El acceso entre arrendamientos a una instancia de Autonomous Database es similar a un escenario de arrendamiento único, excepto que la información de arrendamiento es necesaria para las asignaciones y las solicitudes de token, y se necesita una política en ambos arrendamientos para permitir el acceso a este recurso de base de datos entre arrendamientos.

En la siguiente figura se muestra el proceso de acceso entre arrendamientos a una instancia de Autonomous Database.

El proceso de arrendamiento cruzado es el siguiente:

1. La política es necesaria en ambos arrendamientos para aprobar y admitir el acceso entre arrendamientos.
2. El principal de IAM (usuario o aplicación) solicita un token de base de datos para un recurso entre arrendamientos.
3. Se devuelve db-token y se utiliza para acceder a la base de datos en un arrendamiento diferente.
4. La base de datos realizará una consulta de grupo entre arrendamientos para los grupos del usuario y asignará el principal al esquema global y los roles globales opcionales.

Debe crear políticas tanto en el arrendamiento de usuario como en el arrendamiento de recursos de base de datos para permitir el acceso a la base de datos entre arrendamientos.

• Configuración del arrendamiento de usuario de origen
  Se necesitan dos políticas para permitir el acceso entre arrendamientos en el arrendamiento de usuario.
• Configuración del arrendamiento de recursos de la base de datos de destino
  El arrendamiento de la base de datos necesitará políticas coincidentes para permitir el acceso a los usuarios desde el arrendamiento de usuario, así como permitir que sus propias bases de datos consulten la información del grupo en el arrendamiento de usuario
• Ejemplos de políticas para el acceso entre arrendamientos
  Los ejemplos incluyen el uso de una cláusula WHERE para acotar la configuración entre arrendamientos y otros métodos para realizar este tipo de configuración.

Al realizar este tipo de asignación, debe agregar el OCID de arrendamiento a la información de asignación para que la base de datos sepa que es acceso entre arrendamientos.

• Para utilizar la sentencia CREATE USER para realizar la asignación:
  Los siguientes ejemplos muestran la asignación de esquemas exclusivos y compartidos con principales y grupos en dominios por defecto y no por defecto. Al utilizar dominios predeterminados, no es necesario incluir un nombre de dominio.

  CREATE USER schema1 IDENTIFIED GLOBALLY 
  AS 'IAM_PRINCIPAL_NAME=ocid1.tenancy.OCID:example_domain/peter.fitch@oracle.com';
  
  CREATE USER schema2 IDENTIFIED GLOBALLY 
  AS 'IAM_PRINCIPAL_NAME=ocid1.tenancy.OCID:peter.fitch@oracle.com';
  
  CREATE USER qa_db_user_group IDENTIFIED GLOBALLY 
  AS 'IAM_GROUP_NAME=ocid1.tenancy.OCID:example_domain/xt_db_users';
  
  CREATE USER qa_sales_user_group IDENTIFIED GLOBALLY 
  AS 'IAM_GROUP_NAME=ocid1.tenancy.OCID:sales_users';
  
  CREATE USER xt_ip_user IDENTIFIED GLOBALLY 
  AS 'IAM_PRINCIPAL_OCID=ocid1.instance.region1.sea.OCID';
  GRANT CREATE SESSION TO xt_ip_user;
  
  CREATE USER xt_iam_dg IDENTIFIED GLOBALLY 
  AS 'IAM_GROUP_NAME=ocid1.tenancy.region1.OCID:sales_principals';
  GRANT CREATE SESSION TO xt_iam_dg;

• Para utilizar la sentencia CREATE ROLE para realizar la asignación:
  Los siguientes ejemplos muestran la asignación de roles globales con grupos en dominios predeterminados y no predeterminados. Al utilizar dominios predeterminados, no es necesario incluir un nombre de dominio.

  CREATE ROLE globalrole1 IDENTIFIED GLOBALLY 
  AS 'IAM_GROUP_NAME=ocid1.tenancy.abcdef:example_domain/xt_db_users';
  
  CREATE ROLE globalrole2 IDENTIFIED GLOBALLY 
  AS 'IAM_GROUP_NAME=ocid1.tenancy.abcdef:sales_users';

Puede configurar algunos clientes de base de datos directamente.

El arrendamiento de base de datos se debe identificar en la cadena de conexión o en sqlnet.ora si el cliente está configurado para obtener directamente el token de acceso de OCI IAM. Revise la documentación específica del cliente para obtener valores de parámetros específicos (JDBC-thin, ODP.NET-core, managed).

Debe agregar el parámetro --scope al comando de interfaz de línea de comandos de Oracle Cloud Infrastructure (OCI) para obtener un valor db-token para una solicitud entre arrendamientos.

Consulte Optional Parameters para obtener más detalles sobre el uso de los parámetros opcionales del comando oci get.

Puede limitarlo a todo el arrendamiento o a un compartimento o base de datos del arrendamiento. Al definir el ámbito para el compartimento o la base de datos entre arrendamientos, no es necesario que también agregue la información del arrendamiento porque el compartimento y los OCID de base de datos son únicos en OCI.

Algunos clientes pueden solicitar los tokens directamente desde MSEI. Consulte la documentación sobre la configuración de los parámetros para obtener los tokens de acceso OAuth2 de MSEI.