten - Verbindung mit einem Clienttool herstellen.

  4. Wenn Sie eine vorhandene Datenbankrolle mit einer Active Directory-Gruppe verknüpfen möchten, verwenden Sie die ALTER ROLE-Anweisung, um die vorhandene Datenbankrolle zu ändern und die Rolle einer Active Directory-Gruppe zuzuordnen.

    Mit der folgenden Syntax können Sie eine vorhandene Datenbankrolle ändern, um sie einer Active Directory-Gruppe zuzuordnen:

    ALTER ROLE existing_database_role
   IDENTIFIED GLOBALLY AS 'DN_of_an_AD_GROUP_of_WHICH_the_AD_USER_IS_a_MEMBER';

  5. Wenn Sie zusätzliche globale Rollenzuordnungen für andere Active Directory-Gruppen erstellen möchten, führen Sie die folgenden Schritte für jede Active Directory-Gruppe aus.

Weitere Informationen zum Konfigurieren von Rollen mit Microsoft Active Directory finden Sie unter Configuring Authorization for Centrally Managed Users in der Dokumentation Oracle Database 19c Security Guide oder Oracle AI Database 26ai Security Guide.

Microsoft Active Directory-Benutzer in Autonomous AI Database hinzufügen

Um Active Directory-Benutzer für den Zugriff auf eine Datenbank hinzuzufügen, ordnen Sie globale Datenbankbenutzer mit CREATE USER- oder ALTER USER-Anweisungen (mit IDENTIFIED GLOBALLY AS-Klausel) Active Directory-Gruppen oder -Benutzern zu.

Für die Integration von Autonomous AI Database mit Active Directory werden Microsoft Active Directory-Benutzer und -Gruppen direkt globalen Oracle-Datenbankbenutzern und globalen Rollen zugeordnet.

So fügen Sie globale Benutzer für Active Directory-Gruppen oder -Benutzer in Autonomous AI Database hinzu:

  1. Melden Sie sich als ADMIN-Benutzer bei der Datenbank an, die für die Verwendung von Active Directory konfiguriert ist (der ADMIN-Benutzer verfügt über die Systemberechtigungen CREATE USER und ALTER USER, die Sie für diese Schritte benötigen).

  2. Set database authorization for Autonomous AI Database users with CREATE USER or ALTER USER statements and include the IDENTIFIED GLOBALLY AS clause, specifying the DN of an Active Directory user or group.

    Verwenden Sie die folgende Syntax, um einen Verzeichnisbenutzer einem globalen Datenbankbenutzer zuzuordnen:

    CREATE USER global_user IDENTIFIED GLOBALLY AS 'DN_of_an_AD_USER';

    Verwenden Sie die folgende Syntax, um eine Verzeichnisgruppe einem globalen Datenbankbenutzer zuzuordnen:

    CREATE USER global_user IDENTIFIED GLOBALLY AS
    'DN_of_an_AD_GROUP_of_WHICH_the_AD_USER_IS_a_MEMBER';

    Beispiel: So ordnen Sie eine Verzeichnisgruppe mit dem Namen widget_sales_group in der Organisationseinheit sales der Domain production.example.com einem gemeinsamen globalen Datenbankbenutzer namens WIDGET_SALES zu:

    CREATE USER widget_sales IDENTIFIED GLOBALLY AS
     'CN=widget_sales_group,OU=sales,DC=production,DC=example,DC=com';

    Dadurch wird eine gemeinsame globale Benutzerzuordnung erstellt. Die Zuordnung mit dem globalen Benutzer widget_sales gilt für alle Benutzer in der Active Directory-Gruppe. Daher kann sich jedes Mitglied in widget_sales_group mit seinen Active Directory-Zugangsdaten bei der Datenbank anmelden (über die gemeinsame Zuordnung des globalen Benutzers widget_sales).

  3. Wenn Sie möchten, dass Active Directory-Benutzer einen vorhandenen Datenbankbenutzer verwenden sowie Eigentümer des Schemas und der vorhandenen Daten sind, ändern Sie mit ALTER USER einen vorhandenen Datenbankbenutzer, um ihn einer Active Directory-Gruppe oder einem AD-Benutzer zuzuordnen.

    • Mit der folgenden Syntax können Sie einen vorhandenen Datenbankbenutzer ändern, um ihn einem Active Directory-Benutzer zuzuordnen:

      ALTER USER existing_database_user IDENTIFIED GLOBALLY AS 'DN_of_an_AD_USER';

    • Mit der folgenden Syntax können Sie einen vorhandenen Datenbankbenutzer ändern, um ihn einer Active Directory-Gruppe zuzuordnen:

      ALTER USER existing_database_user
     IDENTIFIED GLOBALLY AS 'DN_of_an_AD_GROUP_of_WHICH_the_AD_USER_IS_a_MEMBER';

  4. Wenn Sie zusätzliche globale Benutzerzuordnungen für andere Active Directory-Gruppen oder -Benutzer erstellen möchten, führen Sie die folgenden Schritte für jede Active Directory-Gruppe bzw. jeden Benutzer aus.

Weitere Informationen zum Konfigurieren von Rollen mit Microsoft Active Directory finden Sie unter Configuring Authorization for Centrally Managed Users in der Dokumentation Oracle Database 19c Security Guide oder Oracle AI Database 26ai Security Guide.

Toolseinschränkungen mit Active Directory auf autonomer KI-Datenbank

Hinweise zur Verwendung von Autonomous AI Database-Tools mit Active Directory:

Verbindung zu Autonomous AI Database mit Active Directory-Benutzerzugangsdaten herstellen

Nachdem der ADMIN-Benutzer die CMU Active Directory-Konfigurationsschritte abgeschlossen und globale Rollen und globale Benutzer erstellt hat, melden sich Benutzer mit ihrem Active Directory-Benutzernamen und -Kennwort bei der Datenbank an.

Hinweis

Hinweis: Melden Sie sich nicht mit einem globalen Benutzernamenan. Globale Benutzernamen haben kein Kennwort, und die Verbindung mit einem globalen Benutzernamen ist nicht erfolgreich. Sie müssen eine globale Benutzerzuordnung in Ihrer autonomen KI-Datenbank haben, um sich bei der Datenbank anzumelden. Sie können sich nicht nur mit globalen Rollenzuordnungen bei der Datenbank anmelden.

  1. Um sich mit einem Active Directory-Benutzernamen und -Kennwort bei der Datenbank anzumelden, melden Sie sich wie folgt an:

    CONNECT "AD_DOMAIN\AD_USERNAME"/AD_USER_PASSWORD@TNS_ALIAS_OF_THE_AUTONOMOUS_DATABASE;

    Beispiel:

    CONNECT "production\pfitch"/password@adbname_medium;

    Wenn die Active Directory-Domain zusammen mit dem Benutzernamen enthalten ist, müssen Sie doppelte Anführungszeichen setzen. Beispiel: "production\pfitch".

    In diesem Beispiel lautet der Active Directory-Benutzername pfitch in Domain production. Der Active Directory-Benutzer ist Mitglied der Gruppe widget_sales_group, die durch den DN 'CN=widget_sales_group,OU=sales,DC=production,DC=example,DC=com' identifiziert wird.

Nachdem Sie CMU mit Active Directory auf einer autonomen KI-Datenbank konfiguriert und die Active Directory-Autorisierung mit globalen Rollen und globalen Benutzern eingerichtet haben, können Sie eine Verbindung zu Ihrer Datenbank mit einer der unter Verbindung zu einer autonomen KI-Datenbank herstellen beschriebenen Verbindungsmethoden herstellen. Wenn Sie beim Herstellen einer Verbindung einen Active Directory-Benutzer nutzen möchten, verwenden Sie Active Directory-Benutzerzugangsdaten. Beispiel: Geben Sie einen Benutzernamen in diesem Formular an: "AD_DOMAIN**AD_USERNAME" (doppelte Anführungszeichen müssen eingeschlossen werden), und verwenden Sie AD_USER_PASSWORD als Kennwort.

Wenn sich die Instanz der autonomen AI-Datenbank im eingeschränkten Modus befindet, können nur Benutzer mit der Berechtigung RESTRICTED SESSION eine Verbindung zur Datenbank herstellen. Der ADMIN-Benutzer verfügt über diese Berechtigung. Mit dem eingeschränkten Zugriffsmodus können Sie administrative Aufgaben wie Indexierung, Dataloads oder andere geplante Aktivitäten ausführen. Weitere Informationen finden Sie unter Betriebsmodus für autonome KI-Datenbanken in "Lesen/Schreiben" oder "Eingeschränkt" ändern.

Verbindungsinformationen für Active Directory-Benutzer mit Autonomous AI Database prüfen

Wenn sich Benutzer mit ihrem Active Directory-Benutzernamen und -Kennwort bei der Datenbank anmelden, können Sie die Benutzeraktivität prüfen und prüfen.

Beispiel: Wenn sich der Benutzer pfitch anmeldet:

CONNECT "production\pfitch"/password@exampleadb_medium;

Der Anmeldename des Active Directory-Benutzers (samAccountName) lautet pfitch, und widget_sales_group ist der Active Directory-Gruppenname, und widget_sales ist der globale Datenbankbenutzer.

Nachdem sich pfitch bei der Datenbank angemeldet hat, zeigt der Befehl SHOW USER den globalen Benutzernamen an:

SHOW USER;

USER is "WIDGET_SALES"

Der folgende Befehl zeigt den DN (Distinguished Name) des Active Directory-Benutzers an:

SELECT SYS_CONTEXT('USERENV', 'ENTERPRISE_IDENTITY') FROM DUAL;

Beispiel: Sie können die Unternehmensidentität dieses zentral verwalteten Benutzers prüfen:

SQL> SELECT SYS_CONTEXT('USERENV', 'ENTERPRISE_IDENTITY') FROM DUAL;
SYS_CONTEXT('USERENV','ENTERPRISE_IDENTITY')
----------------------------------------------------------------------
cn=Peter Fitch,ou=sales,dc=production,dc=examplecorp,dc=com

Der folgende Befehl zeigt "AD_DOMAIN\AD_USERNAME" an:

SELECT SYS_CONTEXT('USERENV', 'AUTHENTICATED_IDENTITY') FROM DUAL;

Beispiel: Die authentifizierte Active Directory-Benutzeridentität wird erfasst und auditiert, wenn sich der Benutzer bei der Datenbank anmeldet:

SQL> SELECT SYS_CONTEXT('USERENV', 'AUTHENTICATED_IDENTITY') FROM DUAL;
SYS_CONTEXT('USERENV','AUTHENTICATED_IDENTITY')
----------------------------------------------------------------------
production\pfitch

Weitere Informationen finden Sie unter Verifying the Centrally Managed User Logon Information in der Dokumentation Oracle Database 19c Security Guide oder im Oracle AI Database 26ai Security Guide.

Active Directory-Benutzer und -Rollen auf autonomer KI-Datenbank entfernen

Um Active Directory-Benutzer und -Rollen aus autonomen KI-Datenbanken zu entfernen, verwenden Sie standardmäßige Datenbankbefehle. Dadurch werden die zugehörigen Active Directory-Benutzer oder -Gruppen, die den gelöschten Datenbankbenutzern oder -rollen zugeordnet wurden, nicht entfernt.

So entfernen Sie Benutzer oder Rollen aus der autonomen KI-Datenbank:

  1. Melden Sie sich als Benutzer mit der Systemberechtigung DROP USER oder DROP ROLE bei der Datenbank an, die für die Verwendung von Active Directory konfiguriert ist.

  2. Löschen Sie die globalen Benutzer oder Rollen, die Active Directory-Gruppen oder -Benutzern zugeordnet sind, mit der Anweisung DROP USER oder DROP ROLE.

    Weitere Informationen finden Sie unter Benutzer in autonomen KI-Datenbanken entfernen.

Active Directory-Zugriff auf autonome KI-Datenbank deaktivieren

Beschreibt die Schritte zum Entfernen der CMU-Konfiguration aus Ihrer autonomen KI-Datenbank (und zum Deaktivieren des LDAP-Zugriffs von Ihrer autonomen KI-Datenbank auf Active Directory).

Nachdem Sie die Instanz der autonomen KI-Datenbank für den Zugriff auf CMU Active Directory konfiguriert haben, können Sie den Zugriff wie folgt deaktivieren:

  1. Stellen Sie als ADMIN-Benutzer eine Verbindung zur autonomen KI-Datenbank her.

  2. Verwenden Sie DBMS_CLOUD_ADMIN.DISABLE_EXTERNAL_AUTHENTICATION, um die CMU-Authentifizierung zu deaktivieren.

    Hinweis

    Hinweis: Um diese Prozedur ausführen zu können, müssen Sie als ADMIN-Benutzer angemeldet sein oder die Berechtigung EXECUTE für DBMS_CLOUD_ADMIN besitzen.

    Beispiel:

    BEGIN
   DBMS_CLOUD_ADMIN.DISABLE_EXTERNAL_AUTHENTICATION;
END;
/

    Dadurch wird die CMU-Authentifizierung in Ihrer autonomen KI-Datenbankinstanz deaktiviert.

Weitere Informationen finden Sie unter DISABLE_EXTERNAL_AUTHENTICATION Procedure.