Multifaktor-Authentifizierung mit autonomer KI-Datenbank verwenden

Ein Benachrichtigungskanal ist der Mechanismus, mit dem MFA-Herausforderungen für Benutzer, wie Pushgenehmigungen oder OTPs, sowohl in den MFA-Abläufen für die Anmeldezeit (LOGON) als auch in den MFA-Abläufen für das SQL-Zugriffstoken bereitgestellt werden. Unterstützte Kanäle umfassen E-Mail-, SMS-, Slack- und Authentifizierungsanwendungen, und jeder Kanal erfordert bestimmte Konfigurationsattribute, z. B. SMTP-Details für die E-Mail-Zustellung oder eine Slack-Workspace-Konfiguration für Slack, um sicherzustellen, dass Nachrichten sicher und zuverlässig an den beabsichtigten Benutzer übermittelt werden.

Stellen Sie vor der Konfiguration von Benachrichtigungskanälen sicher, dass Sie die erforderlichen Zugangsdaten für die Kanäle eingerichtet haben, die Sie verwenden möchten. Beachten Sie, dass einige Kanäle nur für LOGON MFA gelten, z.B. OMA und Duo, während andere nur für SQL Access Token MFA gelten, z.B. OMA, Slack und E-Mail. Konfigurieren Sie also nur das, was Sie für den ausgewählten MFA-Ablauf benötigen.

In der folgenden Tabelle werden die verfügbaren MFA-Benachrichtigungskanäle zusammengefasst und angezeigt, welchen MFA-Typ jeder Kanal unterstützt (MFA-Anmeldung und/oder SQL Access Token MFA) sowie die entsprechende Benachrichtigungsmethode (OTP-Zustellung oder Push-Genehmigung).

Verwenden Sie die Prozedur DBMS_MFA_ADMIN.CONFIGURE_NOTIFICATION, um die Benachrichtigungskanäle zu definieren, die für die Zustellung von MFA-Nachrichten verwendet werden (z.B. SQL Access Token-Herausforderungen). In diesem Verfahren geben Sie den Kanaltyp an, wie E-Mail, Slack oder einen Authentifizierer, und geben die erforderlichen kanalspezifischen Attribute oder Zugangsdatenreferenzen an, die für eine sichere und zuverlässige Zustellung erforderlich sind. Da jeder Kanal unterschiedliche Anforderungen hat, hängen die von Ihnen angegebenen Attributwerte vom konfigurierten Kanal ab. Die erwarteten Eingaben pro Kanal finden Sie in den folgenden Beispielen.

E-Mail-Benachrichtigung

Konfigurieren Sie das E-Mail-Zugangsdatenobjekt und die SMTP-Benachrichtigungseinstellungen, damit Oracle MFA-bezogene E-Mails senden kann. Dies ist für das Setup der MFA-Anmeldung (OMA und Duo) erforderlich, einschließlich E-Mails zur Geräteregistrierung. Ohne diese Benachrichtigung erhalten Benutzer keine erforderlichen Registrierungsbenachrichtigungen. E-Mail ist kein unterstützter zweiter Faktor für die MFA-Anmeldung. E-Mail-OTP-Zustellung wird nur für SQL Access Token MFA unterstützt.

Um einen benutzerdefinierten E-Mail-Provider zum Senden von MFA-Zugriffstoken zu konfigurieren, müssen Sie mit der Prozedur DBMS_CLOUD.CREATE_CREDENTIAL E-Mail-Providerzugangsdaten in der Datenbank erstellen. Beispiel:

BEGIN
   DBMS_CLOUD.CREATE_CREDENTIAL(
       credential_name => 'EMAIL_CRED_01',
       username        => '<username>',
       password        => '<password>'
   );
END;
/

Erteilen Sie der Datenbank die Berechtigung, eine Verbindung zu Ihrem SMTP-Host zum Senden von E-Mails herzustellen, indem Sie die Access Control-Liste (ACL) aktualisieren. Beispiel:

BEGIN
  DBMS_NETWORK_ACL_ADMIN.APPEND_HOST_ACE(
    host        => 'smtp.email.us-ashburn-1.oci.oraclecloud.com',
    lower_port  => 587,
    upper_port  => 587,
    ace         => xs$ace_type(
                     privilege_list  => xs$name_list('SMTP'),
                     principal_name  => 'ADMIN',
                     principal_type  => xs_acl.ptype_db
                   )
  );
END;
/

Definieren Sie die Einstellungen für den E-Mail-Kanal, um MFA-Zugriffstoken mit den von Ihnen erstellten Zugangsdaten zu übermitteln. Beispiel:

BEGIN
  DBMS_MFA_ADMIN.CONFIGURE_NOTIFICATION(
    notification_type => 'EMAIL',
    attributes       => JSON_OBJECT(
      'credential_name'                 VALUE 'EMAIL_CRED_01',
      'smtp_host'                       VALUE 'smtp.email.us-ashburn-1.oci.oraclecloud.com',
      'smtp_port'                       VALUE 465,
      'sender'                          VALUE 'mfa_alerts@example.com',
      'sender_email_display_name'       VALUE 'DB MFA ALERTS'
    )
  );
END;
/

Slack-Benachrichtigung

Erstellen Sie Zugangsdaten, um Authentifizierungsdetails für Ihre Slack-Integration sicher zu speichern. Beispiel:

BEGIN
  DBMS_CLOUD.CREATE_CREDENTIAL(
    credential_name => 'SLACK_CRED',
    username        => 'username',
    password        => '<password>'
  );
END;
/

Ermöglichen Sie der Datenbank, eine Verbindung zum API-Endpunkt von Slack herzustellen, indem Sie die Access Control-Liste (ACL) für ausgehende HTTPS-Aufrufe aktualisieren. Beispiel:

BEGIN
  DBMS_NETWORK_ACL_ADMIN.APPEND_HOST_ACE (
    host           => 'slack.com',
    lower_port     => 443,
    upper_port     => 443,
    ace            => xs$ace_type(
                        privilege_list  => xs$name_list('http'),
                        principal_name  => 'ADMIN',
                        principal_type  => xs_acl.ptype_db
                      )
  );
END;
/

Konfigurieren Sie den Slack-Kanal für die MFA-Tokenzustellung, indem Sie die erstellten Zugangsdaten referenzieren. Beispiel:

BEGIN
  DBMS_MFA_ADMIN.CONFIGURE_NOTIFICATION(
    notification_type => 'SLACK',
    attributes        => JSON_OBJECT(
      'credential_name' VALUE 'SLACK_CRED'
    )
  );
END;
/

Benachrichtigung über Oracle Mobile Authenticator (OMA)

Erstellen Sie Zugangsdaten zum sicheren Speichern der OMA-Client-ID und des Client Secrets. Beispiel:

BEGIN
  DBMS_CLOUD.CREATE_CREDENTIAL(
    credential_name => 'OMA_CRED',
    username        => '<username>',
    password        => '<password>'
  );
END;
/

Definieren Sie den OMA-Benachrichtigungskanal, und verknüpfen Sie ihn mit den erstellten Zugangsdaten und dem OMA-API-Endpunkt. Beispiel:

BEGIN
  DBMS_MFA_ADMIN.CONFIGURE_NOTIFICATION(
    notification_type => 'OMA',
    attributes        => JSON_OBJECT(
      'credential_name' VALUE 'OMA_CRED',
      'api_endpoint'    VALUE 'https://idcs-c*****************60.identity.oraclecloud.com'
    )
  );
END;
/

Cisco DUO-Benachrichtigung

Erstellen Sie Zugangsdaten, um den DUO-Integrationsschlüssel und den Secret Key sicher zu speichern. Beispiel:

BEGIN
  DBMS_CLOUD.CREATE_CREDENTIAL(
    credential_name => 'DUO_CRED',
    username        => '<integrationkey>',
    password        => '<secretkey>'
  );
END;
/

Richten Sie den DUO-Benachrichtigungskanal ein, indem Sie ihn mit den erstellten Zugangsdaten verknüpfen und den DUO-API-Endpunkt angeben.

BEGIN
  DBMS_MFA_ADMIN.CONFIGURE_NOTIFICATION(
    notification_type => 'DUO',
    attributes        => JSON_OBJECT(
      'credential_name' VALUE 'DUO_CRED',
      'api_endpoint'    VALUE 'api-855fd6a0.duosecurity.com'
    )
  );
END;
/

Nachdem Sie den Benachrichtigungskanal konfiguriert haben, müssen Sie im nächsten Schritt einen vorhandenen Datenbankbenutzer für MFA registrieren. Legen Sie bei der Registrierung den MFA-Typ auf "Login-Time MFA" oder "SQL Access Token MFA" fest. Sie können optional den Benachrichtigungskanal angeben. Andernfalls wird standardmäßig die E-Mail verwendet. Für MFA vom Typ "Anmeldung" müssen Sie jedoch OMA oder Duo als Kanal angeben. Optional können Sie auch benutzerdefinierte Tokenattribute festlegen, um das Verhalten von SQL-Zugriffstoken für den Benutzer anzupassen.

Referenz finden Sie unter DBMS_MFA_ADMIN.REGISTER_USER.

Um SQL-Anweisungen in einer Session auszuführen, die durch die SQL Access Token-Authentifizierung geschützt ist, müssen Sie die Session mit einem einmaligen Passcode validieren, der über den konfigurierten Benachrichtigungskanal bereitgestellt wird. Der Benutzer muss über die erforderliche Berechtigung für DBMS_MFA verfügen.

Die Verwendung von globalen Tokenattributen und Tokenattributen auf Benutzerebene trägt dazu bei, die zentrale Sicherheitsdurchsetzung mit der Flexibilität in Einklang zu bringen, individuelle Zugriffsanforderungen zu erfüllen.

Globale SQL-Zugriffstokenattribute festlegen

Verwenden Sie die Prozedur DBMS_MFA_ADMIN.SET_GLOBAL_TOKEN_ATTRIBUTES, um globale SQL Access Token-Standardattribute zu konfigurieren. Diese Prozedur legt eine globale Gruppe von Tokenattributwerten fest (die als JSON bereitgestellt werden), die von der Datenbank automatisch angewendet werden, wenn ein SQL-Zugriffstoken für Benutzer ausgegeben wird, die für SQL Access Token MFA registriert sind. Sie können auch benutzerspezifische Tokenattribute festlegen, um diese globalen Standardwerte bei Bedarf außer Kraft zu setzen.

BEGIN
  DBMS_MFA_ADMIN.SET_GLOBAL_TOKEN_ATTRIBUTES(
    attributes => '{
      "duration_min": 60,
      "scope": "session",
      "idle_timeout_min": 15,
      "read_only": false
    }'
  );
END;
/

Dadurch werden globale Tokenattribute für alle Benutzer festgelegt, die für SQL Access Token MFA registriert sind, wie Tokendauer, Geltungsbereich, Leerlaufzeit-Timeout und schreibgeschützter Zugriff. Diese globalen Attribute dienen als Standardeinstellungen und werden automatisch auf jeden Benutzer angewendet, der für SQL Access Token MFA aktiviert ist, es sei denn, es sind benutzerspezifische Attribute definiert, um sie zu überschreiben.

Weitere Informationen finden Sie unter Prozedur SET_GLOBAL_TOKEN_ATTRIBUTES.

Tokenattribute für Anmeldung und SQL-Zugriffstoken festlegen