Conexión a Autonomous Database con autenticación de Identity and Access Management (IAM)

Los usuario de IAM se pueden conectar a la instancia de la base de datos de Autonomous Database mediante un Verificador de Contraseña de Base de Datos de IAM o un token de IAM.

El uso del verificador de contraseña de base de datos de IAM es similar al proceso de autenticación de contraseña de Oracle Database. Sin embargo, en lugar de almacenarse el verificador de contraseña (hash cifrado de la contraseña) en la base de datos Oracle, el verificador se almacena como parte del perfil IAM de Oracle Cloud Infrastructure (OCI).

El segundo método de conexión, el uso de un token de IAM para la base de datos, es más moderno. El uso del acceso basado en token se ajusta mejor a los recursos de la nube, como Autonomous Database. El token se basa en la seguridad que puede aplicar el punto final de IAM. Puede ser una autenticación multifactor, que es más segura que el uso únicamente de contraseñas. Otra ventaja del uso de tokens es que el verificador de contraseña (que se considera confidencial) nunca se almacena ni está disponible en la memoria. Se necesita una conexión TCPS (TLS) al utilizar tokens para el acceso a la base de datos.

• Conexiones de Cliente que Utilizan un Verificador de Contraseña de Base de Datos de IAM
  Después de configurar la autorización necesaria para el usuario de de IAM, este usuario puede conectarse mediante un aplicación cliente existente, como SQL*Plus o SQLcl sin configuración adicional.
• Conexiones de clientes que utiliza un token solicitado por una aplicación o herramienta del cliente
  Para el acceso del token IAM a la instancia de Autonomous Database, la aplicación o herramienta del cliente solicita un token de base de Datos de IAM para el usuario deIAM.

Puede configurar SQL*Plus para que utilice una contraseña de base de datos de IAM.

• Como usuario de IAM, conéctese a la instancia de Autonomous Database utilizando la siguiente sintaxis:

  CONNECT user_name@db_connect_string
  Enter password: password

  En esta especificación, user_name es el nombre de usuario de IAM. Hay un límite de 128 bytes para la combinación de domain_name/user_name.

  En el siguiente ejemplo se muestra cómo los usuarios de IAM peter_fitch se pueden conectar a las instancias de Autonomous Database.

  sqlplus /nolog
  connect peter_fitch@db_connect_string
  Enter password: password

  Algunos caracteres especiales requerirán que user_name y password vayan entre comillas dobles. Por ejemplo:

  "peter_fitch@example.com"@db_connect_string
  
  "IAM database password"

Puede configurar una conexión de cliente para SQL*Plus que utilice un token de IAM.

1. Asegúrese de que tiene una cuenta de usuario de IAM.
2. Compruebe con el administrador de IAM y con el administrador de Oracle Database que tiene una política en la que puede acceder a la base de datos en el compartimento o su arrendamiento, y que está asignado a un esquema global en la base de datos.
3. Si la aplicación o la herramienta no soporta la integración directa con IAM, descargue, instale y configure la CLI de OCI. (Consulte la sección de inicio rápido de la interfaz de línea de comandos de OCI). Configure una clave de API como parte de la configuración de la CLI de OCI y seleccione los valores por defecto.
   1. Configure el acceso de clave de API para el usuario de IAM.
   2. Recupere db-token. Por ejemplo:
      • Recuperación de db-token con API-key mediante la interfaz de línea de comandos de Oracle Cloud Infrastructure (OCI):

        oci iam db-token get

      • Recuperación de db-token con un token de seguridad (o sesión):

        oci iam db-token get --auth security_token

        Si el token de seguridad ha caducado, aparecerá una ventana para que el usuario pueda volver a conectarse a OCI. Esto genera el token de seguridad para el usuario. La CLI de OCI utilizará este token refrescado para obtener db-token.

      • Recuperación de db-token con un token de delegación: al conectarse a Cloud Shell, el token de delegación se genera automáticamente y se ubica en el directorio /etc. Para obtener este token, ejecute el siguiente comando en Cloud Shell:

        oci iam db-token get

      • Recuperación de un token de instancia mediante la interfaz de línea de comandos de OCI:

        oci iam db-token get --auth instance_principal

   3. The database client can also be configured to retrieve a database token using the IAM username and IAM database password.

      Para obtener más información, consulte Conexiones del cliente que utiliza un token solicitado por el nombre del usuario de IAM y una contraseña del base de datos.

   Consulte Claves y OCID necesarios para obtener más información.
4. Asegúrese de utilizar las actualizaciones más recientes de la versión 19c, 21c o 23ai del cliente Oracle Database.
   Esta configuración solo funciona con la versión 19c, 21c o 23ai del cliente Oracle Database.
5. Siga el proceso existente para descargar la cartera de la Autonomous Database y, a continuación, siga las instrucciones para configurarla para su uso con SQL*Plus.
   1. Confirme que la coincidencia de DN está activada buscando SSL_SERVER_DN_MATCH=ON en sqlnet.ora.
      Nota
      
      Se necesita una coincidencia de DN parcial o completa al enviar un token desde el cliente de base de datos a Autonomous Database. Si Autonomous Database utiliza un punto final privado, debe especificar un valor de host para el parámetro de cadena de conexión. El uso de una dirección IP para el parámetro de host en la cadena de conexión no funcionará con la coincidencia de DN y el token de IAM no se enviará a la base de datos.

      Consulte Ejemplos de configuración de puntos finales privados en Autonomous Database para obtener información de configuración sobre cómo definir el parámetro de host al utilizar un punto final privado.

   2. Configure el cliente de base de datos para que utilice el token de IAM agregando TOKEN_AUTH=OCI_TOKEN al archivo sqlnet.ora. Puesto que utilizará las ubicaciones por defecto para el archivo de token de base de datos, no es necesario incluir la ubicación del token.
   Los valores TOKEN_AUTH y TOKEN_LOCATION en las cadenas de conexión de tnsnames.ora tienen prioridad sobre la configuración de sqlnet.ora de esa conexión. Por ejemplo, para la cadena de conexión, suponiendo que el token está en la ubicación por defecto (~/.oci/db-token para Linux):

   (description= 
     (retry_count=20)(retry_delay=3)
     (address=(protocol=tcps)(port=1522)
     (host=example.us-phoenix-1.oraclecloud.com))
     (connect_data=(service_name=aaabbbccc_exampledb_high.example.oraclecloud.com))
     (security=(ssl_server_dn_match=yes)
     (TOKEN_AUTH=OCI_TOKEN)))
   

connect /@exampledb_high

connect /@(description= 
  (retry_count=20)(retry_delay=3)
  (address=(protocol=tcps)(port=1522)
  (host=example.us-phoenix-1.oraclecloud.com))
  (connect_data=(service_name=aaabbbccc_exampledb_high.example.oraclecloud.com))
  (security=(ssl_server_cert_dn="CN=example.uscom-east-1.oraclecloud.com, 
     O=Example Corporation, 
     L=Redwood City, ST=California, C=US")
  (TOKEN_AUTH=OCI_TOKEN)))

Una vez que el usuario ADMIN ha activado Oracle Cloud Infrastructure IAM en Autonomous Database, una aplicación puede acceder a la base de datos a través de un token de base de datos de Oracle Cloud Infrastructure IAM mediante un principal de instancia.