Allow any-user to read secret-family in tenancy where
ALL{request.principal.type='opsidatabaseinsight', target.vault.id =  'Vault OCID'}

Voraussetzungen für IAM-Zugangsdaten: Ops Insights kann mit IAM-basierter Authentifizierung eine Verbindung zu einer autonomen Oracle-Datenbank herstellen. Dadurch ist eine cloudfreundlichere und sicherere Lösung möglich. Mit Ops Insights können Sie eine Resource Principal Policy schreiben, mit der sie Performance- und SQL-basierte Metriken aus Autonomous Database erfassen kann (diese Metriken werden über diesen alternativen Authentifizierungsansatz erfasst).

Weitere Informationen zu IAM-basierten Verbindungen finden Sie unter Verbindung zu einer Autonomous Database-Instanz mit IAM herstellen.

Es gibt zwei Möglichkeiten, IAM-Verbindungen zu Ihren autonomen Datenbanken per Skript oder manuell zu aktivieren. Ops Insights empfiehlt dringend die Verwendung der Skriptmethode.

• Um IAM-Verbindungen für Ihre autonomen Datenbanken mit dem Ops Insights-Skript (empfohlene Methode) zu aktivieren, führen Sie die folgenden Schritte aus:
  1. Erstellen Sie eine dynamische Gruppe mit der OPSI-Ressource (Beispiel: iam_admin_dg_grp):

     All {instance.compartment.id = '<compartmentid>', request.principal.type='opsidatabaseinsight'}

  2. Führen Sie das Skript zur Zugangsdatenerstellung im MOS-Hinweis Autonomous Database Monitoring-Zugangsdaten für Oracle Cloud Operations Insights erstellen (KB95891) aus.
     Hinweis
     
     Informationen zum Erstellen des gewünschten Datenbankbenutzertyps finden Sie in den Anweisungen zur Skriptverwendung unten in der MOS-Notiz.
• So aktivieren Sie IAM-Verbindungen für Ihre autonomen Datenbanken manuell:
  1. Aktualisieren Sie Autonomous Database, um IAM-basierte Verbindungen zuzulassen:

     BEGIN DBMS_CLOUD_ADMIN.ENABLE_EXTERNAL_AUTHENTICATION( type => 'OCI_IAM', force => TRUE );
     END;
     /
     # Check if its enabled
     SELECT NAME, VALUE , TYPE FROM V$PARAMETER WHERE NAME='identity_provider_type';

  2. Erstellen Sie eine dynamische Gruppe mit der OPSI-Ressource (Beispiel: iam_admin_dg_grp):

     All {instance.compartment.id = '<compartmentid>', request.principal.type='opsidatabaseinsight'}

  3. Erstellen Sie eine Überwachungsrolle mit den erforderlichen Berechtigungen, um eine Session zu erstellen und eine Verbindung herzustellen, sowie die Berechtigungen für die von OPSI erfassten Tabellen:

     CREATE ROLE DbTokenRole IDENTIFIED GLOBALLY AS 'IAM_GROUP_NAME=iam_admin_dg_grp';

  4. Erstellen Sie einen neuen Datenbankbenutzer (global), und weisen Sie ihm die in Schritt 3 erstellte Rolle zu:

     CREATE USER TESTDBUSER IDENTIFIED GLOBALLY AS 'IAM_GROUP_NAME=iam_admin_dg_grp';
     GRANT CREATE SESSION, CONNECT TO testDbTokenRole;
     # Need rest of grants within aforementioned script for OPSI collections to work properly