Los usuarios de IAM se pueden conectar a la instancia de Autonomous Database mediante un verificador de contraseña de base de datos de IAM o un token de IAM.

El uso del verificador de contraseña de base de datos de IAM es similar al proceso de autenticación de contraseña de Oracle Database. Sin embargo, en lugar de almacenarse el verificador de contraseña (hash cifrado de la contraseña) en la base de datos Oracle, el verificador se almacena en su lugar como parte del perfil de usuario de IAM de Oracle Cloud Infrastructure (OCI).

El segundo método de conexión, el uso de un token de IAM para la base de datos, es más moderno. El uso del acceso basado en token es una opción más adecuada para recursos en la nube como Autonomous Database. El token se basa en la seguridad que puede aplicar el punto final de IAM. Puede ser una autenticación multifactor, que es más segura que el uso únicamente de contraseñas. Otra ventaja del uso de tokens es que el verificador de contraseña (que se considera confidencial) nunca se almacena ni está disponible en la memoria. Se necesita una conexión TCPS (TLS) al utilizar tokens para el acceso a la base de datos.

• Conexiones de cliente que utilizan un verificador de contraseña de base de datos de IAM
  Una vez que haya configurado la autorización necesaria para el usuario de IAM, este usuario se puede conectar mediante la aplicación cliente existente, como SQL*Plus o SQLcl, sin configuración adicional.
• Conexiones de cliente que utilizan un token solicitado por una aplicación o herramienta de cliente
  Para el acceso de token de IAM a Autonomous Database, la aplicación o herramienta de cliente solicita un token de base de datos de IAM para el usuario de IAM.

Puede configurar SQL*Plus para que utilice una contraseña de base de datos de IAM.

• Como usuario de IAM, conexión a la instancia de Autonomous Database utilizando la siguiente sintaxis:

  CONNECT user_name@db_connect_string
  Enter password: password

  En esta especificación, user_name es el nombre de usuario de IAM. Hay un límite de 128 bytes para la combinación de domain_name/user_name.

  En el siguiente ejemplo se muestra cómo el usuario de IAM peter_fitch se puede conectar a una instancia de Autonomous Database.

  sqlplus /nolog
  connect peter_fitch@db_connect_string
  Enter password: password

  Algunos caracteres especiales requerirán que user_name y password vayan entre comillas dobles. Por ejemplo:

  "peter_fitch@example.com"@db_connect_string
  
  "IAM database password"

Puede configurar una conexión de cliente para SQL*Plus que utilice un token de IAM.

1. Asegúrese de que tiene una cuenta de usuario de IAM.
2. Consulte a un administrador de IAM y a un administrador de Oracle Database para asegurarse de que tiene una política que le permite acceder a la base de datos en el compartimento o su arrendamiento, y que está asignado a un esquema global en la base de datos.
3. Si la aplicación o la herramienta no soporta la integración directa con IAM, descargue, instale y configure la CLI de OCI. (Consulte la sección de inicio rápido de la interfaz de línea de comandos de OCI). Configure una clave de API como parte de la configuración de la CLI de OCI y seleccione los valores por defecto.
   1. Configure el acceso a la clave de API para el usuario de IAM.
   2. Recupere db-token. Por ejemplo:
      • Recuperación de db-token con API-key mediante la interfaz de línea de comandos de Oracle Cloud Infrastructure (OCI):

        oci iam db-token get

      • Recuperación de db-token con un token de seguridad (o sesión):

        oci iam db-token get --auth security_token

        Si el token de seguridad ha caducado, aparecerá una ventana para que el usuario pueda volver a conectarse a OCI. Esto genera el token de seguridad para el usuario. La CLI de OCI utilizará este token refrescado para obtener db-token.

      • Recuperación de db-token con un token de delegación: al conectarse a Cloud Shell, el token de delegación se genera automáticamente y se ubica en el directorio /etc. Para obtener este token, ejecute el siguiente comando en Cloud Shell:

        oci iam db-token get

      • Recuperación de un token de instancia mediante la interfaz de línea de comandos de OCI:

        oci iam db-token get --auth instance_principal

   3. El cliente de base de datos también se puede configurar para recuperar un token de base de datos mediante el nombre de usuario de IAM y la contraseña de base de datos de IAM.

      Consulte Conexiones de cliente que utilizan un token solicitado por un nombre de usuario y una contraseña de base de datos de IAM para obtener más información.

   Consulte Claves y OCID necesarios para obtener más información.
4. Asegúrese de utilizar las actualizaciones más recientes de las versiones 19c, 21c o 23ai del cliente de Oracle Database.
   Esta configuración solo funciona con la versión 19c, 21c o 23ai del cliente de Oracle Database.
5. Siga el proceso existente para descargar la cartera de Autonomous Database y, a continuación, siga las instrucciones para configurarla para su uso con SQL*Plus.
   1. Confirme que la coincidencia de DN está activada buscando SSL_SERVER_DN_MATCH=ON en sqlnet.ora.
      Nota
      
      Se necesita una coincidencia de DN parcial o completa al enviar un token del cliente de base de datos a Autonomous Database. Si Autonomous Database utiliza un punto final privado, debe especificar un valor de host para el parámetro de cadena de conexión. El uso de una dirección IP para el parámetro de host en la cadena de conexión no funcionará con la coincidencia de DN y el token de IAM no se enviará a la base de datos.

      Consulte Ejemplos de configuración de puntos finales privados en Autonomous Database para obtener información sobre la configuración de cómo definir el parámetro de host al utilizar un punto final privado.

   2. Configure el cliente de base de datos para que utilice el token de IAM agregando TOKEN_AUTH=OCI_TOKEN al archivo sqlnet.ora. Puesto que utilizará las ubicaciones por defecto para el archivo de token de base de datos, no es necesario incluir la ubicación del token.
   Los valores TOKEN_AUTH y TOKEN_LOCATION en las cadenas de conexión de tnsnames.ora tienen prioridad sobre la configuración de sqlnet.ora de esa conexión. Por ejemplo, para la cadena de conexión, suponiendo que el token está en la ubicación por defecto (~/.oci/db-token para Linux):

   (description= 
     (retry_count=20)(retry_delay=3)
     (address=(protocol=tcps)(port=1522)
     (host=example.us-phoenix-1.oraclecloud.com))
     (connect_data=(service_name=aaabbbccc_exampledb_high.example.oraclecloud.com))
     (security=(ssl_server_dn_match=yes))
     (TOKEN_AUTH=OCI_TOKEN)))
   

connect /@exampledb_high

connect /@(description= 
  (retry_count=20)(retry_delay=3)
  (address=(protocol=tcps)(port=1522)
  (host=example.us-phoenix-1.oraclecloud.com))
  (connect_data=(service_name=aaabbbccc_exampledb_high.example.oraclecloud.com))
  (security=(ssl_server_cert_dn="CN=example.uscom-east-1.oraclecloud.com, 
     O=Example Corporation, 
     L=Redwood City, ST=California, C=US")
  (TOKEN_AUTH=OCI_TOKEN)))

Una vez que el usuario ADMIN ha activado IAM en Oracle Cloud Infrastructure en Autonomous Database, una aplicación puede acceder a la base de datos a través de un token de base de datos de Oracle Cloud Infrastructure IAM mediante un principal de instancia.